CTF 比赛：网络安全夺旗赛入门指南¶
CTF 是 Capture The Flag 的缩写，中文一般译作夺旗赛，在网络安全领域中指网络安全技术人员之间开展攻防技术竞技的竞赛形式，也是全球网络安全领域最主流的竞赛类型之一。
CTF 起源于 1996 年 DEFCON 全球黑客大会，设计初衷是替代早期黑客之间直接互相发起真实网络攻击来比拼技术的方式，将攻防对抗约束在可控环境内。发展至今，CTF 在全球网络安全圈内广泛流行。DEFCON CTF 作为 CTF 赛制的发源地，被公认为全球技术水平最高、影响力最大的 CTF 赛事，常被类比为 CTF 界的“世界杯”。
一、三大主流竞赛模式¶
0x01 解题模式（Jeopardy）¶
解题模式是线上预选赛最常见的赛制。参赛队伍可以通过互联网或者现场局域网参赛，选手通过和在线靶场环境交互、离线分析文件等方式，破解安全挑战题目，找到题目中的 flag（标志串），提交 flag 后获得对应题目的分值。 该模式通常设置一血、二血、三血奖励，最先解出题目前三支队伍可以拿到额外加分；很多比赛结束后，要求参赛队伍提交每道题的解题报告（WriteUp），用于赛后复盘交流。国内的网鼎杯官方资格赛就采用该模式，计分方式类似信息学竞赛，依靠总分与解题时间综合排名。
0x02 攻防模式（Attack & Defense）¶
攻防模式多用于线下总决赛。比赛开局时，所有参赛队伍拥有一套配置完全一致的靶机环境（Gamebox，己方服务器），服务器上运行若干存在漏洞的服务。 选手有两个核心任务：一方面挖掘对手服务中的漏洞，攻击敌方靶机、夺取对方 flag 得分；另一方面修补己方服务漏洞、做好防御，避免被对手攻击而扣分。多数比赛中防御只起到止损作用，少数赛事会为成功防御设置额外奖励分，攻防节奏实时变化，对抗性极强。
0x03 战争分享模式（Belluminar）¶
Belluminar 是比较小众、偏向技术交流的邀请赛制。规则和前两种区别很大：由参赛队伍互相出题挑战对手，而非主办方统一命题。比赛结束后，各队伍需要公开分享出题思路、研究过程以及对应的解题思路。 最终排名综合三项分数：出题得分、解题得分、技术分享得分，更强调研究输出、技术沉淀，而不只是单纯比拼攻防破解能力，国内 WCTF 等赛事曾引入该赛制。
二、CTF 六大竞赛题型¶
CTF 题目一般分为 Web、Reverse、Pwn、Crypto、Mobile、Misc 六大类，覆盖网络安全不同方向：
- Web 网络攻防：考察 Web 应用安全漏洞，常见考点包括 SQL 注入、XSS、CSRF、文件包含、文件上传、代码审计、PHP 弱类型、SSRF、XXE、反序列化等，贴近真实 Web 渗透测试场景。
- Reverse 逆向工程：对二进制程序进行逆向分析，熟悉反编译、反调试、加壳脱壳、软件保护机制，需要掌握逆向工具与程序底层逻辑。
- Pwn 二进制漏洞利用：发掘并利用二进制程序内存漏洞，对操作系统底层原理要求较高，绝大多数 Pwn 题目基于 Linux 平台，常见漏洞如栈溢出、堆漏洞等。
- Crypto 密码攻击：分为古典密码与现代密码。古典密码趣味性强，如凯撒密码、维吉尼亚密码；现代密码侧重密码算法实现缺陷攻击，如 RSA、AES 相关漏洞，对数学与密码协议理解要求更高。
- Mobile 移动安全：以安卓逆向为主，需要掌握安卓开发基础、APK 逆向、调试、脱壳；iOS 逆向题目在 CTF 中相对少见。
- Misc 安全杂项：内容宽泛，包含信息搜集（OSINT）、各类编码转换、电子取证、图片隐写、流量分析等，门槛跨度大，是新手入门高频题型。
三、Web 方向常用工具与知识体系¶
Web 必备工具¶
- Burp Suite：Java 编写的 Web 安全测试图形化工具，渗透与抓包改包核心工具；
- HackBar：浏览器插件，用于快速构造请求、编码、注入测试；
- sqlmap：Python 开发的 SQL 注入自动化工具；
- Webshell 管理工具：蚁剑、冰蝎、哥斯拉，用于一句话木马连接与管理；
- 配套抓包、文件上传测试工具等。
Web 核心知识体系¶
PHP 弱类型、SQL 注入、文件上传、文件包含、远程命令执行、服务端请求伪造（SSRF）、跨站脚本攻击（XSS）、XML 外部实体注入（XXE）、NodeJS、 反序列化等。
来源说明¶
- 原始文本：用户提供的 CTF 材料；
- 权威参考：CTF Wiki（https://ctf-wiki.org/），用于规范赛制定义、Belluminar 模式、题型分类描述，修正原文笔误、语句不通顺之处；
- 补充说明：文中“网鼎杯、DEFCON CTF”案例为行业公开赛事信息。