В мае прошлого года на Positive Hack Days VII впервые прошел конкурс HackBattle. Наш стенд привлек большое внимание аудитории. Тогда в соревновании приняло участие почти 100 специалистов по информационной безопасности, а посмотреть финал в большом зале пришло так много зрителей, что невозможно было протолкнуться к сцене (подробнее — в прошлогоднем отчете). Воодушевленные таким интересом со стороны профессионального сообщества, мы решили провести HackBattle 2.0 на PHDays 8. Рассказываем, как прошло соревнование в этом году, а также публикуем задачи из конкурса, чтобы вы попробовали их решить.

Формат и правила конкурса

Соревнования проходили на протяжении всего PHDays. В первый день были отборочные испытания: мы выбирали двух самых сильных, храбрых, отважных кандидатов, которые решили больше всех заданий за наименьшее время. Во второй день на главной сцене форума состоялся финал: хакеры должны были атаковать одну и ту же цель. Победа доставалась тому, кто первым сумеет пробиться и повысить привилегии на целевой системе. Финал в режиме реального времени комментировали эксперты по информационной безопасности, а самые яркие моменты демонстрировались на большом экране.

Отбор

Как и год назад, на отборочном этапе мы предложили участникам решить на скорость задачи формата CTF. На решение 10 задач отводилось 35 минут. За каждую задачу начислялось определенное количество баллов в зависимости от сложности. Участвовать в отборе можно было только один раз.

В этот раз мы учли пожелания участников первого HackBattle и предоставили возможность работать не только на заранее подготовленных рабочих станциях, но и на своих ноутбуках.



Отдельный стол с блэкджеком и патч-кордами для тех, кто пришел с ноутбуками



Участники отборочного испытания

Определить людей, которые выйдут в финал и смогут под прессингом зрительского внимания достойно справиться с решением задачи, было непросто. До конца отборочных соревнований было абсолютно неясно, кто станет финалистом, — борьба была очень острой. Разница между лидерами скорборда была всего в 50–100 баллов, а в случаях, когда счет был равный, — всего в несколько секунд! И только в шесть часов вечера, закрыв отборочные соревнования, мы смогли определить финалистов: ими стали Владислав «W3bPwn3r» Лазарев и Артур «inviz@penis» Хашаев.



Турнирная таблица



Задачи, решенные финалистом W3bPwn3r


Задачи, решенные финалистом inviz@penis

Финал

Шестнадцатого мая ровно в 14:00 на главной сцене в конгресс-зале состоялся финал HackBattle 2.0. Как и год назад, все происходящее на мониторах хакеров стримилось на большой экран и комментировалось специалистами Positive Technologies. Для удобства зрителей монитор каждого из финалистов отдельно дублировался на экраны телевизоров, стоящих по бокам главной сцены.



Битва сильнейших

В качестве финального испытания мы предложили участникам атаковать одну и ту же цель: в этом году жертвой хакеров стал сервер, на котором проводилось ICO школьной столовой.



Сайт ICO школьной столовой

По легенде хакеры должны до начала presale-этапа ICO успеть подменить кошелек, размещенный на главной странице cайта, любым другим (скачать задачу можно в конце статьи). Отметим, что задача состояла из нескольких этапов и могла быть решена различными способами.

За последние полгода эксперты Positive Technologies провели множество пентестов ICO и в каждом проекте обнаружили уязвимости различной степени опасности. Информация о компрометации ICO все чаще появляется в СМИ. Очевидно, что в данной сфере вопрос информационной безопасности пока явно не приоритетный. Мы решили посвятить финал этой теме, чтобы привлечь внимание к безопасности криптовалютных сервисов.

Поединок продолжался 20 минут (полную версию финала, как и другие видеоматериалы конференции, можно посмотреть на сайте PHDays — phdays.com/ru/broadcast/). Победу в напряженной схватке одержал Владислав «W3bPwn3r» Лазарев, который первым справился с заданием.



Победитель — Владислав Лазарев

После конкурса мы побеседовали финалистами и узнали об их впечатлениях.

«Прежде всего хочу отметить высокий уровень организации инфраструктуры и качество самих заданий. Приятно удивило такое внимание большого количества людей, хотя и выполнять, казалось бы, привычные действия, когда толпа смотрит в твой монитор, оказалось заметно сложнее. Было бы веселее, если бы отборочный этап проходил в таком же формате, как и финал», — рассказал Владислав Лазарев.

«HackBattle — это определенно то самое событие, которое позволило встряхнуться во время конференции, — заметил Артур Хашаев. — Из неожиданностей: в финальном туре интернет заработал не сразу, пришлось потратить некоторое время на импорт сертификата из прокси. При этом сайт ICO школьной столовой был сделан на славу. Хочу особо отметить работу комментаторов, которые сделали этот баттл по-настоящему динамичным и не дали зрителям заскучать».

Технические нюансы организации стрима, работы скорборда и синхронизации его с рабочими станциями, предоставляемыми организаторами, изложены в блоге Анатолия Иванова.


Авторы: Дмитрий Галеча, Анатолий Иванов, Александр Морозов, Positive Technologies.