网安竞赛入门必读
2024.09.01-----------By BR
CTF常见赛制
CTF，全称Capture The Flag，中文译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式，其中Flag就是任务目标，它往往是一串用花括号包裹的字符串，例如flag{This_is_a_test}。一般来说，获取Flag就意味着你完成了出题人所设考点，代表攻破了这一道题目，提交Flag，即可获取分数，最终根据分数高低决出高下。
比赛分为个人赛和团队赛，团队赛人数往往不超过4人，小组成员间需要分工合作，才能各尽所能，攻破更多题目，获得更多分数。
解题模式
即Jeopardy，这是最常见的一种赛制，也是今后大家接触最多的赛制。在这种赛制中，往往会给出题面，附件，和靶机环境，你的目标就是根据题面，结合附件与靶机环境来解出题目，找出隐藏在题目中的flag，当找到这个flag时，正确提交便可获取分数。题目一般分为了MISC，WEB，PWN，REVERSE，CRYPTO等多个方向。
攻防模式
即AWD，全称Attack With Defense，这是我个人认为最好玩，也最符合“黑客”定义的赛制，通常为线下赛。比赛中，每个队伍都会有一至多台服务器，各队伍间服务器环境是相同的，这些服务器上运行着一下存在漏洞的服务，选手们需要攻破其他队伍的服务器以获取flag得到分数，被攻击的队伍将会同步失去分数，所以在攻击别人服务器时，也记得要修补自己的服务器。
静态攻防
即AWDP，全称Attack With Defence Plus，这是一种综合考核参赛团队攻击、防御技术能力、即时策略的攻防兼备比赛模式。每个参赛队既攻击也防御，但和AWD并不同，AWDP更类似于解题模式，区别在于即可攻击，也可防御，攻击成功和防御成功均可获取分数。
综合渗透
即ISW，全称Integrated Security Warfare，这是一种模拟真实网络环境中的攻防对抗的比赛形式。这种赛制通常要求参赛者在限定的时间内对一个预设的目标网络进行渗透测试，并完成特定的任务或获取指定的数据，每当完成一部分任务，都将获取一定的分数。
取证溯源
赛方会提供一个已经被黑客攻陷了的服务器，并发布一些任务，分析查找黑客在攻击时留下的痕迹进行取证溯源，找到正确的信息即可获取flag得到分数。
主要方向简介
以下仅为简介，具体细节请移步至各方向指北。
WEB
即网站攻防，主要针对网站的一个方向，对网站进行漏洞挖掘，并利用这些漏洞进行进一步的攻击。
PWN
即二进制漏洞利用，通过通过程序本身的漏洞，编写利用脚本破解程序拿到主机的权限，入门门槛相对较高。
REVERSE
即逆向工程，要求利用常用工具对源代码及二进制文件进行逆向分析，分析代码逻辑和加密算法进而求解出flag，是一门需要耐心的方向。
CRYPTO
即密码学，一般可分为古典密码学和现代密码学，对于密码破解者来说，一般是要想办法识别出密码算法，然后进行暴力破解，或者利用密码体制的漏洞进行破解以获取flag。
MISC
即安全杂项，最有趣味性的一个，如果有一道题不知道塞在哪里，那么它大概率会被归为MISC，这也决定了这一方向对于知识的广度有一定要求，主要是隐写术，压缩包破解等。
你需要掌握的基础能力
善于利用搜索引擎和AI对话大模型
在学习过程中，你可能会遇到许多奇奇怪怪的问题，别担心，这是正常的，每个大佬都是这样一步步从不会到会的，很多你遇到的问题别人或许早就遇到过，这时通过搜索引擎、AI对话大模型就可以找i到别人的解决方案，从而解决你的问题，搜索引擎推荐使用必应、Google，AI对话大模型则可以考虑ChatGPT、通义千问等。
保持耐心与热情
不像ACM这类算法竞赛专注于算法设计，CTF类竞赛对于知识的广度和深度都有一定要求，会有更高的门槛，如果没有耐心与热情，这将难以坚持下去，即使现在的你什么也不会，什么也不懂，但是只要肯学，保持积极，相信这不会是问题。
团队协作能力
CTF类竞赛往往是多人一组，分工协作，倘若小队成员间缺乏交流与互动，只是闷头做自己的事情，结果很有可能是1+1<2了，因此，这要求我们具有一定的团队协作能力，团队成员的实力有强有弱，这也需要团队成员间有更多的包容。
基础工具的要求
梯子
众所周知，国内外的网络间有一堵无形的墙阻隔，它便是中国国家防火墙，简称GFW，这导致国内用户在访问一些境外网站时受阻，但有时我们所需要的资料工具只有在境外才能获取，对于计算机相关专业更是如此，因此学会“科学上网”是必要的，“梯子”便是绕过这一限制的工具，因为话题较为敏感，不便进一步展开，还请各位自行搜索了解。
虚拟机
在CTF类竞赛，往往会和Linux系统打交道，但是我们自己的个人电脑往往是windows系统，倘若更换为Linux想必会带来诸多不便，因此我们需要虚拟机，在实体的物理意义上的电脑中再创建一个虚拟的电脑系统，这便是虚拟机，对于windows用户，我们一般推荐使用VMware，具体的安装配置方法在网上有很多教程，我在此就不再重复了。
Kali Linux
Kali Linux 是一个流行的 Linux 发行版，广泛应用于网络安全领域，它基于 Debian-testing 分支构建的，专门为网络分析师、渗透测试人员和网络安全专业人员设计，它内置了许多实用工具，是网络安全领域的瑞士军刀，建议与上述虚拟机搭配使用。
VMware安装kali_Linux详细教程 【保姆级别】_vm安装kali-linux步骤-CSDN博客
Burp Suite
Burp Suite是一款集成化的渗透测试工具，包含了很多功能，可以帮助我们高效地完成对Web应用程序的渗透测试和攻击，是Web手的必备工具之一。
其他
不同方向会用到的工具会有所不同，一些工具会在你的学习过程中逐渐接触到的，更多详情请关注各方向指北
一些资料网站
CTF资料库
刷题网站
- XAUTCTF 西安理工大学官方赛事平台，承办校内赛事，包含基础练习题
- NSSCTF 更新快，题量多，自带WP，开启题目环境需要金币
- BUUCTF在线评测 题量丰富，种类多，无需付费，但题目比较老，更新缓慢
- Bugku CTF 自带WP，题量较多，可进行AWD比赛
- 攻防世界 自带WP，题量不多
- CTFSHOW 更新及时，分类多，部分题目需要付费
- CTFHub 更新较缓慢，题量不算多，开启题目环境需要金币
- TryHackMe 包含许多挑战房间，适合红队渗透练习，境外平台，部分房间收费
- Hack The Box 国外的一个网络安全在线平台，允许用户实践渗透测试技能，类似于TryHackMe
