0
| 本文作者： 李勤 | 2018-05-03 16:17 |
咳咳，先不說 200 萬的事情，留個懸念。
反正傲嬌如雷鋒網宅客頻道，真的有“大家都說沒有的”世界頂級黑客大會 DEF CON China 的“免費票”！！！
事情是這樣的——最近，百度安全的妹子找到我，希望能宣傳一波 DEF CON China。
我：給票嗎？
妹子：我爭取了下，但老板是這么回復我的。
我（不死心）：真的不給嗎？
妹子：真不給，全中國就沒有一張免費票。
哼！！！！！！
然后我從友媒處證實了這個消息，比如，《嘶吼放血大派送DEF CON China 門票免費拿！！！》，我激動地點進去，發現了一句話“我們自掏腰包為小伙伴們準備了四張門票，只要參與活動就有機會免費領取。”
蛤？抽獎？太考驗運氣了。
再比如，“淺黑”的小哥哥教了一個招：
如果是學生黨組團參加想省點錢，這里我分享一個能“黑”進黑客大會的小技巧：
兩個人買兩張票，進場，其中一個拿著兩張票出來，帶著第三個人進場。如此往復，兩張票就能讓整個宿舍的人都參加了。(被抓別說是我教的,嘻嘻)
這個主意看上去不錯，我跟百度安全事業部總經理馬杰探討了下可能性——
“不要想了，你可能最多能混進來半個小時，我們場上有保安時刻巡邏、查票。如果查到沒有票，你可能會被先請出去找回你的票……記住哦，可能不到半小時你就要出去了。
”
車到山前必有路。我們的宗旨不是“買票是不可能買票的，這輩子都不可能買票。”而是，大家來拼一把實力“搶票”，借著讓馬杰劇透 BCTF 的機會，宅客頻道獨家爭取到了比免費票更棒的“票”——通過宅客頻道，可以爭取最后的 6 個志愿者名額（不要看了，官網志愿者通道已經關閉了）。
當志愿者有什么好處呢？
1.說個不恰當的比喻，你們老要文迪女士出撩漢攻略，好歹人家先坐到了默多克身旁。
想和演講嘉賓、黑客大牛近距離接觸？當然是要和他一起工作。觀眾不好跟人家要簽名和合影，志愿者可以近水樓頭先得月，敞開了套磁（不要說我教的）。
2.DEF CON China 三天活動，相當于持有三天通票，暢通無阻啊宅友們！臺前幕后，暢享內部視角。
3.聽說百度內部員工也是要買票入場的，但是可以在一定程度上申請報銷，有個高 T 大牛說，我不，我就要當離黑客大大們更近的志愿者，于是，老老實實地報名，參加了筆試和面試（對，內部員工也沒有特權）。
以下是福利的“具體操作”（百度安全的妹子給的，解釋權歸他們）：
志愿者截止收集報名時間到 5 月 6 號，投遞郵箱：zhangxinyue02@baidu.com，一定要注明暗號雷鋒網“宅客頻道專屬通道”；
報名同學需要提供簡歷介紹，重點展示個人技術和語言能力；
百度會針對宅客頻道上報名的同學組織專場面試；
建議北京及周邊同學報名，不提供外地人員食宿。
關鍵點來了，什么樣的同學可以成為這次志愿者幸運鵝呢？
我向 DEF CON China 籌備組以及面試官打聽了一些消息：
英語好，英語不好怎么跟國外嘉賓暢談人生？所以，會有英語專八水平的小姐姐面試你。
了解網絡安全技術，要有多“了解”我不知道，反正人家說了，宅客頻道的讀者應該是懂技術的，白帽子小哥哥也很棒棒。（機智如你，一定要說經常看宅客頻道
）
性別為女并沒有優先權，自己廠里的也要面試。
不拒絕友商同學。
本文作者：雷鋒網宅客頻道主筆，李勤，qinqin0511
前兩天，我去采訪馬杰，準備來一波 5 月 DEF CON China上 BCTF的獨家劇透，結果，他提到一個“花絮”：我們準備在 IOT 智能設備眾測彩蛋環節堆出來200萬現金。
我：蛤？？？？？
運營中心劉女士強調：懸賞百萬這件事兒不是假的，我們要把現金帶過去。
我：。。。。
馬杰：說實話，你拿完漏洞，現場如果所有的審核全部通過后，現場拿走獎金，我相信中國絕對有這樣的高手。
聽說，就連現場吃瓜觀眾（巴特，我們的觀眾至少都是網安技術愛好者？？？）都能參與這一波“搶錢大戰”，于是，我決定仔細了解這波劇透。
簡單來說，就是百度安全舉辦的一場 CTF 比賽，而 CTF 全稱為 Capture The Flag（奪旗賽），參賽雙方在網絡空間互相攻擊和防守：挖掘漏洞并攻擊對手來得分，修補自身漏洞進行防御來避免丟分。
說白了，你能看到一場歷經兩天一夜的現場黑客大戰。
