驚！Real World CTF 走下神壇？

摘要： Real World CTF“出道即封神”！

第四屆Real World CTF收官
評論區(qū)驚現(xiàn)：Real World CTF走下神壇？
一起探究發(fā)生了什么
 
何謂神壇
Real World CTF“出道即封神”
過往三屆人氣一路飆升
本次賽事數(shù)據(jù)更是創(chuàng)下新高
 
2022年1月21日-23日，
48小時(shí)，激戰(zhàn)落幕
 
參賽隊(duì)伍數(shù)量再破歷史記錄
全球十余個(gè)國家/地區(qū)1922支戰(zhàn)隊(duì)
上萬人在線參賽
940次簽到題解出
16次一血
有效flag提交1229次
數(shù)字紀(jì)念品領(lǐng)取167次

 
最終由老牌強(qiáng)隊(duì) r00timentary 和 Perfect Blue 組成的聯(lián)合戰(zhàn)隊(duì) perfect r00t 以4362的總分以絕對的優(yōu)勢獲得全球冠軍，去年的亞軍德國聯(lián)合戰(zhàn)隊(duì) Sauercloud 在本次比賽中繼續(xù)以2934分的成績名列第二，來自中國科學(xué)院的新銳戰(zhàn)隊(duì) NeSE 榮獲第三。

與往年的“劍走偏鋒”不同，今年的簽到題在最大程度上延伸了“腦洞”降低了難度，終于成為本次解題人數(shù)最多的一道題。

今年強(qiáng)隊(duì)發(fā)力似乎也來得更早一些。
開賽僅兩個(gè)小時(shí)內(nèi)，NeSE戰(zhàn)隊(duì)先后奪下兩個(gè)題目Hack into Skynet和hso groupie的一血，搶占先機(jī)。同時(shí)，Nu1L戰(zhàn)隊(duì)也順利奪下SVME的一血，一時(shí)間刀光劍影，戰(zhàn)火紛飛。

 

一道題解兩天，驚起哇聲一片
為了幫助參賽選手更有針對性的選擇解題順序，今年的賽題新增難度標(biāo)簽，包括：baby、normal、hard和Schrodinger（難度具有不確定性）。
每年的比賽題目，都會(huì)有一道備受吐槽想要胖揍出題人的題目。而今年，一道預(yù)估難度為baby的賽題榮登吐槽榜：一道題解2天，難哭一片。

 

這道SVME題目的標(biāo)簽除了baby外還有Clone-and-Pwn（來于：Clone-and-own），據(jù)出題人透露，這是本次比賽中新增加的一個(gè)題目分類，直接使用未改動(dòng)的開源代碼作為Pwn的對象，而不經(jīng)過二次開發(fā)，解題時(shí)需要用到的漏洞和軟件特性，也都來自于原汁原味的開源代碼，可謂將Real World的風(fēng)格發(fā)揮到了極致，是所有題目中Real程度非常高的。只能說沒有出題人想不到，只有解題人不了解呀~
小知識(shí)："Clone-and-own" refers to the practice of creating a new product by "cloning" a copy of the source code of another product and then modifying it, thereby taking ownership of the newly cloned product which now has a development and maintenance lifecycle of its own.
 
每年總有一兩道題直到比賽結(jié)束也仍然無人窺得門徑。今年的賽題也是有一道Schrodinger題目：Wheels on the Bus直到比賽結(jié)束也未有解出，據(jù)出題人透露本題主要是考察如何利用數(shù)據(jù)總線服務(wù)的配置問題進(jìn)行權(quán)限提升，也不知道會(huì)不會(huì)還有賽后解題呢？
 
