0基础小白怎么入门CTF，看这个就够了（附学习笔记、靶场、工具包下载）

已于 2024-01-25 17:52:39 修改
阅读量2.8k 收藏 59
点赞数 1
文章标签： 学习 笔记 web安全 网络安全 安全 渗透测试 CTF 1024程序员节
于 2023-06-24 16:34:04 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/z099164/article/details/131362896
版权

CTF靶场：CTF刷题，在校生备战CTF比赛，信安入门、提升自己、丰富简历之必备（一场比赛打出好成绩，可以让你轻松进大厂，如近期的各种CTF杯），在职人员可以工作意外提升信安全技能。

渗透实战靶场：挖洞、渗透实战（web、域、横向渗透），适合实战能力需要大幅度提升的同学。

一、CTF入门

最近很多朋友在后台私信我，问应该怎么入门CTF。

个人认为入门CTF之前大家应该先了解到底什么是CTF，而你学CTF的目的又到底是什么;

其次便是最好具备相应的编程能力，若是完全不具备这些能力极有可能直接被劝退。

毕竟比赛的时候动不动写个脚本，搞个审计的。

废话结束，对于CTF入门现在环境比1516年我刚接触时好太多了，当年各类资源少的可怜，SQL注入绕WAF已经算是难题了。而目前国内的氛围明显好太多了，涌现出了大量优秀的平台。作为初学者往往会遇到一个很关键的问题:该学哪个方向。

个人感觉，在不知道学啥的事情可以先学学Misc培养兴趣，然后在不断的做题中思考自己感兴趣的方向。其次日后发展也是个很关键的事情，如果准备毕业后重试网络安全，那么就需要想好Web、Pwn这些方向的日后发展。可以干哪些岗位，而这些岗位需要的对应能力、发展空间、薪资等等。

1.1、CTF常识

CTF（Capture The Flag，夺旗赛）起源于 1996 年 DEFCON 全球黑客大会，是网络安全爱好者之间的竞技游戏。CTF 竞赛涉及众多领域，内容繁杂。

CTF是一种流行的信息安全竞赛形式，其英文名可直译为“夺得Flag”，也可意译为“夺旗赛”。其大致流程是，参赛团队之间通过进行攻防对抗、程序分析等形式，率先从主办方给出的比赛环境中得到一串具有一定格式的字符串或其他内容，并将其提交给主办方，从而夺得分数。为了方便称呼，我们把这样的内容称之为“Flag”。

CTF比赛知识范围大致分为：Web安全、PWN（二进制安全）、Reverse（逆向破解）、Crypto（密码学安全）、Forensics（数字取证）、Misc（杂项）

  • Web安全

CTF中的Web题型，就是给定一个Web网站，选手要根据题目所提示的信息，找到网站上的flag字符串。做题的方法类似于渗透测试，但通常不会是一个完整的渗透测试，而是用到渗透测试中的某一个或某几个环节。可能涉及信息搜集、各类漏洞发现与利用、权限提升等等。 为了获取flag，可能需要拿到管理员权限，数据库权限，甚至获取网站所在服务器的权限。 所需知识： 语言：PHP、Python、JavaScript… 数据库：MySQL、MSSQL… 服务器：Apache、Nginx… Web框架：ThinkPHP、Flask… 语言特性：弱类型、截断… 函数特性：is_numeric、strcmp等；

  • PWN

PWN在安全领域中指的是通过二进制/系统调用等方式获得目标主机的 shell。CTF 中主要考察二进制漏洞的发掘和利用，需要对计算机操作系统底层 有一定的了解。在 CTF 竞赛中，PWN 题目主要出现在 Linux 平台上。 所需知识： C/C++编程语言基础、编译原理、汇编、反汇编、操作系统、加密与解密、堆栈原理、栈溢出、堆溢出…

  • Reverse

CTF之REVERSE题目涉及到软件逆向、破解技术等，要求有较强的反汇编、反编译扎实功底。需要掌握汇编，堆栈、寄存器方面的知识。有好的逻辑思维能力。主要考查参赛选手的逆向分析能力。 所需知识： 汇编、反汇编、堆栈、调试器、代码分析、OllyDBG、IDA等

  • Crypto

CTF之CRYPTO部分题目考察各种加解密技术，包括古典加密技术、现代加密技术甚至出题者自创加密技术。 所需知识： 数学知识、密码编制、密码破解、古典密码、现代密码、密码分析；

