CTF（Capture The Flag）是网络安全领域的竞技比赛，起源于 DEFCON 黑客大会。本文详细介绍 CTF 的定义、参赛价值、主要题型分类（Web、Pwn、Reverse、Crypto、Misc 等）、竞赛模式（解题、攻防、混合）以及与现实渗透测试的区别。针对初学者，文章提供了学习路径建议，强调在合法合规的靶场环境中练习的重要性，并推荐了 Python 作为主要辅助工具，帮助读者建立系统的安全知识体系，提升漏洞挖掘与防御能力。
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF 起源于 1996 年 DEFCON 全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013 年全球举办了超过五十场国际性 CTF 赛事。而 DEFCON 作为 CTF 赛制的发源地，DEFCON CTF 也成为了目前全球最高技术水平和影响力的 CTF 竞赛，类似于 CTF 赛场中的'世界杯'。
对于初学者而言，想要入门渗透测试，必须通过各种方式练手。但由于《网络安全法》的颁布，随意扫描他人网站或非授权渗透测试都存在一定的法律风险。现实中，曾有案例显示，即使只是扫描行为且未造成实际破坏，也可能面临法律制裁。
因此，初学者需要一个对应的安全环境来练习，而常见的靶机对于小白来说往往太过复杂，容易不知如何下手。这个时候 CTF 就非常适合了。CTF 题目通常是一个或几个知识点相互糅合，目标性比较强。如果想要体会到安全的成就感和趣味性，促进自己边练边学，CTF 就是一个很好的选择。
CTF 题目种类繁多，主要可以分为以下几大类：
全称 Miscellaneous。题目涉及流量分析、电子取证、人肉搜索、数据分析、大数据统计等，覆盖面非常广。我们平时看到的社工类题目；给你一个流量包让你分析的题目；取证分析题目，都属于这类题目。主要考查参赛选手的各种基础综合知识，考察范围比较广。
全称 Professionally Program Coder。题目涉及到程序编写、编程算法实现。算法的逆向编写，批量处理等，有时候用编程去处理问题会方便得多。当然 PPC 相比 ACM 来说，还是较为容易的。至于编程语言嘛，推荐使用 Python 来尝试。这部分主要考察选手的快速编程能力。
全称 Cryptography。题目考察各种加解密技术，包括古典加密技术、现代加密技术甚至出题者自创加密技术。这部分主要考查参赛选手密码学相关知识点。
全称 Reverse。题目涉及到软件逆向、破解技术等，要求有较强的反汇编、反编译扎实功底。需要掌握汇编，堆栈、寄存器方面的知识。有好的逻辑思维能力。主要考查参赛选手的逆向分析能力。此类题目也是线下比赛的考察重点。
全称 Steganography。隐写术是 CTF 中比较神奇的一类，知道这个东西的时候感觉好神奇啊，黑客们真是聪明。题目的 Flag 会隐藏到图片、音频、视频等各类数据载体中供参赛选手获取。载体就是图片、音频、视频等，可能是修改了这些载体来隐藏 flag，也可能将 flag 隐藏在这些载体的二进制空白位置。有时候需要你侦探精神足够的强，才能发现。此类题目主要考查参赛选手的对各种隐写工具、隐写算法的熟悉程度。
PWN 在黑客俚语中代表着攻破，取得权限，在 CTF 比赛中它代表着溢出类的题目，其中常见类型溢出漏洞有栈溢出、堆溢出。在 CTF 比赛中，线上比赛会有，但是比例不会太重，进入线下比赛，逆向和溢出则是战队实力的关键。主要考察参数选手漏洞挖掘和利用能力。
WEB 应用在今天越来越广泛，也是 CTF 夺旗竞赛中的主要题型，题目涉及到常见的 Web 漏洞，诸如注入、XSS、文件包含、代码审计、上传等漏洞。这些题目都不是简单的注入、上传题目，至少会有一层的安全过滤，需要选手想办法绕过。且 Web 题目是国内比较多也是大家比较喜欢的题目。因为大多数人开始安全都是从 Web 日站开始的。
CTF 里面也有一血之说，谁第一个交 Flag 能获得分数加成，所以说手快也很重要。不过一般来说是没有别的大佬手快的。
