第三届48小时黑客马拉松IoT破解大奖赛

赛事官网：https://security.360.cn/Index/hackmarathon2018#contest

 

一套脸谱，可能变出我赤子真颜？

一锅辣汤，可能及上我热血滚烫？

一阵龙门，可能道尽我求索心路？

一曲民谣，可能唱出我得失成长？

和我走一走，从北京走到福州，再走上成都的街头。

和我走一走，从11月走到12月，再从18走到19。

2018年11月30日，360SRC黑客马拉松终将和成都相会。

 

赛事简介

安全是万物互联的基础，360公司在IoT安全领域具有天然优势。2017年，360集团创始人周鸿祎在360安全应急响应中心的三周年庆典上正式发布IoT安全守护计划，招募全球白帽黑客加入，共同守护360智能硬件产品安全。2018年，360SRC推出IoT安全生态守护计划，诚邀第三方IoT厂商与安全研究员的加入，共建IoT安全生态。

与此同时，IoT安全人才培养计划也开始正式运行。作为IoT安全生态守护计划的重要组成部分，本计划面向广大在校学生，通过线上课程讲解和线下比赛交流等多种形式，引发在校学生对IoT安全的兴趣，引导他们学习相关安全技能。

对于安全研究人员来说，最重要的一个理念就是“未知攻，焉知防”。IoT安全人才不仅需要理论性课程的讲解，更需要实战的演练。而360安全应急响应中心就是他们最佳的演武场，48 小时黑客马拉松IoT破解大奖赛也是人才实践中最重要的一环。我们希望通过每一届的黑客马拉松赛事与课程培训，不断挖掘优秀的安全人才，为网络安全的大环境输送新鲜血液。

 

首日直击

2018年11月30日晚19：00,由360安全应急响应中心举办的第三届48小时黑客马拉松IoT破解大奖赛正式在成都开赛。比赛过程将持续48小时，来自各大高校的10支安全战队将针对比赛目标进行漏洞破解。本次破解的对象主要是360旗下的各类IoT产品，如扫地机器人、行车记录仪和路由器等，来自黑客江湖的金戈铁马即将碰撞出激烈的火花。

2018年11月，360发布了《典型IoT设备网络安全分析报告》，报告中提到：据多个机构预测，2020年全球IoT设备数量将高达200-500亿。

大量的设备联网，为我们创造了前所未有的智能生活，但也带来了严峻的安全问题，各式各样的智能设备无时无刻不在面临着安全的挑战。从早前的Mirai DDoS僵尸网络致使半个美国断网，到后来针对摄像头的魔鬼常春藤，从Owlet婴儿无线心脏监测仪到CloudPets智能玩具，物联网安全事件比比皆是。而如智能电视、电视盒子等网络设备的安全漏洞，也使攻击者有可能通过远程攻击窃取和监控用户上网信息，甚至盗取用户上网帐号。

在大安全时代，IoT设备的安全问题不仅会威胁到普通用户的隐私安全、财产安全和人身安全，同时，大量不安全的Iot设备联结在一起，也有可能危害公共安全和国家安全。

为了使用户安全得到保证，360旗下的智能硬件设备在正式发布前，都要经过严格的安全提测与漏洞排查。然而，我们始终认为安全无绝对，因此，坚持让360旗下产品再过一道黑关。从2017年至2018年，360两次在全国范围内召集白帽黑客，对360IoT产品进行48小时不间断的漏洞挖掘，也曾将产品两次搬上DEFCON的舞台，接受全世界黑客的检验。两年来，我们保持着0漏洞的成果，为用户安全再加一道金钟罩。

我们期待着白帽黑客的出色表现，期待着他们能够提交漏洞、助力产品安全，但我们对360IoT产品安全亦有着足够的自信。战火将起，暗流涌动，又一群白帽英雄等待你的加冕！究竟是产品安全守护小队稳如磐石、更胜一筹，还是白帽黑客快人一步、助力产品安全？又是谁将披上高悬的冠军战袍？让我们拭目以待。