  • Forensics

CTF之FORENSICS包括文件格式分析，隐写术，内存转储分析或网络数据包捕获分析，提取静态数据文件中隐藏的信息的任何挑战都可以归为这一类 所需知识： 数据恢复、磁盘取证、内存取证、流量分析、文件隐写；

  • Misc

就是除上述之外的乱七八糟的网络安全范围内的东西，英文全称为 Miscellaneous，意思是混杂的、各种各样的。MISC 题通 常包括文件分析、图像隐写、数据搜索、内存镜像分析和流量分析等。 题型多样，脑洞大，趣味性强是 MISC 题型的主要特点。 所需知识： 信息隐藏、文件格式、内存镜像、流量分析、数据分析、社会工程等；

1.2、CTF竞赛模式

  • 解题模式（Jeopardy）

在解题模式CTF赛制中，参赛队伍可以通过互联网或者现场网络参与。这种模式的CTF竞赛与ACM编程竞赛、信息学奥赛类似，以解决网络安全技术挑战题目的分值和时间来排名，通常用于在线选拔赛，选手自由组队（人数不受限制）。题目主要包含六个类别：RE逆向工程、Pwn漏洞挖掘与利用、Web渗透、Crypto密码学、Mobile移动安全和Misc安全杂项。

  • 攻防模式（Attack-Defense）

在攻防模式CTF赛制中，参赛队伍在网络空间互相进行攻击和防守，通过挖掘网络服务漏洞并攻击对手服务来得分，通过修补自身服务漏洞进行防御来避免丢分。攻防模式通常为线下赛，参赛队伍人数有限制（通常为3到5人不等），可以实时通过得分反映出比赛情况，最终也以得分直接分出胜负。这是一种竞争激烈、具有很强观赏性和高度透明性的网络安全赛制。在这种赛制中，不仅仅是比参赛队员的智力和技术，也比体力（因为比赛一般都会持续48小时及以上），同时也比团队之间的分工配合与合作。

  • 混合模式（Mix）

结合了解题模式与攻防模式的CTF赛制，主办方会根据比赛的时间、进度等因素来释放需解答的题目，题目的难度越大，解答完成后获取的分数越高。参赛队伍通过解题获取一些初始分数，然后通过攻防对抗进行得分增减的零和游戏，最终以得分高低分出胜负。采用混合模式CTF赛制的典型代表如iCTF国际CTF竞赛。

二、CTF赛事发布网站

i春秋: https://www.ichunqiu.com/competition

XCTF社区：https://time.xctf.org.cn

CTFwiki（入门必看wiki）: https://ctf-wiki.github.io/ctf-wiki/#/introduction

CTFrank: https://ctfrank.org/

CTFtime（基本都是国外的）: https://ctftime.org

三、CTF在线靶场

1、BugkuCTF（经典靶场，难度适中，适合入门刷题，题量大）

https://ctf.bugku.com/

2、北京联合大学BUUCTF（新靶场，难度中上，搜集了很多大赛原题）

https://buuoj.cn/

3、CTFSHOW:（新靶场，题量大，很多大赛会从中抽原题）

https://ctf.show/challenges

**4、XCTF攻防世界：**https://adworld.xctf.org.cn/task

上面4个靶场是我常去的，BugkuCTF很久以前就刷了一遍，BUUCTF刷了有70%，CTFSHOW最近一直在刷，XCTF攻防世界以前有内网渗透实验，现在主要上去刷CTF。

5、实验吧:

