简介ISG信息安全竞赛题目类型文档面向CTF初学者及备战ISG赛事的参赛者系统梳理了比赛组织方式与题目体系。文档参照CTF竞赛模式详解Web漏洞与渗透、软件逆向、漏洞挖掘利用、密码学原理及应用、杂项等五大类考点的具体能力要求涵盖SQL注入、XSS跨站、APK文件逆向、缓冲区溢出、格式化字符串攻击、古典与现代密码分析、隐写取证等关键技能同时涉及服务器提权、补丁修复、脱壳调试、shellcode编写等实战操作。每类题目的数量与分值范围、flag提交规则也被清晰交代便于逐一对照查漏补缺。资源共1个docx文件压缩包大小约27KB全文共2页适合快速通读。已有200人学习下载无论用于赛前了解题型分布还是日常积累信息安全知识框架都有直接参考价值。1. ISG信息安全竞赛题目类型为什么读懂题型比刷题更值钱ISG信息安全竞赛是面向高校学生和从业者的技能型赛事近几年题目设置已经明显从“堆知识点”转向“按真实工作场景出题”。我翻过好几份不同年份的题型资料发现最值钱的不是题解而是那份题型分布文档——它明确告诉你ISG的题目分哪几类、每类占多少分、难度梯度大概怎么排。把这套结构吃透你才知道先看什么后看什么而不至于拿到资料就从第一页刷到最后一页效率很低。本文按这类题型文档的常见结构把ISG的命题主线、备考路径、训练模型和翻车点一次讲清适合准备ISG及同类网信行业技能竞赛比如四川省第三届网信行业技能竞赛网络与信息安全管理员赛项决赛的选手对照使用。2. 按ISG题型拆解题库结构五大类题型的考点与分值逻辑ISG的考题按领域可以分成五大类密码学、Web安全、逆向工程、杂项与取证、Pwn与漏洞利用。每类的考点相对固定但分值差别明显。从公开的赛题复盘数据来看Web安全占比最高通常在25%左右密码学和杂项各占20%上下逆向和Pwn合计占另外三分之一难度也最高。这个比例意味着如果目标是进决赛Web和密码学是基本盘必须稳定拿分如果目标是拿奖再往上冲逆向和Pwn才是区分度所在。下面按类别拆开看每类给一个典型解题样例。2.1 密码学题编码、古典密码与RSA的层层递进密码学题放在ISG试卷前半部分核心设计逻辑是“先识别、再分析、最后攻击”。简单题给你一串看似无规律的字符串比如ZmxhZ3t0ZXN0fQ这种实际是Base64再难一点是十六进制或者URL编码考的是你能不能一眼看出编码类型并快速解码。中等题落到古典密码凯撒、维吉尼亚、栅栏都是常客这类题不依赖复杂工具链靠频率分析和手推就能解决。压轴题几乎绕不开RSA给你两个共享质数的n、或一个远小于正常值的加密指数e让你在有限条件里找到读出明文的方式。我处理这类题型的一个习惯是先写一个自动识别编码的小脚本把常见编码类型一次试完。比如下面这段代码输入一串字符串自动尝试Base64和十六进制解码并根据可打印字符占比判断解码是否成功import base64 s input(输入待识别字符串: ).strip() # Base64解码尝试 try: raw base64.b64decode(s) printable sum(1 for b in raw if 32 b 126) if printable / len(raw) 0.8: print([!] 疑似Base64解码结果:, raw) except Exception: pass # 十六进制解码尝试 try: raw bytes.fromhex(s) printable sum(1 for b in raw if 32 b 126) if printable / len(raw) 0.8: print([!] 疑似Hex解码结果:, raw) except ValueError: pass这段代码的关键在于“可打印字符占比”这个阈值判断。Base64解码后的字节如果全是可打印ASCII说明大概率是有效内容反之占比低说明要么解错了要么是二进制文件需要进一步处理。Hex逻辑同理。这里用0.8作为阈值是我试下来比较稳的值少量控制字符不会误杀真正的二进制数据会被过滤掉。实际做题时如果两种都识别失败再考虑URL编码或ASCII码偏移。RSA这类题需要一点数学底子。我的经验是看到题干给出n、e、c三个参数第一件事不是枚举而是先看n能否被常见质因数分解工具在几秒内分解——ISG出题时通常会从小质数库挑n位数不超过512bit的情况比较多。