近幾年，國際、國內的CTF種類越來越多。舉辦 CTF 的組織方各有目的，有些有政府背景，比如，韓國的 Codegate CTF；有些是戰隊辦的，比如，PPP 的 PlaidCTF，這種比較常見；
有些是企業辦的，比如騰訊的 TCTF，360 有一個世界黑客CTF大師破解賽，阿里巴巴在2016 年還舉辦了AliCTF；
有些是安全會議牽頭辦的，比如著名的 DEF CON CTF，實際具體操辦的也是戰隊。
DEFCON CTF是目前還在辦的歷史最悠久的CTF，最早一屆DEFCON CTF是 1996 年辦的。
還有一類是不公開的 CTF，不會公開征集報名，開展預賽之類。比如，有些國內、國外企業會舉辦面向內部員工的 CTF。
美國國防部從 2014 年開始舉辦名為“CyberStakes”的 CTF 。美國國防部有一個網絡安全人才的培養計劃，目標是花 3 年時間在美國軍隊里培養 4000 名安全專家。而且標準很具體，要求會挖漏洞，會寫 Exploit，訓練的一個環節就是CyberStakes”。而且他們邀請了 David Brumley 教授來授課。這位教授是 2016 年 CGC 最后 7 支入圍隊伍之一 ForAllSecure 的創始人。
CGC 是 CTF 歷史上的轉折點，不再只是人和人打，而是和機器打。他們招募了一些隊伍設計了一套系統，和人類戰隊打 CTF。（詳情可見以前TK教主來雷鋒網宅客頻道開講過的公開課：《白帽黑客教主 TK 告訴你，黑客的游戲 CTF 究竟是什么》）
這次的 BCTF 就將在 Defcon China 期間舉行，采用線上預選賽、線下總決賽兩級賽制。
總決賽現場，數 10 支國內國際戰隊與四支 AI 機器人戰隊一同決戰，同時還有安全漏洞眾測百萬懸賞征集令，挑戰 IOT 智能設備眾測彩蛋。
上一次，CGC最后的戰勝隊還是人類隊伍。雖然機器隊伍沒有橫掃千軍，但也不是最后一名，還是有兩支人類隊伍輸給了機器。
這次，難道也要有這種激動人心的吃瓜場面？
馬杰告訴我，這次我們真的可以看到 AI 機器人戰隊和人來拼一場了。
不過，可能在真正比賽時，我們并不會看到機器人手持兇器砍向機器人or人類。
甚至，你在現場可能一臉懵逼：臥槽，說好的機器人呢？
以前，我參加過在武漢舉辦的一場機器人網絡安全大賽，當時，這場大賽實際是在RHG（robot hacking game）平臺上，基于標準Linux二進制的自動化漏洞挖掘和防御競賽。
我進了場，看到了五彩的燈光和類似自動售賣機的展示品，整體比較玄幻：
我搜尋了全場，試圖尋找機器人的身影。才發現“機器人”，哦不，準確來說，是 AI 程序都在參賽的黑客戰隊的電腦里。。。。
所以，也許，你看到是這樣的場景（網絡上找的網吧截圖，可以說很形象了）：
正經來說，這應該叫做“AI 程序漏洞攻防挑戰賽”。
馬杰說：“機器人戰略的說法有時候容易有一點迷惑，圈外人會想象成機器人來比賽，其實是有一定人工智能的程序來比賽。像這樣的機器戰隊，我喜歡叫AI戰隊，AI戰隊一定是未來的方向，但以它現在的水準，又不是一個強 AI 的東西。
我們把這些引進來，雖然不是首次，但大家也沒有什么特別成熟的方案，所以還是一個探索階段，特別是這次又跟人混在一起，和人相比，AI程序肯定有很多弱勢，就像最早的汽車一定跑不過馬車。”
為了設計一個規則可以讓他們在同一個場上有一定程度的比拼，讓人們看看 AI 程序的實力，這次“AI 程序漏洞攻防挑戰賽”側重考察各戰隊的 AI 程序在無人類干預情況下或人類在自動化工具輔助下針對 linux32 位程序的漏洞發現、挖掘、和利用能力。
公平起見，賽事積分將統一計入賽事總積分，純 AI 程序參賽的隊伍將單獨參評 “最佳AI 攻防團隊獎”，人類戰隊參賽將獲得積分，本項比賽積分占總積分比例為 20 %。
所謂“靶場”，就是還原了互聯網企業內網場景的一個平臺，為參賽選手提供了一次內網安全檢測仿真演練的機會。參賽者需要在獨立的靶場環境中，與隊友共同探索黑暗，不斷地搜集線索，繞開死胡同，逐步完善大腦中對這個區域的地形圖，只有最早走出靶場的團隊才能發現寶藏。
其實，就是仿真了一個小型企業內網的典型場景，讓參賽者嘗試攻擊，找出漏洞。
這次，BCTF 引進的靶場綜合滲透賽在考慮國內外戰隊的優劣勢情況下，不計分，但是計時，獲勝者可優先進入正式的CTF大賽，也就是說，它是一個新增的關卡賽。
