我是从Web方向入坑CTF的后来为了补短板又把杂项、密码学、逆向都摸了一遍现在回过头来看新手阶段最痛苦的不是“不会做题”而是“不知道该学什么、按什么顺序学”。网上的入门资料要么太散要么直接甩一脸高难度赛题看得人头皮发麻。这篇东西就是当年我希望有人给我整理出来的那份笔记现在整理出来分享给正准备入坑或者刚入坑不久的朋友。CTFCapture The Flag夺旗赛说白了就是一场安全技术的“解题游戏”题目里藏着一个叫flag的字符串通常是一段特定格式的文本比如flag{this_is_a_demo_flag}参赛者需要综合运用编程、网络、密码学、系统知识把它找出来。它既是安全圈最常见的技能切磋方式也是很多新手进入网络安全领域的第一站。这篇内容覆盖CTF的赛制、五大方向的核心知识点、常用工具、练习平台最后再聊聊新手最容易踩的坑尽量做到“一篇入门后续不迷路”。1. CTF赛制与方向认知先搞清楚比赛怎么玩再埋头刷题很多人上来就开刷题刷了几天发现自己连比赛怎么计分、题目分哪些类型都没搞明白效率极低。我建议先把“游戏规则”摸清楚再决定主攻方向。1.1 三大主流赛制别等上场了才知道规则CTF比赛常见的赛制有三种解题模式Jeopardy、攻防模式Attack-Defense、混合模式。解题模式最常见也是新手首选。平台会放出若干道题目按方向分类Web、Crypto、Misc等每道题有对应的分值解出后提交flag即可得分。这种模式适合入门因为题目之间相互独立你可以根据自己的强项选择题目不存在“被对手攻击”的压力。攻防模式则是每支队伍分配一套相同的靶机环境既要防守自己的靶机不被攻破又要攻击对手的靶机获取flag。这种赛制对综合能力要求很高新手如果没组队很容易被打到心态崩溃。混合模式就是把前两者结合起来一般比赛时间更长题目量更大。从新手角度我强烈建议先找解题模式的比赛练手比如国内高校办的“强网杯”青少年赛、XCTF联赛的分站赛、以及各类线上平台自己办的月度赛。这类比赛节奏相对友好题解丰富适合边做边学。1.2 五大经典方向每个方向都在考什么CTF题目按技术方向主要分为五类每个方向的入门门槛和学习曲线差异很大。Web网络攻防考察Web应用漏洞的发现与利用比如SQL注入、XSS跨站脚本、文件上传漏洞、命令执行、反序列化等。这是目前就业需求最大的方向也是新手最推荐的方向之一。Pwn二进制漏洞利用考察程序逆向、内存破坏类漏洞如栈溢出、堆溢出的分析与利用。需要比较扎实的C语言基础和操作系统知识门槛偏高但天花板也很高。Reverse逆向工程考察对已编译程序的分析能力需要读懂汇编、能使用反编译工具还原程序逻辑常常涉及加密算法还原、注册机编写等。和Pwn有不少交叉但更侧重“分析理解”而非“漏洞利用”。Crypto密码学考察古典密码、现代密码算法的原理和破解。入门阶段可以只靠Python脚本解决很多问题但深入之后需要较好的数学功底。Misc杂项/安全综合什么都会考一点比如流量包分析、图片隐写、编码转换、文件格式分析、取证等。这个方向对新手最友好因为很多题靠细心和工具就能解出来适合用来建立信心。我见过不少新手一上来就奔着Pwn去结果被汇编和调试器劝退最后放弃了整个CTF。我的建议是前期先把Web和Misc学起来这两个方向能让你最快获得正向反馈建立起“我能解出题”的信心再根据兴趣往其他方向延伸。2. 核心方向基础拆解每个方向应该学什么下面我把每个方向的核心知识点展开讲一下不追求全面而是把“新手最常遇到的考点”和“最少必要知识”讲清楚。每个方向我都附上一条实际可行的学习路径。2.1 Web方向从注入到命令执行一关一关往上打Web方向的核心是“理解漏洞成因”。新手最容易上手的漏洞类型是SQL注入。SQL注入的本质是程序将用户输入未经安全处理直接拼接进SQL语句导致攻击者能够改变SQL语句的语义。比如一段登录验证代码$sql SELECT * FROM users WHERE username$username AND password$password;如果用户输入的用户名是admin --那么整个SQL语句变成了SELECT * FROM users WHERE usernameadmin -- AND password...后面的密码校验条件被注释掉了攻击者不需要知道密码就能登录。