经常有人私信问我“CTF怎么入门”“我只会一点Python能打CTF吗”“刷了俩月题怎么还是连flag去哪找都不知道”问题问得多了我慢慢发现一件事——大多数新人卡住的地方不是不够努力而是搞不清楚CTF这个圈子到底在玩什么以及该按什么顺序学。CTFCapture The Flag夺旗赛是信息安全领域最主流的竞赛形式参赛者要在规定时间内从题目环境中找到一串特定格式的flag字符串来得分。这篇教程不讲虚的我就按自己当年从零开始踩过的路把赛制、题型、工具、练习平台、完整解题流程一次说清楚。文章很长但每一步都是能直接照做的看完当晚就能在平台上拿下第一道题。1. CTF这个圈子到底在玩什么赛制、题型和能力版图1.1 三种主流赛制解题赛、攻防赛、混合赛很多人以为CTF只有一种“挖漏洞比赛”其实进了这个圈子你会发现赛制分好几种先搞清楚规则再去练习目标感会完全不同。**解题赛Jeopardy**是最常见的形式也是新人最该优先接触的。比赛页面上像电子菜单一样列着几十道题按Web、Pwn、Reverse、Crypto、Misc分类每道题有一个环境地址或一个附件解出来就提交一串flag。这类赛制不要求你和别人正面对抗自己埋头解题就行非常适合用来积累基础。**攻防赛Attack-Defense**是完全不同的玩法。每个队伍会分到一台配置了漏洞的靶机你需要一边加固自己的机器、堵住漏洞一边去攻击别的队伍的机器拿flag。它考验的不只是单点技术还有临时应急能力和团队配合新人第一次打往往会手忙脚乱。**AWDAttack With Defense**是攻防赛在国内最常见的变体很多高校赛、企业赛都在用。它节奏更快开局就进入攻防状态flag还会定期刷新。新人想直接上手AWD基本会被打懵建议先有了解题赛的底子再尝试。2026年还有个明显趋势综合场景类题目越来越多比如把Web漏洞和数据分析结合把流量分析和工控安全结合还有不少平台开始办个人挑战赛、冬季赛这种高强度短周期赛事。说白了CTF早就不只是“黑客抓flag”它更像是一张信息安全能力的综合体检表。1.2 五大常规方向的“能力地图”不管赛制怎么变题目核心基本固定在五个大类。新手最该做的第一件事就是认清这五个方向分别考什么、需要什么基础、对新人友好程度如何。方向考察内容典型考点新手友好度Web网站和Web应用的漏洞利用命令执行、SQL注入、文件上传、XSS、git泄露、nginx配置错误较高Pwn二进制程序漏洞利用栈溢出、堆利用、格式化字符串低Reverse逆向工程静态分析、动态调试、代码混淆、脱壳低Crypto密码学编码、古典密码、现代密码、RSA中Misc杂项综合文件隐写、流量分析、社工、签到高从这张表能看出一个规律Web和Misc是绝大多数人的入门方向因为它们的门槛最低不需要先啃完汇编和操作系统只要会发HTTP请求、会用几个工具就能开始做题。Pwn和Reverse则需要比较扎实的计算机基础尤其是C语言、汇编、内存布局这些建议放到第二个月再碰。Crypto的入门介于两者之间前期只需认识常见编码和古典密码后期才需要接触数论知识。2. 2026年的正确起手式装环境、备工具、注册账号2.1 为什么我强烈建议从虚拟机开始我知道很多新人第一次听说要用Kali Linux就头大“我Windows用得挺好的为啥非得换系统”原因有三点。第一CTF里大量工具本来就是Linux原生的比如流量分析、二进制调试、自动化脚本在Linux下装起来是一条命令的事在Windows下却要折腾半天。第二CTF题目环境本身就是Linux居多你用Linux做本地调试和远程题目环境的兼容性最好。第三虚拟机有快照功能随便折腾、随便破坏拍个快照就能回到初始状态完全不影响宿主机。具体安装步骤我给个简化版下载Kali Linux的VMware或VirtualBox镜像不用纠结版本官方最新版就行。用VMware Workstation Pro或VirtualBox新建虚拟机内存分配4GB以上磁盘给40GB足够。启动后用默认账号kali/kali登录先执行sudo apt update sudo apt upgrade -y把系统更新一遍。建议顺手改一下apt源国内镜像速度会快很多这一步网上教程很多照着改就行。装好后你就有了一台“专门用来打CTF的电脑”后面所有工具都往里面装不用怕搞乱日常环境。2.2 新人必装工具全家桶工具不用一次装完但下面这些是前两周就会用到的先装上不亏。