Новости SPbCTF

Ёжики отстрелялись. Пора посмотреть, как это вообще должно было решаться!

Завтра, 2 сентября в 19:‍00 мск разберём наш таск с ZN HackQuest про Hedgewars.

◆ @danosito покажет своё решение. Оно оказалось анинтендедом — и получилось не менее классным, чем задуманный нами путь.
◆ @masesmirnov развернёт своё интендед-решение, и покажет, как мы предполагали обыгрывать ёжиков.

🦔 Если пропустили таск, порешайте по фану.

Нужно было обыграть нас в Hedgewars до семи побед: @spbctf_zn_hedgewars_bot
Коллабы с ИИ-агентами разрешались и даже приветствовались, но одних агентов для победы было маловато :)

Ставьте в план на вечер и подключайтесь завтра в 19:00 мск → youtu.be/XqitftY9wNo
Закладываем примерно два часа на всё это.

😌 Третий день хакквеста начался!

Таск от Жени @rutsh

Как повелось в SPbCTF, путь к проходке на ZN лежит через ёжиков. Мы в своём ежовом мастерстве уверены. Сможете нас обыграть в Hedgewars до 7 побед?

Погнали! 🎮 → @spbctf_zn_hedgewars_bot

Коллабы с ИИ-агентами разрешены и приветствуются. Стоит подключить и мозг: в наших тестах сами по себе агенты не зарешали.

Сдавать на hackquest.zeronights.ru/#day3

⚡️ Уже идёт HackQuest перед ZeroNights — неделя тасков, которыми можно добыть себе проходку на питерскую конфу

Каждый день в 20:00 мск открывается новый таск, 24 часа на решение. Фёрст-блад приносит сразу проходку на конференцию, второй — 0,5 балла, третий — 0,25. Баллы копятся, единичка превращается в ещё один инвайт.

Хакквест стартовал в пятницу и продлится до 27 августа. Регистрироваться заранее не нужно — просто приходите к очередному таску и ломайте.

Сегодняшний вечер будет немного спбцтфным 🦔
Приходите в 20:00 мск → hackquest.zeronights.ru

На выходных вместе с AvitoTech провели HoneyBadger CTF — 30 часов, две лиги, 906 команд и коллекционные мемы с медоедами 🐝

Спасибо всем, кто поучаствовал! Особенно благодарим тех, кто расчехлил руки и решал на собственных нейронах 👏
Это была наша первая цтфка с запретом AI-агентов. Нам ещё предстоит осознать результаты)) Если участвовали и ещё не написали свои впечатления в боте — поделитесь, учтём их в правилах следующих ивентов.

🐝 Если вы не участвовали или хотите дотыкать таски, задания обеих лиг открыты до воскресенья 26 июля. А ещё идёт конкурс видеорайтапов — записать разбор может любой, даже если на цтфке вас не было. Видео принимаем до 2 августа.

Из необычного рекомендуем потыкать
Лёгкие
🔸 Не пойман — не медоед — расследование хака по логам
🔸 На мьюте — логический трюк с регулярками на JS
🔸 Под прикрытием — поступенчатое повышение в Linux
Средние
🔸 МёдХантер — цепочка в облаке с вебом, бинарщиной и RCE
🔸 BeeCA — крипто+инфра с вебово-математическими трюками
Сложные
🔸 Нагибатор — разный парсинг символа + приводит к RCE
🔸 Пост охраны — ревёрсинг чекера окружения на io_uring

Два часа до старта HoneyBadger CTF! 🐝

В 12:00 мск стартуем: 30 часов хакинга нон-стоп, Jeopardy, две лиги. Финальные наставления:

🐝 Распределите силы: таски будут дропаться пачками. Скоринг динамический, без бонусов за скорость — чем больше команд решили задачу, тем меньше очков она приносит всем, кто её уже решил. Зарывайтесь размеренно и с кайфом!

