Caplag | Платформа CTF

[System Check]: Готовность 90%... Через 48 часов мы откроем регистрацию к новому испытанию. CTF «Герои Кодекса» - это индивидуальная битва для тех, кто видит больше, чем просто набор символов. Старт регистрации: 9 февраля. Сама игра пройдет 22 февраля, но занять место лучше сразу❗️ Включайте уведомления, чтобы не пропустить ссылку💡 🏁Caplag

Что нас удивило больше всего Недавно команда Caplag приняла участие в студенческом чемпионате «Кибербезопасность в финансах» от Банка России. Для нас это стало тест-драйвом навыков и возможностью посмотреть на формат со стороны участника💡 Дмитрий, капитан команды, поделился своими эмоциями и инсайтами. Подробности - в карточках 👍 Если коротко: - Геймификация - это уже не «фишка», а стандарт. - Глубина исследования иногда важнее сложности кода. - Пользовательский опыт складывается на мелочах (даже на том, как публикуются таски). Чемпионат помог увидеть точки роста и дал полезный опыт, который мы используем при подготовке к CTF "Герои Кодекса"

Утечки данных начинаются с API Когда говорят об утечках данных, часто представляют сложные атаки и «гениальных хакеров». На практике причина гораздо проще - API и то, как они настроены. API создаются для скорости и удобства, чтобы сервисы свободно обменивались данными. Но именно это удобство превращает их в точку риска, если контроль доступа и ограничения продуманы не до конца. Типичные причины утечек: • открытые endpoint’ы без проверки прав; • утёкшие или забытые API-ключи; • тестовые токены в продакшене; • отсутствие лимитов и логирования. Во многих случаях система при этом работает корректно: запросы проходят, ответы возвращаются, ошибок нет. Но из-за неверной логики доступа данные становятся доступны тем, кому они не предназначались. В CTF такие ситуации встречаются регулярно. Они учат смотреть на архитектуру, права доступа и поведение системы. Именно этот подход мы заложили в новый индивидуальный CTF «Герои Кодекса». Следите за обновлениями, регистрация стартует уже через неделю⏳

Почему создание задачи — это только начало Со стороны выглядит просто: появилась идея, написан код, задача загружена на платформу.Но на практике самое важное начинается после, поскольку тестирование и отладка часто занимают больше времени, чем сама разработка. Почему мы уделяем этому столько внимания? Во-первых, логика вместо угадывания. Решение должно строиться на анализе и знаниях, а не на попытках угадать, что автор имел в виду. Во-вторых, никаких «лазеек». Мы специально пытаемся взломать собственные задачи обходными путями. Если сложный сценарий можно пройти за 5 минут из-за ошибки в настройках - это нужно найти и исправить до старта. В-третьих, устойчивость. Сервисы и инфраструктура должны выдерживать нагрузку, когда к решению одновременно приступают сотни участников. И, наконец, чистота исполнения. Мы убираем лишние комментарии, следы отладки и любые детали, которые могут случайно подсказать ответ или запутать участника. Поэтому подготовка задач занимает больше ⏳ Мы стараемся сделать так, чтобы во время соревнований вы могли сосредоточиться на решении, а не на технических мелочах. 🏁 Caplag

Что чувствует участник в первые 30 минут после старта Старт. Таймер пошёл⏳ Первые минуты - время "адаптации". Сначала появляется лёгкое волнение и ощущение хаоса: взгляд скачет по списку задач, сложно понять, за что взяться. Через несколько минут приходит "фокус". Ты выбираешь задачу, читаешь условие, пробуешь очевидные шаги. Без спешки - просто аккуратный вход в процесс. К 25 минуте появляется ритм. Даже если флаг ещё не найден, становится ясно, куда "копать" и что делать дальше. Ощущение «я не успеваю» постепенно уходит. Эти полчаса нужны, чтобы войти в игру и найти свой темп. Уже после них начинается осознанная работа и настоящее удовольствие от процесса. В феврале к этим ощущения можно будет вернуться на CTF "Герои Кодекса"🏁

