Новости SPbCTF

На выходных вместе с AvitoTech провели HoneyBadger CTF — 30 часов, две лиги, 906 команд и коллекционные мемы с медоедами 🐝 Спасибо всем, кто поучаствовал! Особенно благодарим тех, кто расчехлил руки и решал на собственных нейронах 👏 Это была наша первая цтфка с запретом AI-агентов. Нам ещё предстоит осознать результаты)) Если участвовали и ещё не написали свои впечатления в боте — поделитесь, учтём их в правилах следующих ивентов. 🐝 Если вы не участвовали или хотите дотыкать таски, задания обеих лиг открыты до воскресенья 26 июля. А ещё идёт конкурс видеорайтапов — записать разбор может любой, даже если на цтфке вас не было. Видео принимаем до 2 августа. Из необычного рекомендуем потыкать Лёгкие 🔸 Не пойман — не медоед — расследование хака по логам 🔸 На мьюте — логический трюк с регулярками на JS 🔸 Под прикрытием — поступенчатое повышение в Linux Средние 🔸 МёдХантер — цепочка в облаке с вебом, бинарщиной и RCE 🔸 BeeCA — крипто+инфра с вебово-математическими трюками Сложные 🔸 Нагибатор — разный парсинг символа + приводит к RCE 🔸 Пост охраны — ревёрсинг чекера окружения на io_uring

Два часа до старта HoneyBadger CTF! 🐝 В 12:00 мск стартуем: 30 часов хакинга нон-стоп, Jeopardy, две лиги. Финальные наставления: 🐝 Распределите силы: таски будут дропаться пачками. Скоринг динамический, без бонусов за скорость — чем больше команд решили задачу, тем меньше очков она приносит всем, кто её уже решил. Зарывайтесь размеренно и с кайфом! 🛏 Договоритесь с командой о сменах: кто-то спит, кто-то решает. Поспавший цтфер меньше тупит, а поспавший и поевший — сдаёт больше флагов :) 🐝 Напоминаем: AI-агенты на этой цтфке запрещены. Пользоваться текстовыми моделями как справочником, поисковиком и джуном-кодером можно. Отдавать модели таск или позволять ей самой придумывать шаги решения — нельзя. 🏘 Если хотите играть оффлайн, места на комьюнити-площадках в Томске и Алматы ещё есть. Подробности: t.me/spbctfnews/750 📵 Предупредите близких, что вы пропали до вечера воскресенья :) Рега ещё открыта → avitoctf.ru/ Чат цтфки → @avitoctf_chat

🏕 Комьюнити-площадки на HoneyBadger CTF Цтфка онлайн, но рубиться плечом к плечу всегда драйвовее: «ЕСТЬ ШЕЛЛ!!1! 🙌» после трёх часов ковыряния заряжает лучше энергоса и навсегда остаётся в памяти. Поэтому чисто инициатива для комьюнити — хотим заоргать независимые площадки в разных городах и странах, куда можно будет прийти и порубать в течение 30 часов. Как это работает 🔹 Хотите заоргать площадку — напишите до 16 июля @ksvark, добавим вашу площадку в список и расскажем о ней всем участникам. Подходят локации, куда смогут прийти люди не из вашей тусовки: хакспейсы, офисы компаний, коворкинги, аудитории в вузе и т.д. Продумайте заранее – вместимость: сколько человек, хватит ли столов и стульев; – время: до скольки можно сидеть, реально ли остаться на ночь; – проход: как люди будут проходить внутрь, какие данные собрать с участников для охраны или пропусков. Также может быть полезно – еда: будет ли чайник/микроволновка/доставка, или каждый сам за себя; – девайсы и сеть: есть ли мониторы, потянет ли вайфай толпу, не порезаны ли порты. 🔹 Мы анонсируем площадку → желающие пишут её оргу → орг добавляет их в чатик площадки 18 июля собираетесь и 30 часов рубитесь вместе Четыре площадки уже есть! 📍Томск — хакспейс Akiba (Гагарина 7/1) Вмещает 35 человек, можно находиться все 30 часов, есть полноценная кухня. Вписаться → @KillingInTheNameOf 📍Алматы — хакерспейс Чёрный Лёд (Жибек-Жолы 66/1) Для 30 человек на 30 часов, с кухней, кондеями и разными девайсами. Вписаться → @gspdnsobaka 📍Москва — хакспейс Yasha Space около м. Текстильщики (Грайвороновская улица, 23) Камерное новое пространство, которое ребята как раз сейчас обживают. Вмещает 8 человек, можно находиться 30 часов. Есть столы, кресла, мониторы по запросу, кондей, холодильник, еда будет тоже :) Успевайте вписаться → @maxmosley 📍Краснодар — AI Space на базе КубГТУ (ул. Московская 2А) Пространство вмещает 30 человек. Есть столы, стулья, мощные компы, кондей, чилл-зона с пуфиками и вкусняшки. На ночь пока нельзя остаться, но ребята договариваются 💪 Для всех желающих. Важно забукать себе место до пятницы, чтобы успели подать список на проход. Вписаться → @borsch_krd Соберите цтферов своего города — вдруг окажется, что вас там больше, чем вы думали, или с вашей площадки начнётся локальная тусовка ;) Рега на цтфку → avitoctf.ru/

