CTF（夺旗赛）

CTF（夺旗赛，Capture The Flag）是网络安全领域的一种竞技比赛形式，参赛者通过攻破题目或对方系统、找到并提交隐藏的「Flag」字符串来得分，是安全圈公认的技术练兵场和人才选拔渠道。

概述

「夺旗」一词原本指西方一种传统户外团队运动：两队各守一面旗帜，互相潜入对方阵地把旗子抢回本方基地。网络安全竞赛借用了这一隐喻——把「旗子」换成藏在服务器、程序或密文里的一段特殊字符串（通常形如 flag{...}），谁先「夺」到并提交，谁就得分。

现代意义上的 CTF 起源于上世纪九十年代的 DEF CON 黑客大会，此后逐渐发展为全球性的赛事体系。国际上有 DEF CON CTF 等顶级赛事，国内也有强网杯、网鼎杯以及各类高校赛、行业赛。对参赛者而言，CTF 是在合法环境中练习攻防技术的途径；对企业和机构而言，它是发现和考察安全人才的高效方式，不少安全岗位招聘都会看重 CTF 经历。

主要赛制

• 解题模式（Jeopardy）：最常见的形式，主办方给出一组不同方向、不同分值的题目，队伍在限定时间内解题拿 Flag，按总分排名，适合线上举办和新手入门。
• 攻防模式（Attack with Defense，AWD）：每支队伍维护一套带漏洞的服务，既要修补自己的漏洞防守，又要利用漏洞攻击其他队伍夺旗，对抗性和实战性最强。
• 混合模式：结合解题与攻防，或采用「王者山头」（King of the Hill）等变体，规则由赛事自行设计。

常见题目方向

• Web：网站漏洞利用，如 SQL 注入、XSS、文件上传等。
• Pwn：二进制漏洞利用，通常涉及内存破坏与提权。
• Reverse：逆向工程，分析程序逻辑还原算法或找出隐藏 Flag。
• Crypto：密码学，破解或利用设计不当的加密方案。
• Misc 与取证：杂项、隐写、流量分析、数字取证等。

常见问题

问：零基础可以打 CTF 吗？答：可以。建议从解题模式的入门题和在线练习平台（如各类靶场、往届题库）开始，先选一个方向深入，再逐步扩展；CTF 本身就是许多人入门网络安全的起点。

问：CTF 和真实渗透测试有什么区别？答：CTF 题目是人为设计的，目标明确、环境可控，侧重技巧和速度；真实渗透测试面对的是复杂的生产环境，更强调授权、流程、报告和风险控制。CTF 练的是基本功，不能完全等同于实战。

问：参加 CTF 违法吗？答：不违法。CTF 在主办方搭建的授权环境中进行，属于合法的技术竞赛；但把比赛中学到的攻击技术用于未授权的真实系统则涉嫌违法犯罪。