Как в Caplag появляются таски на CTF CTF-задача — это не просто «спрятали флаг и ждём, пока его найдут». За каждым заданием стоит продуманный путь, который начинается задолго до старта соревнований⏳ Нам важно, чтобы задачи были без угадываний, совпадений и ситуаций, где всё решает удача. Поэтому каждое задание проходит несколько этапов проработки, проверки и донастройки. Благодаря этому соревнования подходят и тем, кто делает первые шаги в CTF, и опытным игрокам. В карточках ниже - немного процесса, который обычно остаётся за кадром. Следите за нашими обновлениями, мы активно готовимся к «Героям Кодекса» 🔥

Новое CTF на Caplag 23 февраля - это про силу, выдержку и умение принимать вызовы. Мы предлагаем отметить день так, как это близко нашему комьюнити: с задачами и поиском решений 💡 «Герои Кодекса» — новое индивидуальное онлайн-CTF на платформе Caplag. Это соревнование для тех, кто хочет проверить свои способности, аналитическое мышление и углубиться в системы так, как это не всегда удаётся на первый взгляд 🤔 Дата проведения: 22 февраля Старт регистрации: 9 февраля Формат: онлайн, индивидуальный Давайте встретим 23 февраля вместе - в мире кода, логики и честной игры! До встречи на 🏁Caplag

Когда система работает правильно, но это становится проблемой В ИБ уязвимость не всегда выглядит как ошибка. Иногда система работает так, как задумали разработчики - без багов, падений и явных сбоев. И в этом может скрываться риск 😱 Хороший пример — уязвимость Heartbleed в OpenSSL. Механизм Heartbeat был реализован корректно, однако из-за отсутствия проверки длины входных данных, сервер начинал возвращать "лишнюю информацию" из памяти. В результате стали утекать пароли, ключи и другие чувствительные данные. Такие ситуации лежат в основе CTF-задач. Они учат смотреть не только что делает система, но и как этим поведением можно воспользоваться💡 Совсем скоро этот процесс можно будет пройти в безопасном и игровом формате. Следите за анонсами на 🏁 Caplag

Как подходить к задаче, если не понимаешь, с чего начать? Знакомо ощущение, когда открываешь CTF-задачу, а в голове пусто 🤯 Теряешься, не понимаешь, с чего начать, и где-то внутри появляется сомнение: «А подойдёт ли мне это?» Важно понимать, так начинают все. Даже те, кто сегодня стабильно берут флаги, не раз стояли в этой же точке. Мы собрали простой алгоритм, который помогает спокойно "сдвинуться с места" прямо во время соревнований. Без паники, а шаг за шагом. Все подробности - в сетке 👆 p.s. иногда лучший индикатор роста - не флаг, а момент, когда ты перестаёшь бояться открывать новую задачу. До встречи на 🏁Caplag

Одна уязвимость, которая изменила подход к безопасности Иногда одного случая достаточно, чтобы пересмотреть привычный взгляд на безопасность. В 2014 году таким примером стала уязвимость в Bash - инструменте, который десятилетиями считался надёжным и базовым. Это история о небольшой логической детали, на которую долго не обращали внимания. О том, как всё произошло и почему последствия оказались настолько масштабными, читайте в карточках👆 Похожие истории нередко встречаются и в CTF, где небольшая деталь в итоге становится решающей 🤔

CTF вне турниров или как "не потерять форму" Турнир закончился, а желание продолжать осталось. Но без дедлайнов и команды втянуться сложно. Знакомо? Мы собрали короткий навигационный гайд для пауз между стартами. Подойдёт как новичкам, так и тем, кто уже в теме😉 В карусели простые подходы, которые помогают: - держать форму, - пробовать новое без перегруза, - не терять азарт. Даже когда нет турниров и таймеров, рост никуда не исчезает. Он просто становится спокойнее - шаг за шагом, в своём темпе. До скорых встреч на CTF! 🏁Caplag

Новогодний чек-лист от Caplag В конце года мир замедляет свой ритм. Задачи отходят на второй план, уведомления становятся тише, а мысли наполняются предвкушением праздников. Это идеальное время, чтобы нажать паузу и позволить себе немного отдохнуть. Мы подготовили новогодний чек-лист, который напомнит, что выходные - это время для перезагрузки: ✅ Закройте все вкладки с задачами - пусть подождут пару дней. ✅ Сохраните интересные идеи «на потом». ✅ Выключите таймеры и дайте мыслям немного отдохнуть. ✅ Проведите время с близкими и родными. ✅ Поймайте новогоднее настроение - без дедлайнов и спешки. ✅ Войдите в новый год с лёгкостью, интересом и верой в себя. С Наступающим Новым годом! 🎄 Пусть он принесёт вдохновение, тёплые моменты и море захватывающих приключений! 🏁Caplag

