简介：《基于网络安全技术的CTF竞赛》是一份系统介绍CTF夺旗竞赛的PDF参考资料，内容围绕网络安全威胁背景、CTF竞赛概念展开，适合网络安全初学者、CTF参赛选手及高校相关专业师生阅读，可作为快速建立竞赛认知、选择学习方向的参考文献与专业指导。资源包为1个PDF文件，大小约1.32MB，体量小巧但结构完整。资料重点阐释了解题模式与攻防模式两类主流赛制，并针对Web、Reverse Engineering、Pwn、Crypto、PPC、Misc等常见题型进行归纳，涉及Burp Suite、Nmap、SQLMap等典型工具的应用思路，同时总结了CTF在人才培养、以赛促学、促进网络安全建设等方面的价值与发展前景。目前已有1228人学习下载，对希望系统入门CTF并规划技术路径的读者来说是一份具备实用参考价值的电子文档。
1. 这份 CTF 竞赛 PDF，到底在教你什么
临近比赛的那一周，大部分人不是在刷题，而是在翻资料。手里拿到一份「基于网络安全技术的 CTF 竞赛.pdf」，第一反应其实不是高兴，而是焦虑：从哪儿开始看？这份 PDF 的本质，是把网络安全技术里的知识点，映射到 CTF 竞赛的题目类型上——你懂 SQL 注入，就能去 Web 题里拿分；你懂数论和密码编码，就能去 Crypto 题里拿分。它解决的是“有知识但不会用”的问题，适合刚接触竞赛、想用最少时间摸清赛题套路的人，也适合已经有安全基础、想快速查漏补缺的老手。接下来我就按我自己整理这类 PDF 的路径，把它从头拆到尾。
2. 先翻目录再决定学什么：五大方向与工具链盘点
2.1 为什么 CTF 要按方向学，而不是按“攻击技术”学
许多第一次接触 CTF 的人，习惯按“攻击技术”去分类，比如信息泄露、命令执行、暴力破解。但打开这份 PDF 的目录，你会发现它基本按题目类型组织，也就是 Web、Pwn、Reverse、Crypto、Misc 五个方向。这种组织方式的直接原因是比赛平台的计分单位是“题”，每一道题都挂在一个方向下面，你打开比赛页面必须先选方向，再选题目。如果你按“攻击技术”去学，会发现同一个技术会在多个方向里出现，比如“命令执行”既出现在 Web 题里，也可能出现在 Pwn 题里，学习路径会显得七零八落。
按方向学还有个现实理由：每个方向的知识栈相对独立，学起来负担更小。Web 题主要面向 HTTP 协议、常见漏洞成因和绕过思路；Crypto 题只需要数学基础和编码知识，不依赖你懂多少系统原理；Misc 题则是杂项，涉及编码、隐写、流量分析，需要的是信息收集能力。只有 Pwn 和 Reverse 要求较强的二进制功底，需要懂函数调用栈、汇编语言和调试技巧。理解了这一点，你再回头看 PDF 的目录，就不该再纠结“先学什么”，而是先看自己的基础在哪，从最低门槛的方向切入。
这里我建议新手先看第 1 章或目录中 Misc 与 Web 的章节，不要一上来就啃 Pwn。不是为了绕开难点，而是因为这两个方向反馈最快，题目做得出来，你才有动力把 PDF 翻完。反过来，如果把 Pwn 放在前面，大部分人在搭建调试环境这一关就退了。CTF 竞赛的得分是要靠比赛现场拼出来的，资料再多，也得按能出分的方向投入时间。
2.2 每个方向只留两三个主力工具，工具越多翻车越多
工具是 CTF 里最容易让人产生“准备充分”错觉的东西。不少人拿到 PDF 的第一件事就是照着里面的工具清单挨个安装，最后电脑里躺着几十个安全工具，真正会用的一只手数得过来。我的习惯恰恰相反，每个方向只留两三个主力工具，用熟比用多重要。因为工具本身有学习成本，而 CTF 训练时间极其有限，工具之间还会因为版本、依赖库、插件互相干扰，装得越多，环境出问题的概率越大。
Web 方向，我一般保留 Burp Suite 和浏览器开发者工具，再加一个 sqlmap 用来验证思路，基本覆盖抓包、改包、注入检查和 Payload 调试。Pwn 方向，pwntools、gdb、checksec 这三样是标配，pwntools 负责写脚本，gdb 负责动态调试，checksec 负责查保护机制。Reverse 方向，IDA 和 Ghidra 选一个就行，我选 IDA 的原因通常是题解里给的截图都是 IDA 的 F5 伪代码，对不上会很痛苦。Crypto 方向，openssl、Python 的 pycryptodome 和 CyberChef 可以处理绝大多数编码和密码学题目。Misc 方向，binwalk、foremost、strings 这三件套，处理隐写和文件分离已经够用。
