【隨行小編報導】趨勢科技贊助HITCON 戰隊出征世界最大駭客競賽DEF CON CTF(下)

由於去年HITCON戰隊以黑馬之姿取得第二名的好成績，HITCON戰隊在今年DEF CON CTF決賽成為眾多強隊鎖定的攻擊對象，而來自韓國的強隊DEFKOR更是韓國政府頃全國之力，發起BoB(Best of Best) 資安菁英人才培訓計畫所栽培出的菁英隊伍。

雖然今年HITCON戰隊實力較去年成長相當多，不過世界各國強隊實力也快速增長，成員一直努力不懈奮戰到最後一刻，無論面對多緊急的賽況都能臨危不亂、發揮團隊精神持續專注爭取積分，成功擊敗來自中國、美國等11支強隊勇奪第四名！

DEF CON CTF介紹

相信大家都很想知道CTF為何這麼有魅力、這麼重要呢?

Capture The Flag (CTF)是資訊安全領域的駭客攻防競賽，演變至今不僅比拼的是駭客攻防的技術，甚至包含全方位的電腦科學技術，包括系統安全、演算法、密碼學以及程式設計功力，這類競賽能培訓高階資安人才，讓他們有一較高下的舞台，發展自今有兩種較常見的比賽模式Jeopardy 和 Attack and Defense。

DEF CON CTF是Attack and Defense形式，主辦單位會為所有參加的隊伍準備需要守護的伺服器，這台伺服器上會有網站系統、遊戲或其他特殊用途的服務。每個服務都有數個漏洞，漏洞可能只是簡單的資訊洩露或阻斷服務; 也可能是一個嚴重的漏洞讓客戶端可以在伺服器上執行任意指令。參賽的隊伍需要做的事情就是守護好自己的伺服器，打進對手的伺服器偷取Token來得分。通常這類駭客競賽都是長達兩三天的競賽，因此除了須具備技術實力外，還要拼體力，對於選手們是相當具挑戰性的考驗。

2015 DEF CON CTF攻防實況

本屆DEFCON CTF比賽時間長達51小時，從8/7上午11點打到8/9下午2點。上午11點到晚上8點開放各隊派出8名選手於場內比賽，這段時間可進行攻擊；而晚上8點到隔天上午11點間，各隊選手只能修補自身漏洞、分析他人攻擊流量。如在此段時間內找到敵隊的漏洞，即有機會於隔天開賽進行攻擊並取得積分。

看完了DEF CON CTF介紹，相信大家都知道這場競賽難度有多高、有多重要，而HITCON戰隊又將為台灣資安界帶來什麼樣的傳說呢?

DEF CON CTF 第一天賽事

8/7一大早，團隊成員依舊是一臉淡定的現身會場，在10點到11點進行設備架設後，11點終於正式開打了！

HITCON戰隊在第一天的賽事中反應相當迅速，雖然沒在第一時間找到漏洞，但修補漏洞的速度快，藉由快速分析對方流量，加以利用取得積分並與其他隊伍拉開差距。HITCON戰隊與韓國隊伍DEFKOR成為唯二兩支於第一天下午率先得分、維持分數正成長的隊伍，在第一天賽事結束時，以第二名之姿領先群雄。(CTF為攻防戰，在攻擊別人取得積分時，也可能被對手找到漏洞失去分數)

DEF CON CTF 第二天賽事

第一天晚上八點後，選手們一返回房間即進行戰術討論、漏洞分析與修補，不眠不休找尋其他服務的漏洞，於第二天開賽時進行攻擊，成功於第二天開賽30秒內取得First Blood，維持第二名領先優勢！

不過，據隊長橘子表示，他認為第二天開賽後，其他強隊也陸續找出漏洞展開攻擊，HITCON戰隊防備不及，因此下午開始失去積分，排名也下滑到第四名。

第二天攻擊時間結束後一直到隔天比賽前，HITCON戰隊非常積極尋找服務上的漏洞，但可惜無太多斬獲；此外，第三天的題目也比隔天多，隊長橘子認為團隊人數略為不足，無法將所有題目進行分析。他表示，以今年HITCON戰隊實力估算，如能增加三到五個攻擊手，在分析題目與進攻時將會更游刃有餘。

DEF CON CTF第三天賽事

第三天賽事的變化，除了大會出題數量比前兩天高出許多外，為增加比賽刺激度，規則也有三個調整：

一回合由5分鐘改為2.5分鐘，能挖掘到敵隊漏洞並展開攻擊的隊伍將會取得更多優勢。
第二天開始，現場不公布計分，僅公布排名；第三天甚至連名次也不公布，因此隊伍們也無法得知自己的積分，只能卯足全力進行攻擊。透過不公開的機制，避免前兩天名次落後的隊伍放棄比賽。
原本場內限制只能坐8名選手，第三天場內選手無人數限制，包括暫居第一的韓國隊伍DEFKOR與多數隊伍都加派更多選手進場比賽，目測該隊至少有14人參賽。第三天開賽也由一路領先的DEFKOR率先取得First Blood。

