由於去年 HITCON 戰隊以黑馬之姿取得第二名的好成績，HITCON 戰隊在今年 DEF CON CTF 決賽成為眾多強隊鎖定的攻擊對象，而來自韓國的強隊 DEFKOR 更是韓國政府頃全國之力，發起 BoB(Best of Best) 資安菁英人才培訓計畫所栽培出的菁英隊伍。
雖然今年 HITCON 戰隊實力較去年成長相當多，不過世界各國強隊實力也快速增長，成員一直努力不懈奮戰到最後一刻，無論面對多緊急的賽況都能臨危不亂、發揮團隊精神持續專注爭取積分，成功擊敗來自中國、美國等 11 支強隊勇奪第四名！
- DEF CON CTF介紹
相信大家都很想知道 CTF 為何這麼有魅力、這麼重要呢?
Capture The Flag (CTF) 是資訊安全領域的駭客攻防競賽，演變至今不僅比拼的是駭客攻防的技術，甚至包含全方位的電腦科學技術，包括系統安全、演算法、密碼學以及程式設計功力，這類競賽能培訓高階資安人才，讓他們有一較高下的舞台，發展自今有兩種較常見的比賽模式 Jeopardy 和 Attack and Defense。
DEF CON CTF 是 Attack and Defense 形式，主辦單位會為所有參加的隊伍準備需要守護的伺服器，這台伺服器上會有網站系統、遊戲或其他特殊用途的服務。每個服務都有數個漏洞，漏洞可能只是簡單的資訊洩露或阻斷服務 ; 也可能是一個嚴重的漏洞讓客戶端可以在伺服器上執行任意指令。參賽的隊伍需要做的事情就是守護好自己的伺服器，打進對手的伺服器偷取 Token 來得分。通常這類駭客競賽都是長達兩三天的競賽，因此除了須具備技術實力外，還要拼體力，對於選手們是相當具挑戰性的考驗。
本屆 DEFCON CTF 比賽時間長達 51 小時，從 8/7 上午 11 點打到 8/9 下午 2 點。上午 11 點到晚上 8 點開放各隊派出 8 名選手於場內比賽，這段時間可進行攻擊；而晚上 8 點到隔天上午 11 點間，各隊選手只能修補自身漏洞、分析他人攻擊流量。如在此段時間內找到敵隊的漏洞，即有機會於隔天開賽進行攻擊並取得積分。
看完了 DEF CON CTF 介紹，相信大家都知道這場競賽難度有多高、有多重要，而 HITCON 戰隊又將為台灣資安界帶來什麼樣的傳說呢?
- DEF CON CTF 第一天賽事
8/7 一大早，團隊成員依舊是一臉淡定的現身會場，在 10 點到 11 點進行設備架設後，11 點終於正式開打了！
HITCON 戰隊在第一天的賽事中反應相當迅速，雖然沒在第一時間找到漏洞，但修補漏洞的速度快，藉由快速分析對方流量，加以利用取得積分並與其他隊伍拉開差距。HITCON 戰隊與韓國隊伍 DEFKOR 成為唯二兩支於第一天下午率先得分、維持分數正成長的隊伍，在第一天賽事結束時，以第二名之姿領先群雄。(CTF 為攻防戰，在攻擊別人取得積分時，也可能被對手找到漏洞失去分數)
- DEF CON CTF 第二天賽事
第一天晚上八點後，選手們一返回房間即進行戰術討論、漏洞分析與修補，不眠不休找尋其他服務的漏洞，於第二天開賽時進行攻擊，成功於第二天開賽 30 秒內取得 First Blood，維持第二名領先優勢！
不過，據隊長橘子表示，他認為第二天開賽後，其他強隊也陸續找出漏洞展開攻擊，HITCON 戰隊防備不及，因此下午開始失去積分，排名也下滑到第四名。
第二天攻擊時間結束後一直到隔天比賽前，HITCON 戰隊非常積極尋找服務上的漏洞，但可惜無太多斬獲；此外，第三天的題目也比隔天多，隊長橘子認為團隊人數略為不足，無法將所有題目進行分析。他表示，以今年 HITCON 戰隊實力估算，如能增加三到五個攻擊手，在分析題目與進攻時將會更游刃有餘。
- DEF CON CTF第三天賽事
第三天賽事的變化，除了大會出題數量比前兩天高出許多外，為增加比賽刺激度，規則也有三個調整：
- 一回合由 5 分鐘改為 2.5 分鐘，能挖掘到敵隊漏洞並展開攻擊的隊伍將會取得更多優勢。
- 第二天開始，現場不公布計分，僅公布排名；第三天甚至連名次也不公布，因此隊伍們也無法得知自己的積分，只能卯足全力進行攻擊。透過不公開的機制，避免前兩天名次落後的隊伍放棄比賽。