CTF 竞赛模式具体分为以下三类：
在解题模式 CTF 赛制中，参赛队伍可以通过互联网或者现场网络参与，这种模式的 CTF 竞赛与 ACM 编程竞赛、信息学奥赛比较类似，以解决网络安全技术挑战题目的分值和时间来排名，通常用于在线选拔赛。题目主要包含逆向、漏洞挖掘与利用、Web 渗透、密码、取证、隐写、安全编程等类别。
在攻防模式 CTF 赛制中，参赛队伍在网络空间互相进行攻击和防守，挖掘网络服务漏洞并攻击对手服务来得分，修补自身服务漏洞进行防御来避免丢分。攻防模式 CTF 赛制可以实时通过得分反映出比赛情况，最终也以得分直接分出胜负，是一种竞争激烈，具有很强观赏性和高度透明性的网络安全赛制。在这种赛制中，不仅仅是比参赛队员的智力和技术，也比体力（因为比赛一般都会持续 48 小时及以上），同时也比团队之间的分工配合与合作。
结合了解题模式与攻防模式的 CTF 赛制，比如参赛队伍通过解题可以获取一些初始分数，然后通过攻防对抗进行得分增减的零和游戏，最终以得分高低分出胜负。采用混合模式 CTF 赛制的典型代表如 iCTF 国际 CTF 竞赛。
现实的渗透测试会有非常完整的流程，从信息收集、漏洞探测开始，再逐项攻击，很多时候会一无所获。相比之下，CTF 的目标会比较明确，中等难度以下的题目一般都会在题目描述中提示漏洞的发生处，没有提示的话检测点也不会很多，一个个筛查就可以了。
其次，有很多 CTF 题目会有点脱离现实渗透，套路、脑洞比较多，有的知识点并不实用……怎么说呢？有的时候出题人为了出点新题会把题目设置得脑洞要特别大才能做出来，Misc 安全杂项更是这种题的重灾区。做这种题其实对现实渗透没啥帮助，比如说这道密码题，第一次见的时候头大得一笔，各位看官先猜猜看是啥：
例如某些基于宗教文本或特殊字符映射的加密方式，虽然有趣但在实战中极少遇到。
类似这种摸不着头脑、要用特别奇怪的姿势或套路做题的题目也屡见不鲜。其实这也一定程度偏离了 CTF 的初衷，我们是要提高自己的安全姿势水平，而不是大开脑洞。
因此较为简单、脑洞略大的 CTF 题仅作扩充知识面就好了。话虽如此，现在 CTF 大赛都已经往实战的方向走了，高水准的 CTF 题目很多都会模拟真实的网站，让你更加有真实渗透的代入感，渗透手法也更加贴近实战。
为了帮助大家更好的学习网络安全，打 CTF 比赛，建议建立自己的知识库。以下是针对零基础小白的学习路径建议：
下面是一个简单的 Python 脚本示例，用于处理 Base64 编码的字符串，这是 CTF 中非常常见的操作：
import base64
# 假设这是一个被 Base64 编码的 Flag
encoded_flag = "VGhpcyBpcyBhIHRlc3Q="
try:
# 解码
decoded_bytes = base64.b64decode(encoded_flag)
decoded_str = decoded_bytes.decode('utf-8')
print(f"解码后的内容：{decoded_str}")
except Exception as e:
print(f"解码失败：{e}")
此外，还可以编写脚本来批量爆破哈希值，或者自动分析流量包。掌握这些工具能极大提高解题效率。
每个类型有什么题目，你可以去参加一个 CTF 赛事，打了一次之后你就会有所了解了。保持好奇心，持续学习，遵守法律法规，是每一位网络安全从业者的必修课。希望这篇指南能为你的 CTF 之旅提供一个良好的开端。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。 在线工具，加密/解密文本在线工具，online
解析常见 curl 参数并生成 fetch、axios、PHP curl 或 Python requests 示例代码。 在线工具，curl 转代码在线工具，online
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online