基础类工具直接一条命令装齐sudo apt install -y python3 python3-pip curl wget binutils file binwalk foremost gdb netcat-openbsd jq pip3 install pwntools requests逐一说下用途curl用来发送HTTP请求file用来识别文件真实类型binwalk和foremost用来从文件中提取隐藏内容netcat用来连接端口pwntools是写利用脚本的核心库。这些在Web、Misc、Pwn方向都会反复用到。还有几个图形化工具强烈建议去官网下载安装Burp Suite Community版Web方向必备抓包改包全靠它。IDA Free或Ghidra逆向方向必备用来反汇编、看程序逻辑。Wireshark流量分析必备Misc方向的题目经常给一个抓包文件让你找flag。HxD或010 Editor十六进制编辑器看文件头和隐写数据时用。这里要特别提一个容易被新人忽略的国产神器——随波逐流也叫Blast。它是一个集成了编码解码、古典密码、现代密码、哈希破解、进制转换、词频分析等几百种功能的工具箱Windows单文件直接运行。很多密码学方向的题你甚至不需要自己写脚本把密文粘进去就能出结果。虽然名字有点文艺但实战效率是真的顶。2.3 先注册这三个平台今天就开始做题工具装好只是热身真正让你上手的是平台。我比较推荐新人在CTFShow、PolarCTF、随波逐流CTF官网各注册一个账号。CTFShow是老牌题库平台题目量大、难度分级清楚每一题都有题解讨论区适合作为“新手题库”。注册后直接找“入门”“萌新”标签的题目第一周的目标就是每天解两三道一星题。PolarCTF北极星是近几年对新人最友好的平台之一题目环境稳定还有一个专门的“题库”模块里面从签到题到进阶题都有很多高校的新生赛也用它。它的“个人挑战赛”模式尤其适合自己练手限时刷题的感觉和正式比赛很像。随波逐流CTF官网除了题库之外最大的价值是配套那款工具箱很多页面直接附了工具用法说明边做边学非常方便。如果你学有余力还可以去picoCTF注册一个号它是国际知名的入门级CTF平台题目自带详细的提示体系手把手把你从零教到入门适合补充国内平台少见的英文场景题。3. 五大常规方向逐个拆解从题目构成看学习路径3.1 Web方向flag藏在参数里Web题的特点是“flag就藏在某个你看得见但拿不到的地方”。有时候隐藏在响应头里有时候藏在源码注释里更多时候藏在服务器文件里需要你通过漏洞把文件内容读出来或者把命令执行掉。常见的考点有这几类命令执行网站某个参数直接拼进了系统命令。比如PHP里用了system()、passthru()这类函数你传入?cmdcat /flag就能读到flag。SQL注入查询语句拼接了用户输入通过闭合引号、注释等方式改变SQL语义。文件包含与文件上传让服务器把你指定的文件包含进来或者绕过后缀校验上传恶意文件。git泄露网站根目录暴露了.git目录用工具把源码和历史版本还原出来flag往往就藏在源码或者提交记录里。nginx安全加固题这类题专门考察nginx配置错误。最常见的是alias路径拼接错误导致能访问到本不该访问的目录或者location匹配规则写错让敏感文件被直接暴露。Web题的解题流程非常固定基本就是信息收集看页面源码、扫描目录→ 找到参数入口GET/POST参数、Cookie、路径→ 尝试漏洞利用 → 拿到flag。练习时不要急着用扫描器先手写curl观察响应变化理解每一步在干什么后面用工具才不迷糊。比如一个非常典型的命令执行题目后端代码可能是这样的?php if (isset($_GET[cmd])) { passthru($_GET[cmd]); } ?你用curl提交curl http://目标地址/?cmdcat%20/flag就能在响应里看到flag。就这么简单。这就是Web入门的第一课flag不是找出来的是“读”出来的。提示所有示例payload只用于本地自己搭建的靶场或主办方提供的CTF题目环境不要对任何未经授权的目标使用这是底线。3.2 Pwn方向从“控制程序崩溃”到“控制程序逻辑”Pwn题的核心是“利用二进制程序的内存漏洞劫持它的执行流程”。听起来很高端其实第一步很朴素先想办法让程序崩溃再想办法让它按你的意图执行。入门路径我建议按这个顺序走搞懂C语言里数组、指针、函数调用的内存布局清楚“栈”是怎么生长的。看懂汇编里的call、ret、push、pop做了什么事。做第一道栈溢出题存在gets()这类不检查长度的函数输入超长数据把函数返回地址覆盖成攻击者指定的地址程序就会跳过去执行。用pwntools写第一段exp本地打通后再连远程环境。