http://www.shiyanbar.com（2017年刷过一遍，目前站一直更新）

**6、安恒周周练：**https://www.linkedbyx.com/home

7、XSS专练：https://xss.haozi.me/tools/xss-encode/

8、南京邮电大学CTF网络攻防训练平台: http://ctf.nuptzj.cn/

9、网络信息安全实验平台 http://hackinglab.cn/index.php

四、漏洞靶场

1. DVWA（必练）：Web安全入门必刷的靶场，包含了最常见的web漏洞，界面简单易用，通过设置不同的难度，可更好地理解漏洞的原理及对应的代码防护

http://www.dvwa.co.uk

2. Sqli-Labs（必练）：一个印度大神程序员写的,用来学习sql注入的一个游戏教程，目前65关，冲关过程中学注入。

https://github.com/Audi-1/sqli-labs

3. Upload-labs（必练）：一个和sqli-labs类似的靶场平台,专门学习文件上传的，目前21关。

https://github.com/c0ny1/upload-labs

4. BWVS（老版本bugku的离线版）：

https://github.com/bugku/BWVS

5. BWAPP：

https://sourceforge.net/projects/bwapp

6. WAVSEP：

https://github.com/sectooladdict/wavsep

7. VulnStack：

http://vulnstack.qiyuanxuetang.net/vuln

8. Webug 3.0：

https://pan.baidu.com/s/1eRIB3Se

9. Metasploitable：

https://github.com/rapid7/metasploitable3

10. DVWA-WooYun：

https://sourceforge.net/projects/dvwa-wooyun

11. OWASP Mutillidae：

https://sourceforge.net/projects/mutillidae

12. Web for Pentester：

https://www.pentesterlab.com/exercises/web_for_pentester

五、渗透实战靶场

1、Vulhub: （各种漏洞环境集合，一键搭建漏洞测试靶场）

https://vulhub.org/（在线版）

https://github.com/vulhub/vulhub（离线版）

2、vulnhub：（国外实战靶场，适合入门提高）

https://www.vulnhub.com/

3、vulnstack(红队实战靶场，域、横向渗透、多层网络，强烈推荐，目前共7个靶场，网上writeup齐全)

http://vulnstack.qiyuanxuetang.net/vuln/#

4、WebGoat（WEB漏洞测试和练习）

https://github.com/WebGoat/WebGoat

5、Web For Pentester（web漏洞检测技术）

https://www.pentesterlab.com

6、VulApps（快速搭建各种漏洞环境与安全工具环境）

http://vulapps.evalbug.com/

7、bWAPP（集成了各种常见漏洞和最新漏洞的开源Web应用程序）

http://www.itsecgames.com/

8、btslab（不同类型的Web应用程序漏洞）

https://github.com/CSPF-Founder/btslab/

9、pikachu（一个好玩的Web安全-漏洞测试平台）

https://github.com/zhuifengshaonianhanlu/pikachu

六、CTF工具包

CTF大赛， 俗话说“兵马未动，粮草先行”。打CTF手里的武器工具少不了，CTF比赛有些线下赛，不提供互联网环境，这就更需要开战前把工具包准备好了。

工具包目录如下文，文末有云盘下载链接（部分工具版本稍早，但都比较稳定）。

CTF工具包大合集目录如下：

工具包目录：

  1. 综合利用工具(包含菜鸟教程、w3cschool、各种API)

