Attack-defense на Кубке CTF: первый час сеть закрыта
Отбор Кубка идёт в формате jeopardy: задачи и флаги. На очных этапах 2.0 и 2.5 формат другой — attack-defense. Всем командам выдают одинаковые серверы с уязвимыми сервисами.
Как идёт игра (регламент этапов 2.0 и 2.5)
- Задания доступны с 10:00 до 18:00. Первый час сегменты сети закрыты — администрируете свой сервер и ищете уязвимости.
- Потом 7 часов сеть открыта: атакуете чужие сервисы и защищаете свои. На обед игра не останавливается.
- Очки — за сданные флаги и за стабильную работу своих сервисов, раунд за раундом.
| Состояние сервиса | Что значит |
|---|---|
| UP | доступен и ведёт себя так, как ждёт проверяющая система |
| CORRUPT | доступен, но не отдаёт один из прошлых флагов |
| MUMBLE | доступен, но ведёт себя не так, как нужно |
| DOWN | недоступен или не отвечает |
Школьный и СПО зачёты играют 4 декабря (этап 2.5), академический и смешанный — 5 декабря (этап 2.0).
Пример: заплатка, которая стоила очков
Пример условный. Команда нашла SQL-инъекцию и «закрыла» её, запретив кавычки во всех полях. Атаки прекратились, но сервис перестал принимать обычные запросы проверяющей системы — MUMBLE, и очки за работу сервиса не идут. Правильная заплатка — параметризованный запрос: уязвимость закрыта, поведение прежнее.
Важно. ❗️ Фильтровать трафик других команд регламент запрещает, как и атаковать инфраструктуру организаторов, и делиться уязвимостями с другими командами. Защищаться можно только исправлением своих сервисов. Ноутбуки, сетевые адаптеры и Ethernet-провода команда привозит сама.
Чек-лист
- ☐ Распределены роли: защита, атака, мониторинг сервисов
- ☐ Отработан первый час: бэкап, разбор сервисов, первые заплатки
- ☐ Есть скрипт автоматической сдачи флагов
- ☐ Заплатки проверяются на работоспособность сервиса
- ☐ Собраны ноутбуки, адаптеры, Ethernet-провода
Документ уже составлен
План подготовки на шесть недель, в нём отдельная неделя на учебную игру attack-defense и роли в команде.
Открыть «План подготовки команды к CTF» →
Основание: Положение о X Всероссийских соревнованиях «Кубок CTF России» (2026), разд. VI, пп. 1, 5; приложение 2 — регламент этапов 2.0 и 2.5, пп. 1, 3, 4, 8, 9, 12, 16. Канал не принадлежит организаторам; официальный сайт — ctfcup.ru.