Выпускаем медоеда через полторы недели Есть зверь, которому плевать на змеиный яд, разозлённых пчёл и здравый смысл. Он просто идёт и берёт своё. В его честь мы с командой AvitoTech делаем новую цтфку — HoneyBadger CTF 🔹 Старт в субботу 18 июля, 12:00 мск 🔹 30 часов 🔹 Jeopardy 🔹 Рега уже открыта 🐝 Впервые на наших ивентах: никаких AI-агентов Последний год на CTF непонятно, кто кого порешает: вы таск или ллмка вас. Меряемся не скиллами, а подписками. Медоеду похер, нам — нет. Медоед не делегирует охоту, а на медоедской цтфке нельзя делегировать атаку. Обычные текстовые модели, которые советуют или пишут код по вашему описанию, а не решают таск за вас, использовать можно. Две лиги, размер команды не ограничен 🍯 Honey League — для айтишников: разработчиков, админов, QA, аналитиков. Ещё не цтфили — вам сюда. Призы: 150 000 ₽ / 100 000 ₽ / 50 000 ₽ 🦡 Badger League — для безопасников и матёрых цтферов. Призы: 300 000 ₽ / 200 000 ₽ / 150 000 ₽ Топ-10 каждой лиги получает плюшевого медоеда. Зверя, который однажды смотрел в глаза кобре. Теперь он будет смотреть, как вы дебажите в четыре утра 🥲 Собирайте команду: зовите коллег в Honey, а сокомандников в Badger → avitoctf.ru/ Читайте правила и регайтесь. До встречи 18 июля!

🏔 Поздравляем с завершением Альфа ЦТФ 2026 🎉 Спасибо, что прошли этот спринтерский маршрут вместе с нами! Надеемся, Альфа ЦТФ дал вам драйв, новые знания, фан от тасков и сплотил команду — ну, или вас с агентами и ллмками 🤝 В этот раз почти 5000 участников пробовали что-то сдать. Количество команд с ненулевым результатом: • 127 команд в школьном треке • 450 — в студенческом треке • 488 — в IT-треке • 512 — в CTF-треке Очень ждём ваши впечатления, как вам таски и что думаете про участие с ллмками; что получилось, что бесило, что удивило → forms.gle/EfMxBqnuhizy8uHZ6 Интересно узнать про ваш персональный опыт — как выдохнем, засядем нашей командой разбирать отзывы и планировать следующие цтфки. Таски оставляем работать до воскресенья, 3 мая. Скоро задания четырёх треков откроются всем участникам. Возвращайтесь после сна дорешать, разобраться и сравнить подходы. Идеи и решения теперь можно обсуждать 🙌 Отдохните как следует! 😎

Двойная порция изи-веба на вечер. Готовитесь же к Альфа ЦТФ? 👀 🤘 Андрей Бурашников первым решил таск [easy][web][telegram] «Поток флуда» и записал для вас его прохождение: youtu.be/3_Scrxpy-1M В таске нужно было ломануть и отключить телеграм-бота, рассылающего рекламу. 💪 Второй разбор подготовил Павел Вяткин из команды SH1LO. В задании [medium][web][misc] «Киберремонт киберпанциря» требовалось спалить когда-то существовавшую на сервере картинку по кешу телеграма. Разбор: youtu.be/De3xkMDmXlM Отремонтировать панцирь: 2025.alfactf.ru/tasks/cybershell Стартуем уже в субботу. Рега открыта до 25 апреля 8:00 мск, залетайте → alfactf.ru/

🌅 Разбор [forensics][infra][lpe] «Тайна в лучах заката» Алиса Сиренева из команды «[team Team] без Никиты Сычёва» показывает прохождение ещё одного хардяна, где нужно было подняться до рута через монтирование произвольных NTFS-разделов. Сначала анинтендед, затем — как было задумано. Смотреть: youtu.be/fUwX6tSF3J0 Решать: анинтендед и интендед ⏳ Альфа ЦТФ стартует в субботу! Успевайте зарегистрироваться — в зависимости от площадки, рега на неё закроется завтра в 8:00 мск (для коворкингов в вузах) или в пятницу в 11:00 мск (для IT-хабов Альфы). ⬜️