这只是一个最简单的例子实际比赛中会遇到联合查询注入、报错注入、布尔盲注、时间盲注、堆叠注入等变形。学习SQL注入重点不是背payload而是理解SQL语句拼接的上下文学会判断注入点类型。另一个高频考点是命令执行。很多Web应用需要调用系统命令比如Ping测试功能$ip $_GET[ip]; system(ping -c 3 . $ip);如果用户输入127.0.0.1; cat /flag在Linux下分号就能让系统依次执行两条命令从而读取到flag。常用的命令连接符有;、、||、|等。对应的防御手段是过滤特殊字符而绕过过滤本身又变成了一种新的考点——我们可以用换行符、Tab、通配符、base64编码等方式进行绕过。除了注入和命令执行文件上传和文件包含也是Web方向的重灾区。文件上传的核心是“如何上传一个可执行的脚本文件”常见考点包括前端校验绕过、MIME类型绕过、黑名单扩展名绕过、图片马结合文件包含利用等。文件包含则涉及本地文件包含和远程文件包含常配合伪协议如php://filter、data://读取源码或执行代码。Web方向的学习路径我给新手的建议是先掌握HTTP协议基础请求方法、请求头、状态码、Cookie与Session机制。学习PHP/Java/Python的基本语法至少能看懂漏洞代码。逐个击破常见漏洞类型SQL注入、XSS、CSRF、SSRF、文件上传、文件包含、命令执行、反序列化。每个漏洞类型去靶场做3-5道题把原理和利用条件吃透。2.2 Crypto方向古典密码打基础现代密码拼脑洞密码学方向是在“防守者的视角”上逆向思考给你一段密文你要想尽办法还原出明文。新手阶段大部分题目考的是古典密码和编码识别真正需要深入数学的现代密码专题反而可以往后放。古典密码里最常见的几种凯撒密码字母按固定位数偏移。爆破思路就是尝试所有25种位移肉眼找有意义明文。维吉尼亚密码多表替换需要先通过Kasiski检验或重合指数法猜密钥长度再用频率分析破解。栅栏密码按行写入按列读出本质是换位密码。编码类题更是高频Base64、Base32、Hex、URL编码、ASCII码、Unicode、摩斯电码等经常嵌套好几层。这类题考的不是密码学知识而是“识别编码格式”的眼力。Base64的特征是密文只包含大小写字母、数字和/Hex的特征是只包含0-9和a-fURL编码的特征是大量%加两位十六进制。遇到这种题先用工具识别一下特征再逐层解码。现代密码方向的常见考点包括RSA、AES、DES、哈希长度扩展攻击等。以RSA为例新手入门需要掌握已知n、e、c分解n得到p和q计算φ(n)(p-1)(q-1)求d满足e*d ≡ 1 mod φ(n)最后用c^d mod n解出明文。常见攻击场景e很小低加密指数攻击、n可在线分解利用FactorDB、两次加密共模共模攻击等。Crypto方向建议的学习路径掌握Python基础能用脚本处理字符串、进制转换、模运算。熟记常见编码的特征和转换方法。系统学一遍古典密码重点掌握频率分析法。再进入现代密码先从RSA攻击模型入手各个击破。这里推荐一个高频工具CyberChef。它是一个网页版的数据处理工具支持几十种编码/解码/加密/解密操作可以像流水线一样串联起来处理数据做Crypto题目时效率极高很多杂项题也能用到它。2.3 Misc方向脑洞最大、工具最多的万金油方向Misc是CTF里最杂的方向也因此对新手的包容度最高。只要细心很多题不需要高深的技术就能解出来。文件隐写是这个方向的绝对主力。一张图片里可能藏着另一张图片、压缩包、文本信息甚至一段音频。常见手法包括在图片文件末尾追加其他文件数据用binwalk或foremost可以自动提取。利用LSB隐写把信息藏在图片像素RGB值的最低位需要用zsteg或stegsolve工具查看颜色通道。修改图片宽高会导致显示异常修复宽高后图片中会露出隐藏信息。处理这类题目建议的流程是先用file命令查看文件真实类型再用binwalk扫描附加数据最后用十六进制编辑器如010 Editor、WinHex手工查看可疑区域。很多图片隐写的flag就藏在文件末尾或EXIF信息里肉眼看不出来但打开十六进制一眼就能看见。流量包分析也是高频考点。题目会提供一个.pcap流量文件你要用Wireshark打开从网络通信中还原出敏感信息。