中国队Tea Deliverers赢得HITCON CTF冠军,直接晋级2020年DEF CON CTF决赛

中国队Tea Deliverers是2019年DEF CON CTF季军,首度获得HITCON CTF决赛冠军,也直接获得晋级2020年DEF CON CTF决赛资格。
iThome
在台湾举办的HITCON CTF(抢旗攻防赛)决赛,由来自10个国家、加上Balsn CTF决赛冠军以及趋势科技CTF决赛冠军,总计14个队伍一起参赛,经历两天激烈的竞争,最终结果出炉。
在2019 DEF CON CTF获得季军的中国队Tea Deliverers,则首度拿到HITCON CTF冠军;亚军则是俄罗斯队LC↯BC,这也是他们第三次拿到HITCON CTF亚军;至于第三名则是日本队TokyoWesterns ,多次参赛,今年则是第一次拿到前三名的好成绩。
由于HITCON CTF决赛也获选为2020 DEF CON CTF的种子赛事之一,获得冠军的中国队Tea Deliverers,则直接获得晋级2020 DEF CON CTF决赛的资格。
HITCON CTF创意无限,以Capture The Fortune为题
由台湾CTF战队负责系统维运和出题的HITCON CTF战队,今年再度展现绝妙创意,而负责主办美国DEF CON CTF的主办单位O.O.O.(Order of the Overflow)主办者Zardus,则称赞HITCON CTF战队创意无限,甚至赞许说,想说要把整个比赛场景,重现在DEF CON CTF的比赛现场。
HITCON CTF继2017年以“Capture The Food”,以台湾美食赢得每一个参加HITCON CTF决赛队伍的心和胃之外,今年则以“Capture The Fortune”为题,由骇客教你避险与投机,不只是比赛现场则模拟美国华尔街期货交易的场景,每一个队伍面前,也有一个小型ATM样式的计分版,借此展示各队战况与成绩。
更特别的是,为了符合“Capture The Fortune”的概念,HITCON CTF战队出题时,更首度将股票交易的概念融入在CTF的比赛题目中,所有的参赛队伍都可以操作原先给各队的积分作为股票操作的资金,分数占比占整体分数一成左右。HITCON CTF战队成员Ddaa表示,甚至有来自德国和奥地利的HXP团队,擅于股票操作,甚至把本金翻了12倍。
包括出题系统、计分版等系统全新改版
这一次对于HITCON CTF战队成员而言,则是挑战个人极限的一年,负责整个出题系统、计分版及UI界面的成员Lays,因为过往系统太过叠床架屋,加上每一次出题时,各队攻击都可能造成系统的过载当机,所以,今年整个系统和UI重新撰写程式、进行改版。
另外,负责管理主办方和参赛队伍总计75台机器的管理系统,也由HITCON CTF战队成员atdog,重新写一套管理系统,确保每一题出题题目的系统稳定性;HITCON CTF战队成员Jeffxx则说,为了确保其他诸如各种网络基础设定和题目的测试等等,直到12月14日正式比赛当天的清晨五点,战队成员们都还在比赛现场做最后的检视与调整,深怕正式比赛一开始,各队攻击流量会造成出题的系统当机。
HITCON CTF首度将股票买卖纳入题型中
这次HITCON CTF以Capture The Fortune为大会主题,也在原本设计的五个题目中,额外出了一题股票买卖的题目,台湾队伍Balsifox成员尤理衡也称赞题目有创意,对于缺乏股票交易经验的学生队伍而言,也很好奇其他队伍如何在高卖低买的过程中,获得好成绩。
此次题目大致分成五种服务类型,纯PWN的Bounty Program,出题者Angelboy则维持一贯题型虽然精简,但却具有深度的风格,整场只有美国队PPP找到该题的漏洞,并借此横扫全场得分。
HITCON FTP的题目,出题者HITCON CTF战队成员Ddaa表示,这一个档案传输服务使用TFTP通讯协定,他是先写好一个完整的档案传输服务后,才在系统中埋下各种可以利用的漏洞。由于DEF CON CTF经常会有需要大量进行逆向工程的题组,Dada说:“这是一个向DEF CON CTF致敬的题目。”这一题由美国队PPP取得First Blood(第一滴血),并在隐藏的六个漏洞中,顺利找出三个漏洞积极得分。
其他题目还包括Blackjack、Noobieweb以及Stupid Robot等题型。其中,获得冠军的Tea Deliverers成员刘保证则表示,该队可以夺冠的原因,可能是因为顺利写出Stupid Robot的攻击程式,并且混淆攻击流量,不易让其他队伍察觉,才有可能获得这么好的成绩。
HITCON CTF战队领队李伦铨表示,这几年举办的HITCON CTF决赛都获得参赛队伍一致好评,只要有入围前十名的队伍,都抢着要来台湾参加比赛。他说,外界或许很难想像,HITCON仅仅是一个虚拟团队,“要珍惜这个品牌,也许明年就没有了。”他说。
获得HITCON CTF决赛亚军的是俄罗斯队LC↯BC,这也是他们第三次拿到HITCON CTF亚军。
来自日本的TokyoWesterns首次在HITCON CTF决赛中,获得第三名的好成绩。