如果分解成功直接算私钥d然后用pow(c, d, n)还原明文。另一个高频考点是共模攻击两道题共用同一个n但e不同可以用扩展欧几里得算法求出明文而不需要分解n。这类攻击脚本我在备考阶段就写好存着赛场上是真的能省十分钟以上。说到“四川省第三届网信行业技能竞赛网络与信息安全管理员赛项决赛”这类行业赛密码学题也差不多是这个套路只是会更侧重流量加密分析比如抓包后发现是TLS加密让你从pcap里提取证书并还原密钥交换的过程。2.2 Web安全题SQL注入与文件上传是ISG的稳定得分点Web安全在ISG里占比最高考点从注入、上传、反序列化到代码审计都有但最稳定的得分点是SQL注入和文件上传。SQL注入类题目很少出复杂盲注多数是提供一个带参数的商品查询页面让你通过union注入拿到管理员表里的密码字段。上手步骤很固定先加单引号看报错再通过order by数列数然后构造union select。比如目标URL是http://target/shop.php?id1先用id1 order by 1--逐步增加数字从报错差异判断当前表有多少列。接着用id-1 union select 1,2,3,4,5--如果页面里出现数字2、3、5说明这些位置可以直接回显数据。最后把2换成database()或group_concat(table_name)就能拿到库名和表名再顺着表名找到存flag的字段。整个过程不需要任何扫描器纯手工的构造顺序就是ISG考官想看到的能力。文件上传题则考两个能力一个是判断服务器对文件类型的校验方式另一个是绕过。常见校验是白名单限制扩展名或者检查Content-Type。绕过的常见方式是修改Content-Type为image/jpeg或者用双扩展名shell.jpg.php。遇到ISG的题目我一般先看响应头里有没有X-Powered-By判断是PHP还是Java系然后针对性构造。有一个比较实用的payload是在图片的二进制末尾追加一句话木马再把文件名改成.php或.php.jpg上传后访问时看服务器是否解析。对于允许上传图片但禁止直接执行的环境还可以考虑配合.htaccess让同目录的图片被当作PHP解析。这类题目看起来绕其实核心就是对“校验点在哪一层”做判断多试几种组合就能探出来。2.3 逆向工程题保护机制决定了解题路径的起点逆向题在ISG里是区分度所在通常标注难度偏高。拿到一个二进制文件第一步不是丢进IDA里直接看伪代码而是先跑一下checksec确认保护机制。如果是论坛题目最常见的是只开NX不开ASLR栈溢出直接跳转到shellcode即可如果开了canary就要考虑泄露canary值。ISG的题目有一种出题风格把关键校验逻辑放在一个自定义加密函数里你不需要完整逆向整个程序只要找到那个flag_check函数的输入输出关系。我的做法是先用strings找flag关键字符串和错误提示再用IDA查看引用这些字符串的地址立刻就能定位核心函数省掉大把读代码时间。checksec --filechallenge readelf -h challenge | head -20 objdump -d challenge | grep flag这三条命令几乎是看题的起手式。checksec输出里的Canary、NX、PIE三项决定后面怎么构造输入readelf看入口点偏移判断是不是静态编译、有没有去符号表objdump配合grep只是快速确认关键字符串是否出现在代码段。执行完之后再决定是开IDA还是开gdb动态调试。很多新手拿到逆向题直接开始调试浪费大量时间在无关代码上就是因为跳过了这几步信息收集。对我来说逆向题目本质上是“先定位关键函数再分析算法最后写脚本求逆”顺序反了就会卡在细节里出不来。2.4 杂项与取证题隐写、流量分析与文件结构杂项是ISG里最容易被低估的板块因为题目看起来“不硬核”但实际得分率并不高。常见题型有三类隐写术、流量分析、文件结构分析。隐写题里最经典的是图片隐写常见配置是LSB隐写或图片尾部附加压缩包。拿到一张图先跑binwalk看有没有附加文件再跑zsteg检测LSB隐写通道这两步能解决一半的题目。