KeyFrame內部研究專用

DEF CON 33 - Hacker Jeopardy Friday

DEFCONConference·10月10日週五·116 min英文

三句話摘要

Defcon 33駭客Jeopardy競賽節目,駭客社群的知識競技與文化展示盛會。 Defcon 33 Hacker Jeopardy透過充滿混亂與幽默的知識競賽,展現駭客社群對技術、歷史與文化的深厚認識,同時結合慈善募款推動隱私保護等社會議題,體現了駭客精神的本質:既是技術與知識的追求者,也是社會進步的倡導者。 這是駭客社群的年度娛樂盛典,結合知識問答與社群互動,透過富有創意的隊名(如Ponehub、Lintile Gummy Bears等)展現社群幽默與自我認同。

重點整理

重點
  • 1

    這是駭客社群的年度娛樂盛典,結合知識問答與社群互動,透過富有創意的隊名(如Ponehub、Lintile Gummy Bears等)展現社群幽默與自我認同。

  • 2

    題目設計多樣化,既測試駭客歷史和國際大會知識,也涵蓋密碼學、網路安全、協議等技術深度,反映社群的廣泛興趣跨度。

  • 3

    比賽過程充滿技術故障卻照常進行,體現駭客「臨機應變」精神——音頻中斷、計分系統失效時,節目照樣繼續。

  • 4

    結合慈善募款,隔天計畫拍賣累年的Jeopardy硬幣,所有收益捐給EFF,展現社群對隱私與言論自由議題的持續關注。

實用技巧與重點

乾貨
  • 會議與人物:
  • Defcon 33 Hacker Jeopardy(拉斯維加斯)
  • 主持人:Win、Miss Kitty、Lintile
  • 參賽隊伍:World War II、Ponehub、Chalupa、Pandemonium、Rubber Chicken Wranglers、Lintile Gummy Bears、Bad Strife、Holy Lands、Two Men and a Baby
  • 國際駭客大會:
  • CCC (Chaos Computer Congress) — 德國12月年度最大
  • Hackfest Canada — 加拿大
  • CanSecWest — 加州,iPhone漏洞開發競賽主辦方
  • Wild West Hackfest — Deadwood, South Dakota
  • DEF CON — 美國拉斯維加斯
  • Corn Con — 愛荷華州
  • DerbyConc — 已於2025停辦
  • HushCon — 紐約(2025年16週年)
  • Ekoparty — 布宜諾斯艾利斯,拉丁美洲最大駭客大會
  • 技術術語:
  • DTMF (Dual Tone Multi-Frequency) — 雙音多頻
  • SSL/SSH/SSD — 加密協議
  • NIST (National Institute of Standards and Technology)
  • CFAA (Computer Fraud and Abuse Act) — 美國計算機欺詐濫用法
  • Blue Box — 免費電話盒
  • Captain Crunch Whistle — 2600 Hz 頻率
  • 2600 Magazine — 駭客季刊,1984年創辦
  • 駭客歷史人物:
  • Grace Hopper — 第一個記錄的「蛾」電腦漏洞
  • Thomas Edison — 1878年電路問題首次使用「bug」一詞
  • Kevin Mitnick — 著名駭客
  • Julian Assange — WikiLeaks創始人
  • 藍盒構造者
  • 獎品:
  • Covert Instruments lockpick set
  • Flipper Zero
  • Tipsy Badge(zaps vestibular balance behind ear)
  • 冠軍腰帶(championship belts)
  • 募款:
  • EFF (Electronic Frontier Foundation) — 電子前線基金會
  • 次日拍賣駭客Jeopardy歷年硬幣,全額捐EFF

結論

結論

Defcon 33 Hacker Jeopardy透過充滿混亂與幽默的知識競賽,展現駭客社群對技術、歷史與文化的深厚認識,同時結合慈善募款推動隱私保護等社會議題,體現了駭客精神的本質:既是技術與知識的追求者,也是社會進步的倡導者。

完整解析

詳細

Defcon 33的Hacker Jeopardy是駭客社群最具特色的年度娛樂盛事。這項競賽邀請了九支來自全美各地的隊伍,以充滿創意與自嘲的隊名參賽,展現駭客文化的獨特幽默感。比賽分為三輪進行,每輪引入新的隊伍與不同主題,並結合啤酒飲用作為計分機制的一部分,使得知識競賽轉化為社群互動與狂歡的混合體驗。

比賽的題目設計反映了駭客社群的多層次興趣。一類題目涉及國際駭客大會的地理與歷史知識——如詢問CCC(混沌電腦大會)在德國舉辦、Wild West Hacking Fest位於南達科他州Deadwood,或EkoPARTY作為拉丁美洲最大駭客大會在布宜諾斯艾利斯舉辦。這些題目測試的不只是事實知識,而是參賽者對全球駭客社群地景的理解。

另一類題目深入技術領域。從DTMF(雙音多頻)的基本概念,到SSL、SSH、SSD等密碼協議的區分,再到Linux權限掩碼、TCP協議標誌位、DDoS攻擊與橫向移動(pivoting)等高階概念,題目跨越了初級到專業的廣泛技術深度。這些題目不是簡單的術語考試,而是要求理解技術原理與應用場景。

