【CTF】CTF竞赛介绍以及刷题网址

CTF 竞赛是什么：赛制、题型与可刷的练习平台

CTF 全称 Capture The Flag，中文一般叫"夺旗赛"，是网络安全领域里技能人员之间做技术竞技的比赛形式。它起源于 1996 年的 DEF CON 全球大会，用来替代此前黑客之间靠真实攻击互相比高低的方式。发展到现在，CTF 已经成为全球网络安全圈主流的竞赛形态，2013 年一年全球就办了五十多场。DEF CON 作为赛制发源地，其 CTF 赛事也被视为水平最高、影响力最大的那一场。

一、竞赛怎么进行

大致流程是：参赛队伍通过攻防对抗、代码分析、逆向分析等形式，先从主办方给出的题目中得到一串符合约定格式的字符串或其他内容（叫 Flag），再把它提交给主办方换取分数，分数高者胜。

二、三种竞赛模式

• 解题模式（Jeopardy）：队伍可以线上或现场参加，类似 ACM 编程赛，按解题分值和耗时排名，常用于在线选拔。题目覆盖逆向、漏洞挖掘与利用、Web 安全、密码学、取证、隐写、安全编程等方向。
• 攻防模式（Attack-Defense）：队伍在共享的网络环境里互相攻击和防守——挖对手服务的漏洞得分，补自己服务的漏洞防丢分。赛况实时刷新、观赏性强、规则透明，往往连续进行 48 小时以上，既拼技术也拼体力和分工协作。
• 混淆模式（Mix）：把解题和攻防加在一起，比如解题拿初始分，之后攻防做零和增减，最后按总分排名，iCTF 就是典型代表。

三、常见题型与考察点

• PWN（二进制）：pwn 在黑客俚语里是"攻破、拿到权限"，题集里泛指各类内存安全漏洞题，常见有栈溢出、堆溢出。线上赛占比不算最高，但进线下决赛，逆向和二进制往往决定战队上限，主要考漏洞挖掘与利用能力。
• REVERSE（逆向）：涉及软件逆向分析，要求反汇编、反编译功底，掌握汇编、堆栈、寄存器知识，还要有清晰的逻辑推演能力，是线下赛的重点。
• CRYPTO（密码学）：考察各类加解密算法，从古典密码到现代算法，甚至出题人自创的变换。
• WEB（Web 安全）：题目覆盖注入、跨站脚本、文件包含、代码审计、文件上传等常见 Web 漏洞。注意这些题都不是裸的注入上传，至少有一层过滤需要绕过——这也是国内最热门、新手最常入手的方向。
• MISC（安全杂项）：覆盖面最广，流量分析、电子取证、人肉搜索、数据分析、统计计算都算，社工类、抓包分析类、取证类题目都属于这里，考的是综合基本功。
• PPC（编程题）：全称 Professionally Program Coder，考编程实现与算法处理，批量处理数据用脚本做会轻松很多，相对 ACM 难度低一些，建议用 Python 上手。
• STEGA（隐写）：把 Flag 藏进图片、音频、视频等载体里，可能是改了文件头，也可能是塞进二进制的空闲位，需要足够耐心去排查，考的是对各类隐写工具和算法算法的熟悉程度。

四、两种路线怎么选

• 方向 A：PWN + REVERSE + CRYPTO 三条硬技术线随机搭配，适合喜欢底层、能啃汇编和数学的人。
• 方向 B：WEB + MISC 组合，入门门槛低，上手快；MISC 几乎人人都能做几道。

五、基础与专业书单

两条路线分别对应不同书：

• 逆向方向：《逆向工程入门》（Reverse Engineering for Beginners）、《IDA Pro 权威指南》、《揭秘家庭路由器漏洞挖掘技术》、《操作系统构思与设计》、《黑客攻防宝典：系统实战篇》。
• Web 方向：《Web 应用安全权威指南》、《Web 前端黑客技术揭秘》、《渗透测试实用指南（修订版）》、《黑客攻防宝典：Web 实战篇》、《代码审计：企业级 Web 代码安全架构》。

六、可以刷题的平台

• i春秋练习平台：https://www.ichunqiu.com/battalion
• XCTF（攻防天下）竞赛平台：https://adworld.xctf.org.cn/
• 网络信息安全攻防学习平台：http://hackinglab.cn/
• OWASP 中国：http://www.owasp.org.cn/
• RedTigers-Hackit（SQL 注入专项）：http://redtiger.labs.overthewire.org/
• 合天网安实验室：https://www.hetianlab.com/CTFrace.html
• 封神台：https://hack.zkaq.org/?a=battle
• WeChall：http://www.wechall.net/sites.php
• BUUCTF：https://buuoj.cn/faq
• CTFHub：https://www.ctfhub.com/#/skilltree
• OverTheWire Wargames（从最基础的 Bandit 开始）：https://overthewire.org/wargames/
• microCORRUPTION（汇编/MIPS 专项）：https://microcorruption.com/login

七、学习顺序建议

• 先 OverTheWire 的 Bandit 打通 Linux 命令行（world 门），再进 BUUCTF、CTFHub 按 skill tree 一个点一个点补。
• 每做一道题写一份 writeup，比多刷十道题更涨功力——这也是各平台排行榜上层选手的常态。
• 工具集可以先备一套 v0lt、ctf-tools 之类的集合脚本（GitHub 上搜 ctf-tools 有多个开源项目），省去每次现装。

需要提醒的是：CTF 是竞赛，练习环境也应全部放在隔离的沙箱或靶场里做。真实目标系统上做未授权测试在国内属于违法行为，竞赛内的技术只在比赛与授权环境中适用。

qidao123.com企服评测-应用市场 编辑提示