binwalk image.png zsteg image.png如果binwalk显示有ZIP压缩包附加在图片结尾直接binwalk -e提取出来解压后往往就是flag文件。流量分析题则是给一个pcap包让你从HTTP请求里找登录密码或者从DNS查询里还原隐藏内容。这种情况我会先用Wireshark的统计功能过滤出HTTP请求再按时间顺序看每个请求的URL参数有时flag就直接拼接在参数里。还有一种稍微进阶的考法是把数据隐藏在ICMP协议的payload里需要用tshark提取tshark -r capture.pcap -Y icmp -T fields -e data.data | xxd -r -p这条命令从pcap里过滤出所有ICMP包再提取data字段最后用xxd -r -p把十六进制转为二进制。-Y是显示过滤器-T fields指定输出字段data.data表示数据负载。如果tshark版本比较旧字段名可能会不一样可以先执行tshark -G fields | grep data查看当前版本支持的字段。ISG杂项题很少考特别偏门的隐写算法大半集中在“你能不能想到去检查图片尾部、去翻流量包、去看文件头”——这三点做扎实杂项分数基本稳了。2.5 Pwn与漏洞利用题从题型配置看漏洞点的出题边界Pwn题在ISG里分值不高但单题难度大通常只出两到三道但每一道都能区分参赛者的实战深度。常见出题范围是栈溢出、格式化字符串和堆溢出三选二。栈溢出最经典给定一个程序gets读入超长输入覆盖返回地址跳转到后门函数或shellcode。ISG为了竞技场地考量一般不会让你真的反弹shell而是让程序读取/flag文件并输出所以你需要的不是完整的shellcode而是一段简短的open/read/write系统调用序列这反而降低了门槛。格式化字符串题型则常见于C程序输出用户输入未过滤的场合利用%s泄露栈上的flag指针。解法是构造AAAA%p.%p.%p...定位参数位置再替换成目标地址的%s偏移。这一套我建议你提前写好模板脚本不要现场去凑偏移。用pwntools写的话结构很清楚from pwn import * io process(./challenge) payload b%7$s p64(0x601000) # 根据偏移调整 io.send(payload) io.interactive()这里%7$s是取第七个参数作为指针并按字符串打印p64打包的地址就是flag字符串所在的全局变量地址。整个利用的逻辑是“先定位格式字符串的偏移再替换成目标地址”偏移不对就用%p逐位试确定第几个参数对应你输入的开头。ISG的Pwn题我不会刻意追求稳定利用先把所有保护机制读一遍再选择最简单的路径反而翻车率低。3. 把题型拆解翻译成可执行的学习路径三阶段备考安排的落地节奏理解题型只是第一步真正拉开差距的是能不能把题型清单转化成每天可执行的任务。我通常按八周备考分三个阶段基础积累、专项强化、模拟冲刺。时间紧的话可以缩到四周但阶段顺序不要改。下面把每个阶段具体到周、到动作。3.1 基础阶段用题型清单反向梳理知识树基础阶段安排在前两周。这个阶段的第一个任务是按照五大类题目把高频考点做成一张清单。拿密码学举例清单上至少要有Base64与Hex识别、凯撒与维吉尼亚、RSA共模与低指数攻击、哈希长度扩展。每一条考点后面标“已了解”“能写脚本”“能秒解”三档先诚实打分。打分的意义是让后续时间分配有倾向性而不是均匀发力。第二个任务是补齐工具链。常用工具的安装和基本用法必须在这个阶段完成Python的requests和pycryptodome库Wireshark、binwalk、zsteg、IDA或Ghidra、pwntools。很多选手在强化阶段被卡住不是不懂原理而是工具装不上、命令记不熟。我建议把每个工具的执行命令抄到自己的笔记里比如binwalk怎么解包、tshark怎么过滤逐步形成“看到题就知道该敲什么命令”的肌肉记忆。这个阶段每天大概需要两到三个小时。前两天的重点是搭建环境后面几天按清单逐项补基础。注意不要陷入“只看视频不动手”的误区——就算是最简单的Base64解码也要亲手跑一遍脚本确认自己的环境能出结果。环境问题在基础阶段暴露是好事拖到冲刺阶段再发现就来不及了。