CTF介绍

CTF，全称“Capture The Flag”，意为“夺旗竞赛”，是现代网络安全领域一项极具挑战性和趣味性的竞技活动。它模拟了现实世界中的网络攻防对抗，将复杂的网络安全知识与技能（如密码学、漏洞挖掘、逆向工程、取证分析等）巧妙地融入一系列精心设计的“谜题”或“挑战”中。参与者（常称为“解题者”或“黑客”）的目标就是成功解题，找到并提交隐藏的字符串——“Flag”。这不仅是一场技术实力的较量，更是智力、团队协作与快速学习能力的综合比拼。

参与CTF，是入门网络安全、锤炼实战技能、体验黑客思维魅力的绝佳途径。

CTF竞赛模式

CTF竞赛并非千篇一律，其核心玩法主要有以下四种模式：

一、解题模式 (Jeopardy)： 最常见的形式。题目被分成若干类别（如Web、Pwn、Reverse、Crypto、Misc等），并标有不同分值。参赛者（个人或团队）根据兴趣和专长自由选题解题，正确提交Flag即可得分。解题过程相互独立，不直接影响对手。

二、攻防模式 (Attack-Defense)： 实战对抗性最强。每支队伍维护自己的网络服务（存在预设漏洞），同时尝试攻击其他队伍的服务。成功攻击（拿到对方服务的Flag）得分，成功防御（修补漏洞并保持服务运行）也能得分。比赛紧张激烈，考验攻防实战能力和即时策略。

三、混合模式 (Mix)： 结合了解题和攻防元素。比赛可能包含解题环节和一个或多个阶段的攻防环节，或者解题题目会直接影响后续的攻防环节。这种模式综合考验多种能力，复杂度更高。

四、King of the Hill： 参赛者争夺对特定“高地”（如一个服务器或服务）的控制权。第一个攻克并提交特定Flag的队伍成为“国王”并开始得分，其他队伍则试图将其“攻下”取而代之，过程竞争激烈。AWD (Attack with Defense) 常被看作其典型代表。

CTF各大题型简介

MISC（安全杂项）：全称Miscellaneous。题目涉及流量分析、电子取证、人肉搜索、数据分析、大数据统计等等，覆盖面比较广。我们平时看到的社工类题目；给你一个流量包让你分析的题目；取证分析题目，都属于这类题目。主要考查参赛选手的各种基础综合知识，考察范围比较广。

**PPC（编程类）：**全称Professionally Program Coder。题目涉及到程序编写、编程算法实现。算法的逆向编写，批量处理等，有时候用编程去处理问题，会方便的多。当然PPC相比ACM来说，还是较为容易的。至于编程语言嘛，推荐使用Python来尝试。这部分主要考察选手的快速编程能力。

**CRYPTO（密码学）：**全称Cryptography。题目考察各种加解密技术，包括古典加密技术、现代加密技术甚至出题者自创加密技术。实验吧“角斗场”中，这样的题目汇集的最多。这部分主要考查参赛选手密码学相关知识点。

**REVERSE（逆向）：**全称reverse。题目涉及到软件逆向、破解技术等，要求有较强的反汇编、反编译扎实功底。需要掌握汇编，堆栈、寄存器方面的知识。有好的逻辑思维能力。主要考查参赛选手的逆向分析能力。此类题目也是线下比赛的考察重点。

**STEGA（隐写）：**全称Steganography。隐写术是我开始接触CTF觉得比较神奇的一类，知道这个东西的时候感觉好神奇啊，黑客们真是聪明。题目的Flag会隐藏到图片、音频、视频等各类数据载体中供参赛选手获取。载体就是图片、音频、视频等，可能是修改了这些载体来隐藏flag，也可能将flag隐藏在这些载体的二进制空白位置。有时候需要你侦探精神足够的强，才能发现。此类题目主要考查参赛选手的对各种隐写工具、隐写算法的熟悉程度。实验吧“角斗场”的隐写题目在我看来是比较全的，以上说到的都有涵盖。新手盆友们可以去了解下。

**PWN（溢出）：**PWN在黑客俚语中代表着攻破，取得权限，在CTF比赛中它代表着溢出类的题目，其中常见类型溢出漏洞有栈溢出、堆溢出。在CTF比赛中，线上比赛会有，但是比例不会太重，进入线下比赛，逆向和溢出则是战队实力的关键。主要考察参数选手漏洞挖掘和利用能力。

**WEB（web类）：**WEB应用在今天越来越广泛，也是CTF夺旗竞赛中的主要题型，题目涉及到常见的Web漏洞，诸如注入、XSS、文件包含、代码审计、上传等漏洞。这些题目都不是简单的注入、上传题目，至少会有一层的安全过滤，需要选手想办法绕过。且Web题目是国内比较多也是大家比较喜欢的题目。因为大多数人开始安全都是从web日站开始的。

学之前的思考：分析赛题情况

PWN、Reserve偏重对汇编、逆向的理解

Crypto偏重对数学、算法的深入学习

Web编程对技巧沉淀、快速搜索能力的挑战

Misc则更为复杂，所有与计算机安全挑战有关的都算在其中

常规做法

A方向：PWN+Reserver+Crypto随机搭配

B方向：Web+Misc组合

其实Misc所有人都可以做

恶补基础知识&信息安全专业知识

推荐图书：

A方向：

RE for Beginners（逆向工程入门）

IDA Pro权威指南

揭秘家庭路由器0day漏洞挖掘技术

自己动手写操作系统

黑客攻防宝典：系统实战篇

B方向：

Web应用安全权威指南

Web前端黑客技术揭秘

黑客秘籍——渗透测试使用指南

黑客攻防宝典WEB实战篇

代码审计：企业级Web代码安全架构

从基础题目出发

i春秋训练平台：https://www.ichunqiu.com/battalion

We Chall: http://www.wechall.net/sites.php

很炫酷游戏化————https://microcorruption.com/login

http://smashthestack.org/

http://overthewire.org/wargames/

https://exploit-exercises.com/（A方向）

工具集：

https://github.com/P1kachu/v0lt

https://github.com/truongkma/ctf-tools

https://github.com/zardus/ctf-tools

学习资源

---

如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！

01 内容涵盖

这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |** *CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 * （安全链接，放心点击）

02 知识库价值

• 深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
• 广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
• 实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。

03 谁需要掌握本知识库

• 负责企业整体安全策略与建设的 CISO/安全总监
• 从事渗透测试、红队行动的 安全研究员/渗透测试工程师
• 负责安全监控、威胁分析、应急响应的 蓝队工程师/SOC分析师
• 设计开发安全产品、自动化工具的 安全开发工程师
• 对网络攻防技术有浓厚兴趣的 高校信息安全专业师生

04 部分核心内容展示

360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。

内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。

1、网络安全意识

2、Linux操作系统

3、WEB架构基础与HTTP协议

4、Web渗透测试

5、渗透测试案例分享

6、渗透测试实战技巧

7、攻防对战实战

8、CTF之MISC实战讲解

这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】

**读者福利 |** *CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 * **（安全链接，放心点击）**

本文转自网络如有侵权，请联系删除。