  2. 抓包工具

  3. 注入工具

  4. 隐写工具

  5. 提权工具

  6. 数据库工具

  7. 扫描工具

  8. 逆向工具（包含反编译工具）

  9. 内网工具

  10. 二进制工具

  11. 代理转发类工具

  12. 暴力破解工具

  13. 安装环境包（Java、python、php）

  14. XSS

  15. webshell

工具包目录

在这里插入图片描述

在这里插入图片描述

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享🎁

😝朋友们如果有需要全套《黑客&网络安全入门&进阶学习资源包》，可以扫描下方二维码免费领取
​
​

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

img

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

img

因篇幅有限，仅展示部分资料

2️⃣视频配套资料&国内外网安书籍、文档

① 文档和书籍资料

img

② 黑客技术

img

因篇幅有限，仅展示部分资料

3️⃣网络安全源码合集+工具包

img

4️⃣网络安全面试题

面试题
上述所有资料 ⚡️ ，朋友们如果有需要全套 📦《网络安全入门+进阶学习资源包》，可以扫描下方二维码免费领取 🆓
​

程序员小八
关注
  • 1
    点赞
  • 踩
  • 59
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CTF 入门指导教程
12-04
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013年全球举办了超过五十场国际性CTF赛事。而DEFCON作为CTF赛制的发源地，DEFCON CTF也成为了目前全球最高技术水平和影响力的CTF竞赛，类似于CTF赛场中的“世界杯” 。
ctf-工具包，包含ctf学习的几乎所有工具。
08-13
ctf-工具包，包含ctf学习的几乎所有工具。
CTF靶场集合大放送（非常详细）零基础入门到精通，收藏这一篇就够了
最新发布
logic1001的博客
04-01 1002
后续的主要关注点会在 vulfocus 和 RootTheBox 上。
计算机网络安全技术：在线CTF靶场.pdf
05-12
在线CTF靶场介绍与体验 CTF （Capture The Flag）中文一般译作夺旗赛，在网络安 全领域中指的是网络安全技术人员之间进行技术竞技的一种比 赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之 前黑客们通过互相发起真实攻击进行技术比拼的方式。已经成 为全球范围网络安全圈流行的竞赛形式，2013 年全球举办了超 过五十场国际性CTF 赛事。而DEFCON 作为CTF 赛制的发源地， DEFCON CTF 也成为了全球最高技术水平和影响力的CTF 竞赛， 类似于CTF赛场中的 “世界杯”。 在线CTF靶场介绍与体验 CTF ： 在网络安全领域中指的是网络安全技术人员之间进行竞技 的一种比赛形式。 起源于1996年全球黑客大会，互相发起真实的攻击，最终 拿到对方的一些权限，然后把他们的一些标志提交到服务器上 的得分。 在线CTF靶场介绍与体验 CTF 比赛具体是分为几个解题的类别： 壹 软件的逆向破解等。 PWN ，PWNN 也是比较考验编程能力， 贰 在后期都是需要写一些脚本，去对一个漏 洞的利用，然后获得一个答案。 叁 web ，web 方面是CTF一个主要的
网络安全CTF攻防赛最新最全入门教程
资深程序员，曾自学JAVA，C#，如今从业于网安行业
01-19 1120
CTF 是 Capture The Flag 的简称，中文叫夺旗赛，其本意是西方的一种传统运动。在比赛上两军会互相争夺旗帜，当有一方的旗帜已被敌军夺取，就代表了那一方的战败。在信息安全领域的 CTF 是说，通过各种攻击手法，获取服务器后寻找指定的字段，或者文件中某一个固定格式的字段，这个字段叫做 flag，其形式一般为 flag{xxxxxxxx}，提交到裁判机就可以得分。信息安全的 CTF 的历史可以说很长了，最早起源于 96 年的 DEFCON 全球黑客大会。
CTF-AWD入门手册
javagty6778的博客
01-09 5628
今天给大家带来了AWD的入门知识点，AWD赛制也是CTF中常见的赛制，本文讲的AWD比赛中常见的知识点，可能会有许多的遗漏，望大家指出交流，如果对本文感兴趣不妨一键三连。
【网络安全】CTF入门教程（非常详细）从零基础入门到进阶，看这一篇就够了！
程序员若风的博客
12-11 2916
CTF（Capture The Flag）中文一般译作夺旗赛，在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式。CTF起源于1996年DEFCON全球黑客大会，以代替之前黑客们通过互相发起真实攻击进行技术比拼的方式。发展至今，已经成为全球范围网络安全圈流行的竞赛形式，2013年全球举办了超过五十场国际性CTF赛事。而DEFCON作为CTF赛制的发源地，DEFCON CTF也成为了目前全球最高技术水平和影响力的CTF竞赛，类似于CTF赛场中的“世界杯” 。
从零开始学习CTF的完整指南
qq_35358965的博客
04-27 2118