这一节要特别强调版本一致性的问题。比如工具论：同一份 PDF 里面的题解，作者可能用的是 IDA 7.7，而你装的是 Ghidra 11，功能上都能反编译，但插件脚本、快捷键、数据导出格式完全不同。如果题解提供了脚本文件，你大概率跑不通。所以工具链的选择标准，不只是“这个工具好不好”，而是“这个工具和我要读的 PDF 里出现的截图、脚本、命令是否匹配”。拿到 PDF 后先扫一遍题解里出现频率最高的工具名，然后把它们作为主力，其余一律用替代方案。这个动作看起来不算技术活，却能把后面踩坑的时间省掉一大半。
2.3 一套可以直接落地的安装命令与验证方法
下面这份命令，是我在新机器上搭 CTF 环境时的最小集合，适合 Ubuntu 系环境。先把基础工具装好，再用虚拟环境装 Python 库，避免污染系统 Python。
# 更新索引并安装基础分析工具 sudo apt update sudo apt install -y binutils gdb python3-pip python3-venv # 创建 CTF 专用虚拟环境 python3 -m venv ~/ctfenv source ~/ctfenv/bin/activate # 安装做题常用的 Python 库 pip3 install pwntools pycryptodome requests这套命令做了三件事：更新系统包索引，安装二进制分析会用到的基础工具，再在当前 shell 里建一个 Python 虚拟环境。python3 -m venv创建的环境不会影响系统全局，pwntools 和 pycryptodome 装进去之后，不需要 root 权限也能 import。装完可以跑一句python3 -c "from pwn import *; print('ok')"验证 pwn 模块是否加载正常，如果能打印 ok，说明环境就绪。
网络请求库 requests 虽然不算 CTF 专属库，但 Web 题里手写 Payload 时几乎必用，所以我一并装进去。这里有个容易被忽略的细节：apt install python3-pip之后，pip 对应的是 python3，如果你手头有多种 Python 版本，最好用python3 -m pip install而不是裸写pip install，否则可能装到别的解释器路径里。另外，不要在这个阶段同时装 Kali 全家桶式的工具合集，到比赛前一周再装，很容易因为环境崩了把自己的状态搞崩。等环境备好后，记得把每个核心工具的版本号记在 PDF 的空白页，后面做第 5 章里那些排错时，第一步就是对照版本。
3. 把 PDF 目录变成学习计划：三阶段路线与自动化整理脚本
3.1 用 Python 把 PDF 里的题目标题抽成学习清单
PDF 这类资料，最大的问题是“读起来没有终点感”。目录只在最初几页出现，往后翻书越读越散。我一般先写个脚本，把目录抽出来，变成一份 Markdown 清单，后面按清单逐项打勾。这步操作不依赖对 PDF 正文的理解，纯粹是格式处理，但效果很好。
from pathlib import Path from pypdf import PdfReader # 用你环境里能跑的 PDF 解析库 pdf_path = Path("基于网络安全技术的CTF竞赛.pdf") reader = PdfReader(str(pdf_path)) lines = [] # 目录一般集中在前 20 页，按需调整 for page in reader.pages[:20]: text = page.extract_text() or "" lines.append(text) keywords = ("Web", "Pwn", "Reverse", "Crypto", "Misc", "第", "实验") out = [] for line in lines: if any(k in line for k in keywords): out.append(line.strip()) Path("ctf_catalog.md").write_text("\n".join(out), encoding="utf-8") print(f"抽取了 {len(out)} 行目录候选")脚本的逻辑很简单：读取 PDF 前 20 页的文本，把包含方向关键词或章节关键词的行抽出来，落成一个 Markdown 文件。extract_text()在不同 PDF 库里都有同名调用，参数差异不大；关键词要按你手上这份 PDF 的目录风格改，比如它的目录写的是“第1讲 SQL 注入”，就保留“第”和“注入”这样的关键词。抽出来的清单里可能混入正文内容，没关系，它的作用不是替你做阅读理解，而是让你在 10 分钟内快速扫出这份资料的骨架。