3.2 强化阶段按题型组织专项训练的节奏强化阶段是第三到第六周核心做法是切段训练。每周固定一个主攻方向第一周Web、第二周密码、第三周逆向、第四周杂项和Pwn。每天的任务从题库里挑对应类别的题目按“先做经典、再做变体”的顺序推进。比如Web这周前三天做SQL注入和文件上传后两天做SSRF和反序列化每天做完题目后把错误思路和正确思路都记下来对后续复盘特别有用。做专项训练时我会刻意给自己限时。每道题设置一个目标时间例如简单题20分钟、中档题40分钟、难题60分钟。到点做不出来就换题避免在单个题上耗掉整个晚上。这个限时习惯一开始很难受但到了赛场你会发现它很值钱——ISG比赛是按时间算分数的你在一道题上卡太久后面的简单题就没时间写了整体得分反而不如题题按顺序做完简单题的选手。强化阶段的进度检查点设在第六周末把五大类各挑三道之前没做过的新题模拟真实比赛环境做一次记录各类别的通过率。如果Web能全对、密码能对一半以上说明基本盘稳定了如果某一类全挂就需要在冲刺阶段额外补一补。另外每晚花十分钟看一遍当天错题的报错信息很多时候你会发现同一个报错反复出现比如“index out of range”“permission denied”把这些关键词记下来下次定位问题会快很多。3.3 冲刺阶段模拟赛安排与分数目标设定最后两周是冲刺。这个阶段的重点从“会做”转向“能做完”。每周安排两到三次完整的模拟赛每次时长和题型分布尽量贴近真实ISG比赛的配置。如果手上真题不够可以把做得熟的题目改参数重新出或者拿同类竞赛的题目来替换。我一般会组一套“2道Web2道密码1道杂项1道逆向1道Pwn”的组合限时三小时。模拟赛完成后除了对答案还要花半小时做复盘笔记。看每道题实际耗时和预估耗时的差距看卡住的原因是因为知识点不会、还是因为工具没准备好。比如某次模拟赛我的Pwn题花了40分钟复盘发现是忘记开启gdb的peda插件导致调试效率低这个原因属于工具层面解决起来比补漏洞利用知识快得多。冲刺阶段的分数目标要设得现实。ISG这类竞赛满分通常是1000分题型分布文档里各类别值不同。我一般给自己定的目标下限是Web拿满、密码拿70%、杂项拿60%、逆向和Pwn加起来拿30%这样总分就能到500分左右在很多赛区的决赛线里已经够用了。想拿一等奖再往单科压时间但基本盘必须先保住。4. 本地复现ISG题型训练模型从编码识别到流量取证的三个靶场备考很多时候卡在“找不到和ISG匹配的练习环境”。其实不必依赖外部靶场用本地虚拟机就能搭出三类核心训练模型覆盖ISG题型清单里80%的场景。下面按密码学、Web、杂项三类给出可落地的步骤。4.1 密码学训练模型用脚本自动化生成RSA与编码题密码学训练不需要专门的靶场一个脚本加一个题库文件就够了。我常用的是一个Python脚本随机生成RSA参数并把题目写进文本文件方便每日自测。生成逻辑的要点是控制n的位数在256bit到512bit之间保证可以用工具分解同时随机决定是否给同一个n生成两个e制造共模攻击条件。from Crypto.PublicKey import RSA import random # 生成256bit的RSA参数保证可分解 key RSA.generate(256) n, e, d key.n, key.e, key.d print(f[题目] n{n}) print(f[题目] e{e}) # 随机决定是否泄露私钥相关参数 if random.random() 0.5: p, q key.p, key.q print(f[提示] p{p}, q{q})这里调用了pycryptodome库的RSA.generate生成256位密钥。实际做题时如果题目只给n、e、c你可以先试在线质因数分解接口大多数ISG题型里的小n都能在几秒内分解。脚本的关键参数是256可以调成512或1024测试不同难度生成的p和q作为提示项用于模拟那种“已知其中一个大质数”的题目。把每天生成的题目累积起来就是一套自己的题库比从网上下载散题更有针对性。另一个训练方向是编码识别。前面提到的编码识别脚本可以扩展成支持Base64、Base32、十六进制、URL编码、ROT13五种格式的自动检测器。每次训练时随机挑一种编码加密一串固定明文脚本输出候选结果人工判断是否正确。