比如说这道经典题目#include stdio.h #include string.h void win() { puts(flag{this_is_a_test_flag}); } int main() { char buf[16]; gets(buf); return 0; }win()函数本来不会被调用但因为gets()可以无限制读入你只要构造一段长度超过16字节的输入把win()的地址精确填到返回地址的位置函数返回时就会跳进win()flag直接打印出来。用pwntools写出来大概长这样from pwn import * p process(./vuln) payload bA * 24 p64(win_addr) p.sendline(payload) p.interactive()第一步先别想什么ROP、堆利用把栈溢出这题打通你对Pwn的理解就能超过一半的新人。3.3 Reverse方向从“看懂程序”开始逆向Reverse题给你一个编译好的程序或APK没有源码你的任务是搞清楚它内部逻辑然后算出或找出正确的flag。它和Pwn的区别是Pwn要利用漏洞攻击程序Reverse只要你读懂程序。最常用的工具组合是“静态分析动态调试”静态分析用IDA Free或Ghidra把二进制文件反汇编成伪代码看程序处理了哪些字符串、做了哪些判断。动态调试用gdb让程序跑起来在关键位置下断点观察寄存器、内存、变量值的变化。入门小技巧拿到文件先别急着分析用strings命令把里面的可见字符串都列出来。很多简单的Reverse题flag就直接以明文形式藏在字符串表里。稍微难一点的会把flag和一串输入做异或、加减运算你需要还原加密算法把密文逆运算回来。再难一点的才涉及代码混淆、加壳、反调试那是后话。入门课程的目标可以定为“拿到一个不壳的ELF文件能定位到main函数说清楚它读入了什么、比较了什么、输出了什么。”做到这一点逆向就不再是玄学。3.4 Crypto方向多数时候拼的是“认得出”Crypto题给人的第一印象是数学难实际入门阶段根本不是那么回事。前两周你拼的是“看得多了”换句话说就是看到一段密文能不能立刻认出它是什么类型的编码或加密。按照题目出现频率学习优先级排成这样编码类Base64、Hex、URL编码、ROT13、ASCII码、二进制/八进制/十六进制。这些不是加密只是换了表示形式工具一键解。古典密码凯撒密码、栅栏密码、维吉尼亚密码、替换密码。这类题目在2026年的初级赛里依然大量出现解题靠爆破脚本或者在线工具。比如quipqiup词频分析网站就是对付替换密码的神器把密文贴进去几秒钟自动出明文。现代密码RSA最常见其次是AES。RSA入门先理解np*q、e、d的关系题目常给一组n,e,c让你解m。新手会遇到的坑包括n很小可以直接分解、e很小可以用低加密指数攻击、两组题目共用了素数可以求公约数。凯撒密码暴力破解的Python脚本五分钟就能写出来import string s 这里填密文 for i in range(1, 26): result for ch in s: if ch.isalpha(): base ord(A) if ch.isupper() else ord(a) result chr((ord(ch) - base i) % 26 base) else: result ch print(f位移{i}: {result})循环跑一遍看到哪一行像英文句子位移就是那个答案。现在很多平台上的初级Crypto题甚至只需要你把密文粘进随波逐流选“凯撒密码”一键出结果。所以学Crypto的第一原则是永远先判断类型再谈解密方法。3.5 Misc方向杂项才是真正的宝藏Misc是“杂项”看似拼运气其实拼的是工具的熟练度。它考察的是信息搜集和文件分析能力题目载体千奇百怪有图片、音频、流量包、压缩包、二维码甚至一张聊天截图。新人优先掌握的三个技能文件隐写拿到附件先用file看真实类型再用strings看有没有藏字符串再用binwalk扫描有没有嵌入式文件。很多图片题就是直接在图片尾部追加了一段文本或另一个压缩包binwalk -e直接提取。流量分析给一个.pcap文件用Wireshark打开先过滤HTTP协议看有没有可疑请求再跟着TCP流看完整内容。有的flag是分片藏在多个包里的需要拼接起来。签到题这不算技能纯粹靠细心。flag可能写在题目公告里、页面源码注释里、HTTP响应头里。比如有的签到题你把请求发出去flag就在Set-Cookie字段里。