Порядок присвоения спортивных разрядов по итогам CTF "Кубок регионов" Право на присвоение спортивных разрядов имеют участники, занявшие призовые и зачётные места, при соблюдении возрастных категорий и требований по виду спорта «спортивное программирование» Требования к результатам: Мужчины и женщины (16 лет и старше): • 1 - 2 место — II спортивный разряд • 3 - 4 место — III спортивный разряд Юноши и девушки (до 19 лет): • 1 - 2 место — III спортивный разряд • 3 - 4 место — I юношеский разряд • 5 - 8 место — II юношеский разряд Присвоение спортивных разрядов осуществляется через региональных представителей Федерации спортивного программирования на основании итоговых протоколов соревнований и в соответствии с официальными требованиями. 📄 С полным перечнем требований и условий можно ознакомиться в документе: https://disk.yandex.ru/i/vovPYyw1_VmDQA Обращаем внимание: документы по итогам соревнований направляются исключительно региональным представителям ФСП. В то же время напоминаем, что сертификаты участников были направлены по электронной почте, указанной при регистрации. Рекомендуем проверить папку «Спам» и, при необходимости, отметить письмо как «Не спам». Мы не планируем частые рассылки, однако это позволит своевременно получать важные уведомления, в том числе о старте новых CTF. Если у вас нет информации о представителе ФСП в регионе или вы не нашли сертификат на почте, просим написать в службу поддержки: 👉 @caplag_sport_bot

Дополнительные комментарии к вопросам по решению ГСК по результатам «Кубка регионов» В связи с возникшими вопросами считаем необходимым отдельно разъяснить действия со стороны платформы Caplag и ход событий, связанных с зафиксированным инцидентом. 1. Caplag не предлагала и не рассылала флаги участникам. Со стороны организаторов и команды платформы не осуществлялась передача флагов, подсказок или решений каким-либо командам. Все задания и флаги предназначены исключительно для самостоятельного решения в рамках соревнований. 2. Инициатива проверки возникла после обращения участника. К нам обратилась одна из команд, сообщив, что в личных сообщениях ей предлагают передать флаг по заданию в обмен на другие флаги. Данное сообщение поступило до завершения соревнования и было воспринято как потенциальное нарушение Регламента. 3. Идентификация источника была невозможна. Аккаунт, с которого осуществлялось обращение к команде, не был связан с учётными записями соревнования и не позволял установить личность отправителя. В связи с этим стандартные методы проверки были неприменимы. 4. Для фиксации нарушения был использован контрольный флаг. С целью объективной проверки информации был подготовлен специальный маркерный флаг, который корректно принимался системой. Это позволило отследить, какая команда и в какой момент введёт данный флаг. Переданный контрольный флаг был последовательно введён тремя командами, что зафиксировано в логах платформы и отражено в решении Главной судейской коллегии. 5. Команда, сообщившая о нарушении, не получала преимущества. Команда, уведомившая организаторов о попытке передачи флага, после инцидента не вводила контрольный флаг, не использовала полученную информацию и не заняла призовые места. Использованный подход был направлен исключительно на фиксацию факта нарушения и не преследовал цели спровоцировать участников. Для Caplag важно сохранять честность соревнований, равные условия для всех команд и доверие к итоговым результатам.

