硝烟四起、动荡难安,人类已迈向 *** 战时代。在这个时代,有担当的 *** 安全人才犹如国家军队一般,防卫着国家、企业与人民的数据、财产及生命安全。

　　而对于 *** 安全人才的考核,也正如“最顶级的军队都是打出来的”,更优秀的 *** 安全人才团队同样也需要“实战攻防”的演练。于是乎,一场集结全球顶级黑客高手,一场顶尖 *** 安全攻防演练的2019 WCTF世界黑客大师赛也因势而来。

　　因势而生

　　WCTF打造勇士们的“实战”练兵场

　　2019WCTF世界黑客大师赛是由360公司赞助,世界知名安全团队360Vulcan主办的国际级CTF挑战赛,旨在通过邀请国内外顶尖的安全团队来华比赛,将最前沿的攻防能力和技术带到国内,从而促进我国网安实战攻防能力的提升。

　　自2016年首届WCTF成功举办到如今,WCTF已成为备受国内外CTF战队最关注的赛事,它打破常规,创建线上与线下的比赛模式,形成面向全体CTF爱好者的线上挑战赛、面向国际黑客大神的黑客大师赛、以及旨在培养网安储备军的高校新锐赛三大项目赛事,成为能代表中国顶级 *** 安全水平的CTF赛事。

　　举办WCTF更为重要的是为 *** 安全的勇士们打通“实战”通道,在“实战攻防演练”中,让他们更清晰的了解“漏洞”这一新态势下“军火武器”。因为在随时可能爆发的 *** 战面前,任何国家都容不得半点差池,沙场点兵,我们需要在网上进行“朱日和”演练。

　　细想并非危言耸听。放眼全球,我们发现仅仅就近3个月爆出的 *** 安全事件就已让人唏嘘不已:

　　3月7日,委内瑞拉遭遇“国家敌人”的 *** 攻击,致使全国23个州中有22个遭遇断电,首都加拉加斯也一度陷入黑暗;

　　3月19日,全球更大的铝巨头商Norsk Hydro多个系统遭勒索攻击,不仅该公司全球业务 *** 出现宕机,它还带来可能超过4000万美元的损失;

　　3月24日,新加坡数字资产交易平台DragonEx惨遭国家级黑客攻击,只初步估计平台受损资产总额就已超4000万人民币;

　　5月5日,以色列国防军以应对激进组织哈马斯的 *** 攻击为由,对哈马斯 *** 中心大楼进行了空袭,这一颗炸弹地落下,也标志着军事与 *** 战走向融合;

　　5月15日,一个有着国家级背景的黑客组织通过WhatsApp的安全漏洞又瞄准攻击了一名英国律师,该律师曾指控以色列NSO集团将旗下恶意间谍软件卖给国家级黑客组织,致使一名持不同政见的沙特记者被肢解......

　　政治、经济、军事,国家乃至个人都在遭受着 *** 攻击, *** 战在还没有人宣布开战就已打响,同时它还以堪比“核武器”的威力破坏着被攻击者。面对这样一场新型态的战役,举办WCTF这样一场顶级的 *** 安全赛事,以“实战”的攻防演练,来捍卫国之安全,已势在必行并迫在眉睫。

　　顺势而为

　　WCTF以“世界之力”强化中国网安力量

　　破解,逆向,解密。世界顶级黑客已全数集结,一场决战紫禁城之巅的“实战”即将上演。而在2019WCTF即将开战之际,让我们先来认识下大赛的主办方——360Vulcan Team以及今年大师赛参赛的10支战队。

　　享誉国际的主办方

　　360Vulcan Team是360互联网安全创新中心旗下的二进制漏洞安全团队。团队成员具备高水平的漏洞挖掘能力、系统安全理解能力和产品研发能力。团队多名成员入选微软全球Top100贡献榜,并多次获得微软BlackHat、Edge浏览器赏金项目奖励。

　　360VulcanTeam曾在Pwn2own 2015比赛中攻破IE项目,在Pwn2own 2016比赛中攻破Adobe Flash Player以及Google Chrome项目,在Pwnfest2016比赛中攻破微软Edge浏览器以及Adobe Flash Player。在Pwn2own 2017赛事上,360Vulcan Team攻破了微软Edge浏览器、Windows10、Apple Safari、macOS和Adobe Flash Player,率领360安全战队拿下赛事总冠军,成功加冕“Master of Pwn”(世界破解大师)。目前360VulcanTeam已经累计向微软、Google、Adobe和苹果等主流厂商提交了数百个高危安全漏洞并包揽史上更高漏洞致谢奖金。

