再现极客狂欢,第六届Real World CTF 全纪录 - 嘶吼 RoarTalk – 网络安全行业综合服务平台,4hou.com

再现极客狂欢,第六届Real World CTF 全纪录

企业资讯 活动专区 2024-02-02 21:25:20
80415
收藏

导语:第六届Real World CTF正式开赛

《精彩回顾|Real World CTF 2024,我说你别太i了!》197.png

伴随着某选手的灵魂发问

1月26日19:00 (GMT+8)

第六届Real World CTF正式开赛

 

令数千名CTFer 抓狂期待的技术party开始了

据说 本次出题组&直播组i人云集

一起一探究竟吧

 《精彩回顾|Real World CTF 2024,我说你别太i了!》501.png 

2200余支顶尖国际战队

48小时激烈角逐

千余次签到题解出

1352次有效flag提交

16次一血

积分榜首得主数次反转

 

比赛过程中,前10战队比分分外胶着,一道题目的积分差距即有可能造成战局大反转,战况分外激烈。

 640.gif 

最终,Kalmarunionen战队历经48小时奋战角逐勇登榜首,凭借T-Box题目唯一解脱颖而出,从上一届的第26名直冲本届积分榜首,终以2293的总积分优势力夺RWCTF 2024国际赛冠军;由PPP,The Duck,Maple Bacon三支老牌战队联合组成的MMM战队首战告捷,以小比分差距荣登亚军;Friendly Maltese Citizens战队紧随其后,荣获季军。

 《精彩回顾|Real World CTF 2024,我说你别太i了!》1208.png 

隔壁体验赛同样上演了一场惊心动魄的24h技术交锋。来自企业、高校和长亭合作伙伴的328支战队参赛竞技、各显神通,将15道题目全部攻破。

 640 (1).gif 

最后,U8f2_team战队、天枢Dubhe战队和枇杷135元一箱战队,分别荣获企业赛道、高校赛道和伙伴赛道第一名桂冠。

更令人惊喜的是,来自北京邮电大学的天枢Dubhe战队和来自南京邮电大学的X1cT34m战队均仅差一题便完成了AK(破解全部题目),尽显后浪实力。

《精彩回顾|Real World CTF 2024,我说你别太i了!》1817.png  

历届RWCTF总有那么几道题目有本事让人怀疑人生,今年当然也不例外。国际赛总共21道题目,直到比赛结束仍有5道题目呈现0解状态,未有人窥得门径,4道题目仅有1解。

由于每届题目都被吐槽太难,今年,主办方特地征集了2个大家讨论热度非常高的题目,比赛一结束,立马邀请出题人现场给答案——i人为了让选手满意也是使出了浑身解数。

都说高手之间的碰撞是一个相互成就的过程,连续6年的较量间,不仅选手从题目中汲取了经验思路,出题组也从选手处收获颇丰。以今年备受热议的ChatterBox题目为例。这道题目主要考验选手的代码审计、沙箱逃逸等技巧,出题人给出的思路是从一个SQL注入开始,报错注入获取管理员密码,进入后台后使用特殊函数绕过黑名单过滤,最后使用模板渲染绕过沙箱完成RCE。

然而,选手们却给出了多种奇妙解题姿势:

01选手解题姿势一

通过深入分析 getResource 的代码直接请求一个IP,促使题目直接向目标服务器发起 FTP 连接,甚至可以不用文件上传。

02选手解题姿势二

发现服务器上传文件会保存临时文件在 /proc/self/fd/ 中,巧妙地通过 ? 或者 # 对后缀限制进行绕过,从而达到文件包含。

03选手解题姿势三

发现直接修改 postgresql 的配置文件然后通过重新加载配置文件进行 RCE,甚至无需用到出题方提供的渲染接口便解开了题目。

“ChatterBox 这道题确实有很多解法和预期解法不太一样,甚至有一些是我没有想到的方法,但是我觉得也挺好的!很高兴看到参赛选手能在题目中获得一些收获,哪怕很小的收获。说不定在我们以后的工作中,就能够用上呢!”

