CTF – podsumowanie stycznia 2015

Wstęp

Ponieważ tematyka turniejów znanych jako Capture The Flag powoli zyskuje coraz większą popularność, na łamach portalu Sekurak będziemy starali się relacjonować, co aktualnie dzieje się w świecie tych rozgrywek. Raz w miesiącu postaramy się krótko podsumować wyniki rozegranych zawodów oraz co jakiś czas publikować tzw. write-up’y zadań.

Dodatkowo podajemy typowo statystyczne informacje, jak ilość drużyn biorących udział w opisywanym CTF-ie czy odnośniki do klasyfikacji punktowych.

Wszystkie informacje pochodzą bądź z oficjalnych stron organizatorów turniejów, bądź z serwisu CTFtime.org, prowadzącego ranking punktowy zawodów, drużyn i graczy oraz kalendarz rozgrywek i archiwum (od 2005 roku).

Zaczynamy od podsumowania pierwszego miesiąca bieżącego roku. W styczniu odbyły się cztery imprezy, z których punkty liczą się w klasyfikacji serwisu CTFtime.org

HackIM 2015

Pierwszym tegorocznym turniejem był HackIM 2015, rozgrywany jako impreza towarzysząca konferencji Nullcon 2015 w dniach 9-11 stycznia. Pierwsza wygrana w roku przypadła międzynarodowemu teamowi penthackon (d4nny oraz Full Metal Packet zajęły odpowiednio 2. i 3. miejsce).
Regularnie grający polski zespół Snatch The Root zakończył rozgrywkę na 11. pozycji, a tuż za nimi uplasował się Dragon Sector (12. miejsce).

W trakcie turnieju doszło do nieprzyjemnej sytuacji, gdy na godzinę przed zakończeniem część rozwiązań została upubliczniona i wiele drużyn korzystając z tego faktu “poprawiło” swoją pozycję w rankingu. Po przeanalizowaniu wszystkich okoliczności organizatorzy postanowili uznać jako oficjalny ranking ten sprzed ujawnienia wycieku. Pozostaje mieć nadzieję, że w kolejnych zawodach takie zajścia nie będą miały miejsca, bo nie wpływa to dobrze ani na opinię o organizatorach i samym CTF-ie, ale poddaje pod wątpliwość także uczciwość uczestniczących w grze zespołów.

Liczba zespołów: 377

Oficjalne wyniki HackIM 2015:
http://ctf.nullcon.net/scoreboard.php
Klasyfikacja punktowa CTFtime:
https://ctftime.org/event/186
opisy zadań i writeup’y z rozwiązaniami:
https://github.com/ctfs/write-ups-2015/tree/master/nullcon-hackim-2015

Insomni’hack teaser 2015

Niemalże w tym samym czasie (niestety, terminy niektórych rozgrywek nakładają się na siebie), w dniach 10-11 stycznia, odbył się Insomni’hack teaser 2015 on-line („zapowiedź” Insomni’hack 2015 CTF, który odbędzie się w Genewie w Szwajcarii w dniach 20-21 marca).

Poza punktami do klasyfikacji generalnej stawką były bilety wstępu na konferencję Insomni’hack dla pierwszych pięciu teamów, a dodatkowo miejsca na podium gwarantowały opłacenie hotelu dla ośmiu osób z każdej ze zwycięskich drużyn (pozycje 1-3). Stawka była dość wysoka i jak na aktualnych Mistrzów Świata przystało, polski Dragon Sector zajął pierwsze miejsce, tym samym gwarantując sobie pobyt w Genewie. Drugie i trzecie miejsce przypadło kolejno zespołom penthackon oraz niemieckiemu StratumAuhuur. Bilety za 4. i 5. pozycję powędrowały jeszcze do hiszpańskiego int3pids oraz najlepszej amerykańskiej drużyny (związanej z Carnegie Mellon University) – Plaid Parliament of Pwning (PPP).

Liczba zespołów: 373

Oficjalne wyniki Insomni’hack 2015 teaser:
http://insomnihack.ch/2015/01/13/ctf-teaser-teaser-is-closed/
Klasyfikacja punktowa CTFtime:
https://ctftime.org/event/173
Opisy zadań i writeup’y z rozwiązaniami:
https://github.com/ctfs/write-ups-2015/tree/master/insomni-hack-ctf-teaser-2015

Ghost In The Shellcode 2015

Tydzień później (16-18 stycznia) rozegrany został „klasyk”, odbywający się od 2012 roku, jeden z turniejów z najwyższym współczynnikiem punktowym w klasyfikacji generalnej (tzw. ratingiem) – Ghost in the Shellcode 2015. Sama formuła służąca do obliczania pozycji danego teamu jest dość zawiła, a wspomniany współczynnik jest dość istotnym jej składnikiem. Wzór na obliczanie dorobku punktowego znajduje się na stronie https://ctftime.org/rating-formula/.

