3月18日，Pwn2Own 2015將在加拿大溫哥華拉開戰幕。在持續兩天的比賽中，來自全球頂尖黑客高手，將向IE、Chrome、Safari、Firefox等常見瀏覽器以及IE的Flash和PDF插件發起攻擊，奪取高額比賽獎金。

[[129842]]

不過對于很多信息安全的新手來說，他們往往會將Pwn2Own與另一著名國際黑客賽事Defcon ctf混淆，搞不清楚兩者的區別。

借著Pwn2Own 2015開賽在即的間隙，小編從比賽形式、參賽門檻、參賽選手、活動氛圍四個維度對兩大國際黑客大賽進行全面對比，幫助年輕黑客及安全技術研究愛好者更好的認識和了解Pwn2Own與Defcon CTF 。

Pwn2Own像射擊，Defcon CTF像足球

Defcon CTF更傾向于人與人之間的對抗。CTF賽制代替之前黑客們通過互相發起真實攻擊進行技術比拼的方式，得到廣泛普及。僅2014年全球就有超過50場國際性CTF賽事舉辦，而DEFCON CTF總決賽則是CTF賽事中最頂尖的舞臺。

與之相比，至今僅第七個年頭的Pwn2Own就要年輕的多，比賽形式也更新穎。Pwn2Own比賽的目標硬件為安裝當年最新系統的Windows或蘋果筆記本，軟件則是最新版瀏覽器及其插件。

由美國五角大樓入侵防護系統供應商TippingPoint的DVLabs贊助總計近百萬美元的賽事獎金每年吸引著無數頂尖的黑客對這些產品發起挑戰。

不難看出，Defcon CTF對臨場發揮的要求更高。而從競技的角度來說CTF更傾向于對抗，Pwn2Own則是對同目標的比拼。用體育項目來比喻的話，CTF就是足球比賽，Pwn2Own就是目標明確的射擊比賽。

順便說說今年Pwn2Own的6個“靶心”。瀏覽器目標有三個，分別為Chrome 42、 IE 11、Firefox，兩個Windows瀏覽器插件目標即運行在IE 11內的Flash播放器和PDF閱讀器，以及蘋果系統自帶的Safari瀏覽器。

與以往不同的是，2015PWN2OWN的“靶心”更小了。本屆賽事IE瀏覽器、Flash、PDF閱讀器三個目標都運行在64位下并且打開了EPM(增強保護模式)，致使賽事的整體難度大幅提升。

如何直觀了解項目的難度，從主辦方為其懸賞的獎金就可以看出。攻破Chrome、IE、Firefox和Safari四大主流瀏覽器分別為7.5萬美元、6.5萬美元、3萬美元、5萬美元。而IE瀏覽器插件Flash與PDF的獎金均為6萬美元。當然如果能夠在此基礎上，獲取目標更高的系統級權限，還能拿到2.5萬元的額外獎金，鼓勵黑客們去發現更多更高級漏洞。

然而曾在Pwn2Own比賽上攻破Chrome的“常勝將軍”VUPEN黑客團隊創始人Chaouki Bekrar就公開在推特上表示：“2015年的Pwn2Own你在開玩笑嗎?獎金少了，難度卻增加了(64位、EMET、增強沙箱保護、禁止注銷/重啟等)，坐等2016的到來。”

業內專家“TK教主”于旸在知乎上對此事的評價稱是VUPEN認為比賽難度提升，獎金卻變少了，不合理。畢竟VUPEN是以此為業的。

比賽者區別

[[129843]]

CTF賽事入門門檻相對較低，鼓勵大眾的參與，無論是專業人士、泛專業人士、愛好者都可參與，除正式比賽外，年輕黑客還可以考慮報名CTF外圍賽磨練自己。

參加PWN2OWN賽事門檻就相對高了許多，僅僅注冊報名就需上萬人民幣。即便是頂級黑客沒有充分的準備也不會貿然參賽的，畢竟每個“靶心”背后站著全球著名互聯網公司的安全團隊傾力打造的安全體系。

換個角度來說，CTF賽事中不乏學生戰隊，如國內的參加CTF的常客藍蓮花戰隊，就是以清華學生為參賽主體。而Pwn2Own中學生參賽情況較為罕見。

不過這不能代表CTF或Pwn2Own的最高參賽者水平孰高孰低，CTF賽事的頂尖隊伍參加Pwn2Own也不在少數。

CTF賽事多數是團隊作戰，畢竟在48小時或者更短的時間需要完成主辦方設置的題目獲取旗幟，進行技術攻防，所以單人作戰往往顧此失彼，力不從心。優勢互補的團隊作戰是CTF賽事的主流。

然而盤點歷年PWN2OWN個人參賽者就不少，但隨著比賽難度的逐步提高，PWN2OWN團隊作戰比例呈現上升趨勢。如圖所示，去年被破解的項目中團隊作戰占比超過63%。

2014 PWN2OWN 冠軍一覽左至右依次是冠軍得主、團隊名、年份、挑戰項目

團隊作戰的代表中除了奪冠次數最多的VUPEN戰隊外，來自中國的Keen Team戰隊也是團隊作戰的代表戰隊，連續兩屆奪冠的他們儼然成為國內乃至亞洲頂級黑客戰隊的旗幟。

賽制區別

從活動氣氛上來說，CTF相比PWN2OWN更活躍。這可能與CTF賽制的誕生地Defcon有關，Defcon一直以嘉年華的形式舉辦，CTF比賽現場常常在現場設置大屏幕觀看排名，炫目的示意圖等。

[[129844]]

今年2月日本舉辦的SECCONCTF中攻防可視化技術的展示

相比之下PWN2OWN更注重研究院員的技術成果，現場氣氛較為嚴肅，畢竟挑戰全球知名軟件背后的安全團隊并不是一件容易的事情。

Defcon CTF氣氛活躍可能還有歷史基因的關系在里面。Defcon創始人、黑客社區的“搖滾巨星”JeffMoss創建Defcon的初衷，源自有一次他為朋友辦了一個告別Party，結果他朋友先走了。MOSS就把熟悉的黑客叫過來繼續開Party，最后演變成全球著名的黑客大會Defcon。

最后分享個冷知識，Pwn2Own里的“Pwn”是一個黑客語法的俚語詞，自“own”這個字引申出來的，這個詞的初始含義是玩家在整個游戲對戰中處在勝利的優勢，或是說明競爭對手處在完全慘敗的情形下，這個詞習慣上在網絡游戲文化主要用于嘲笑競爭對手在整個游戲對戰中已經完全被擊敗。

在黑客界中意為攻破、控制的意思，黑客需要利用漏洞來修改程序(或者進程)中的標準執行路徑，從而達到執行任意命令的目的。Pwn2Own顧名思義就是攻破控制設定好的挑戰目標。

說了那么多，相信大家心中對Pwn2Own與Defcon CTF有清晰的輪廓。其實黑客大賽和其他競技比賽一樣，外行看熱鬧，內行看門道。同級別的比賽中GeekPwn可謂是最親民的黑客大賽，感興趣的可以自行了解下，在此就不復述了。

2015 PWN2OWN馬上就要開始了，最終會有哪些中國或亞洲的安全研究團隊出現在Pwn2Own現場，又有誰能夠打中”靶心”成為今年的神槍手呢，讓我們拭目以待吧。