——ChatterBox出题人

 《精彩回顾|Real World CTF 2024,我说你别太i了!》2537.png

尊嘟假嘟,有小道消息称,本届RWCTF出题组被一大批i人占领了,就连围炉夜话也汇集了一批CTF届的大神级i人。康康今年围炉夜话的嘉宾都有谁:RWCTF创办人杨坤、最强大脑脑王郑林楷、Nu1L战队创始人付浩、Redbud战队Eki以及RWCTF出题组救火队长Explorer——当真大咖云集。

 《精彩回顾|Real World CTF 2024,我说你别太i了!》2884.png

《精彩回顾|Real World CTF 2024,我说你别太i了!》3081.png

从i人的视角看,独自打一场CTF、享受挑战、追求突破,是一种热爱、是一种技术磨砺和经验加成。

对于Nu1L战队创始人付浩而言,打CTF的经历,为他目前的团队管理工作带来了借鉴性的启发。“确定大家能力都ok的情况下,尽量和大家做朋友”,他分享道。

最强大脑“脑王”郑林楷则在直播中坦言,对他来说,较之最强大脑的挑战,打CTF还会更难一些。因为CTF需要大量的经验和知识储备,而这些东西需要长时间的积累,也很看天赋。他很享受打CTF的感觉,那种突破挑战的快乐是令人非常享受的过程。

当然,这其中也有令人emo的部分,比如misc题目。这类题目不仅考验技术实力,还需要足够的发散性思维、需要抓住出题人的脑洞。对于出题组救火队长Explorer来说,他实在与这类题目无缘,怎么也对不上出题人的脑洞。也不知是不是由于这个原因,今年的RWCTF题目均为NO GUESSING,无需强大脑洞,亦没有出现黑盒。

《精彩回顾|Real World CTF 2024,我说你别太i了!》3487.png

无论快乐还是emo,不变的是对CTF的那份热爱。直播中,RWCTF创办人杨坤博士将“黑客精神”描述为一种对世间条条框框、规则漏洞的质疑、修缮,一种对困难的挑战与突破。RWCTF在做的,就是要让全球的CTF爱好者拥有一个传递热爱、追求和分享技术经验&技巧&快乐的年度技术party,同时,也让自己回归到一种技术的纯真中。

对此,Eki引用段海新老师的话:“‘黑客精神’就是通过发现这个世界的不美好,让世界变得更美好。”

《精彩回顾|Real World CTF 2024,我说你别太i了!》3701.png

值得一提的是,本届直播在围炉夜话和赛题精讲的同时,还邀请了多位CTF老赛棍、出题人科普CTF冷知识、翻牌互动抽奖,奉上一波RWCTF的往届精彩爆料。

《精彩回顾|Real World CTF 2024,我说你别太i了!》3994.png

可乐上惊现“0day”可还行

翻库房翻出了当年RWCTF第二届线下赛签道题同款定制可乐(老古董满满的回忆),主办方给选手发放的可乐上居然印有flag,也是诚意满满了。

《精彩回顾|Real World CTF 2024,我说你别太i了!》4277.png

解题成功反成“翻座现场”?

故事发生在首届RWCTF现场,这位来自LC↯BC战队的选手来挑战一道名为KitKot的题目。此前他已经上台挑战2次未果了,但这一次的利用顺利成功了。兴奋之余一个后仰,成功坐翻小凳子。

《精彩回顾|Real World CTF 2024,我说你别太i了!》4581.png

大哥电脑自带天线

RWCTF出题人曾编写一整套具有漏洞的智能门锁系统,并提供了433兆赫兹的通信硬件,而选手的目标是上台来通过无接触的方式通过漏洞修改门锁的密码(无线操作场景)。现场有一位大哥的电脑魔改的非常有趣,甚至自带天线,他直接用自己的设备挑战了这道题目。

《精彩回顾|Real World CTF 2024,我说你别太i了!》4907.png

《精彩回顾|Real World CTF 2024,我说你别太i了!》5109.png

历经本届姿势各异的题目挑战,选手们纷纷放出评分,在评分榜“保持队形”, 投出了清一色的100分反馈。这一波热i没有一直挂在嘴边,但行动见证了他们对RWCTF最真挚的认可。

《精彩回顾|Real World CTF 2024,我说你别太i了!》5394.png

《精彩回顾|Real World CTF 2024,我说你别太i了!》5620.png

当真,i了,爱了。

《精彩回顾|Real World CTF 2024,我说你别太i了!》5833.png

生命不息,热爱不止

以真实为名、以极客为名

让我们相约

下一届Real World CTF

再起征程

如若转载,请注明原文地址
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论

 
本站4hou.com,所使用的字体和图片文字等素材部分来源于原作者或互联网共享平台。如使用任何字体和图片文字有侵犯其版权所有方的,嘶吼将配合联系原作者核实,并做出删除处理。
©2022 北京嘶吼文化传媒有限公司 京ICP备16063439号-1 本站由 提供云计算服务