赛事级真题项目实训,经典闯关赛道教学。涵盖比赛典型套路、真题详解、靶场实训以及闯关验证。通过学习获得CTF真实比赛体验,快速进行能力提升


CTF简介

CTF是什么?

CTF 是 Capture The Flag 的简称,中文咱们叫夺旗赛,其本意是西方的一种传统运动。在比赛上两军会互相争夺旗帜,当有一方的旗帜已被敌军夺取,就代表了那一方的战败。在信息安全领域的 CTF 是说,通过各种攻击手法,获取服务器后寻找指定的字段,或者文件中某一个固定格式的字段,这个字段叫做 flag,其形式一般为 flag{xxxxxxxx},提交到裁判机就可以得分。

信息安全的 CTF 的历史可以说很长了,最早起源于 96 年的 DEFCON 全球黑客大会,美国最大的网络安全会议


CTF的类型

CTF 题目类型一般分为 Web 渗透、RE 逆向、Misc 杂项、PWN 二进制漏洞利用、Crypto 密码破译,有志于渗透测试的同学一开始建议从 Web 渗透的题目开始,辅以 Misc 杂项和 Crypto 密码学。

CTF 主要分为两种模式,一是解题模式。对于 Web 安全来说,会要求你入侵网站或者靶机,攻击成功后系统会显示flag或者在某个目录 文件 数据库寻找 Flag,提交到答题系统得分。逆向工程题目一般形式是破解注册机、动态调试、dump 内存等等。这些题目可以百度或谷歌别人的解题报告

二是攻防赛,也叫 AWD(Attack With Defense,攻防兼备)模式。你需要在一场比赛里要扮演攻击方和防守方,攻者得分,失守者会被扣分。也就是说,攻击别人的靶机可以获取 Flag 分数时,别人会被扣分,同时你也要保护自己的主机不被别人得分,以防扣分。

CTF 和现实渗透的对比

现实的渗透测试会有非常完整的流程,从信息收集、漏洞探测开始,再逐项攻击,很多时候会一无所获。相比之下,CTF 的目标会比较明确,中等难度以下的题目一般都会在题目描述中提示漏洞的发生处,没有提示的话检测点也不会很多,一个个筛查就可以了。其次,有很多 CTF 题目会有点脱离现实渗透,套路、脑洞比较多,有的时候出题人为了出点新题会把题目设置得脑洞要特别大才能做出来,Misc 安全杂项更是这种题的重灾区。做这种题其实对现实渗透没啥帮助,因此较为简单、脑洞略大的 CTF 题仅作扩充知识面就好了。话虽如此,现在 CTF 大赛都已经往实战的方向走了,高水准的 CTF 题目很多都会模拟真实的网站,让你更加有真实渗透的代入感,渗透手法也更加贴近实战。国内比较良心的 CTF 有 DDCTF、安恒杯月赛 CTF 等等。






课程介绍

第一节课我们主要分为四个部分来引导大家关于ctf的介绍和学习的方法.主要分为下面四个部分:

  1. CTF入门引导
  2. CTF常见题型
  3. CTF实战题目讲解
  4. 归纳总结CTF之路

CTF(Capture The Flag)中文一般译作夺旗赛



https://static.cdnjs.cloud/2020423_box/2e5500744ff9ca40530f170f10ac1276_%E5%85%A5%E9%97%A8%E5%BC%95%E5%AF%BC1.mp4|视频封面图片链接


https://ctf-wiki.github.io/ctf-wiki/|ctf-wiki


https://www.ctftools.com/down/|工具合集



CTF现在的模式有哪几种?|!零和机制|!动态积分|!一血模式|!TEAM GAME



入门引导,典型套路总览,典型套路之XSS,典型套路之SSRF,典型套路之XXE,典型套路之文件上传,典型套路之文件包含,典型套路之SSTI模板注入,典型套路之SQL,NOSQL注入,典型套路之操作系统/语言特性,XSS题目之NAME:HCOREM,XSS题目之NAME:MISSION_INVISIBLE,SSRF题目之SSRFME,SSRF题目之协议很6?,SSRF题目之地址绕过,XXE题目之简单XXE,XXE题目之Blind/Local XXE,文件上传题目之CHECK IN,文件上传题目之WAFUPLOAD,文件上传练习,SSTI之NORMAL SSTI,SSTI题目之护网杯2019 SSTI,SSTI题目之SCAM,代码审计题目之MEMBERSHOP,代码审计题目之SSRFME,代码审计题目之FILEMAGI,SQL注入题目之随便注,SQL注入题目之EASYSQL,总结:CTF-WEB的摸爬滚打,定制化提升,知识盒子,知识付费,在线教育