🛏 Договоритесь с командой о сменах: кто-то спит, кто-то решает. Поспавший цтфер меньше тупит, а поспавший и поевший — сдаёт больше флагов :)

🐝 Напоминаем: AI-агенты на этой цтфке запрещены. Пользоваться текстовыми моделями как справочником, поисковиком и джуном-кодером можно. Отдавать модели таск или позволять ей самой придумывать шаги решения — нельзя.

🏘 Если хотите играть оффлайн, места на комьюнити-площадках в Томске и Алматы ещё есть. Подробности: t.me/spbctfnews/750

📵 Предупредите близких, что вы пропали до вечера воскресенья :)

Рега ещё открыта → avitoctf.ru/
Чат цтфки → @avitoctf_chat

🏕 Комьюнити-площадки на HoneyBadger CTF

Цтфка онлайн, но рубиться плечом к плечу всегда драйвовее: «ЕСТЬ ШЕЛЛ!!1! 🙌» после трёх часов ковыряния заряжает лучше энергоса и навсегда остаётся в памяти. Поэтому чисто инициатива для комьюнити — хотим заоргать независимые площадки в разных городах и странах, куда можно будет прийти и порубать в течение 30 часов.

Как это работает
🔹 Хотите заоргать площадку — напишите до 16 июля @ksvark, добавим вашу площадку в список и расскажем о ней всем участникам. Подходят локации, куда смогут прийти люди не из вашей тусовки: хакспейсы, офисы компаний, коворкинги, аудитории в вузе и т.д.

Продумайте заранее

– вместимость: сколько человек, хватит ли столов и стульев;
– время: до скольки можно сидеть, реально ли остаться на ночь;
– проход: как люди будут проходить внутрь, какие данные собрать с участников для охраны или пропусков.

Также может быть полезно
– еда: будет ли чайник/микроволновка/доставка, или каждый сам за себя;
– девайсы и сеть: есть ли мониторы, потянет ли вайфай толпу, не порезаны ли порты.

🔹 Мы анонсируем площадку → желающие пишут её оргу → орг добавляет их в чатик площадки
18 июля собираетесь и 30 часов рубитесь вместе

Четыре площадки уже есть!
📍Томск — хакспейс Akiba (Гагарина 7/1)
Вмещает 35 человек, можно находиться все 30 часов, есть полноценная кухня.
Вписаться → @KillingInTheNameOf

📍Алматы — хакерспейс Чёрный Лёд (Жибек-Жолы 66/1)
Для 30 человек на 30 часов, с кухней, кондеями и разными девайсами.
Вписаться → @gspdnsobaka

📍Москва — хакспейс Yasha Space около м. Текстильщики (Грайвороновская улица, 23)
Камерное новое пространство, которое ребята как раз сейчас обживают. Вмещает 8 человек, можно находиться 30 часов. Есть столы, кресла, мониторы по запросу, кондей, холодильник, еда будет тоже :)
Успевайте вписаться → @maxmosley

📍Краснодар — AI Space на базе КубГТУ (ул. Московская 2А)
Пространство вмещает 30 человек. Есть столы, стулья, мощные компы, кондей, чилл-зона с пуфиками и вкусняшки. На ночь пока нельзя остаться, но ребята договариваются 💪
Для всех желающих. Важно забукать себе место до пятницы, чтобы успели подать список на проход.
Вписаться → @borsch_krd

Соберите цтферов своего города — вдруг окажется, что вас там больше, чем вы думали, или с вашей площадки начнётся локальная тусовка ;)
Рега на цтфку → avitoctf.ru/

Выпускаем медоеда через полторы недели

Есть зверь, которому плевать на змеиный яд, разозлённых пчёл и здравый смысл. Он просто идёт и берёт своё. В его честь мы с командой AvitoTech делаем новую цтфку — HoneyBadger CTF

🔹 Старт в субботу 18 июля, 12:00 мск
🔹 30 часов
🔹 Jeopardy
🔹 Рега уже открыта

🐝 Впервые на наших ивентах: никаких AI-агентов
Последний год на CTF непонятно, кто кого порешает: вы таск или ллмка вас. Меряемся не скиллами, а подписками. Медоеду похер, нам — нет. Медоед не делегирует охоту, а на медоедской цтфке нельзя делегировать атаку.
Обычные текстовые модели, которые советуют или пишут код по вашему описанию, а не решают таск за вас, использовать можно.