常见做法用Wireshark的过滤语法查找HTTP请求看是否有文件下载、表单提交。追踪TCP流查看明文协议内容比如FTP登录密码、Telnet命令。搜索关键字flag直接定位可疑数据包。Misc方向容易上手但上限也不低。很多Misc高手其实是其他方向的大佬“降维打击”因为他们能写脚本、能分析二进制、能解密流量本质是综合能力。新手可以把它作起点但别一直待在舒适区靠Misc建立信心之后一定要往其他方向深入。2.4 Reverse与Pwn方向硬核二兄弟进阶再啃Reverse和Pwn都涉及二进制分析很多新手一看到汇编就头大。其实新手阶段Reverse没有想象中那么可怕因为大部分入门题都用不到复杂的汇编分析。Reverse的核心工具是IDA Pro和Ghidra。IDA的F5反编译功能能把汇编代码转换成接近C语言的伪代码新手跟着伪代码走一遍逻辑往往就能找到关键函数。入门题目通常的套路是程序接收一个字符串输入。内部对字符串做某种变换异或、加减、Base64等。变换结果与一个硬编码的字符串比较。你只要分析出变换逻辑再写脚本反推出正确输入就是flag。比如程序里硬编码了目标字符串Y[zkW且对每个字符做了异或0x12的运算那反推就是chr(ord(c) ^ 0x12)。Pwn比Reverse更进一步不仅要看懂程序还要利用程序漏洞拿到shell或读取flag。新手入门的第一个Pwn题通常是栈溢出void vulnerable() { char buf[64]; gets(buf); // 危险函数不检查输入长度 }输入超过64字节的数据就会覆盖栈上的返回地址如果攻击者能精确控制返回地址就能让程序跳转到任意位置。入门阶段需要掌握栈帧结构返回地址在哪局部变量在哪。checksec查看程序保护机制NX、PIE、Canary、RELRO。用pwntools写exp脚本。我建议新手不要同时开Reverse和Pwn两个坑先选其中一个跟着某个系列教程刷20道题形成基本感觉之后再回头看另一个方向会觉得轻松很多。3. 工具链与练习平台工欲善其事必先利其器CTF是非常吃工具的领域。同样的题目工具熟练度不同解题速度能差出好几倍。我这里按方向和场景整理了一份“最低限度够用”的工具清单。3.1 方向对应工具清单方向核心工具用途WebBurp Suite、HackBar、sqlmap抓包改包、快速注入测试CryptoCyberChef、Python、openssl编码转换、算法复现Miscbinwalk、foremost、Stegsolve、Wireshark隐写提取、流量分析ReverseIDA Pro、Ghidra、x64dbg静态分析、动态调试Pwnpwntools、gdb、checksec、one_gadget漏洞利用、调试需要提醒的是工具只是手段别沉迷“收集工具”而不去“使用工具”。我见过有些新手电脑里装了几十个工具但每个都是打开看一眼就关掉。工具要多用才会形成条件反射——看到一种文件格式就能想到该用哪个工具先跑一遍。3.2 浏览器扩展与命令行小工具Web方向推荐安装一个HackBar类扩展可以快速构造请求、编码解码、执行SQL注入payload。Burp Suite是Web方向的重中之重它的Proxy模块可以拦截和修改所有HTTP请求是分析Web应用逻辑的好帮手。熟悉Burp需要花点时间但一旦上手很多Web题可以从“猜”变成“测”。命令行层面curl是必会的。很多Web题目在浏览器里看是正常的但用curl构造特殊请求就能绕过前端限制。比如登录请求是GET但你怀疑后端实际上是POST接口用curl就能快速尝试。Windows用户建议装一个WSL或者Git BashCTF比赛中大量脚本都是在Linux环境跑的提前熟悉Linux命令行能省很多事。3.3 国内免费练习平台推荐练习平台的重要性不亚于工具。一个质量好的平台能提供历史赛题、在线环境、Writeup让你学完一个知识点马上能实战验证。国内免费且质量不错的平台我按推荐度排列CTFShow国内知名度极高的新手友好平台题目难度梯度划分清晰从入门到进阶都有覆盖而且有完善的Writeup和官方社群新手在这里可以把一个知识点反复练到熟练。Buuctf北京联合大学CTF平台收集了大量历史赛题覆盖面广题目直接在线运行省去本地搭环境的麻烦适合大量刷题。