一、什么是CTF

　　CTF是Capture The Flag的縮寫，譯為奪旗賽，是網絡安全領域一種競技的比賽形式。其大致流程是，參賽團隊之間通過進行攻防對抗、程序分析等形式，率先從主辦方給出的比賽環境中得到一串具有一定格式的字符串或其他內容，並將其提交給主辦方，從而奪得分數。為了方便稱呼，我們把這樣的內容稱之為“Flag”。形如flag{du1ge_cn_1s_gre4t}

二、CTF競賽模式

（一）、解題模式（Jeopardy）

　　在解題模式CTF賽制中，參賽隊伍可以通過互聯網或者現場網絡參與，這種模式的CTF競賽與ACM編程競賽、信息學奧賽比較類似，以解決網絡安全技術挑戰題目的分值和時間來排名，通常用於在線選拔賽。題目主要包含逆向、漏洞挖掘與利用、Web滲透、密碼、取證、隱寫、安全編程等類別。

（二）、攻防模式（Attack-Defense）

　　在攻防模式CTF賽制中，參賽隊伍在網絡空間互相進行攻擊和防守，挖掘網絡服務漏洞並攻擊對手服務來得分，修補自身服務漏洞進行防御來避免丟分。攻防模式CTF賽制可以實時通過得分反映出比賽情況，最終也以得分直接分出勝負，是一種競爭激烈，具有很強觀賞性和高度透明性的網絡安全賽制。在這種賽制中，不僅僅是比參賽隊員的智力和技術，也比體力（因為比賽一般都會持續48小時及以上），同時也比團隊之間的分工配合與合作。

（三）混合模式（Mix）

　　結合了解題模式與攻防模式的CTF賽制，比如參賽隊伍通過解題可以獲取一些初始分數，然后通過攻防對抗進行得分增減的零和游戲，最終以得分高低分出勝負。采用混合模式CTF賽制的典型代表如iCTF國際CTF競賽。

在本篇文章中，只介紹解題模式。原因是，一般解題模式是線上賽，AD是線下賽，而線下賽是從線上賽中選拔的。能進線下賽就不需要看本篇文章了。以下CTF均指CTF解題模式。

三、CTF賽題類型

（一）簡介

　　1.Web

　　　　Web類題目大部分情況下和網、Web、HTTP等相關技能有關。主要考察選手對於Web攻防的一些知識技巧。諸如SQL注入、XSS、代碼執行、代碼審計等等都是很常見的考點。一般情況下Web題目只會給出一個能夠訪問的URL。部分題目會給出附件。

　　2.Pwn

　　　　Pwn類題目重點考察選手對於二進制漏洞的挖掘和利用能力，其考點也通常在堆棧溢出、格式化漏洞、UAF、Double Free等常見二進制漏洞上。選手需要根據題目中給出的二進制可執行文件進行逆向分析，找出其中的漏洞並進行利用，編寫對應的漏洞攻擊腳本(Exploit)，進而對主辦方給出的遠程服務器進行攻擊並獲取flag。通常來說Pwn類題目給出的遠程服務器信息為nc IP_ADDRESS PORT，例如nc 1.2.3.4 4567這種形式，表示在1.2.3.4這個IP的4567端口上運行了該題目。

　　3.Reverse

　　　　Re類題目考察選手逆向工程能力。題目會給出一個可執行二進制文件，有些時候也可能是Android的APK安裝包。選手需要逆向給出的程序，分析其程序工作原理。最終根據程序行為等獲得flag。

　　4.Crypto

　　　　Crypto類題目考察選手對密碼學相關知識的了解程度，諸如RSA、AES、DES等都是密碼學題目的常客。有些時候也會給出一個加密腳本和密文，根據加密流程逆推出明文。

　　5.Misc

　　　　Misc意為雜項，即不包含在以上分類的題目都會放到這個分類。題目會給出一個附件。選手下載該附件進行分析，最終得出flag。常見的題型有圖片隱寫、視頻隱寫、文檔隱寫、流量分析、協議分析、游戲、IoT相關等等。五花八門，種類繁多。

（二）技能介紹

　　　　本文的初衷是向未接觸過CTF或略了解CTF的同學介紹CTF。原本打算在這里放上各個方向所需要的技能，但考慮到這些技能就包含了一些比較專業的詞語，因此就不放了。網上的資料已經足夠多，搜索也是CTF的必備技能之一。

　　　　用我自己的話抽象來說就是，需要你有一顆思維跳躍的大腦，富有想象力、毅力、體力(比賽往往持續幾十個小時)。既能靜得下來學習新的枯燥的基礎知識，又能打雞血一般鑽研一道新題。在我看來，通過自己不斷地努力拿到flag的時候，比我以往打的所有游戲都有成就感和滿足感。

　　　　由於這一部分沒有寫上技能介紹，就必須要寫點東西填充一下這個板塊了。安全不是那么好做的，CTF也不是那么好打的，這一路上會有很多挫折和困難，若不是極大的興趣很難堅持下去。如果做安全容易，那將遍地都是黑客。當然我也還是菜雞。順便提一句，CTFhub(文末有鏈接)上有各個方向的技能樹，即需要會什么，可做參考。