截止2018年12月1日晚19:00，黑客马拉松的赛程已经过半。第一个24小时里，黑客与成都发生了哪些不得不说的故事？快跟着小编黑进现场，一起去看看吧！

现场的的气氛相当其乐融融。嘴馋了吃吃零食，口渴了喝喝饮料，还有废话很多的扫地机器人“小黑黑”唱歌助兴。

最意外：一腔孤勇，求索前行

正是初见拘谨时，一位小黑客意外闯入了我们的比赛现场。原来，他是来自成都东软学院信息安全专业的大一学生。一从网上得知了比赛的消息，便自费乘车60公里从都江堰赶到了酒店，想和学长学姐们讨教一番。

最感动：一唱一和，共话安全

开赛2小时，楼上为了用户安全、产品安全进行的比赛正胶着，而楼下路过的公车带来了两行大字：“网络安全为人民，网络安全靠人民。”不愧是黑客之都，不愧是年少有为的白帽黑客。

最可爱：不是对手，是战友

线上的他们，总是一人冲锋陷阵，线下的他们，却有了战友结实的臂膀。遇到了问题，大家就一起讨论解决吧！有队友，更无畏！说好的大家是竞争关系，怎么讨论起来了？  行吧，只要是为了守护安全，都可以的。

 

最执着：你自渗透，我自PWN

开赛4小时，在所有战队此起彼伏的“SafeCrackMe”好难的呼喊声中，来自中国海洋大学的Blue-Whale战队率先解出了这一附加题目，并且获得1个漏洞50积分的奖励，名次瞬间反转，由0积分升至50积分，名次上升至第三名。

*我们将在赛后公布两道黑客屋的题目以及答案。

首日排名

来自成都信息工程大学的SYClover战队以暂列第一，来自西南石油大学的08067sec战队位列第二，来自中国海洋大学的Blue-Whale战队夺得第三。

接下来的24小时战况如何？让我们共同期待！

 

最终战报：惊天超越，逆风翻盘

比赛进入下半程，各个战队的脑力与体力都经受到了极大考验，会务组也紧张得手脚冰凉，这到底是为什么？让我们沿着时间轴，回顾这一场惊天逆转之战！

倒计时18小时

凌晨00：30，面对30余名队员不间断的报告轰炸与问题探讨，审核人员的体力也已经到达了极限。

Blue-Whale战队的成员仍然驻留现场，兴奋地讨论着，难道他们有了新的发现？

凌晨1：00，虽然已经筋疲力尽，但首日冠军SYClover没有丝毫懈怠，成为了最后驻守奋战的一组。

 

倒计时8小时

中午12:00 经过上午几小时的鏖战， SYClover依然位居榜首，08067sec紧随其后，其他战队的积分也在不断增加。Blue-Whale战队已经掉出前5名，积分没有任何变化。

 

倒计时3小时

14:00，SYClover一路高歌猛进，以275分遥遥领先， ROIS战队后来居上，名字不断逼近前三，然而，比赛将近尾声，分数差距太大，大局已定。

难道其他战队再无得分的可能？难道本届比赛如此早便要落下帷幕？

 

最后时刻

2018年12月2日19:00分，经过审核组长时间认真严肃的讨论，会务组终于收到了足以扭转本场比赛战局的通知。随着三条弹幕弹出，Blue-Whale的三份安全报告拿下了250分，以300分的成绩瞬间升至第一名！第三届48小时黑客马拉松IoT破解大奖赛终于尘埃落定。

 

比赛结果

经过48小时的激烈角逐，中国海洋大学的Blue-Whale战队夺得第1名，他们将获得48000元漏洞奖金及10000元额外奖金；成都信息工程大学的SYClover战队位列第2名，他们将获得25000元漏洞奖金及5000元额外奖金；来自西南石油大学的08067sec战队拿下第3名，他们将获得1100元漏洞奖金。

比赛终于尘埃落定，然而安全仍需奋勇前行。在这一场比赛里，每一个战队都没有辜负大家的期望。无关名次，无关奖励，更令我们感动的是选手们坚持到底的执着精神，是他们毫无成见的分享精神；是他们真诚地互相赞扬的掌声，更是他们对于安全一路走到底的极客之魂。你们很强，我们也不差。

