Technikai tudnivalók

1. Röviden

A CyberQuest 2026 helyszíni csapatverseny, két párhuzamos játékmóddal: 4 Jeopardy-feladat és 4 Attack-Defense (A/D) szolgáltatás. Ez az oldal az A/D infrastruktúrát írja le. A feladatok tartalmát nem áruljuk el előre.

2. Mit hozzatok

• Csapattagonként laptop és töltő. A hálózatot mi adjuk: előzetes terveink szerint wifi lesz.
• WireGuard kliens, előre telepítve (wg-quick Linuxon, a hivatalos alkalmazás macOS-en és Windowson).
• SSH kliens.
• Ajánlott: Wireshark vagy tshark a PCAP-okhoz, Python a saját exploitokhoz és a beküldő szkripthez, Docker-ismeret.

3. Hálózat

• A versenyhálózatot WireGuardon éritek el. Minden csapattag saját konfigot kap. Nincs közös csapatfájl, és nem kell kulcsot generálnotok.
• A konfigot bejelentkezés után a portálról töltitek le (Csapat → Kapcsolat). Bármikor újra letölthető.
• Egy gépen egyszerre csak egy játék-VPN fusson. Egy második aktív VPN könnyen elviszi az alapértelmezett útvonalat, és csendben megszakítja a versenyhálózat elérését.
• Csak a vulnboxok támadhatók. Más csapatok gépeit támadni tilos.

A valódi címeket bejelentkezés után a portálon látjátok.

A szolgáltatásaitokhoz minden kérés ugyanarról a címről érkezik, ezért a forráscím alapján nem tudjátok megkülönböztetni a többi csapatot és a checkert.

4. Vulnbox

• Minden csapat egy saját, központilag futtatott Linux VM-et kap. Ez a vulnbox. Nem kell image-et letöltenetek vagy saját gépen futtatnotok.
• A boxon a 4 A/D szolgáltatás fut, konténerben (Docker Compose).
• Belépés SSH-val, a csapat közös kulcsával. A kulcsot bármelyik jóváhagyott csapattag letöltheti a portálról. A pontos cím és az SSH-parancs ugyanott van. A WireGuard-kapcsolatnak élnie kell.
• Erőforrás: 4 vCPU, 8 GB RAM, 100 GB lemez, négy szolgáltatásra megosztva. Ez a verseny előtt még változhat. Ne futtassatok a boxon nehéz elemzést. A PCAP-okat a saját gépeteken nézzétek.
• A box a tiétek: javíthatjátok a szolgáltatásokat. Ha egy szolgáltatás nem válaszol helyesen, SLA-pontot veszítetek.
• A javítás és az újraindítás módjáról később írunk. A részleteket a verseny előtt itt tesszük közzé.

5. Felderítő szakasz (09:00–10:00)

• A checkerek már futnak. Látjátok a saját szolgáltatásaitok státuszát és a saját PCAP-jaitokat.
• Nincs pontozás (sem SLA, sem támadás, sem védekezés), és a flagbeküldés zárva van: a beküldő GAME_NOT_OPEN választ ad. A felderítő szakaszban kiosztott flagek a megnyitás után sem érnek pontot.
• A csapatok közötti hálózat ekkor zárva lesz: egymást még nem tudjátok támadni.
• A Jeopardy-feladatok ekkor még nem érhetők el.
• A tervek szerint 10:00-kor a hálózat automatikusan megnyílik, és indul a pontozás. A portál visszaszámlál.

Erre használjátok: a hozzáférések ellenőrzése, a szolgáltatások megismerése, a normál forgalom megfigyelése, az első javítások.

6. Tickek és flagek

• Egy tick 3 perc (180 másodperc).
• A checker minden tick elején minden csapat minden szolgáltatásába új flaget tesz. Közben ellenőrzi, hogy a szolgáltatás helyesen működik-e.
• Egy flag az elhelyezésének tickjében és az azt követő 5 tickben küldhető be (r…r+5).
• A checker az aktuális és az előző 5 tick flagjeit is visszakéri. Ha javítás vagy újraindítás közben elvesznek az adatok, az az SLA-ba kerül.
• Flagformátum: FLAG{...}. A részleteket a verseny előtt itt tesszük közzé.