О решении Главной судейской коллегии по итогам "Кубка регионов" Во время проведения соревнований ГСК был зафиксирован инцидент, связанный с передачей и использованием флагов (flag sharing), что является нарушением Регламента соревнований и Правил вида спорта "спортивное программирование" В рамках проверки организаторы и технические специалисты платформы провели контрольное мероприятие с использованием специального маркерного флага. Анализ логов показал, что один и тот же флаг "внешнего происхождения" последовательно был введен несколькими командами, что привело к начислению баллов без самостоятельного решения задания. Команды, участвовавшие в инциденте, по запросу ГСК предоставили письменные объяснения и подтвердили факт получения флага со стороны. Согласно Правилам вида спорта, действия, направленные на получение соревновательного преимущества путём использования внешних ответов, влекут техническое поражение, а при командном участии - дисквалификацию всей команды. Важно отметить, что: - ограничение санкций только снятием баллов фактически создало бы прецедент допустимости подобных нарушений; - использование внешнего флага влияет не только на результат конкретной команды, но и на итоговые позиции других участников из-за механики начисления баллов; - ответственность за соблюдение правил лежит на команде независимо от источника полученного флага. После просмотра всех материалов ГСК приняла решение: 1) признать факт нарушения Регламента соревнований; 2) применить спортивную санкцию «дисквалификация» к командам f1ght_f0r_w1n, daywave., N0N@me13; 3) аннулировать их результаты и исключить из итогового протокола; 4) утвердить обновлённую итоговую таблицу с перерасчётом результатов. С подробностями можно ознакомиться 👇 ОБРАЩЕНИЕ И РЕШЕНИЕ ГСК "КУБОК РЕГИОНОВ" По итогу пересмотра результатов призовые места распределились следующим образом: 🥇The power of Elijah 🥈SEGFAULT 🥉f.IB С таблицей лидеров можно ознакомиться на платформе. Поздравляем победителей и призеров, а также искренне благодарим все команды за участие, интерес к формату и честную игру🫶 Для получения призов просим капитанов команд связаться с организаторами через: @caplag_sport_bot или komi@fsp-russia.ru. Важно для всех участников: если в ходе соревнований вы сталкиваетесь с предложениями передачи флагов или «помощи» - не принимайте и по возможности сообщайте организаторам через официальные каналы. Это помогает сохранить честную спортивную борьбу и защищает самих участников. Мы понимаем, что подобные ситуации вызывают некоторые вопросы. Принятое решение направлено на соблюдение принципов равенства, прозрачности и доверия к результатам соревнований. Мы ценим наше сообщество и продолжим развивать соревнования в духе честной и спортивной конкуренции. До скорых встреч на CTF! 🏁Caplag

Приём апелляций завершен⏳ Все поступившие заявления переданы судейской коллегии для рассмотрения. Окончательное решение и итоговый протокол будут утверждены в течение нескольких дней📆 С результатами можно ознакомиться в наших социальных сетях и ФСП Республики Коми

Соревнование завершено CTF «Кубок регионов» подошёл к концу. Благодарим команды за участие и соблюдение правил честной игры на протяжении турнира! Это был непростой 36-часовой забег — и для вас, и для нас. Мы завершаем свою часть работы и искренне благодарим, что были с нами до финала ❤️ Предварительные результаты представлены в таблице 🏆 Напоминаем: у участников есть 24 часа на подачу апелляций. Мы передаём результаты судейской коллегии - она оценит протоколы, инциденты и вынесет итоговое решение в течение суток. Для подачи апелляций: @caplag_sport_bot Райтапы и решения (без самих тасков) представлены ниже 👇 https://git.caplag.ru/kernel/Kubok-Regionov Спасибо за выбор 🏁Caplag До новых встреч!

До финиша 60 минут⏳ Настал решающий момент - час до завершения турнира! Каждое решение и засчитанная задача могут изменить расстановку турнирной таблицы. Не сбавляйте темп! Проверьте решения и обдумайте оставшиеся задачи. Всё ещё может измениться 🔥 ❗️Напоминаем: правила честной игры действуют до конца турнира. Мы следим за соблюдением регламента и при выявлении нарушений результаты могут быть пересмотрены вплоть до дисквалификации. Пусть удача будет на вашей стороне!

До конца CTF 12 часов⏳ В 22:00 все задания будут закрыты. Успейте отправить решения! Напоминаем: По вопросам, связанным с платформой или заданиями, обращайтесь в @caplag_support_bot или сообщество в ВК ❗️Обратите внимание: специалисты поддержки не предоставляют подсказки по заданиям, которые уже были решены другими командами. Пожалуйста, учитывайте это при обращении. Желаем удачи и максимальной концентрации в решении задач! 🏁Caplag

Новые задания на платформе Если вы уже в игре, обновите список и проверьте таски. Если планировали вернуться к решению позже - сейчас подходящее время продолжить. Все задания доступны на платформе. До конца соревнований обновлений тасков не будет ❗️ Платформа закроется 21 декабря 22:00. До встречи завтра!