Tym razem podium przypadło niemal w całości drużynom ze Stanów Zjednoczonych – pierwsze miejsce zajął Plaid Parliament of Pwning (jeden z najbardziej utytułowanych zespołów w historii CTFTime.org – dwukrotnie zajmowali pierwsze miejsca w klasyfikacji generalnej, w 2011 i 2013 roku, również dwukrotnie zostawali wicemistrzami – w 2012 i 2014). Bardzo interesujący reportaż z członkami PPP przygotowała telewizja CNBC, która w 2013 roku towarzyszyła teamowi w trakcie finałów DefCon 2013 CTF w Las Vegas – http://www.cnbc.com/id/101179977). Druga pozycja przypadła również amerykańskiej drużynie Samurai, a podium zamknął koreański GoN, najlepszy team z Korei Południowej, nieprzerwanie na czele klasyfikacji wśród zespołów z Płw. Koreańskiego od 2011 roku.

Dragon Sector uplasował się na 10. pozycji, natomiast Snatch The Root zakończył grę na 35. miejscu. Punkty zdobyte w GITS 2015 ze względu na rangę turnieju pozwoliły obu naszym teamom utrzymać się dość wysoko w klasyfikacji generalnej.

Liczba zespołów: 321

Oficjalne wyniki GITS 2015 i klasyfikacja punktowa CTFtime:
https://ctftime.org/event/165
Opisy zadań i writeup’y z rozwiązaniami:
https://github.com/ctfs/write-ups-2015/tree/master/ghost-in-the-shellcode-2015

WCTF th3jackers

Ostatnim turniejem w styczniu był szybki, 12-godzinny WCTF th3jackers. Jak się okazało, był również turniejem zdominowanym przez Polaków! Najwyższe miejsce na podium, po raz pierwszy w tym roku zajął Snatch The Root (życzymy zespołowi jak najwięcej takich wyników nie tylko w tym sezonie, ale i w kolejnych :) ), drugie miejsce to ukraiński dcua, natomiast najniższy stopień na podium padł łupem Dragon Sector, który tym samym miejscem w klasyfikacji generalnej zakończył pierwszy miesiąc rozgrywek, tuż przed depczącym im po piętach zespołem penthackon (na dzień dzisiejszy różnica dzieląca oba zespoły to tylko 0.537 punktu).

Liczba zespołów: 64

Oficjalne wyniki WCTF th3jackers:
http://ctf.th3jackers.com/scoreboard.php
Wyniki i klasyfikacja punktowa CTFtime:
https://ctftime.org/event/190
Opisy zadań i writeup’y:
https://github.com/ctfs/write-ups-2015/tree/master/th3jackers-ctf-2015

Polskie akcenty

Poza dwoma czołowymi zespołami, w tegorocznych rozgrywkach biorą udział również inne teamy z kraju nad Wisłą. Trzecie miejsce w klasyfikacji polskich drużyn (67. miejsce w „generalce”) zajmują psuje (59. pozycja w GITS 2015 oraz 52. w WCTF th3jackers). Czwarta pozycja to DebugTeam (86. w klasyfikacji generalnej, 76. w GITS 2015). Kolejne miejsca to startujący już od czterech lat pumpernikiel (337. pozycja w klasyfikacji po punktach zdobytych w Insomni’hack teaser oraz HackIM), bl4de – 338. pozycja (dwa rozegrane do tej pory turnieje – GITS 2015 oraz WCTF th3jackers), Hawks – 375. pozycja (Insomni’hack teaser i HackIM) i Church of 0x41414141 na 411. miejscu (GITS oraz Insomni’hack teaser).

Szkoda, że turnieje CTF są tak mało popularne w naszym kraju. Mam nadzieję, że spopularyzowanie tematyki CTF-ów m.in. na Sekuraku przyczyni się do większego zainteresowania ze strony wszystkich osób, którym tematyka IT security jest bliska, choćby z racji zainteresowań.

A że warto brać udział i zajmować wysokie lokaty, a tematyka turniejów CTF powoli zaczyna być dostrzegana w mediach i wychodzi poza wąskie podwórko bezpośrednio nią zainteresowanych, wskazuje choćby niedawna wizyta członków Dragon Sector w Biurze Bezpieczeństwa Narodowego RP, z której relację możecie przeczytać pod adresem http://www.bbn.gov.pl/pl/wydarzenia/6376,Najlepsza-druzyna-na-swiecie-w-BBN.html

Choć to jeszcze nie jest powszechne, także pracodawcy zauważają potencjał w graczach (udział w tego rodzaju zawodach pojawia się np. jako dodatkowy atut w ofertach pracy dla specjalistów IT security).

Dodatkowo odpowiedni wpis w CV wraz z wysoką pozycją w rankingu CTFtime może stanowić lepszą rekomendację, niż jakiekolwiek suche informacje o odbytych szkoleniach technicznych.

Polecam również niedawny wywiad „Zdobyć flagę, i to nie jedną…„, którego udzielili zawodnicy Dragon Sector dla serwisu Dziennik Internautów.

Klasyfikacja generalna CTFtime (styczeń 2015)

Ogółem sklasyfikowanych zespołów: 911
Ogółem zespoły z dorobkiem punktowym: 670

1. Plaid Parliament of Pwning (USA)
2. Samurai (USA)
3. Dragon Sector (PL)
4. penthackon
5. GoN (KR)
6. Tracer Tea
7. Gallopsled (DK)
8. 0ops (CN)
9. More Smoked Leet Chicken (RU)
10. StratumAuhuur (DE)
…
22. Snatch The Root (PL)
…
67. psuje (PL)

–bl4de