Две лиги, размер команды не ограничен
🍯 Honey League — для айтишников: разработчиков, админов, QA, аналитиков. Ещё не цтфили — вам сюда.
Призы: 150 000 ₽ / 100 000 ₽ / 50 000 ₽

🦡 Badger League — для безопасников и матёрых цтферов.
Призы: 300 000 ₽ / 200 000 ₽ / 150 000 ₽

Топ-10 каждой лиги получает плюшевого медоеда. Зверя, который однажды смотрел в глаза кобре. Теперь он будет смотреть, как вы дебажите в четыре утра 🥲

Собирайте команду: зовите коллег в Honey, а сокомандников в Badger → avitoctf.ru/
Читайте правила и регайтесь. До встречи 18 июля!

🏔 Поздравляем с завершением Альфа ЦТФ 2026 🎉

Спасибо, что прошли этот спринтерский маршрут вместе с нами! Надеемся, Альфа ЦТФ дал вам драйв, новые знания, фан от тасков и сплотил команду — ну, или вас с агентами и ллмками 🤝

В этот раз почти 5000 участников пробовали что-то сдать. Количество команд с ненулевым результатом:
• 127 команд в школьном треке
• 450 — в студенческом треке
• 488 — в IT-треке
• 512 — в CTF-треке

Очень ждём ваши впечатления, как вам таски и что думаете про участие с ллмками; что получилось, что бесило, что удивило → forms.gle/EfMxBqnuhizy8uHZ6
Интересно узнать про ваш персональный опыт — как выдохнем, засядем нашей командой разбирать отзывы и планировать следующие цтфки.

Таски оставляем работать до воскресенья, 3 мая. Скоро задания четырёх треков откроются всем участникам. Возвращайтесь после сна дорешать, разобраться и сравнить подходы. Идеи и решения теперь можно обсуждать 🙌

Отдохните как следует! 😎

Двойная порция изи-веба на вечер.
Готовитесь же к Альфа ЦТФ? 👀

🤘 Андрей Бурашников первым решил таск [easy][web][telegram] «Поток флуда» и записал для вас его прохождение: youtu.be/3_Scrxpy-1M
В таске нужно было ломануть и отключить телеграм-бота, рассылающего рекламу.

💪 Второй разбор подготовил Павел Вяткин из команды SH1LO. В задании [medium][web][misc] «Киберремонт киберпанциря» требовалось спалить когда-то существовавшую на сервере картинку по кешу телеграма.
Разбор: youtu.be/De3xkMDmXlM
Отремонтировать панцирь: 2025.alfactf.ru/tasks/cybershell

Стартуем уже в субботу. Рега открыта до 25 апреля 8:00 мск, залетайте → alfactf.ru/

🌅 Разбор [forensics][infra][lpe] «Тайна в лучах заката»

Алиса Сиренева из команды «[team Team] без Никиты Сычёва» показывает прохождение ещё одного хардяна, где нужно было подняться до рута через монтирование произвольных NTFS-разделов. Сначала анинтендед, затем — как было задумано.

Смотреть: youtu.be/fUwX6tSF3J0
Решать: анинтендед и интендед

⏳ Альфа ЦТФ стартует в субботу!
Успевайте зарегистрироваться — в зависимости от площадки, рега на неё закроется завтра в 8:00 мск (для коворкингов в вузах) или в пятницу в 11:00 мск (для IT-хабов Альфы).
⬜️

🥒 Подъехал хардкорный цепочечный похек

В CTF-треке был таск [hard][pwn][python] Дикий огурец, где нужно было найти и придумать, как проэксплуатировать небольшой баг-опечатку в старой версии PyTorch. Чтобы собрать цепочку, пришлось проанализировать целый большой проект. Подготовил разбор НИНИКА из команды «Куркынычсыз by design»