这个练习练的是“看到编码形式脑子里能自动映射到对应解码方式”比赛时能极大地节省时间。4.2 Web训练模型用Docker起一个本地漏洞环境Web安全训练最适合用Docker起靶场一条命令就能把题目环境跑起来。比如经典的SQL注入训练可以用docker run拉一个含LAMP环境的镜像再把写有漏洞的PHP页面挂载进去。我不建议用重型靶场平台因为ISG的题目往往只有一个点搭建越轻量越快。mkdir sql-lab cd sql-lab # 编写 index.php, init.sql, Dockerfile 后构建镜像 docker build -t sql-lab . docker run -d -p 8080:80 --name sql-lab sql-labindex.php的关键代码就一段接收id参数并直接拼进SQL语句不做任何过滤。你把?id1 union select database(),2--丢进去页面会直接回显库名这正是ISG Web题的标准流程。用Docker跑起来之后还可以把display_errors打开报错信息会回显SQL语句方便理解每一步的语法细节。?php $conn new mysqli(db, root, root, test); $id $_GET[id]; $sql SELECT * FROM users WHERE id$id; // 无参数化 $result $conn-query($sql); $row $result-fetch_assoc(); echo $row[username]; ?这段代码故意把$_GET[id]直接拼进SQL语句没有预处理。你能用id1 union select database(),2--拿到库名这正是ISG Web题的标准流程。训练时的进阶玩法是关闭报错回显逼自己在黑盒状态下通过布尔盲注来判断数据。这一步练好了赛场上对付更严格的过滤也有手感。4.3 杂项训练模型用Wireshark与tshark解析自定义协议数据杂项训练的核心是“制造数据”也就是自己抓包、自己隐藏信息再自己还原。我经常做的一个练习是用Python发送一批伪造的HTTP请求和ICMP包把flag散布在URL参数和ICMP payload里再用tshark提取。造数据这个环节让你理解“信息藏在哪个字段里”提取数据时自然更有方向感。以ICMP隐写为例先用Python的scapy构造一个带自定义payload的ICMP包并发出from scapy.all import * payload bflag{test_packet} packet IP(dst192.168.1.100)/ICMP()/payload send(packet)发送后在接收端用tshark抓包保存为pcap再执行提取命令。tshark过滤ICMP后data字段里会直接出现flag字符串。这个训练的关键是理解tshark的-Y过滤语法和-T fields输出格式只要能把特定字段抽出来还原数据就完成一半了。随后用xxd -r -p把十六进制转换成可读内容整个取证链路就闭环了。连续做五次同样的训练手感和记忆都会扎实很多。提示如果send()报权限错误是因为scapy需要root权限构造原始IP包。用sudo python3 send_icmp.py运行即可抓包端也需要对应权限。5. ISG题型备考避坑指南五个常见翻车点与排查方法我见过太多备考ISG的人知识点都列出来了最后分数却很难看。翻车的地方往往是那些很基础的环节。下面五个问题按“现象→原因→解决”来写每一件都是真实踩过的坑。5.1 密码题卡在“看得出来是啥编码”这步现象一道Base64题摆在面前有人第一反应是“这加密了”于是开始试各种解密工具来回折腾半天才发现只是做了两层Base64。这种题本来十分钟能解最后用了半小时。原因没有建立“先识别编码、后尝试解密”的顺序意识。看到奇怪的字符串就条件反射地去搜在线解密工具而不是先看字符串是否匹配某种编码的字符集特征。解决把常见编码的特征写在一张卡片上反复看熟。Base64以大小写字母和数字为主长度是4的倍数结尾常带十六进制只含0-9a-fURL编码含大量%xx。做题前先花十秒做字符集分析能避免在编码识别上浪费二十分钟。