在第三天的三小時賽事中，由於HITCON戰隊沒有在前一晚找出其他服務的漏洞，多半時間以防守戰術應戰，並不間斷的運用前二天寫出的攻擊程式持續攻擊其他隊伍取得積分。雖然最後分別由韓國隊伍DEFKOR、美國強隊PPP與法國籍隊伍0daysober取得前三名，但HITCON戰隊依然以堅強實力獲得13560分，擊敗中國的blue-lotus、0ops等其餘11支強隊勇奪第四名，成員一直努力不懈奮戰到最後一刻，永不放棄的精神相當可敬啊！

HITCON領隊李倫銓對於今年賽事的觀察、分析如下：

1.韓國這次取得冠軍說是韓國政府BoB(Best of Best) 資安菁英人才培訓成果並不為過，韓國往往頃企業/政府之力培植產業，不是每個國家都可以如法炮製。台灣資安人才培育才剛起步，穩穩地走適合自己的步調或許比較好。

2.這次台灣 HITCON 戰隊其實實力遠遠超過去年，從這半年選手參加國際賽事的表現和 DEF CON CTF的初賽名次可得知，但對手也變得更為強大。面對世界級的競賽，我們能做的只有讓實力一直進步，沒有停頓的餘地。

3.第一天賽事結束，台灣戰隊能排名第二，靠的是分析攻擊流量和防禦技術降低失分，但是離第一差距高達8千分。CTF競賽的攻擊力會影響分數，跟現實的資安狀況一模一樣，越早挖出零時差漏洞造成的危害最大；隨著時間過去，越晚挖出漏洞的隊伍則會和發動同一種攻擊的所有隊伍均分分數，且最後一天每回合由5分鐘減半為2.5分鐘，更是讓攻擊力強的隊伍佔更大優勢。

4.韓國隊伍第一天率先打出First Blood，顯示他們挖掘漏洞與寫攻擊程式的速度常驚人，三天賽事下來只有台、韓拿到First Blood，他們至少拿了3個，而台灣只有1個。回想三月PWN2OWN韓國天才神童lokihardt通殺三大瀏覽器，有這個能力並不意外，一定有研發很好用的工具，這也是台灣之後該做的事情。(重要)

5.最值得關注的並不是這次的成績，而是美國國防部 DARPA 在DEF CON 舉辦 Cyber Grand Challenge 競賽，這是一種機器自動分析、修復漏洞，自動化攻擊的新型態競賽(我們戲稱這就是魔鬼終結者的天網Skynet)。 CTF主辦方(非CGC主辦方)說明年 CTF 將會有一隊機器，也就是到時候來自全世界的駭客隊伍將一起對抗來自 DARPA 的自動攻擊系統。美國已在集思廣益開發這種資安系統，台灣在資安環境的建設上還有許多努力的空間。

後記

在三天的賽事中，戰將們也一直展現非常優異的心理素質，也讓小編親眼見識了運動家精神。他們互相鼓勵、支持彼此，在體力不堪負荷甚至生病時，他們排班讓有需要的成員輪番補充體力，團隊成員每天都睡不到2、3小時只為了能找出更多的服務漏洞；即使賽況相當激烈，取得領先時他們毫不懈怠；在其他強隊大肆攻擊排名下滑時，他們也完全不放棄。更難能可貴的是，HITCON戰隊部分成員在如此緊張的賽事中，還能在空檔時開玩笑活絡團隊氣氛，更願意抽空與小編解說賽況，年紀輕輕卻展現出超高 EQ與樂於助人的精神，著實讓小編非常感動！

在等待成績揭曉期間，小編於現場訪問數名團隊成員賽後心得，他們的第一反應都是「好想睡覺！」，因為已經有多場國際賽事的參賽經驗，比較不會有太多緊張、期待等感覺；而少數第一次參加DEF CON CTF的成員則分享，一路在預賽中能打出好成績，成功征服最重要的CTF競賽，與世界各國的好手一起交流，是非常難得的機會，對於比賽結果他們其實不太在意，認為已盡了全力，從過程中的吸取的經驗對他們來說更為重要的！

會後的慶功宴中，小編只聽到他們已經展開未來的賽事準備討論，甚至有少數團隊成員兩天後又將出發挑戰其他賽事，有這麼樣一群熱血的年輕猛將，相信台灣的資安人才實力會越來越強大，DEF CON CTF我們明年見！

2015 DEF CON CTF決賽名次與積分：