拿到清单之后，我通常会再做一步：统计每个方向出现的题目数。用collections.Counter把每行按空格拆开，统计 Web、Crypto 这类词的出现次数，就能看出 PDF 的资料重心在哪。如果发现 Misc 和 Web 占了大半，那说明它是入门向的资料，适合第一阶段刷；如果 Reverse 和 Pwn 比重高，那就要多预留时间给二进制方向。这个统计结果直接决定后面的时间预算，而不是盲目地平均分配。
3.2 三阶段路线：先稳分，再深水，最后仿真
学习计划最忌“从第 1 页看到最后一页”。PDF 里的章节顺序往往是按照知识点体系排的，不是按比赛得分效率排的。我的路线是三周三阶段：第一周只碰 Misc 和 Web，目标是把基础题做会；第二周进入 Crypto 和 Reverse，放慢速度，追求推导过程完整；第三周做 Pwn 和整卷仿真，模拟比赛节奏。
第一周的核心是“奶头乐”——不是贬义，而是说刚开始练习要选反馈最快的题型。Misc 题里很多是编码转换、文件隐写，十几分钟就能看到结果。Web 题里的 SQL 注入、目录扫描，改一个参数就能看到页面变化。这一周最好每天做 3 道题，不会的直接看看 PDF 题解，但看完必须合上书自己敲一遍。如果只看不敲，你三周后还是不会。第二周要主动适应慢反馈，Crypto 题有时候推一下午算不出来，这不是浪费时间，而是模拟赛场上真正会遇到的卡顿。第三周的重点是整卷限时，找一份最近一年的真题，按 4 小时完整走一遍，中间不要暂停去查资料，PDF 可以翻，但要计算翻资料的时间成本。
如果你是团队参赛，三阶段还要配合分工。主 Web 的人不必精通 Reverse 的栈溢出，主 Reverse 的人可以在 Crypto 题上只了解编码类题目。团队赛的四小时里，最忌讳两个人同时卡在同一道题上。合理的做法是：赛前 PDF 各人扫一遍自己方向的章节，比赛时一进场先看所有 pwn 和 web 题的附件列表，谁有把握谁先上手，其他人先做简单题拿分。三阶段路线本身也要按团队调整，比如 Pwn 手可以跳过第一周 Misc 深度，直接进入第二周专项。
3.3 时间预算与复盘模板：怎么知道自己真的学会了
一个现实问题是：刷了很多题，比赛依然没分。原因往往不是题做得少，而是没有复盘。我给你一个可照抄的复盘模板，三项内容：今天做了哪些题，哪些题是看了题解才做出来的，哪些点需要回看 PDF 的哪一章。每天花五分钟写，积累一周后，把这三栏汇总。你会发现薄弱点高度集中在几个模式上，比如“不会处理二进制文件格式”或“RSA 里公钥解析总是出错”，然后就带着这些词回翻 PDF 对应的页，效率比从头再读一遍高得多。
复盘里还要记环境信息。很多题解说“直接访问 admin.php”，但前提是你已经起了 Docker 容器，或者比赛平台已经分配了靶机环境。如果不把“当时用的什么环境、端口是多少、容器镜像版本是什么”写下来，下次换台机器就无法复现。我特别建议把每次做实验用的题目附件、可执行文件、密文原文放进一个目录，用题目 ID 命名，别只存一个解题脚本。PDF 可以丢，题解可以忘，但你有全套现场文件，任何时候都能把这道题的推导过程推回去。
这样安排下来，PDF 就不再是“读过一遍”的资料，而是你整个训练周期的索引和查漏工具。最后一章我会讲怎么把它转换成比赛现场能用上的武器库，这里先不展开。
4. 用 Web 和 Crypto 两个方向练手：最小可复现实验与参数设置
4.1 Web 方向最小实验：在本地靶场里复现 SQL 注入
Web 题里出现频率最高的知识点是 SQL 注入。问题在于，很多 PDF 题解一上来就甩一段 sqlmap 命令，跑出一个数据库名，然后告诉你答案是它。这会导致你根本理解不了 Payload 在干什么。正确做法是在本地起一个可控靶场，亲手验证注入流程。常见的本地靶场有 DVWA 和 SQLi-Labs，随便装一个即可。下面是判断注入点是否成立的请求写法。