5.2 Web题依赖扫描器手工注入构造不熟练现象SQL注入题一开始就用sqlmap扫描扫描器跑不出来就干瞪眼不知道怎么手工验证注入点。原因过度依赖自动化工具忽略了工具内部做的事情。有些人连和--的作用都说不清那sqlmap输出报错时自然不知道怎么修。解决从最基础的注入类型开始练手工构造单引号报错、数字型注入、union列数探测。先拿本地Docker靶场重复练十遍直到不再依赖工具也能完成整个攻击链。工具是提效的不是兜底的ISG题目往往会在注入点加上一点过滤扫描器识别不了手工却很容易绕过。5.3 逆向题在脱壳阶段浪费时间现象拿到的程序带壳比如UPX壳选手花半小时去脱壳脱完壳又发现函数名字全部被strip掉了无从下手。原因把脱壳当成必经步骤而没想过壳本身可能是出题人设置的干扰项。有些ISG题目的壳只是个简单压缩壳运行时自动解压完全不影响你通过动态运行观察程序行为。解决先尝试直接运行程序看输入输出再根据行为定位关键代码。比如程序要求输入一串注册码你可以先搜错误提示字符串在IDA或ghidra里定位到校验函数根本不需要脱壳。只有当你确定需要静态分析算法细节、并且程序的加密逻辑被壳保护时才考虑脱壳。顺序很重要先行为后静态。5.4 杂项题忽略文件属性与十六进制结构现象一张图片怎么都提取不出隐藏内容binwalk也没有输出最后答案却在文件的标题属性或EXIF信息里。原因隐写题的常规思路集中在“藏数据”但ISG的简单杂项题经常走另一条路藏提示。提示在文件元数据、注释区、或图片宽度高度字段的异常修改里不需要解密只需要读。解决拿到任何杂项文件先执行exiftool看元数据再用十六进制编辑器打开看一眼文件头尾。图片文件头通常是FF D8 FFJPEG或89 50 4E 47PNG如果尾部有异常数据块或者某个字段被改得不符合规范立刻针对这个地方做分析。把元数据这一步前置能避开很多无意义的暴力扫描。5.5 时间分配失衡简单题反而超时现象比赛前三十分钟全花在第一道逆向题上后面Web题和杂项题来不及做最后分数极低。原因没有在赛前建立时间预算。ISG这种积分制竞赛每道题分值差别不大但难度天差地别简单题和中档题的性价比远高于难题。解决比赛开始后先花十分钟快速浏览所有题目把题目标记为“秒杀”“可做”“放弃”三档。上来先花五到八分钟拿掉“秒杀”题再做“可做”题最后有余力再啃“放弃”题。这个策略不一定让你拿最高分但能保证你的分数排名稳定在前半段。专项训练时也按这个策略限时模拟形成习惯。6. 用一张题型覆盖表自测ISG备考进度两周冲刺前的检查方法进入冲刺阶段前我会做一件很机械的事把每一类考点抄到一张表格里逐项自检。这张表不需要复杂三列就够了考点名称、熟练程度、最后验证日期。熟练程度分“能秒解”“能完成”“没把握”三档“能秒解”和“能完成”至少要覆盖90%的考点剩下10%标记为“没把握”的分配到最后两周逐一补上。我用过的检查表大概是这个结构题型大类核心考点熟练度验证方式密码学Base64/Hex/URL识别能秒解编码脚本跑三题密码学RSA共模攻击能完成写脚本解一题WebSQL注入union回显能秒解本地靶场三分钟完成Web文件上传白名单绕过能完成上传WebShell并验证逆向checksec识别保护能秒解对三个题目执行命令逆向格式化字符串泄露没把握补练两个样本杂项binwalk zsteg提取能秒解三张图片逐一处理杂项tshark过滤并还原能完成拉取pcap并还原Pwn栈溢出ret2shellcode能完成pwntools打通本地每一项的“验证方式”必须落实到实际动作而不是心里觉得“应该会”。自检时不看笔记、不开搜索引擎完全模拟赛场条件验证完就在日期栏里打勾。两周冲刺阶段我每周做三次全表复查已打勾的可以快速扫一眼没打勾的单独安排训练时间。这个方法听起来很笨但确实能防止考前突然发现自己“好像没练过某个方向”。具体到执行层面我会在周一、周三、周六各做一次全表复查。周一的复查重点是补齐上周标红的项周三侧重于组合题型的串联训练周六则完整模拟一次比赛流程。每次复查后把用时超标或思路卡壳的考点重新标红绝不姑息。等到赛前最后一天保证表格里只剩零星的“没把握”心里就踏实了。这套方法不一定能把你变成顶尖选手但能保证你不在最基础的环节失分。希望这份检查方法能帮到你备赛顺利。本文还有配套的精品资源点击获取