什么是CTF？CTF是CaptureTheFlag的缩写。我们称之为中文夺旗。它的原意是西方的一项传统运动。比赛中，两军将争夺旗帜。当一方的旗帜被敌人夺走时，这意味着该方被击败。CTF在信息安全领域就是通过各种攻击手段，获取到服务器后，寻找指定的字段，或者文件中固定格式的字段。该字段称为flag，其形式一般为flag{xxxxxxxx}，提交给裁判。机器可以得分。CTF在信息安全方面的历史可以说是非常悠久了。起源于1996年的DEFCON全球黑客大会，为什么要参加CTF入门渗透，一定是各种动手吧？但由于《网络安全法》的颁布，随意扫描他人网站，或未经授权的渗透测试存在一定的风险。最近还有一则新闻：说实话，这家伙只是扫描，攻击被防火墙挡住了，什么也没得到，却被判了同样的刑期。不要随意扫描国内网站，尤其是教育和政府网站。但是初学者没有相应的环境是不可能学习渗透测试的，而且普通的无人机对于小白来说过于复杂，很容易无从下手。这时候CTF就很适合了。CTF一般是一个或几个知识点相互混合的题目，比较有针对性。如果你想体验安全的成就感和乐趣，促进自己边学边练，CTF是个不错的选择。CTF题型CTF题型一般分为Web渗透、RE逆向、Misc杂项、PWN二进制漏洞利用、Crypto密码破译。对渗透测试感兴趣的同学建议从Web渗透的话题开始，辅以Misc杂项和Crypto密码学习。CTF主要分为两种模式，一种是解题模式。为了网络安全，您将需要破解网站或目标机器。攻击成功后，系统会显示标志或在目录、文件或数据库中找到标志，并提交给答题系统进行评分。逆向工程问题的一般形式有破解注册机、动态调试、转储内存等。这些题目可以通过百度或者谷歌其他人的解题报告（关键词：CTFwriteup）来理解。这种模式的缺点是类似于“应试教育”。现在的趋势是把注意力集中在困难和偏题上，而不考虑现实，就像奥林匹克竞赛一样。而且这种模式只有攻击没有防御，企业更多的工作还是在考虑如何防御。这时，AWD攻防游戏模式应运而生。第二种是攻防对战，也叫AWD（AttackWithDefense，攻防兼备）模式。一场比赛需要打进攻方和防守方，进攻方得分，失败方扣分。也就是说，当你攻击别人的无人机可以获得Flag积分的时候，别人就会被扣分。同时，您还需要保护您的主机不被其他人打分，以防止扣分。这个模式是非常激烈的，所以你需要做好充分的准备，手头要有足够的防御计划和EXP攻击脚本。第一次参加这种比赛的时候，被打得很惨QWQ，但是越参加比赛，积累的经验就越多。所以，这种游戏大可不必恐慌，多玩多学多积累就好了。CTF中还有一句话，谁先交Flag谁就加分，所以快手也很重要。但总的来说，没有其他boss快。CTF与真实渗透的对比真实的渗透测试会有一个非常完整的过程，从信息收集开始，漏洞检测，再到攻击，往往什么都找不到。相比之下，CTF的目标会更加明确。中等难度以下的问题一般会在问题描述中指出漏洞出现的位置。如果没有提示，检测点不会很多，一一筛选就可以了。其次，有很多CTF题目有点脱离实际。套路和脑洞多，有些知识点不实用……怎么说呢？有时候，为了出一些新题，出题者会把题目设置得脑洞需要很大才能做出来。miscsecuritymiscellaneous是这类题的重灾区。做这种题其实对现实穿透没什么帮助。比如这个密码题，我第一次看到的时候，头都大了。请猜猜是什么：反正我麻木了。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。其实这也在一定程度上背离了CTF的初衷。我们想要提高我们的安全态势水平，而不是开放我们的思想。所以比较简单脑洞稍微大一点的CTF题，只是用来扩充知识的。话说回来，现在CTF比赛已经走向实战了。很多高阶的CTF题目都会模拟真实的网站，让你有更真实的渗透感，渗透方式更贴近实战。国内比较良心的CTF有DDCTF、安恒杯月赛CTF等。关于CTF活动的信息，可以关注XCTF社区或CTFtime组织的活动链接，请点击阅读原文。虽然在游戏中很有可能打不过大佬，但是划桨和学习知识也是非常不错的。总结一下，收集了一些比较容易上手的CTF靶场。想了想，我把合集文章放到了废弃已久的博客上。好的体验就好了。靶场合集点击链接在浏览器中查看：新手友好的CTF数据靶场合集。知识点也要善于利用搜索引擎。最好的方法是加入一个CTF组。大家互相帮助，进步更快。如果有什么需要我说的更详细的，请留言或者发消息。最近事情比较多，有点出乎意料的情况，文章也好久没出出来了……对不起大家。
