2026 금융보안 AI 활용 해킹방어 대회 예선전에 참가한 후기입니다.
금융보안 AI 활용 해킹방어 대회
매년 금융보안원에서 주최하는 CTF 대회(Fiesta)가 있는데 올해는 금융보안 AI 활용 해킹방어 대회를 주최했습니다.
2024,2025년에는 학생, 금융회사 대상으로 예선 없이 본선을 진행했는데 올해는 금융회사 대상으로만 예선,본선으로 나눠서 진행합니다.
후기
토큰한도니까잠깐쉴게요 팀으로 참가해서 본선을 진출했습니다. (후후.. 첫본선) 
21문제 중에 시나리오문제들과 각 분야별 문제들이 출제 되었습니다.
3시까지 시나리오1-1을 풀지 못하면 사실상 진출이 어려웠는데 다행히 제가 해당 문제를 풀어서 나름 캐리?를 할 수 있었습니다.
시나리오1-1는 LFI가 발생하여 특정 파일(nginx 설정파일 -> cgi 파일 경로 확인 -> 바이너리 내 플래그)을 다운로드하여 푸는 문제였습니다.
../가 먹혔는데 필터링 로직이 어떻게 구현되었는지는 모르지만 ../가 전부 먹히는건 아니였습니다. 그래서 AI가 추측으로 계속 cgi 파일을 구하려고 했고 계속 헛돌고 있었습니다.
처음에는 LFI가 아니라 nginx rift나 최신 CVE로 생각했는데, 1등팀이 푼 시간이 너무 빨라서 AI 한테 nginx 설정 파일 확인해봐 하니까… 5분도 안되서 FLAG가 나왔습니다.
로그를 보니 AI가 일반적인 경로가 차단되니까 LFI가 막혔다고 생각을 해서 계속 추측 하는 방식으로 풀려고 하니 이런 부분들은 고민해볼 문제인거 같습니다.
Conclusion
본선은 취약점을 빨리 찾고, 패치까지 해야하는데 처음 해보는 형식이라서 매우 떨리네요.. 그리고 본선을 처음 진출해서 매우 기쁩니다.
같이 고생한 친구들과 대리님께도 감사를 드립니다!!
더 열심히 해서 좋은 결과를 얻으려고 정진하겠습니다.