- 原本場內限制只能坐 8 名選手，第三天場內選手無人數限制，包括暫居第一的韓國隊伍 DEFKOR 與多數隊伍都加派更多選手進場比賽，目測該隊至少有 14 人參賽。第三天開賽也由一路領先的 DEFKOR 率先取得 First Blood。
在第三天的三小時賽事中，由於 HITCON 戰隊沒有在前一晚找出其他服務的漏洞，多半時間以防守戰術應戰，並不間斷的運用前二天寫出的攻擊程式持續攻擊其他隊伍取得積分。雖然最後分別由韓國隊伍 DEFKOR、美國強隊 PPP 與法國籍隊伍 0daysober 取得前三名，但 HITCON 戰隊依然以堅強實力獲得 13560 分，擊敗中國的 blue-lotus、0ops 等其餘 11 支強隊勇奪第四名，成員一直努力不懈奮戰到最後一刻，永不放棄的精神相當可敬啊！
HITCON 領隊李倫銓對於今年賽事的觀察、分析如下：
1. 韓國這次取得冠軍說是韓國政府 BoB(Best of Best) 資安菁英人才培訓成果並不為過，韓國往往頃企業 / 政府之力培植產業，不是每個國家都可以如法炮製。台灣資安人才培育才剛起步，穩穩地走適合自己的步調或許比較好。
2. 這次台灣 HITCON 戰隊其實實力遠遠超過去年，從這半年選手參加國際賽事的表現和 DEF CON CTF 的初賽名次可得知，但對手也變得更為強大。面對世界級的競賽，我們能做的只有讓實力一直進步，沒有停頓的餘地。
3. 第一天賽事結束，台灣戰隊能排名第二，靠的是分析攻擊流量和防禦技術降低失分，但是離第一差距高達 8 千分。CTF 競賽的攻擊力會影響分數，跟現實的資安狀況一模一樣，越早挖出零時差漏洞造成的危害最大；隨著時間過去，越晚挖出漏洞的隊伍則會和發動同一種攻擊的所有隊伍均分分數，且最後一天每回合由 5 分鐘減半為 2.5 分鐘，更是讓攻擊力強的隊伍佔更大優勢。
4. 韓國隊伍第一天率先打出 First Blood，顯示他們挖掘漏洞與寫攻擊程式的速度常驚人，三天賽事下來只有台、韓拿到 First Blood，他們至少拿了 3 個，而台灣只有 1 個。回想三月 PWN2OWN 韓國天才神童 lokihardt 通殺三大瀏覽器，有這個能力並不意外，一定有研發很好用的工具，這也是台灣之後該做的事情。(重要)
5. 最值得關注的並不是這次的成績，而是美國國防部 DARPA 在 DEF CON 舉辦 Cyber Grand Challenge 競賽，這是一種機器自動分析、修復漏洞，自動化攻擊的新型態競賽 (我們戲稱這就是魔鬼終結者的天網 Skynet)。 CTF 主辦方 (非 CGC 主辦方) 說明年 CTF 將會有一隊機器，也就是到時候來自全世界的駭客隊伍將一起對抗來自 DARPA 的自動攻擊系統。美國已在集思廣益開發這種資安系統，台灣在資安環境的建設上還有許多努力的空間。
- 後記
在三天的賽事中，戰將們也一直展現非常優異的心理素質，也讓小編親眼見識了運動家精神。他們互相鼓勵、支持彼此，在體力不堪負荷甚至生病時，他們排班讓有需要的成員輪番補充體力，團隊成員每天都睡不到 2、3 小時只為了能找出更多的服務漏洞；即使賽況相當激烈，取得領先時他們毫不懈怠；在其他強隊大肆攻擊排名下滑時，他們也完全不放棄。更難能可貴的是，HITCON 戰隊部分成員在如此緊張的賽事中，還能在空檔時開玩笑活絡團隊氣氛，更願意抽空與小編解說賽況，年紀輕輕卻展現出超高 EQ 與樂於助人的精神，著實讓小編非常感動！
在等待成績揭曉期間，小編於現場訪問數名團隊成員賽後心得，他們的第一反應都是「好想睡覺！」，因為已經有多場國際賽事的參賽經驗，比較不會有太多緊張、期待等感覺；而少數第一次參加 DEF CON CTF 的成員則分享，一路在預賽中能打出好成績，成功征服最重要的 CTF 競賽，與世界各國的好手一起交流，是非常難得的機會，對於比賽結果他們其實不太在意，認為已盡了全力，從過程中的吸取的經驗對他們來說更為重要的！
會後的慶功宴中，小編只聽到他們已經展開未來的賽事準備討論，甚至有少數團隊成員兩天後又將出發挑戰其他賽事，有這麼樣一群熱血的年輕猛將，相信台灣的資安人才實力會越來越強大，DEF CON CTF 我們明年見！
2015 DEF CON CTF 決賽名次與積分：
（已獲趨勢科技授權；未經授權，不得轉載）