🥒 Подъехал хардкорный цепочечный похек В CTF-треке был таск [hard][pwn][python] Дикий огурец, где нужно было найти и придумать, как проэксплуатировать небольшой баг-опечатку в старой версии PyTorch. Чтобы собрать цепочку, пришлось проанализировать целый большой проект. Подготовил разбор НИНИКА из команды «Куркынычсыз by design» Смотреть райтап → youtu.be/KcUZo4-nH2g Напихать огурцов самому: 2025.alfactf.ru/tasks/wildpickle До Альфа ЦТФ 2026 осталось 4 дня. Рега → @alfactfbot

🔗🔗 Альфа ЦТФ скоро, приходите поцтфить 😏 Уже в субботу вместе с ребятами из Альфа-Банка проводим новую цтфку, спидранерскую на 12 часов. Призы — до 450 000 ₽ на тиму. Правила и рега → alfactf.ru/ 🔥 Работают таски прошлого года: 2025.alfactf.ru Заходите порешать хоть в соло, хоть с командой. Если не участвовали в сентябре, можно с корешами засесть на неделе, выделить три часа и попробовать зарешать как можно больше. Поможет наладить работу в команде (особенно если вы собрали её под ивент), подтянуть нужные навыки и настроить мозг на цтфенье :) Если застрянете, призывайте чатик на помощь, поможем разобраться 💪 Подробные видео-райтапы на таски от игроков прошлого года: ▪️ [hard][web][python][rce] Краб-фрилансер на грани ▪️ [easy][web] Кислотный ретровейв ▪️ [easy][misc][osint] Звуки ностальгии ▪️ [med][web][infra] Запреты Роскамбалы ▪️ [hard][crypto][coding] Мозаика с намёком ⚡️И сегодня начинаем следующую часть разборов, её открывает Денис! Он первым решил таск [medium][crypto][coding] Трассировка маршрута, и записал для вас своё прохождение. Таск на предсказание ключа из-за плохого рандома. Смотреть разбор → youtu.be/uAZS8-EeZI0 Дойти самому без спойлеров → 2025.alfactf.ru/tasks/billybones

🚩Регистрация на Альфа ЦТФ 2026 открыта! Соревнование будет 25 апреля. Приглашаем вас, а вы зовите единомышленников, друзей и коллег! В этот раз будет аж четыре трека — каждый найдёт себе задачи по скиллам и интересам. Начнём с вишенки этого года: Школьный трек Для школьников в возрасте от 14 до 18 лет. Размер команды — 1–4 человека. Каждый участник команды из топ-3 в треке получает тревел-грант с оплатой дороги и проживания на любую поездку в образовательных целях в течение года CTF-трек Для опытных в CTF и хакинге. Как и в прошлый раз, можно рубать большой тимой без ограничения на количество участников, но с регистрацией на платформе. Результаты CTF-трека постим на ctftime.org Призовой фонд — 1 200 000 ₽ IT-трек Нацелен на айтишников: разработчиков, админов, аналитиков, DevOps- и QA-инженеров. Размер команды — 1–4 человека. Можно тем, кто не работает в сфере безопасности и ещё не участвовал в пяти CTF. Призовой фонд — 1 050 000 ₽ Студенческий трек Для студентов до 25 лет, кто учится не на ИБ-направлениях. Размер команды — 1–4 человека. Призовой фонд — 850 000 ₽ Можно рубать с командой удалённо, а можно собраться плечом к плечу на площадке: 🔗IT-хабы Альфа-Банка — Санкт-Петербург, Екатеринбург, Москва, Сочи 🔗Коворкинги вузов-партнёров — Финансовый университет, Сириус, ИТМО ✍️ Больше инфы и регистрация на сайте → alfactf.ru

🤨 Подключайтесь через час → youtu.be/q6Juyikm43o

Разбор Ыжедневных тасков Сегодня в 19:З7 мск Влад с приглашёнными игроками проведёт стрим. Ребята расскажут, как можно было решить таски недели в честь дня Ыжа: fyrkbomb.ru/tasks 🔍 Приходите разбираться и задавать вопросы → youtu.be/q6Juyikm43o В конце стрима рандомайзером разыграем подарки: 🔹 три пушистых ежа 🔹 умную колонку 🔹 три промокода на удвоение баунти от Т-Банка 🔹 три купона от Яндекса на +13 337 ₽ в «Охоте» ⬜️