　　世界顶级的大师赛战队

　　“大师赛”是以定向邀请形式,每年WCTF组委都会参考CTFTIME的全球排名来邀请高积分的战队来华参与比赛。今年10支“大师赛”战队为(排名不分先后):

　　Dragon Sector战队:来自波兰Google安全团队,获得多年Hack.lu CTF的冠军。CTFTIME 2018世界排名第5,CTFTIME 2017世界排名第4。

　　LCBC战队:来自俄罗斯,2015年曾获EKOPARTYCTF,PHD CTF Finals,CONFidenceCTF及Belluminar Seoul等国际CTF比赛的冠军,曾主办QIWI CTF 2014和Olympic CTF 2014。CTFTIME 2017世界排名第6。

　　0daysober战队:来自法国和瑞士的联合战队,曾连续几年举办了Insomni'hack CTF。CTFTIME 2018年世界排名第6。

　　Shellphish战队:来自美国,部分成员参加了美国国防部高级研究计划局(DARPA)主办的Cyber Grand挑战赛的决赛,获得75万美元的奖金。CTFTIME 2017年世界排名第9。

　　TokyoWesterns战队:成员均在东京西部生活,曾举办第三届Tokyo Westerns CTF 2017;WCTF 2017排名第2。CTFTIME2018世界排名第3,CTFTIME 2017世界排名第5。

　　Cykor战队:来自韩国,成立于2011年,成员来自高丽大学 *** 安全研究实验室。WCTF 2016排名第2,获得30000美金奖励。

　　Eat,Sleep,Pwn,Repeat战队:来自德国,由StraussAuhuur和KITCTF联合组成,是Chaos Communication Congress(混淆通信技术大会)中3C的主办者,曾参加过DEF CON。CTFTIME2017世界排名第2。

　　NU1L战队: WCTF 2018新锐赛冠军,大师赛新秀。成立于2015年10月,名字源于英文单词"NULL"。DEFCON CHINA BCTF2018冠军,斩获31万奖金。TCTF2018全球总决赛排名全球第4,国内第1,是中国大陆在此赛事中获得的更好成绩。XCTF赛事2017&2018积分榜年度第1。2018年3月举办N1CTF全球赛,获得全球CTF爱好者好评,CTFTIME上评分接近满分。战队部分成员为BlackHat、HITCON、KCon等安全会议演讲者,参与过Pwn2Own、GeekPwn等国际性漏洞破解赛事。

　　r3kapig战队:来自中国,由FlappyPig和Eur3ka联合组成。他们戏称r3kapig是美味佳肴,可烤可煎可炸,战队的使命就是为主人提供最美味的食物。

　　217战队:来自中国台湾大学,CTFTIME全球排名2018年第5,曾获首届XCTF联赛总决赛冠军,在Plaid CTF及SECCON CTF中也曾获得第1名。

　　亮点赛题前瞻

　　据悉,今年赛题将以“战队+主办方”组合出题方式呈现,参赛者不仅可以感受来自全球黑客大师所出的试题,还可以感受享誉国际的360Vulcan Team最硬核考验。

　　出题人将自己在硬件安全、移动安全、操作系统安全、浏览器安全、密码破译、沙箱逃逸、虚拟机逃逸、内核提权等领域的最新研究成果和收获,以赛题的形式呈现给选手。比赛不但是一场激烈的智力竞争,同时也是一场开放的技术分享。

　　参赛者将尝试破解不可能破解的安全硬件,领略虚拟机逃逸新 *** ,掌握针对浏览器渲染引擎的攻击,完成看似不可能完成的漏洞利用。

　　随着近年来 *** 威胁集中高发， *** 安全已上升到国家安全的高度。而国家组织之间也从“传统热战”时代逐步迈进了不见硝烟的“ *** 战”时代，现实世界正激烈交锋的国际谍战、经济战、贸易战等冲突，终将演变为以科技为支撑的 *** 冲突和 *** 战争。而WCTF世界黑客大师赛举办的意义就在于通过实战攻防演练平台挖掘优秀的 *** 安全人才，进而提升我国 *** 安全实力。

　　引进顶级的安全知识与技术,打造国际间交流平台

　　面对越来越严峻的国内外 *** 安全形式,加强自身的 *** 安全建设尤为重要,WCTF以邀请全球范围内的 *** 安全大神来华比赛的形式,意在将顶级的安全知识与技术带到国内,在实战攻防演练中,让国内外 *** 安全人才实实在在地进行切磋交流。