此外，今年的題目對于真實(shí)熱點(diǎn)技術(shù)的結(jié)合也是非常重要。

• 有物聯(lián)網(wǎng)方向考察基于實(shí)時(shí)操作系統(tǒng)、特殊處理器架構(gòu)構(gòu)建的IoT固件的分析和漏洞利用
• 也有云安全，虛擬化方向考察利用已知漏洞完成虛擬機(jī)黑盒逃逸的問題
• 還有可信計(jì)算方向考察可信執(zhí)行環(huán)境中應(yīng)用的漏洞發(fā)現(xiàn)和利用
• 以及辦公安全方向考察開源PDF軟件已知漏洞的利用，該漏洞由Google研究團(tuán)隊(duì)在近期披露
• 更有云安全方向考察開源云原生API網(wǎng)關(guān)的漏洞挖掘和利用

線上激戰(zhàn)的48小時(shí)，共有15964次flag提交。
 
“走下神壇”
Real World CTF的神仙打架
和網(wǎng)絡(luò)安全技術(shù)愛好者“看不懂”
中間存在的斷層
是長亭科技作為主辦方一直在思考的問題
 
第四屆
同期“降級難度”的RW體驗(yàn)賽正是一次延伸與創(chuàng)新
也因?yàn)轭}目難度親民
被網(wǎng)友戲稱“走下神壇”
 
1月22日-23日，24小時(shí)，以專業(yè)的“CTFer“為名
202支隊(duì)伍、來自企業(yè)和高校的近千人參賽
企業(yè)行業(yè)覆蓋七大領(lǐng)域：金融、能源、教育、企業(yè)、交通、政府、通訊
高校包括清華、復(fù)旦、北理、北郵、成都信息工程等50+知名高校
126次簽到題解出，16次一血，有效flag提交699次
 
最終，由來自眾多高校聯(lián)合（江西軟件職業(yè)技術(shù)大學(xué)、南京航空航天大學(xué)、廣州航海學(xué)院和某些不愿透露姓名的高校）的SU戰(zhàn)隊(duì)以2925的總分獲得第一名，由來自北京郵電大學(xué)的滿分冰美式戰(zhàn)隊(duì)和來自成都信息工程大學(xué)的Syclover戰(zhàn)隊(duì)分別以總分2547和2448名列第二名和第三名。

雖然賽題難度有所降檔，但體驗(yàn)賽的題目質(zhì)量和考察范圍基本與正賽相差無二，同樣以真實(shí)世界軟件的真實(shí)問題為線索，題目范圍包括web、Pwn、Crypto、Blockchain、IoT、Virtual Machine等。而比賽激烈程度也毫不遜色，僅僅開賽32秒鐘，就有SA1NT5EC戰(zhàn)隊(duì)成功進(jìn)行首個(gè)簽到，戰(zhàn)火一觸即發(fā)。然11分鐘后，非簽到題的第一個(gè)一血誕生在題目Be-a-Database-Hacker，由滿分冰美式戰(zhàn)隊(duì)獲得，戰(zhàn)局隨機(jī)進(jìn)入白熱化，最后SU戰(zhàn)隊(duì)在奪得三個(gè)一血后，成功鎖定戰(zhàn)局。
 
走進(jìn)大眾
其實(shí)，Real World CTF還有一個(gè)“小心機(jī)”隱藏許久。
網(wǎng)絡(luò)安全很重要，而且會(huì)越來越重要。然而，流行文化對網(wǎng)絡(luò)安全話題的討論又還遠(yuǎn)遠(yuǎn)不夠，由此導(dǎo)致大眾對網(wǎng)絡(luò)安全的認(rèn)知停留在懵懵懂懂的狀態(tài)；這可能會(huì)進(jìn)一步地導(dǎo)致非技術(shù)出身的企業(yè)管理者輕視網(wǎng)絡(luò)安全、對這一領(lǐng)域投入不足。生動(dòng)活潑的網(wǎng)絡(luò)安全教育是很重要的——問題在于，究竟怎么做到這一點(diǎn)呢？
轉(zhuǎn)載自：互聯(lián)網(wǎng)怪盜團(tuán)《守護(hù)這個(gè)世界的安全，遠(yuǎn)遠(yuǎn)比我們想象的復(fù)雜》
 