攻防世界XCTF社区老牌平台汇集了XCTF联赛的赛题题目质量高新手可以按方向分类刷题。NSSCTF新兴平台题目环境稳定界面清爽也有很多新手友好的系列题目。选择平台的策略是先选定一个主平台比如CTFShow把它上面的Web方向入门题刷掉50道以上再换到其他平台感受不同出题风格。很多人同时注册五六个平台每个都只做两三题反而效率不高。4. 新手刻意练习路线与比赛实战策略有了基础知识和工具接下来最关键的就是“怎么练”。很多新手的问题是看Writeup看得懂自己做就想不起来。这很正常因为CTF本质上是“知识调用”能力的比拼知识量不等于解题能力必须有针对性地刻意练习。4.1 按知识点拆解刻意练习而不是盲目刷题我在带新手的时候特别强调一个理念刷题不是目的把知识点练成条件反射才是目的。具体做法是把一个大方向拆成若干个小知识点每个知识点找对应题目专项突破直到形成肌肉记忆。比如Web方向的SQL注入可以细分为判断注入点类型数字型、字符型、搜索型。联合查询注入判断列数、确定回显位置、查询库名表名字段名。报错注入extractvalue、updatexml报错函数原理。布尔盲注与时间盲注写脚本逐字符判断。绕过技巧过滤空格用注释符、过滤逗号用join等。每个细分点找几道题练手先看自己能不能独立完成不能就看Writeup看完关掉Writeup重新自己做一遍。这个过程看起来慢但实际上是最快的内化路径。刷题数量不是关键关键是每次刷题前都清楚自己在练什么知识点。再分享一个我的习惯准备一个markdown笔记文件每做一道题就把题目类型、利用思路、关键payload、错误原因记录下来。一个月下来回头看你会发现很多错误是重复犯的这些笔记就是你最宝贵的题库。4.2 比赛中的时间管理与题目取舍第一次参加线上赛时我的策略是“死磕一道做了一半的题”结果一道Web题卡了三个小时没出来其他题目完全没时间看最后排名惨不忍睹。后来我才明白CTF比赛在解出题之外更考验时间分配和节奏控制。我的实战经验是比赛开始后先把所有题目都过一遍拿分原则是“先易后难”。Misc和Crypto方向往往有简单题快速把它们拿下保证基础分Web和Reverse方向留出整块时间深入研究。如果一道题卡了40分钟没有实质进展先放下换个题目“换换脑子”比赛结束后再用剩余时间回头看。多线程推进的效果往往比单线程死磕好得多。比赛过程中还有一个容易被忽视的点时刻关注分值变化。有些比赛会设置解出人数越少分值越高的机制动态分值冷门题目的分值可能比热门题目高很多。所以不要只看题目难度也要结合分值和自己的技能点做取舍这就考验对自身能力的清醒认知了。4.3 组队与社交一个人可以走得快一群人才能走得远CTF虽然有个人赛但绝大多数比赛是团队赛。新手找一个靠谱的团队非常重要尤其是当你想参加线下赛的时候团队的作用会放大很多倍。一个标准的CTF战队通常包含这几个角色擅长Web和Pwn的攻击手。擅长Reverse和Crypto的分析手。擅长Misc和写脚本的“杂项人”。负责统筹和决策的队长。组队不一定非要找水平远高于你的人找几个水平相近、方向互补的人一起练习、互相出题、互相讲解Writeup进步速度远比自己埋头刷题快。国内很多高校都有CTF社团B站、GitHub、知乎上也有很多公开的入门社群稍微花点心思就能找到组织。5. 新手常见问题与避坑要点我在指导新手的过程中积累了不少“反面教材”这里挑几个最典型的问题挨个聊一聊。5.1 不要迷信“一条龙工具”基础原理才是根本很多新手喜欢到处找所谓的“一条龙脚本”觉得装上之后什么题都能解。以Web方向最典型的sqlmap为例它确实能自动完成SQL注入的检测和利用但问题是CTF的题目环境往往是经过刻意设计的过滤规则五花八门sqlmap默认的payload很容易被拦。如果你只会按回车无法根据报错信息手写绕过脚本那这种题就完全做不出来。而且还要注意练习平台上的靶场环境原则上只能用在学习用途上任何自动化攻击工具如果使用不当可能会影响平台的正常运行。我的建议是新手阶段尽可能先手动尝试把原理搞清楚之后再用工具辅助这样就算工具失灵你还有退路。5.2 卡题超过阈值就该转化策略而不是硬扛解题时卡住了怎么办不同人有不同的做法。有人喜欢死磕到底有人喜欢立刻看Writeup。