　　兼顾破解难度与安全热点,聚焦时下前沿议题

　　在比赛题目方面,历年的WCTF都会兼顾难度和安全热点,包括Windows内核提权、浏览器漏洞利用,今年比较火热的物联网与芯片安全、工业控制系统安全、云计算和桌面虚拟化技术的漏洞发现和开发等等都将有可能出现在WCTF的赛题中。而目的只有一个,希望在实战攻防演练中,让参与者时刻了解最新的攻击手段与实战手段,在高手过招间,增强中国网安实力。

　　挖掘并培养网安新力量,以应对潜在的战争风险

　　持续挖掘中国 *** 安全领域的新力量,为国家储备最强 *** 安全大军,也是WCTF举办的一重要意义。除不断挖掘社会上最精英的 *** 安全人才外,从2018年开始,WCTF针对国内高校学生群体开设了“新锐赛”,让少年黑客们从校园起就培养起防卫国家 *** 安全的使命认知,不仅为少年黑客提供与世界顶级黑客交流的机会,还意在在实战中磨练他们的能力,从而应对潜在的战争风险。

　　在以上介绍中,不难发现,“实战攻防演练”几个字高频出现。或许就正如开头所言“最顶级的军队是打出来的,更优秀的网安人才同样也是‘实战’出来的。”

　　2019 WCTF战鼓已打响,并将于2019年7月5日在北京望京凯悦酒店燃情开局。在与全球顶级黑客的“实战”对决中,中国新一代 *** 安全专家也必将脱颖而出。他们将作为后续储备梯队,成为国家 *** 安全人才最重要的力量。在 *** 战的时代里,肩负起防卫国土 *** 安全的职责。

　　

　　

　　世界黑客排：凯文·米特、丹尼斯、李纳斯兹尼亚克、汤普生、理、德拉浦。

　　1、凯文·米特尼克

　　他是之一个在美国联邦调查局"悬赏捉拿"海报上露面的黑客。15岁的米特尼克闯入了"北美空中防务指挥系统"的计算机主机内，他和另外一些朋友翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，然后又悄无声息地溜了出来。

　　

　　2、丹尼斯

　　丹尼斯·利奇， C语言之父，Unix之父。生于1941年9月9日，哈佛大学数学博士。Dennis M. Ritchie 担任朗讯科技公司贝尔实验室下属的计算机科学研究中心系统软件研究部的主任一职。1978年布瑞恩W. Kernighan和Dennis M. Ritchie出版了名著《C程序设计语言》，此书已翻译成多种语言，成为C语言方面十分权威的教材之一。

　　

　　3、李纳斯

　　李纳斯，一个21岁的芬兰大学生，在学生宿舍里写了一个操作系统的内核--Linux，然后公布于众，吸引了成千上万的程序员为之增补、修改和传播，短短几年就拥有了1000多万的用户，成为了地球上成长最快的软件。李纳斯·托沃兹，当今世界最著名的电脑程序员、黑客。Linux内核的发明人及该计划的合作者。

　　

　　4、肯·汤普生

　　Unix之父，Unix这个操作系统的诞生，并不是为了把它推向市场，甚至不是为了让更多人使用，而仅仅是作者为了便于自己使用，而且初衷是为了自己更方便地玩游戏。连Unix这个别扭的名字，也是对早期一个名为Multics操作系统开玩笑的称呼。在后来的获奖答谢中，作者之一的丹尼斯·里奇坦然说:"我们的目的是为自己建立一个良好的计算机工作环境，当然也希望大家都能喜欢它"

　　黑客排名如下

　　1、凯文·米特尼克

　　

　　之后被判入狱，出狱之后还侵入了美国五角大楼等许多个软件公司系统，甚至还进入了警察局的网站，在20世纪90年代中期，又被入狱，因为世界其他黑客的 *** ，在千禧年一月出狱。

　　2、凯文·鲍尔森

　　

　　3、艾德里安·拉莫

　　拉莫是一名黑客，他不仅有着高超的技术，而且居无定所，行动也比较奇怪，被称为"流浪黑客"。他经常发现花旗银行、美洲银行等一些企业的漏洞，还帮他们免费修补，但也因非法入侵，泄露了很多客户的资料和隐私，而且他还向联邦当局举报美国军队士兵曼宁向维基解密网站泄露了很多的敏感文件，遭到了逮捕。