Misc的练习成本最低不需要太多基础很适合新人作为“每天热身”的项目。养成一个好习惯下载任何附件都先跑一遍file、strings、binwalk三件套能解决一半的杂项题。4. 练习平台和题库怎么选用对题海战术4.1 国内平台怎么挑不是越难越好而是梯度越细越好国内CTF平台这几年发展很快选平台的核心标准就一条题目有没有清晰的难度梯度。原因是新人需要一个“跳一跳够得着”的舒适区一上来全是难题会直接劝退。平台特点适合谁CTFShow题目全、难度分层细、题解讨论区活跃入门第一站适合按星级刷题PolarCTF新人友好、题库带赛事模拟、环境稳定前期系统练习、熟悉比赛节奏随波逐流CTF官网题库与工具箱深度绑定做Crypto和Misc时搭配使用青少年CTF平台面向学生群体题目门槛低初高中、大学低年级零基础具体操作建议是在CTFShow里先按“Web—Misc—Crypto”的顺序每类刷二十道一星题再回头刷二星题。不要一上来就追求难题把基础题的解题流程形成肌肉记忆后面才走得动。4.2 国际平台为什么也值得看看很多新人不敢碰国际平台是觉得英语看不懂其实题目描述都很简单就一两句话配合翻译工具完全能搞定。我建议至少注册一个picoCTF它的最大优点是你卡住的时候会一步一步提示你相当于一个耐心的老师傅。CTFtime则是一个赛程聚合站能看到全球即将举办的线上赛事等你水平到一定程度跟着它的日历打比赛会打开新世界。4.3 练习节奏从“会一个题”到“会一类题”我见过太多人刷题是“这题会了翻下一篇”刷了一百道还是老样子。正确的刷题方式应该是有节奏地归纳。前两周的目标很单纯在Web、Misc、Crypto三个方向各找二十道入门题做完。重点是“做完”不要求每道都独立做出来看了题解能复现也算数。复现后要做的是把这道题的考点写成一句话笔记比如“nginx alias配置错误导致目录穿越利用方式是访问/files..”。第一个月开始专项训练选一个你最感兴趣的方向深入每天保证两小时。我的建议是首选Web因为Web题目的知识体系最成体系而且未来到了工作岗位实用性也最强。第二三个月开始按周打比赛。哪怕是平台上的个人挑战赛、冬季赛都要逼自己完整打完四五个小时感受真实的比赛时间压力。比赛结束后不管成绩如何把每道题从读题到解题的完整思路写成writeup。4.4 怎么读别人的writeup才算学到东西读writeup本身是一门学问。正确姿势是先自己动手试三十分钟卡住了再打开题解。看题解时不要只看exp里用了什么函数要看作者的思考链路他为什么先扫目录为什么猜这个参数为什么构造这个payload看懂思路比复制exp重要十倍。看完之后一定要亲手把这题重做一遍不参考原文凭记忆写出自己的exp。能独立写出来才算这题真的成了。最后在自己的笔记里加一行这题考了哪个知识点、和之前哪道题类似、可以用什么工具快速解。坚持一个月你会发现相同的坑基本不会再踩第二次。5. 从一道真题还原完整解题链读题、试错、拿flag5.1 Web真题模拟nginx配置错误导致的源码泄露题目只有一个域名提示是“nginx安全加固”。很多新人这时候就懵了niginx加固是什么意思flag在哪我的排查链路是这样的先在浏览器打开页面发现是一个静态首页没有任何交互点源码里也没有隐藏注释。这时候我判断只有两条路扫目录、找备份文件。用dirsearch或ffuf扫一下常见路径结果发现/backup目录可以访问里面躺着一个压缩包。下载解压后得到完整的网站源码。打开nginx.conf发现location配置里有个经典错误location /static { alias /var/www/html/static/; }这种写法在请求/static../secret.txt时alias拼接出来的路径会变成/var/www/html/static/../secret.txt目录穿越产生了。也就是说虽然你只能访问/static下面的文件但通过../组合可以绕出去读取服务器上的任意文件。于是我用curl http://目标域名/static../flag.txt响应当中直接出现了flag。整个过程没有用到任何复杂漏洞就是“目录扫描—看配置—构造路径穿越”三步。这类题在CTFShow和PolarCTF的Web题库里非常常见属于必须练熟的基本功。5.2 Crypto真题模拟关键词与词频分析有一次题库里出现一道题标题大概是“What is the keyword?”附件给了一大段字母看着像是用了替换密码。替换密码的密钥是一个关键词加密后的文本里每个字母被替换成另一个字母。常规思路有两种。