python3 -c "import requests; r=requests.get('http://127.0.0.1:8080/?id=1\\' and 1=1 --+', timeout=5); print(r.text[:300])"这条命令会向本机 8080 端口的靶场发一个带注入 Payload 的 GET 请求，打印返回页面前 300 个字符。URL 里的1'负责闭合前端的 SQL 拼接，and 1=1让查询结果恒真，--+是 SQL 注释符，把原本可能跟在后面的查询条件直接注释掉。之后再发一个?id=1' and 1=2 --+，如果页面内容与恒真版本明显不同，就能基本确认注入点存在。这里有个容易踩的坑：有些题目后端用的是 MySQL，注释符是#，但 URL 中的#会被浏览器当成锚点丢弃，所以要么写成%23，要么用--+。
确认注入点后，不管你是否要上 sqlmap，我都建议先手工确定字段数。方法是用order by n逐步试探，比如order by 1、order by 2一直试到报错为止，就能得到查询字段数。拿到字段数后，再用union select 1,2,3定位回显位置。这一步的意义在于，很多 PDF 题解省略了中间过程，直接给出最后数据，你自己走一遍才会知道字段位序不对时“报错”是什么模样。本地靶场怎么造都不出问题，但千万不要把这套方式搬到没授权的系统上，CTF 比赛里能测试的范围仅限于比赛提供的靶机。
4.2 Crypto 方向最小实验：一道古典密码题的复现
Crypto 题给人的第一印象是数学难，但其实很多题是古典编码和编码转换，适合在新手期练手。拿凯撒密码题作例子，核心就是一个穷举移位的过程，脚本如下。
cipher = "QIIX QIYQ" # 示例，换成自己从 PDF 里摘的密文 cipher = cipher.upper() for shift in range(26): plain = [] for c in cipher: if c == " ": plain.append(" ") else: plain.append(chr((ord(c) - ord("A") + shift) % 26 + ord("A"))) result = "".join(plain) if "flag" in result.lower() or "ctf" in result.lower(): print(f"shift={shift}: {result}")这段代码把 26 种移位全部试一遍，然后靠flag或ctf字样自动识别出正确明文。ord(c)拿到字母的 ASCII 码，减去ord("A")后得到一个 0 到 25 的数字，加上 shift 再对 26 取模，得到新字母在字母表里的偏移，最后再加回ord("A")还原成字符。% 26是处理字母表循环的关键，少了它会直接溢出到标点符号区。
古典密码题的第二个常见操作是 hex 和 base64 互转。PDF 里经常直接给一串666c6167就要你转成flag，但你要注意bytes.fromhex()得到的是 bytes，不是字符串，想打印中文或可见字符还要再套一层decode()。Base64 同理，base64.b64decode(s)的解码结果也可能带换行符，所以在做字符串比较前统一.strip()。写 Crypto 脚本时，把每一步中间结果print(repr(...))出来，比一次性写完“优雅”的方案更实用，因为你能立刻看到哪一步的格式错了。
4.3 参数设置的三个细节点：编码、超时、日志
脚本能不能跑通，一半要看算法，另一半要看参数。编码是第一个坑。从 PDF 里复制密文时，经常会带入全角空格、不可见换行符，我把这类问题称为“看不见的字符污染”。解决方式很粗暴：脚本开头先把所有输入做一次清洗，例如cipher = re.sub(r'[^A-Za-z0-9+/=\s]', '', cipher)，把可疑字符直接滤掉。处理 base64 时要注意，标准 base64 的字符集只有 A-Z、a-z、0-9、+、/、=，如果你在原文里看到-和_，那可能是 URL-safe 变种，要先把它们替换回+和/再解码。
第二个细节是网络请求超时。手写 Web 题脚本时，requests 默认没有超时，一旦比赛平台出现短暂抖动，你的脚本会一直挂在等响应上，四小时的比赛里这就是慢性自杀。我一般统一把超时设置成 5 秒，如果某个环节确实慢，再单独调大。同时打印请求耗时，比如print(r.elapsed.total_seconds())，当耗时异常增大时，说明你在被限速，该考虑减少请求次数。