　　4、乔纳森·詹姆斯

　　在20世纪末，年仅16岁的詹姆斯就因为入侵NASA电脑被捕，成为世界上之一个因为黑客行为而被捕的未成年人。也因此使NASA不得已关掉了整个电脑系统。不过他也做过很多的好事，曾协助FBI成功的找到了梅丽莎病毒发布者，而且在次年又找到了爱虫病毒的来源，再次拯救了世界！

　　

　　5、H.U.C

　　H.U.C也叫中国红客联盟，是由黑客界传奇人物LION牵头组建的，吸纳了全国众多黑客高手。虽然是黑客，但其实是个爱国组织。在1998年的印尼反华、 *** 、2000年日本高院否认南京大屠杀等这些时间中，红客联盟的成员都通过侵入对方的网站，以自己的方式表达爱国的情怀！

　　1、凯文米克(美国)

　　

　　米特尼克被美国司法部描述美国历史上更受欢迎的计算犯据称，这位自称“黑客海报男孩”的黑客入侵了包括诺基亚，富士通和摩托罗拉在内的一些世界顶级技术和电信公司的电脑系统，还入侵美国中央情报局、国会参议院、日本索尼公司等 *** 和企业网站。

　　2、龚蔚(中国)

　　

　　龚蔚(Goodwell)，上海人，是中国最早黑客教父，绿色兵团创始人，计算机信息管理专业毕业。代表性的组织就是龚蔚(GOODWELL)等五人组织的绿色兵团，绿色兵团曾一度辉煌鼎盛，它"黑"掉过国外非法站点无数，可惜的是，绿色兵团已解散了。

　　3、朱利安-阿桑奇(澳大利亚)

　　

　　他是澳大利亚最著名的黑客教父，是“维基解密”的创办人，曾被澳洲人被称为《黑客罗宾汉》。阿桑奇认为，治理秘密机构的文件和信息安全的透露，对人民来说是件非常有用的事。他也是唯一一个登陆美国纽约时代IT杂志封面的黑客神奇人物。

　　世界黑名是麦金、Kevin Mitnick、Jonathan James、Barnaby Jack、George Hotz。

　　

　　1、麦金农

　　麦金农曾指国在太空中隐藏了一支舰队。他还坚信，美国 *** 有意隐瞒了有关 UFO 的情报，因此他打算自己去美国 *** 计算机系统里寻找有关信息。

　　短短 13 个月，他用家中的台式电脑成功入侵千里之外的 97 套美军机密电脑系统，其中不仅美国陆、海、空三军的电脑系统都被他黑了个遍，甚至就连国防部、国家航空和航天局 NASA 的电脑系统也被他黑了进去。

　　

　　当找不到自己需要的 UFO 绝密档案后，他生气地将美军的计算机系统搞瘫痪。9·11 事件发生后 12 天，麦金农攻破了新泽西州美军伊尔勒海军基地的电脑 *** ，造成该基地 300 台电脑 *** 长达一周，而那儿正是美国大西洋舰队进行武装和补给的大本营。

　　2、Kevin Mitnick

　　他是之一个在美国联邦调查局 “悬赏捉拿” 海报上露面的黑客。15 岁时闯入了 “北美空中防务指挥系统” 的计算机主机内，他和另外一些朋友翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，然后又悄无声息地溜了出来。 这件事对美国军方来说已成为一大丑闻，五角大楼对此一直保持沉默。

　　

　　事后，美国著名的军事情报专家克赖顿曾说：“如果当时米特尼克将这些情报卖给克格勃，那么他至少可以得到 50 万美元的酬金。而美国则需花费数十亿美元来重新部署。” 米特尼克于 1995 年被捕，03 年释放。现在是一家 *** 安全公司的老板。

　　世界黑客排名：Anonymous、熊、Lazarus Group、方程式、LIZARD SQUAD。

　　1、Anonymous（匿名者

　　黑客组织是全大的黑客组织，同时它也是全球更大的政治性黑客组织，该组织的黑客成员主要分布于美国，而且欧洲各国，非洲、南美、亚洲等地都有其分部。该组织最早起源于国外，这里聚集喜欢恶作剧的黑客和游戏玩家。他们支持 *** 透明，但常有人冒充他们的身份来发表一些虚假视频。

　　

