第七届XCTF国际联赛总决赛｜r3kapig战队专访

/ r3kapig /

    r3kapig由曾经的Eur3kA和flappypig战队融合而来，是一支拥有多年历史的老牌战队。战队在建队第一年就成功打入DEFCON CTF决赛，并保持决赛入围至今。

    较传统的KOH赛制而言，本次比赛的KOH赛制“轮次”之间的比拼更明显，同时更加聚焦于漏洞本身。每一轮次最先攻克题目现有某个漏洞的队伍可获得修补该漏洞的机会，避免了传统AD那种“攻克”一次就躺平拿分的情况。也由于这种模式的特殊性，在这次KOH落地的过程中，我们遇到的最大的困难就是在题目的设计和命制上。

    在这个过程中，我们通过命制Demo赛题，并且预演了整个流程，站在参赛选手的角度上来调整赛制细节和题目的适配度。

    在赛题命制上的主要难点和考虑包括：

    首先，要在一个程序中预设多处漏洞，同时要保证每个漏洞都有独立的利用路径，最好是这些利用路径都不相互重叠。这样一方面能更好地考察选手的漏洞利用能力，另一方面能避免选手在修补阶段“取巧”地修补某个位置，而切断多处漏洞的利用路径，破坏后续漏洞的赛点争夺。

    其次，要尽量保证每个漏洞点之间存在利用难度的梯度变化，这样可以尽量在同一个轮次内，让大家关注在同一难度的漏洞争夺上，使比拼落在同一个纬度内；同时也能保证后续被攻克的漏洞难度更高，使后续轮次中漏洞分值增加合理化。

    最后，要设计更恰当且合适的checker，只有修补了漏洞点“本身”的patch才能通过检查，从而尽量控制选手聚焦于修补某个漏洞点的位置，而不是通过“取巧”的方式切断某个漏洞的利用路径。

    有了前面几点的保证，我们才能不限制队伍在一次修补过程中修补了多处漏洞位置的情况，因为这说明当前修补战队确实发现并修补了每个独立漏洞的准确位置，是其能力的体现；虽然后续轮次的其他队伍攻克新漏洞的难度会增加，但相对应地攻克后的得分也更多，依旧能保证整体赛制的合理性。

    Dota x CTF是我在至少3年前就已经在构思的竞赛形式。当时主要的思路是：现在CTF的可视化和比赛进程统一偏弱，在实际比赛中关注可视化的可能只有观战者而非参赛选手，我希望采取一种方式让可视化的意义变得更强一些，参赛选手也需要关注可视化的结果——游戏似乎可以做到这一点。

    Dota x CTF的设计初衷是希望让CTF的分数在游戏中作为游戏的资源，本身CTF的分数并非直接意味着胜负，还需要在游戏中进行角逐。这样一方面会因为游戏的可视化和比赛进程有非常强的相关性，所以让可视化更加有意义；另一方面也可以增加趣味性，让CTF不再只是围绕分数的比赛。

    其实CTF一开始也只是hacking界的游戏，但是在大家逐渐参与的过程中，游戏变得更具有竞争性，大家的胜负观念变得越来越重，hacking的氛围在逐渐地丧失。况且，本身hacking也不只是安全，利用“计算机技术达到目的”才是我认为hacking的关键。

    这次Dota x CTF我们也受到过这样的质疑，认为这种玩游戏的机制好像和安全没有关系，不是攻防，而我更希望让hacking回归hacking，回归"happy hacking"，"have fun"才是CTF的关键。在"have fun"的同时我们学到了技术、运用了技术，这是我心目中的hacking精神。这次的Dota x CTF算是贯彻了我的观点吧，也很高兴大家也确实有在"have fun"。

    具体落地的过程其实还是挺坎坷的，由于疫情的影响，我们从2022年就开始准备的游戏一直到现在才能真正落实。采用Dota的原因还是因为Dota拥有比较好的扩展性，具有现成的模型等等，拯救了我们这几个纯粹的程序员（懂不了一点美术）。非常感谢liangjs和kdxcxs的支持，我其实只能说是设计者，他们完成了很多落地工作，改了很多我随手写出的bug......

    我个人对本次大赛的赛制尝试是比较满意的，在现在CTF的大环境下，大家好像对赛制本身是有所忽略的，赛制不仅仅只能是解题。我印象很深的是在过去某届DEFCON CTF攻防赛中，主办方编写了全套环境clemency，采用了9bit作为一个byte的神奇基础架构，然后在此之上编写了题目让大家去攻防。我当时对这样形式的比赛非常感兴趣，可惜后来的DEFCON CTF或者其他CTF中再也没能见识到这样的形式。

    在我看来，赛制不仅仅是形式，赛制本身也是让大家保持对CTF的激情的重要一环。这次大赛本身的赛制创新是比较成功的，相信也唤起了大家对CTF更加浓郁的兴趣，我觉得这才回归了CTF的宗旨：让大家在玩的过程中提升技术，而不是像考试一样去参与，CTF一直都应该是快乐的，不是无聊的；同时这次的赛制创新也给未来提供了更多的可能性，让大家看到我们可以去创新赛制，让CTF更加有趣。希望以后有更多的比赛除了思考题目，也可以去思考如何让赛制变得有趣，让CTF "game"一点！

    印象中我最开始接触CTF的时候，真正有质量的CTF（非入门题级别的）还是从XCTF联赛开始的。

  XCTF对我来说有非凡的意义，最重要的是，XCTF补全了现在CTF难度和创新之间的空间。对于CTF来说，难度和创新的平衡是赛事质量的关键因素，让大家广泛参与到CTF中，作为出题人也作为参赛者，这样的技术交流让CTF题目在创新上一直有所提升，而本身又不被难度所限制，不必需提供太高的难度（说的就是你，DEFCON）。XCTF为CTF玩家提供了很好的平台，让大家真正交流起来了，也很支持我们这些玩家的一些创新思维（Dota x CTF），在这个点上我甚至觉得比现在的DEFCON更有意义。

    目前r3kapig主要参赛方向还是集中在国际赛场。我们建立战队的目标一直不是追名逐利，更多是为了让大家能够有平台可以提升技术，因此我们广泛吸纳了各个高校的同学，而在国内赛场上难免存在一些利益冲突，因此我们选择将重心放到国际赛场上，不求名次，只求技术交流与提升，让大家能够专注于技术本身。战队目前在国际赛场上参赛还是相当活跃的，有非常多的参赛机会，也欢迎大家加入我们，一起交流进步。

    未来的话，我觉得还是希望保持r3kapig的初衷。r3kapig和许多战队不同，也有自己的难点，我们不希望用成绩去定义 r3kapig，不想让大家看到r3kapig只能想到r3kapig的成绩，而是希望大家想到在r3kapig能有一些技术精湛、各有千秋、愿意交流的小伙伴，大家共同参与活动，然后在这样的过程中技术得到了锻炼，也收获了快乐，这样对我们来说r3kapig就是值得的。

    现在的时代技术发展很快，我记得我刚参与CTF的时候，题目的难度甚至可以只是逆向一个C编写的异或加密。后来者一定是有优势的，他们拥有前人积累的经验，相比曾经，我们又在一个开源的时代，大家对技术秉持开放交流的态度。然而在这样的时代，我又能感觉到一种浮躁，大家发现超过前人变得简单了，逐渐膨胀起来，开始忽略一些基础的东西，甚至连一些基础的品质都在丧失，连安全人的底线都不在乎。在我参加CTF的这些年里，我见到了太多的作弊，甚至我自己也处理过一些队内的作弊事件，这都能看出来大家的浮躁心态。