Flag ID-k és a célpontlista

A portál teams.json végpontja adja a támadható csapatok listáját és a szolgáltatásonkénti flag ID-kat. A flag ID például egy felhasználónév vagy rekordazonosító, amely megmondja, hol keressétek az érvényes flaget.

A tervek szerint a végpont az aktív és lezárt versenyállapotban lesz nyilvános, hitelesítés nélkül; máskor 404-et adhat. A formátum FAUST-kompatibilis.

7. Flagbeküldés

• Soralapú TCP-kapcsolat a 31337-es porton, a versenyhálózaton belül. A pontos cím a portálon van (Csapat → Kapcsolat).
• Soronként egy flag, LF-fel lezárva. Nincs üdvözlő sor: előbb küldjetek, utána olvassatok. Minden flagre egy válaszsor jön, sorrendben.
• A csapatot a forrás-IP azonosítja, külön hitelesítés nincs. Ezért a VPN-nek élnie kell.

8. Szolgáltatásstátuszok

9. Pontozás (A/D)

A pontszám szolgáltatásonként három részből áll. A végeredmény ezek összege. A képlet a tervek szerint a FAUST CTF pontozását követi.

támadás   += 1 + 1 / (ahány csapat megszerezte ugyanazt a flaget)
védekezés -= (ahányszor a flagedet megszerezték) ^ 0,75
SLA       += (UP tickek + 0,5 × RECOVERING tickek) × sqrt(csapatok száma)
összesen   = támadás + védekezés + SLA

• A ritkább flag többet ér, de minden elfogadott flag legalább 1 pont.
• A NOP csapattól szerzett flag nem ér pontot.
• A Jeopardy-feladatok fix pontot érnek. Nincs dinamikus pont, first blood vagy részpont.
• A végeredmény a Jeopardy- és az A/D-pontok összege. A részleteket a verseny előtt itt tesszük közzé.

10. Forgalomfelvételek (PCAP)

• Minden jóváhagyott csapattag letöltheti a saját csapat boxának forgalmát a portálról (Csapat → PCAP).
• A tervek szerint tickenként egy fájl készül a box teljes forgalmáról, 1 tick (3 perc) késleltetéssel. A portál mutatja, mely szolgáltatások forgalma van benne. A tervek szerint az utolsó 10 tick egyetlen PCAP-ként is letölthető.
• Csak a saját csapat forgalma érhető el.

11. NOP csapat

Fut egy szervezői, javítatlan vulnbox is. Ezen tesztelhetitek az exploitokat. Kap flageket, és a checker is ellenőrzi, de a tőle szerzett flag nem ér pontot. A címét bejelentkezés után a portálon látjátok.

12. Jeopardy

• 4 Jeopardy-feladat.
• A feladatok 10:00-tól érhetők el.
• A részleteket a helyszínen ismertetjük.

13. AI-eszközök

A versenyen korlátozzuk az AI-eszközök használatát. Ide tartoznak az LLM-alapú asszisztensek és ügynökök is.

A pontos szabályokat a verseny előtt itt tesszük közzé.

Készüljetek arra, hogy a verseny alatt képernyőfelvételt kérünk a gépetekről, például OBS-sel, alacsony képkockaszámmal.

Előfordulhat, hogy a szervezők szerveroldalon is megjelölik az AI-eszközre utaló forgalmat.

14. Amit nem szabad

• Támadni csak a többi csapat vulnboxát szabad. A versenyinfrastruktúra, a portál, a többi játékos gépe és a helyszíni hálózat nem célpont.
• Tilos a szolgáltatásmegtagadás: más csapat szolgáltatását kérésözönnel vagy erőforrás-kimerítéssel leállítani. A sérülékenységen keresztüli támadás rendben van.
• Tilos a csapatok közötti együttműködés (flagek, exploitok megosztása).
• A részletek a versenyszabályzatban vannak.

15. Segítség a helyszínen

• Technikai eligazítás 08:45-kor.
• Verseny közben a helyszíni helpdesk-asztalnál kaptok segítséget.
• Kérdés a verseny előtt: [email protected].