如果只是想拿到明文直接把密文粘进quipqiup它内置了英文词频分析几秒后就能还原出最可能的明文句子flag就藏在那个句子里。如果想搞清楚“keyword”到底是什么就得做字母频率统计替换密码中密文里出现次数最多的字母对应明文里的e统计出全表后可以手动推出密钥词。用Python统计字母频率非常快from collections import Counter cipher 这里是密文 freq Counter(cipher.replace( , )) print(freq.most_common(10))然后对照英文标准频率表ETAOINSHRDLU把映射关系确定下来密钥词自然浮出水面。这道题告诉我一个道理Crypto入门阶段工具效率比你手动推演重要得多先把Quip、随波逐流这些工具玩熟数学功底可以在后面慢慢补。5.3 一道Misc签到题的完整流程比赛里有种题叫“签到题”难度就是送分但每年依然有人拿不到分。原因不是不会而是不够细心。我记得有次看到一个附件叫sign.zip解压后是一个.wav音频文件。第一反应是把音频放一遍结果什么也没听出来。这时候要用工具思维了下载附件先跑三件套。file sign.wav strings sign.wav | grep -i flagstrings的输出里果然有一行Base64字符串看起来是ZmxhZ3s...开头。Base64的特征非常明显直接用工具解码echo ZmxhZ3s... | base64 -dflag出来了。整个过程不到五分钟靠的就是流程化操作和“看到Base64就能认出来”的敏感度。新人想快速找到自信就去Misc题库里狂刷这种签到和基础隐写题。6. 新人的血泪清单这些坑我替你踩过了6.1 坑一一上来就死磕Pwn和Reverse见过太多新人看完某篇“从入门到入狱”的逆向教程第一周就下载了IDA开始对着二进制发呆三周后放弃。Pwn和Reverse需要操作系统、编译原理、汇编语言三方面的底子这些知识不是一两周能补齐的。我的建议是前两个月把Web、Crypto、Misc作为主战场同时用零碎时间补C语言和汇编基础等能看懂简单的汇编指令了再正式开磕逆向和Pwn。方向本身没有高下之分但学习顺序决定你能不能坚持下来。6.2 坑二只做题不总结我第一年刷题的时候也犯过这个毛病每天做十几道感觉特别充实三个月后回头发现之前做过的题基本全忘了。后来我改成“每道题一条笔记”的模式笔记里就三行考点、利用思路、一句话exp。写完你会发现很多题的套路是共通的比如“看见passthru就想命令执行看见include就想文件包含”。这种模式识别能力才是刷题真正要训练的东西。6.3 坑三工具一大堆原理一个不懂新手很容易陷入“收集工具”的错觉觉得装了Burp、装了IDA、装了随波逐流就是高手了。真做题时会发现不会用工具比没有工具更痛苦。正确做法是每个工具只盯着一个核心功能去学Burp先学会抓包和改包Wireshark先学会过滤HTTP和TCP流随波逐流先学会编码转换和凯撒爆破。把一个功能用到滚瓜烂熟比把所有功能都蜻蜓点水强得多。6.4 坑四不敢看题解死磕到底别把“独立解题”神化。正式比赛里卡了二十分钟没有思路先跳过继续做别的题才是正确策略。平时练习时一道题卡三十分钟以上直接看题解也不是什么丢人的事。看题解本身也是学习过程关键是看完了要复现、要总结。真正的能力来自“看完思路——亲手实现——归纳到笔记”这个完整闭环而不是死磕的时间长度。6.5 值得收藏的长期资源工具类随波逐流工具箱、CyberChef在线编码解码、quipqiup词频分析、Ghidra免费逆向、Burp Suite CommunityWeb抓包。入门书籍Web方向看《Web安全攻防》、Crypto入门看《漫画密码》、逆向方向看《加密与解密》第四版不需要全读哪里不会翻哪里。视频课程B站上有不少开源的新生赛题解视频搜索“CTF入门”“新生赛writeup”找一个声音清楚、讲思路不念exp的视频跟着做几期。社区CTFShow的讨论区、各大平台赛后的官方writeup合集都是宝藏比赛结束后第一时间去翻能学到很多自己想不到的思路。最后说一句我个人的体会CTF入门最大的门槛从来不是天赋而是“动手”这两个字。哪怕你现在只会写一行print(hello)注册个CTFShow账号今天去做一道签到题明天尝试看懂一篇writeup一个月后再回头看你已经能独立解出好几道题了。我当年从只会写Hello World到第一次拿到flag用了大概三个晚上靠的就是一遍遍在这些平台上试错。工具越来越顺手、平台越来越友好剩下的就差你点开第一道题了。