本次Real World CTF就做了更進(jìn)一步的嘗試。
為了讓CTF不再只是一群人的狂歡，讓更多的人看懂CTF，就像看懂所有的競技賽一樣，也讓更多的人對于網(wǎng)絡(luò)安全有著更加直觀的了解，hacking101在本次比賽期間正式“出道”。

與去年的10位行業(yè)技術(shù)大神高質(zhì)量技術(shù)分享視頻側(cè)重點(diǎn)不同，但同樣本著傳遞硬核技術(shù)的初衷，本次的hack101技術(shù)視頻以行業(yè)熱點(diǎn)技術(shù)為切入點(diǎn)，以更加深入淺出的語言，在技術(shù)師傅深入研究下厚積薄發(fā)，對物聯(lián)網(wǎng)、虛擬化云方向、區(qū)塊鏈等干貨技術(shù)進(jìn)行了分享，從貼近真實(shí)世界的角度讓甚至是初接觸網(wǎng)絡(luò)安全的小伙伴都能聽得懂。
同樣，所有視頻均上傳至長亭科技B站，歡迎大家回看。
 
在走入大眾視野的嘗試中，趣味性直播互動(dòng)顯然“頗有成效”。去年在“你畫我猜”中以靈魂畫風(fēng)順利出道的兩位師傅再次帶來畫作巔峰。

（不能說毫無關(guān)系，只能說一模一樣！）

（好像比去年畫功見長呀?。?/span>

更多有趣的直播互動(dòng)環(huán)節(jié)如雪地尋寶和有口難說讓觀眾在趣味中初窺到網(wǎng)絡(luò)安全行業(yè)的樂趣。
除了真實(shí)世界的 “出圈”外，本屆Real World CTF還嘗試在虛擬世界有所創(chuàng)新，與AI和區(qū)塊鏈藝術(shù)家宋婷合作，將虛擬與現(xiàn)實(shí)再次進(jìn)行了融合。為所有解題選手送上的賽題相關(guān)數(shù)字紀(jì)念品和為直播觀眾送出的定制數(shù)字紀(jì)念品，將極客精神與數(shù)字世界巧妙連接，讓更多的人感受到融合真實(shí)與虛擬世界的驚喜。

 
走進(jìn)長亭
同期，在主辦方長亭的內(nèi)部，也在進(jìn)行著一場激烈的對抗比賽—“探奇杯”CTF+ACM內(nèi)部挑戰(zhàn)賽。在第一天的CTF賽中，覆蓋內(nèi)部五大部門共有 139 名選手完成了至少做出來一道題的小目標(biāo)，其中還包括市場營銷中心的2名選手（對，你沒看錯(cuò)，就是小編所在的市場團(tuán)隊(duì)）。
僅2分40秒后就有技術(shù)大佬順利拿下首個(gè)一血，比賽前 10 名來自運(yùn)維、產(chǎn)品經(jīng)理、安全策略、課程研究、研發(fā)、安全服務(wù)、技術(shù)支持等各種崗位，堪稱全司“臥虎藏龍”。
在第二天的ACM賽中，戲劇性的一幕是CTF賽中的前兩名霸榜成功，第一名的師傅甚至在比賽僅僅過半的時(shí)間就輕松秒掉一半賽題，果然“大佬就是大佬”呀。
同期舉辦內(nèi)部比賽，既是讓Real World CTF走進(jìn)長亭內(nèi)部，為內(nèi)部人員提供一種真正參與CTF比賽樂趣的機(jī)會(huì)；更重要的是夯實(shí)長亭人硬核技術(shù)實(shí)力，在公司內(nèi)部形成濃郁的技術(shù)風(fēng)。
堅(jiān)持技術(shù)至上也是長亭人不懈追求的初心。

（攤牌了，我們就是那個(gè)硬核技術(shù)的chaitin）

 

走下神壇代表著廣泛的連接與深入，
以熱愛為名，讓越來越多的同路人聚集
以知識(shí)為名，傳遞更廣泛的理念與信念
比賽落幕，榮譽(yù)不落。
明年，繼續(xù)！