Смотреть райтап → youtu.be/KcUZo4-nH2g
Напихать огурцов самому: 2025.alfactf.ru/tasks/wildpickle

До Альфа ЦТФ 2026 осталось 4 дня. Рега → @alfactfbot

🔗🔗 Альфа ЦТФ скоро, приходите поцтфить 😏

Уже в субботу вместе с ребятами из Альфа-Банка проводим новую цтфку, спидранерскую на 12 часов.
Призы — до 450 000 ₽ на тиму. Правила и рега → alfactf.ru/

🔥 Работают таски прошлого года: 2025.alfactf.ru
Заходите порешать хоть в соло, хоть с командой. Если не участвовали в сентябре, можно с корешами засесть на неделе, выделить три часа и попробовать зарешать как можно больше. Поможет наладить работу в команде (особенно если вы собрали её под ивент), подтянуть нужные навыки и настроить мозг на цтфенье :)

Если застрянете, призывайте чатик на помощь, поможем разобраться 💪

Подробные видео-райтапы на таски от игроков прошлого года:
▪️ [hard][web][python][rce] Краб-фрилансер на грани
▪️ [easy][web] Кислотный ретровейв
▪️ [easy][misc][osint] Звуки ностальгии
▪️ [med][web][infra] Запреты Роскамбалы
▪️ [hard][crypto][coding] Мозаика с намёком

⚡️И сегодня начинаем следующую часть разборов, её открывает Денис! Он первым решил таск [medium][crypto][coding] Трассировка маршрута, и записал для вас своё прохождение. Таск на предсказание ключа из-за плохого рандома.

Смотреть разбор → youtu.be/uAZS8-EeZI0
Дойти самому без спойлеров → 2025.alfactf.ru/tasks/billybones

🚩Регистрация на Альфа ЦТФ 2026 открыта!

Соревнование будет 25 апреля. Приглашаем вас, а вы зовите единомышленников, друзей и коллег! В этот раз будет аж четыре трека — каждый найдёт себе задачи по скиллам и интересам. Начнём с вишенки этого года:

Школьный трек

Для школьников в возрасте от 14 до 18 лет. Размер команды — 1–4 человека.
Каждый участник команды из топ-3 в треке получает тревел-грант с оплатой дороги и проживания на любую поездку в образовательных целях в течение года

CTF-трек

Для опытных в CTF и хакинге. Как и в прошлый раз, можно рубать большой тимой без ограничения на количество участников, но с регистрацией на платформе. Результаты CTF-трека постим на ctftime.org
Призовой фонд — 1 200 000 ₽

IT-трек

Нацелен на айтишников: разработчиков, админов, аналитиков, DevOps- и QA-инженеров. Размер команды — 1–4 человека. Можно тем, кто не работает в сфере безопасности и ещё не участвовал в пяти CTF.
Призовой фонд — 1 050 000 ₽

Студенческий трек

Для студентов до 25 лет, кто учится не на ИБ-направлениях. Размер команды — 1–4 человека.
Призовой фонд — 850 000 ₽

Можно рубать с командой удалённо, а можно собраться плечом к плечу на площадке:
🔗IT-хабы Альфа-Банка — Санкт-Петербург, Екатеринбург, Москва, Сочи
🔗Коворкинги вузов-партнёров — Финансовый университет, Сириус, ИТМО

✍️ Больше инфы и регистрация на сайте → alfactf.ru

🤨 Подключайтесь через час → youtu.be/q6Juyikm43o

Разбор Ыжедневных тасков

Сегодня в 19:З7 мск Влад с приглашёнными игроками проведёт стрим. Ребята расскажут, как можно было решить таски недели в честь дня Ыжа: fyrkbomb.ru/tasks