我的经验是设一个“卡题阈值”新手阶段单题卡30分钟还没有任何思路就可以开始查资料、看Hint再卡30分钟就直接看Writeup。看Writeup不是耻辱关键是看完之后一定要能复现思路最好隔天再独立做一遍。但还有一个反向陷阱有些新手一卡题就立刻看Writeup根本不给大脑挣扎的时间这样训练出来的“解题能力”其实是背题能力换个马甲就认不出了。正确做法是卡题时先自己思考把已知信息写下来穷举可能的知识点再考虑外部求助。5.3 注意靶场边界练习归练习别做越界的事虽然不是每个人都会遇到这个问题但我还是想强调一下CTF练习平台上的靶机、题目环境只允许在该平台的规则范围内测试。有些平台明确禁止对非目标端口、非目标IP进行扫描也有平台禁止用自动化工具发起大规模请求。练习时注意看平台的使用规则避免因为“玩嗨了”导致自身账号被限制或带来不必要的合规风险。这方面我的建议比较朴素但也比较实在把对规则的好奇心放在“如何解题”上而不是“如何突破平台的边界”上。CTF技术本身是有趣且有价值的但所有的练习都要在合法合规的框架内进行这是一条不容妥协的底线。5.4 只管输入id就能查到信息但报错信息很奇怪怎么办这个描述本身很像一道Web题目的场景——一个查询接口输入id返回信息但报错信息格式古怪往往暗示着服务端存在注入或逻辑漏洞。遇到这类情况建议按下述顺序排查输入普通正常id观察返回内容和响应头的差异。输入单引号、双引号、反引号看是否会触发报错。如果报错信息里有数据库语句片段基本可以断定存在注入点接下来按SQL注入的思路走。如果任何输入都返回相同报错可能是前端JS报错而非后端逻辑问题用Burp直接构造请求测试后端接口。这个小场景顺带强调一个基本素养不要只看浏览器页面呈现给你的信息要学会用抓包工具看真实的请求与响应。Web题目的绝大多数关键线索都藏在HTTP报文里养成抓包的习惯对后续进阶意义重大。6. 常用解题思路与编码工具的实用技巧到了这个部分默认你已经有一定基础了再聊几个实用技巧这些是平时刷题过程中积累的“土办法”虽然不高端但胜在实用。6.1 见到“奇怪的字符串”第一反应是识别编码而不是硬猜新手在Misc和Crypto方向最容易犯的错误是看到一串乱码就开始瞎猜猜不出来就放弃。事实上CTF里绝大部分字符串都能通过特征识别出编码类型。我建议的做法是先把字符串复制到CyberChef里从上到下依次尝试Magic操作它会自动检测多种编码的可能性。常见的特征可以总结一下Base64结尾可能有号十六进制字符串只包含0-9和a-fROT13只影响字母但保留符号培根密码只包含A和B摩斯电码只包含点和横线。识别编码是Misc方向的核心基本功同时也是Crypto方向解题的第一步值得花时间专门熟练。6.2 隐写类题目的固定排查SOP做图片隐写题目我有一套固定的排查顺序分享出来供你参考用file命令确认文件真实类型防止扩展名伪造。用strings命令提取文件中所有可打印字符串用grep过滤flag等关键字。用binwalk扫描文件中是否有嵌入的附加文件。用stegsolve逐帧查看图片颜色通道检查是否有LSB隐写痕迹。如果上面都没发现考虑修改图片宽高、查看EXIF信息、分析图片是否由多个文件拼接而成。这套流程走下来能覆盖80%以上的图片隐写题。剩下的20%可能需要结合题目描述里的暗示比如“像素”就提示LSB“层”就提示图片分层来定位。6.3 写解题脚本的“三板斧”很多题目到了最后一步就是写脚本哪怕只是做Misc也常常需要写Python脚本来处理数据。新手写解题脚本时记住这几个要点用bytes类型处理原始数据不要一开始就转字符串否则遇到不可见字符会出问题。处理异或运算时注意Python中^的优先级低于比较运算符建议加括号明确边界。写脚本前先明确数据的输入和输出格式尤其是flag的格式别费半天劲解出来再被格式坑一回。如果你完全不会Python那CTF之路会走得比较艰难。好在Python入门门槛不高找一本教材快速过一遍基本语法能写循环和文件处理就够用了其他知识可以边做题边补。这个领域最大的特点就是知识面广没有任何一个方向能“快速毕业”但只要你掌握了正确的学习路径和练习方法进步的速度会远超自己的预期。回到标题说的“新手收藏不迷路”这篇内容基本把入门阶段的路线图铺完了。下一步就是挑选一个方向打开练习平台从第一道题开始动手了。祝你在CTF的世界里找到属于自己的乐趣和节奏。