那么，我能提前多久闖關CTF ，就看在這個關卡賽里表現如何了。
據說，靶場綜合滲透關卡賽計劃在 CTF 攻防賽正式開始前4小時開放，優先闖關的戰隊不僅能提前進入到CTF攻防賽，同時設置“靶場綜合滲透”單項獎，有錢的哦！
我再打聽了一把，這次計劃的靶場有可能是反恐類、偵查類場景，感覺CS愛好者可以擼一把了。
我拿到的官宣版本是：本項比賽側重考察各戰隊 CTF 攻堅能力，也是DEFCON 歷屆 CTF 的傳統賽題，其形式和難度與歷屆 DEFCON CTF 競賽相當，各戰隊對自己防御區域內的賽題進行漏洞挖掘和防御，同時對其他戰隊的防御賽題進行攻擊，獲取 flag 得分，被奪取 flag 的隊伍被扣分。
對于見慣了CTF的人說，這段等于沒說。所以，揭秘這個環節真的很不容易。。。。使出了我的看家套磁本領，然而。。。
我：聽說這場CTF現場決賽由線上決賽隊伍、國內外知名精英戰隊組成，各有多少支？都是哪些隊伍？精英戰隊和線上決賽的隊伍一起打嗎？
馬杰：暫時還不能說，正在邀請中。當然是一起打，不是表演賽。我們能邀請到的國內的最好水平的戰隊（其實也都能邀請到），如果有認為自己水平很好的，被我們不小心遺漏掉的，請聯系我。
我：賽題設計上，我聽說是** 和*****來出題，有哪些題型？（留言就不要問我是誰了，我不會告訴你們的
）
馬杰：咦？誰跟你說的？這個問題不能談，怕大家提前公關出題單位，但我們肯定會邀請國內外的強隊，真正參加過比賽的隊來出題。
我：好，不談具體戰隊的名字，我們具體會有幾支戰隊一起來負責出題？
馬杰：肯定要分散嘛，既要有公平性，也要防止泄密。
我：出題的隊伍是不是就確定不會參賽了呢？
馬杰：那當然
。
我：能說說出題類型的比例嗎？我可不可以認為，這次會讓不同的出題方出特定題型，然后組合起來。。。
第二次出場的運營中心劉女士：不好意思，出題這塊我們不討論。
（
我還怎么劇透！！！！）
說好的200萬獎金就在這里了。
在 BCTF 整個賽程中，會設置 IOT 智能設備眾測彩蛋，同時在總決賽現場放置若干智能設備，供戰隊隊員及會場技術發燒友現場破解。如測試期間發現設備漏洞并證明該漏洞風險的隊伍，經過評審確認，即可獲得相應彩蛋獎勵。
彩蛋=錢。。。（走過路過不要錯過，萬一把門票錢贏回來了呢？）
宅友們，一次湊齊首付款的時間到了：
這次 IOT 智能設備眾測分成軟、硬件兩部分。5月11日 到5月12日比賽期間，會開放網友眾測區域，也就說，軟件眾測部分可以提前搶位開測。。。。
現場的硬件測試的待測產品包括“小魚在家”智能設備、BOX、果加智能門鎖等，聽說還會有小度的產品，是不是音箱？這得在線揭曉。這些都將是最新的硬件產品，廠家已經做好了被“啪啪打臉”（歡迎找洞）的心理準備。
硬件數量有限，先到先得，普通觀眾均可報名參加，現場破解，破解成功現金帶回家。。。（這么一看 688 元的門票錢還挺值）
有多少獎金？百度 SRC 的工作人員加菲貓告訴我，“小魚在家”拿出了100萬人民幣，其他的加起來還有100多萬。
不過，和眾測廠商直接溝通的加菲貓強調，200多萬的獎金是否是純現金擺在臺上還是一個留待現場揭開的懸念。
“廠商是想直接把錢拉到臺上發，你想想，200多萬啊！！！我得找多少安保人員看著，搶錢怎么辦？不行，我得溝通下是不是用代金券代替，求不要給我挖坑。
”貓姐說。
最后，來個民意小調查吧。
你希望看到 200 多萬的現金擺在 BCTF 的臺上嗎？（單選）
A.想，震撼刺激holyhigh
B.想，我不搶
C.不想，咦，怎么會有這個選項
嘿，讀到這里還沒點右上角的XX？那就揭秘一個驚喜彩蛋吧。
據說，這次DEF CON China 的很多細節都是由其全球創始人 Jeff Moss 敲定的，小到此次會場地毯上的指示路貼的設布置，再到這次大會的主視覺設計。我們來看看“姐夫”的選擇——
設計小哥哥：姐夫，這次我這個加了魯班鎖的概念，還上了一整套。你覺得怎么樣？
設計小哥哥：你看哦，紅和黑，多喜慶，是不是棒棒噠？！（快表揚我
）
設計小哥哥
：那你想要怎樣？
設計小哥哥：那就又黑又綠吧。。。↓↓↓
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
