一篇文章看懂Pwn2Own与DefconCTF的区别

DefconCTF更倾向于人与人之间的对抗。CTF赛制代替之前黑客们通过互相发起真实攻击进行技术比拼的方式，得到广泛普及。仅2014年全球就有超过50场国际性CTF赛事举办，而DEFCONCTF总决赛则是CTF赛事中最顶尖的舞台。

与之相比，至今仅第七个年头的Pwn2Own就要年轻的多，比赛形式也更新颖。Pwn2Own比赛的目标硬件为安装当年最新系统的Windows或苹果笔记本，软件则是最新版浏览器及其插件。

由美国五角大楼入侵防护系统供应商TippingPoint的DVLabs赞助总计近百万美元的赛事奖金每年吸引着无数顶尖的黑客对这些产品发起挑战。

不难看出，DefconCTF对临场发挥的要求更高。而从竞技的角度来说CTF更倾向于对抗，Pwn2Own则是对同目标的比拼。用体育项目来比喻的话，CTF就是足球比赛，Pwn2Own就是目标明确的射击比赛。

顺便说说今年Pwn2Own的6个“靶心”。浏览器目标有三个，分别为Chrome42、IE11、Firefox，两个Windows浏览器插件目标即运行在IE11内的Flash播放器和PDF阅读器，以及苹果系统自带的Safari浏览器。

与以往不同的是，2015PWN2OWN的“靶心”更小了。本届赛事IE浏览器、Flash、PDF阅读器三个目标都运行在64位下并且打开了EPM（增强保护模式），致使赛事的整体难度大幅提升。

如何直观了解项目的难度，从主办方为其悬赏的奖金就可以看出。攻破Chrome、IE、Firefox和Safari四大主流浏览器分别为7.5万美元、6.5万美元、3万美元、5万美元。而IE浏览器插件Flash与PDF的奖金均为6万美元。当然如果能够在此基础上，获取目标更高的系统级权限，还能拿到2.5万元的额外奖金，鼓励黑客们去发现更多更高级漏洞。

然而曾在Pwn2Own比赛上攻破Chrome的“常胜将军”VUPEN黑客团队创始人ChaoukiBekrar就公开在推特上表示：“2015年的Pwn2Own你在开玩笑吗？奖金少了，难度却增加了（64位、EMET、增强沙箱保护、禁止注销/重启等），坐等2016的到来。”

业内专家“TK教主”于旸在知乎上对此事的评价称是VUPEN认为比赛难度提升，奖金却变少了，不合理。毕竟VUPEN是以此为业的。