黑客攻防赛：国内外兴趣点不同

文/万涛

“我和圈子内的朋友也聊过如何举办一场国内的CTF竞赛，后来发现要在国内举办一场这样的比赛是何其艰难，CTF这种类别的竞赛对竞赛者的综合水平要求非常高，这可不是平时玩点脚本、注入、跨站就能迅速适应的。”

万涛黑客文化倡导者、中国计算机取证专家委员会成员

记得2006年准备去参加台湾的骇客年会hitcon，才第一次注意到Wargame这样的黑客竞赛方式，联想到电玩比赛的酷范，当时就想什么时候中国黑客也出现在这样的国际竞技舞台上，此后我一直很关注国外黑客竞赛的情况。

黑客竞赛一直是一个很特别的存在，尤其是在国内与国外，竞赛题型的差异非常大。国内的竞赛主要是从高校开始的，毕竟我国现在60所左右大学开设有信息安全本科专业。但国内的题目通常出得比较偏向于基础题和实践题，出得相对好点的竞赛题会有模拟搭建出的渗透环境。而国外的题目有两大类型，一类是 Wargame，类似于通关挑战，比较出名的有 SmashTheStack.org，2011年IDF实验室在负责支持江西全省高校安全竞赛的时候，也曾尝试过，有所突破把这类题加入，但事前调研结果发现基本上可能只有少数学生能玩而放弃。

一类是CTF，如美国著名的Defcon CTF（Capture The Flag 夺旗赛），有线上资格赛与线下决赛两个环节。线上资格赛以做题拿到不同的分值，积分前x名进入线下决赛。决赛所有的队伍被关在小黑屋里，每个队伍分配一台 VM，上面跑着各种各样的 App或者 Web，VM 里也随机散布着各个 Flag 文件（得分文件）。比赛开始后，所有队伍相互进攻以及防御，哪个队拿到的Flag 文件多，哪个队获胜。……