趁青春，就要战到底！为安全而生，与未来较劲，谁都有可能逆风翻盘。

感谢本次所有战队的参与，感谢各学校的大力支持，更感谢各位默默关注与支持的朋友。黑客马拉松，我们明年见！

 

比赛介绍

从北京到福州，从福州到成都，48 小时黑客马拉松IoT破解大奖赛迄今已经走到了第三届。今年，360SRC再次面向信息安全专业的学生以及爱好者推出了这一场线下漏洞挖掘赛事，本届比赛以IoT漏洞挖掘为主，另特设“黑客屋”挑战赛。挑战形式丰富，比赛奖金丰厚。

 

比赛时间

11月30日18点—12月2日19点

 

比赛地点

成都东方广场假日酒店（锦江区东大街芷泉段231号）

 

比赛规则

参赛者需要48小时连续不中断的对特定产品进行漏洞挖掘。在48小时内，主办方除提供食品和饮料外，还将为每个战队提供一间酒店标间，用于选手“回血”休息。

漏洞挖掘比赛：比赛结束后，根据漏洞挖掘数量和质量进行奖励。有效漏洞按照如下规则进行相应积分与现金奖励。其中积分计入总成绩。

严重 现金：￥5000 – ￥10000  5倍，最高可获得5万元奖励

高危 现金：￥1000 – ￥4000    3倍，最高可获得1.2万元奖励

中危 现金：￥100 – ￥1000      2倍，最高可获得2000元奖励

翻倍奖励仅限线下比赛。

若挖掘到IoT设备的有效漏洞，最高可获得360000元人民币奖金，详情参见IoT安全守护计划https://security.360.cn/Index/iot。

• “黑客屋”挑战赛：挑战成功可在总成绩中直接计入固定数量的加分。
• 额外奖励：总成绩分数排名前三且至少有一个高危及以上漏洞的队伍可获得额外奖金。

第一名    人民币10000元

第二名    人民币5000元

第三名    人民币3000元

若有两个及以上团队排名积分相同，则由审核人员根据有效漏洞的数量和质量综合判定名次。

*本次活动全部奖励将由360安全应急响应中心发放

 

比赛题目

已公开目标4个，白帽子们可开始破解，其余隐藏目标将在比赛当天公布。

• 360安全路由 – 360智能管家APP

移动端: apk、ipa

固件系统漏洞：360路由器发布版固件系统通用漏洞，包括敏感信息泄露、远程拒绝服务、远程代码执行、本地代码执行，本地敏感信息泄露，认证绕过等。

• 360智能摄像机 – 智能摄像机APP

移动端: apk、ipa

固件系统漏洞：360智能摄像机发布版固件系统通用漏洞，包括敏感信息泄露、远程拒绝服务、远程代码执行等。

• 360N7 – 360手机

应用漏洞：360手机N7预装应用以及360公司产品，例如360手机浏览器；

系统漏洞：驱动漏洞，系统OS漏洞

• 360行车记录仪 – 360记录仪APP

移动端: apk、ipa

固件系统漏洞：360行车记录仪发布版固件系统通用漏洞，包括敏感信息泄露、远程拒绝服务、远程代码执行等。

 

参与战队

经过360SRC选拔选拔，本次参赛的10支战队都是在信息安全研究方面拥有优秀人才的高校战队。这些同学所在的高校大部分都加入了360IoT安全人才培养计划的首期班，也有部分学校因为同学们优秀的技术和能力而破格进入本次的十强之争。

中国海洋大学   Blue-Whale战队

成都信息工程学院   SYClover战队  D0g3战队

西南石油大学   08067sec战队

中国矿业大学   BXS战队

福州大学   ROIS战队

南京航空航天大学   Asuri战队

青岛科技大学    小能猫战队

四川大学   grootsec战队

中北大学   RUT战队

 

互动活动

参与微博投票，预测冠军战队，共同瓜分豪华礼包。

人气最高的战队将每人获得360手机+360路由器一套

同时将抽取一位转发微博的粉丝送出价值3499元的360产品大礼包一份，内含（360手机、360行车记录仪、360儿童手表、360智能摄像机、360安全路由安仔玩偶和同款比赛帽衫）。

投票链接：http://t.cn/ELxs8iw