🔍 Приходите разбираться и задавать вопросы → youtu.be/q6Juyikm43o

В конце стрима рандомайзером разыграем подарки:
🔹 три пушистых ежа
🔹 умную колонку
🔹 три промокода на удвоение баунти от Т-Банка
🔹 три купона от Яндекса на +13 337 ₽ в «Охоте»
⬜️

Ыжедневные таски завершены! 😘

Спасибо огромное за участие и фан! Ыж хорошо отпраздновал именины, и пошёл копить силы к следующему юбилейному году :)

В этот раз что-то попробовали зарешать 511 человек, хотя бы один верный флаг заслали 53 человека. Финальные результаты и розыгрыш дополнительных призов сделаем в субботу, после стрима с разбором тасков. Подключайтесь 14 февраля в 19:37 мск.

Таски этого года и прошлые подняли на fyrkbomb.ru

Также благодарим наших партнёров за подарки для крутанов! 🙏

🅰️ AppSec-команду Альфа-Банка за проходки на Saint HighLoad++ и Saint TeamLead Conf

⬜️🔥 Заодно приглашаем вас как early-early birds на Alfa CTF 2026. Цтфка будет 25 апреля. Запускайте @alfactfbot — расскажем, как откроется рега

😼 Команду VK Bug Bounty — за багбаунти-промокоды и проходки на VK Security Confab. Ближайший будет 19 марта в Москве, регистрация уже открыта. Ждём в течение года ещё и в Питере!

❤ Команду «Охоты за ошибками» — за бб-купоны и Станцию мини 3 про 

🪆 ZeroNights — за инвайты на осеннюю конференцию

🐞 Команду безопасности Т-Банка — за багбаунти-промокоды в программы компании (1 и 2)

Пусть эти подарки придадут вам инфосечного драйва, помогут стать скилловее и найти соулмейтов! Со всеми победителями @ksvark свяжется до конца следующей недели.

До встречи на стриме в день всех влюблённых! (в Ыжа) → youtu.be/q6Juyikm43o

🍄 #Таск 2026-02-08: Forensics + Crypto (авторы: @mkvfaa и @mrvos)

Ыжа засосало в Hedgehog’s Hibernate!

Ыж очутился в той самой игре, на стриме которой его захейтили. Ну и кошмар!

Теперь он снова и снова пытается успеть собрать свои любимые грибы, чтобы вовремя уйти в зимнюю спячку — но никак не получается, не выпадает подходящий сид. Чтобы это закончилось, Ыжу необходимо отыскать самый вкусный флаговый гриб, Boletus Flagensis, а такой выпадает один раз на миллион.

Ыж сидел на пеньке между неудачными сессиями, и тут небо мигнуло синим экраном. Откуда-то сверху спустился дух на берёзовых ножках и прогундосил:

«Был тут один спидраннер, не успел сохранить прогресс... Но память леса всё хранит»

Из куста выкатился кубик, поросший мхом:
speedpc_memdump.raw.7z
Ыж ткнул носом в кубик — это дамп памяти спидраннера: тот почти прошел игру, но проиграл в самом конце.

Сможете загрузиться с сида спидраннера и наконец собрать Boletus Flagensis на последнем уровне?

Флаг сдавать тут: fyrkbomb.ru/tasks/sunday

Финальный таск скоро откроется!
Категория: Forensics + Crypto
Сложность: [🦔🦔🦔]

Приходите на борду fyrkbomb.ru/tasks в 19:37

🧩 #Таск 2026-02-07: Pwn (автор @awengar)

Ыжа засосало в кубик Рубика!

Как ни крути, нужно выбираться. Кубик даст флаг, если его собрать — но только в больших, неыжиковых масштабах.

Попробуйте получить флаг более простым путём.

nc 109.233.56.94 10006

Бинарник: fyrkbomb.ru/files/cubik.elf

Флаг сдавать тут: fyrkbomb.ru/tasks/saturday

Субботний таск через час!
Категория: Pwn
Сложность: [🧊_​_ _​_ ]

Приходите на борду fyrkbomb.ru/tasks в 19:37