综上所述，作为零基础小白，想要学习 CTF 需要掌握以下几个方面的知识：Linux 系统基础、网络协议基础、二进制分析、Web 安全、杂项题型和算法与密码学等。在掌握理论知识的同时，需要通过刷题、参加比赛和构建自己的题目等方式进行实践，提高自己的技能和创造力。网络安全CTF基础入门教程t=N3I4网络安全CTF基础入门教程https://mp.weixin.qq.com/s?
2023最新CTF入门的正确姿势
xnxqwzy的博客
07-11 421
CTF全称为Capture The Flag，是一种网络安全技术竞赛，旨在提供一个具有挑战性的平台，让参赛者在不同领域（例如密码学、逆向工程、Web和二进制漏洞等）的技术挑战中展示自己的能力。CTF比赛最初起源于全球各大高校的安全技术课程中，由教授和学生组成的团队一起参加，在许多大型的安全技术会议中也均设有CTF比赛环节。CTF比赛一般由各种安全领域的问题和难题组成，参赛者需要利用自己的知识和技能从中寻找答案，并在时间限制内成功攻克它们。比赛通常由不同的阶段组成，每个阶段有不同的挑战和难度级别。
从零开始学习CTF——CTF是什么
热门推荐
洛柒尘的博客
06-03 5万+
前言： 从2019年10月开始接触CTF，学习了sql注入、文件包含等web知识点，但都是只知道知识点却实用不上，后来在刷CTF题才发现知识点的使用方法，知道在哪里使用，哪里容易出漏洞，可是在挖src漏洞中还是很迷漫，学了快一年还是没挖过一条src漏洞。这一系列是把自己学习的CTF的过程详细写出来，方便大家学习时可以参考。 一、CTF简介 简介 中文一般译作夺旗赛（对大部分新手也可以叫签到赛），在网络安全领域中指的是网络安全技术人员之间进行技术竞技的一种比赛形式 CTF起源于1996年DEFCON全球黑客
CTF学习路线！最详细没有之一！（建议收藏）
m0_74131821的博客
05-21 2906
对于CTF入门，现在的环境比14、15年我刚接触时好太多了
CTF入门笔记（请大家看看）
02-25
CTF入门笔记（请大家看看）
F5-steganography图片隐写工具，带使用方法，内含CTF群及所有工具包
11-29
F5-steganography图片隐写工具，带使用方法，内含CTF群及所有工具包
v0lt：安全CTF工具包（不再维护）
02-05
v0lt试图重新组合我在安全CTF（Python风格）中使用/使用/将要使用的所有工具。 使用bash脚本解决了许多练习，但是Python可能更灵活，这就是原因。 与Gallopsled无关。 这是一个玩具工具箱，仅包含小型但特定的工具...
CTF网络安全大赛工具包集合
12-21
针对网络安全大赛的部分方向所需要的工具的集合
小白怎么入门CTF，看这个就够了（附学习笔记、靶场、工具包下载）
m0_74131821的博客
05-31 6528
CTF靶场：CTF刷题，在校生备战CTF比赛，信安入门、提升自己、丰富简历之必备（一场比赛打出好成绩，可以让你轻松进大厂，如近期的各种CTF杯），在职人员可以工作意外提升信安全技能。
如何入门学习CTF
2201_75362610的博客
03-08 1024
中国网络空间安全协会竞评演练工作组主办、南京赛宁承办的全国性网络安全赛事平台，2014-2015赛季五站选拔赛分别由清华、上交、浙大、杭电和成信技术团队组织（包括杭电HCTF、成信SCTF、清华BCTF、上交0CTF和浙大ACTF），XCTF联赛总决赛由蓝莲花战队组织。Forensics：CTF之FORENSICS包括文件格式分析，隐写术，内存转储分析或网络数据包捕获分析，提取静态数据文件中隐藏的信息的任何挑战都可以归为这一类 所需知识： 数据恢复、磁盘取证、内存取证、流量分析、文件隐写。
网络安全：零基础小白要如何入门CTF
2301_77472496的博客
09-23 104
在解题模式CTF赛制中，参赛队伍可以通过互联网或者现场网络参与，这种模式的CTF竞赛与ACM编程竞赛、信息学奥赛比较类似，以解决网络安全技术挑战题目的分值和时间来排名，通常用于在线选拔赛。题目主要包含逆向、漏洞挖掘与利用、Web渗透、密码、取证、隐写、安全编程等类别。一般大型比赛大都是i春秋承办的，以小组的形式比赛，分预选赛和总决赛。
windows ctf工具包
09-23
Windows CTF工具包是一套为了帮助解决计算机竞赛中的CTF（Capture The Flag）题目而设计的工具集合。CTF竞赛是一种网络安全技术比赛，旨在考察参赛者在信息安全领域的技能和能力。 Windows CTF工具包中包含了许多常用的工具和软件，可以帮助参赛者进行Windows系统及其网络环境的渗透测试和漏洞利用。 首先，工具包提供了一系列扫描工具，例如Nmap和Zenmap等，可以用来扫描目标网络的开放端口和服务，发现潜在的漏洞目标。 其次，工具包还提供了各类漏洞利用工具，如Metasploit框架。这些工具可用于检测和利用已知的漏洞，实施攻击，并获取目标系统中的敏感信息。 此外，工具包还包含了诸如Wireshark等网络分析工具，用于分析抓包并研究网络流量，帮助参赛者理解和利用网络协议。 另外，文件恢复工具如TestDisk和Foremost也包含在CTF工具包中，用于恢复和检索意外删除或丢失的文件和数据。 最后，工具包还内置了各种编程脚本和语言，例如Python和Perl，为参赛者提供了编写自定义脚本和自动化攻击的能力。 总之，Windows CTF工具包为参加CTF竞赛的安全从业者提供了丰富的工具和资源，帮助他们更好地分析和解决Windows系统及其网络环境中的安全挑战。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值