最引人入勝的是駭客歷史與文化題目。包括藍盒(Blue Box)如何被用於盜打免費電話、Captain Crunch麥片附贈的2600 Hz頻率哨子的功能、2600 Magazine於1984年創辦作為駭客文化的標誌性出版物,以及Grace Hopper著名的「蛾」故事與Thomas Edison早在1878年已使用「bug」一詞描述電路故障。這些題目串聯起駭客社群的歷史脈絡,讓參賽者展示其對社群淵源的理解。

比賽過程本身成為節目的核心吸引力。頻繁的設備故障——音頻系統中斷、計分系統失效、按鈕無響應——應該會破壞節目流程,但反而強化了駭客精神。主持人與參賽者臨機應變,音頻失效時依然進行,設備問題時尋找替代方案。這種「遇到問題就修」的態度體現了駭客社群最核心的價值觀。

值得注意的是社會責任層面。活動宣佈隔日將拍賣多年累積的駭客Jeopardy硬幣,所有收益將捐給EFF(電子前線基金會),這是致力於捍衛數位隱私與言論自由的非營利組織。這表明駭客社群的慶典與狂歡背後,潛藏著對公民自由與權利保護的認真承諾。整個活動完美展現了駭客文化既充滿歡樂自嘲,又保有對社會議題深層關注的雙重特質。

關鍵時刻

Pipeline v2

帶時間戳的重點,會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。

事實查核

Pipeline v2

說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。

更多「Web2 安全」的內容

Risky Bulletin: Russia starts blocking DoH and DoT
編輯精選
8 min
Web2 安全英文PODCAST8月26日

Risky Bulletin: Russia starts blocking DoH and DoT

Risky Business

  • 國家級網路管制層級提升:俄羅斯主動封鎖加密 DNS 協定對抗審查工具,中國加速淘汰 Windows 系統並遷移自主 Linux 發行版,各國正透過技術與法律手段強化網路主權與信息控制能力。
  • 詐騙犯罪走向精密化與自動化:從冒充警察的聲音詐騙(竊取 7.2 百萬美元)、AI 語音代理自動化破解 iPhone 啟用鎖、到跨越數百網站的投資詐騙(詐騙 7400 萬美元),犯罪組織正利用自動化工具與 AI 技術大幅降低成本並擴大規模。
  • AI 惡意軟體威脅實際上被嚴重誇大:405 個整合 AI 的惡意軟體樣本中僅 12 個於真實感染被偵測,其餘來自測試環境,證明當前 AI 惡意軟體仍停留於實驗階段,尚未構成主流威脅。
SANS Stormcast Wednesday, August 26th, 2026: Obfuscating SSRF; Paint and Photos AI Watermarks; FTP Banner C2;
5 min
Web2 安全英文PODCAST8月26日

SANS Stormcast Wednesday, August 26th, 2026: Obfuscating SSRF; Paint and Photos AI Watermarks; FTP Banner C2;

SANS Stormcast

  • SSRF 攻擊者已進化出高級繞過手段,不直接使用元數據服務 IP(169.254.169.254),而改用專門域名服務將請求轉址,支援點或破折號分隔 IP,甚至可自部署 DNS 伺服器進行 DNS 重綁定攻擊,使傳統簡易過濾機制失效。
  • 本地 AI 模型並非完全隱私:微軟 Paint 雖在本地執行生成邏輯,但安全檢查需上傳提示文字至遠程伺服器,返回時圖像內嵌不易移除的伺服器 GUID 隱形浮水印,可見浮水印(Copilot 圖標)則易被移除。
  • 傳統 FTP 協議被新型惡意軟體重新利用為命令控制通道,透過 FTP banner 傳遞指令於連接埠 21,防守者應視任何出站 FTP 流量為異常信號。
SANS Stormcast Tuesday, August 25th, 2026: DOUBLECUP PNG; WebAudio Fingerprinting; Expired Domains; Android; Car
7 min
Web2 安全英文PODCAST8月25日

SANS Stormcast Tuesday, August 25th, 2026: DOUBLECUP PNG; WebAudio Fingerprinting; Expired Domains; Android; Car

SANS Stormcast

  • PNG 容器攻擊的簡易性設計:Double Cup 不依賴複雜的 Exif 或隱寫技術,只用 PNG 副檔名和檔頭來偽裝,核心是利用 findstr 指令的常見可用性讓執行變得無需額外工具。
  • Web Audio API 的隱密指紋識別:音訊於增益零的無聲狀態下播放,使用者完全無感,但錄製波形足以建立裝置特徵,在瀏覽器原生功能層面難以區分是反詐欺還是過度追蹤。
  • 域名過期引發的串聯漏洞:DMARC 報告端點使用過期域名是常見疏漏,允許攻擊者透過簡單的域名註冊取得他人的 SPF/DKIM 錯誤報告,進而收集目標系統配置情報。