　　2、奇幻熊

　　这两只“熊”都来自俄罗斯，因去年美国大选期间号称突破了民主党全国委员会的电脑系统为人关注。奇幻熊源自俄罗斯军方情报机构格鲁乌，自成立起就开始干涉欧洲的大选。安逸熊则代表俄罗斯联邦安全局，也即前苏联时代的克格勃，主要攻击目标是美国的智库。

　　

　　3、Lazarus Group（又名黑暗首尔、和平卫士）

　　Lazarus Group团伙作战顽强，一般认为是朝鲜的黑客组织。2009年Lazarus初露面就对美国和韩国的网站发动了拒绝服务攻击。五年后，Lazarus对索尼影业发动了大规模攻击，2016年又从孟加拉国中央银行和环球同业银行金融电讯协会盗得8100万美元。此外今年5月肆虐全球的 WannaCry勒索病毒据称也与之有关。

　　

　　4、方程式组织

　　俄罗斯杀毒软件公司卡巴斯基有次发现一个黑客团伙，起了这个名字。据称该团伙与美国国家安全局有关，尤其是获取特定情报行动办公室，简称TAO。这些不是好人，是吧？倒也不是每个人都这么想。很多专家相信方程式组织曾成功破解伊朗的核项目。最近该组织不少黑客工具被另一个神秘的黑客集团Shadow Brokers（据称跟俄罗斯有关系）盗取，还在网上公布，引发了不小的骚乱。

　　

　　俗话说，说是骡子是马，拉出来溜溜。

　　腾讯安全团队的一群骏马刚刚去美国拉斯维加斯溜了一圈，在世界顶级黑客大会Black Hat& DEF CON的舞台上大显身手，多项成绩领跑国内企业

　　

　　，例如——

　　11个议题入围大会讲演，成为本届议题入围最多的国内企业，也破了国内企业入围的历史记录；

　　连续4年进入DEF CON CTF全球总决赛，并取得全球第四；

　　连续5年入围微软全球更具价值安全精英榜，还拿下个人和团队致谢双料大奖。

　　

　　稍微解释一下，为什么这些成绩值得骄傲。

　　拉斯维加斯的这一系列活动有两大部分，其中Black Hat被誉为黑客界的“奥斯卡”，能登台就是莫大的荣耀。

　　而DEF CON则是和Black Hat齐名的顶级安全盛会，会上的CTF总决赛又被称为安全界的“世界杯”。

　　又是奥斯卡又是世界杯的，你大概知道他们的分量了吧。

　　

　　腾讯安全团队讲了哪些炸裂议题

　　

　　腾讯带来的十一大议题，是来自腾讯安全玄武实验室、腾讯安全科恩实验室、腾讯安全平台部Blade Team等团队的研究成果，详见下图

　　

　　（以演讲时间排序）

　　看不懂没关系，挑几个大家熟悉的产品你就会知道攻破这些漏洞有多厉害。

　　

　　智能手机WLAN

　　腾讯安全平台部Blade Team展示了一种从固件层攻击手机 WLAN的 *** 。它能打破WLAN和调制解调器之间的隔离，然后无线远程完全控制调制解调器。

　　由于这一发现对智能手机安全具有重要意义，Black Hat和DEF CON两大会议都选用了这一议题。

　　

　　宝马多款车型

　　腾讯安全科恩实验室首度公开了2018年对宝马多款车型的漏洞研究细节。当然，这些漏洞已经向宝马披露并合作修复

　　

　　。

　　在Black Hat讲坛上，宝马安全专家还进行了同台分享，给全球汽车品牌在安全响应及问题处理上提供了宝贵经验。

　　

　　win10系统

　　素有“漏洞挖掘机”之称的腾讯安全玄武实验室发现，利用Win10系统服务权限提升的漏洞，攻击者可以以系统权限在目标win10系统中执行任意命令

　　

　　

　　人脸解锁手机

　　腾讯安全玄武实验室还发现，某些手机的人脸检测存在设计缺陷，在特定场景下，只要利用一小块自制道具就能绕过检测，实现用户在闭眼状态解锁手机

　　

　　当然了，腾讯安全团队每每发现重大安全问题，在正式披露之前都会向厂商提报漏洞，作出妥善沟通和修复。

　　截至目前，华为、联想、Adobe、Apple、Google、Microsoft、宝马、特斯拉等国内外企业，都曾公开向腾讯在信息安全方面的研究表示致谢。

　　

　　一 *** 奖项正在砸来

　　

　　不止于此，在Black Hat现场公布的微软全球更具价值安全精英榜上，腾讯拿下个人和团队双料致谢大奖。