Ыжедневные таски завершены! 😘 Спасибо огромное за участие и фан! Ыж хорошо отпраздновал именины, и пошёл копить силы к следующему юбилейному году :) В этот раз что-то попробовали зарешать 511 человек, хотя бы один верный флаг заслали 53 человека. Финальные результаты и розыгрыш дополнительных призов сделаем в субботу, после стрима с разбором тасков. Подключайтесь 14 февраля в 19:37 мск. Таски этого года и прошлые подняли на fyrkbomb.ru Также благодарим наших партнёров за подарки для крутанов! 🙏 🅰️ AppSec-команду Альфа-Банка за проходки на Saint HighLoad++ и Saint TeamLead Conf ⬜️🔥 Заодно приглашаем вас как early-early birds на Alfa CTF 2026. Цтфка будет 25 апреля. Запускайте @alfactfbot — расскажем, как откроется рега 😼 Команду VK Bug Bounty — за багбаунти-промокоды и проходки на VK Security Confab. Ближайший будет 19 марта в Москве, регистрация уже открыта. Ждём в течение года ещё и в Питере! ❤ Команду «Охоты за ошибками» — за бб-купоны и Станцию мини 3 про  🪆 ZeroNights — за инвайты на осеннюю конференцию 🐞 Команду безопасности Т-Банка — за багбаунти-промокоды в программы компании (1 и 2) Пусть эти подарки придадут вам инфосечного драйва, помогут стать скилловее и найти соулмейтов! Со всеми победителями @ksvark свяжется до конца следующей недели. До встречи на стриме в день всех влюблённых! (в Ыжа) → youtu.be/q6Juyikm43o

🍄 #Таск 2026-02-08: Forensics + Crypto (авторы: @mkvfaa и @mrvos) Ыжа засосало в Hedgehog’s Hibernate! Ыж очутился в той самой игре, на стриме которой его захейтили. Ну и кошмар! Теперь он снова и снова пытается успеть собрать свои любимые грибы, чтобы вовремя уйти в зимнюю спячку — но никак не получается, не выпадает подходящий сид. Чтобы это закончилось, Ыжу необходимо отыскать самый вкусный флаговый гриб, Boletus Flagensis, а такой выпадает один раз на миллион. Ыж сидел на пеньке между неудачными сессиями, и тут небо мигнуло синим экраном. Откуда-то сверху спустился дух на берёзовых ножках и прогундосил: «Был тут один спидраннер, не успел сохранить прогресс... Но память леса всё хранит» Из куста выкатился кубик, поросший мхом: speedpc_memdump.raw.7z Ыж ткнул носом в кубик — это дамп памяти спидраннера: тот почти прошел игру, но проиграл в самом конце. Сможете загрузиться с сида спидраннера и наконец собрать Boletus Flagensis на последнем уровне? Флаг сдавать тут: fyrkbomb.ru/tasks/sunday

Финальный таск скоро откроется! Категория: Forensics + Crypto Сложность: [🦔🦔🦔] Приходите на борду fyrkbomb.ru/tasks в 19:37

🧩 #Таск 2026-02-07: Pwn (автор @awengar) Ыжа засосало в кубик Рубика! Как ни крути, нужно выбираться. Кубик даст флаг, если его собрать — но только в больших, неыжиковых масштабах. Попробуйте получить флаг более простым путём. nc 109.233.56.94 10006 Бинарник: fyrkbomb.ru/files/cubik.elf Флаг сдавать тут: fyrkbomb.ru/tasks/saturday

Субботний таск через час! Категория: Pwn Сложность: [🧊_​_ _​_ ] Приходите на борду fyrkbomb.ru/tasks в 19:37

🪪 #Таск 2026-02-06: Network + Crypto (автор @V1ru55) Ыжа засосало в Papers, Please! Вы — инспектор пограничного контроля Фырстоцки. Перед вами очередь потенциальных нежелательных элементов. Решайте, пускать пассажира в страну или нет. passport-cb8nx5u.blzh.fr/ Смена длится 100 паспортов, руководство обещало флаг за прилежный труд. Но есть нюанс: одна ошибка — расстрел! Сдавать на борде: fyrkbomb.ru/tasks/friday

Таск пятницы через час! Категория: Network + Crypto Сложность: [🛂🛂🛂] ☝️Нелишним будет напомнить, за что мы сражаемся: за пушистых ежей и за многочисленные подарки от партнёров. Залутать себе что-нибудь можно тремя способами: 1. Раньше всех решить таск дня. 2. Решить как можно больше и быстрее тасков, войдя в топ-3 по набранным очкам за все Ыж-таски. 3. Решить что угодно и быть удачливым. Чем больше очков, тем больше шанс на рандомайзере. Разбор всех тасков сделаем на ютубе, и в конце стрима распределим часть подарков случайным образом в пропорции набранных очков. Новое задание сегодня в 19:37 мск на fyrkbomb.ru/tasks

😉 Большой хинт на OSINT Ыж узнал, что хейтер с помощью s3cmd забекапил прямо со своего домашнего ноутбука исходный код своей игры. Содержимое бекапа полностью совпадает с гитхаб-репозиторием хейтера (ничего нового), но бекап точно поможет в поисках. В истории коммитов хейтера в репозиторий dotfiles есть загадочный коммит amend. Что же такое хейтер срочно хотел исправить, затерев ошибочный коммит? Таск стоит 1500 очков, успевайте докрутить