第三个细节是日志输出。很多脚本喜欢最后一下打印结果，中间什么提示都没有。一旦结果不对，你连哪一步出问题都不知道。我的习惯是定义log = lambda msg: print(f"[*] {msg}")，在每个关键步骤前后各打一行。比如在爆破 RSA 时，每试一个可能的公钥指数就打印当前值和剩余候选数，看起来啰嗦，但能让你在赛场上几秒钟定位问题，而不是反复从头跑。这三个参数细节，PDF 很少会写，因为它们属于做题经验而不是知识点，需要你自己沉淀下来。
5. 竞赛实战避坑：五条翻车记录与排查顺序
5.1 现象：照着题解敲代码，运行报 UnicodeEncodeError
原因：这份 PDF 是从多个来源拼出来的，粘贴代码时容易带上全角引号、破折号，甚至网页里看不见的零宽字符。Python 读到这些字符后，要么编码报错，要么语法解析报错，错误提示还不直观。
解决：先看报错行的高亮字符，复制出来用repr()显示码点。如果是 U+201C、U+201D 这种全角引号，直接全局替换成英文单双引号。如果你用的是 VSCode，可以在右下角确认文件编码是否为 UTF-8，某些老 PDF 题解是 GBK 编码直接复制出来的，需要先转码再运行。整理 PDF 时顺手把这个坑写成第一条注意事项，能省下后面的反复折腾。
5.2 现象：脚本本地跑得很顺，比赛平台上一提交就超时
原因：本地靶场没有访问频率限制，而比赛平台通常对请求频率敏感。你的循环可能在本地以毫秒级速度跑完，到了平台被限速或拦截，每个请求都卡满超时，最后整个脚本时间翻了几十倍。
解决：提交前先看响应耗时。把所有请求的elapsed打印出来，如果响应时间全部稳定在一个较高的值附近，说明你不只是慢，而是被平台限速了。这时候并发加大会适得其反，正确做法是减少请求数量：先手工用一个请求分析返回包结构，缩小候选空间，再用工具去打最终结果。比如目录扫描时，先根据响应包大小和状态码过滤掉大部分无效目录，再用精确路径探测，而不是从 10 万条字典里硬跑。
5.3 现象：flag 提交一直 failed，题解逻辑明明是对的
原因：CTF 的 flag 有固定格式，通常是flag{...}。但大小写、括号类型、中间有没有换行，都可能让一次提交失败。很多题解脚本把最终输出直接打在终端，看似正确，实际把[]当成了{}，或者输出里带了末尾回车。
解决：写一个统一的 flag 规范化函数，把所有[、(、＜等非标准括号替换成{，再对内容做去空白处理。输出之后不要急着提交，先用肉眼对照题目描述里的格式说明。如果题目说“flag 是 md5 值”，那说明 Payload 里还有一步 MD5 处理你没跑完。把这一步补齐，再提交，避免在原脚本上反复重跑浪费比赛时间。
5.4 现象：PDF 里的题解代码“缺头缺尾”，跑起来报 NameError
原因：这类 PDF 很多是从博客、题解帖、聊天记录里截出来的代码，只保留了核心逻辑，前面的 import、后面的文件读取都被截掉了。新手直接复制运行，当然会报未定义变量或模块不存在。
解决：不要逐行去猜缺了什么，先把代码块整体丢进 IDE，运行一次看报错列出的变量名。补代码顺序是：先补 import，再补输入数据读取，最后补参数定义。补完能跑通后，一定把完整版抄进自己的题解笔记，而不是停留在 PDF 原样。抄写的过程会帮你把“作者省略的上下文”补齐，下次遇到类似代码就不会慌。
5.5 现象：本地虚拟机用 Ghidra，比赛电脑装的是 IDA，题解里给的数据文件打不开
原因：工具链不一致是竞赛里最常见的环境翻车。题解作者导出的是 IDA 数据库文件，你手头的是 Ghidra 项目，两者格式完全不兼容。插件脚本也是一个道理，同一个功能在不同工具里的实现方式不同，跑不通并不意外。
解决：赛前把 PDF 里所有截图和命令涉及的工具版本固定下来，优先用题解作者使用的同款工具。我长期保持一个习惯：每次比赛结束后，把当前虚拟机里的工具版本、Python 包列表、常用配置文件打包备份。下次赛前先在比赛电脑上恢复这个环境，再开始做题。环境版本的一致性，比多刷二十道题更能保证你比赛时不慌。
6. 把 PDF 里的题解整理成私房武器库：验证方法与复盘习惯
6.1 把静态 PDF 变成两级速查表
第一步，做一级速查表：方向、题型、工具、一句话套路。比如“Web / SQL 注入 / 手工 union + sqlmap 验证 / 先 order by 查字段数”。第二步，以方向为单位维护一个cheatsheet/目录，每个方向一个 Markdown 文件，里面只放三样东西：能直接复制的常规 Payload、跑通过的完整脚本、以及这次踩坑的一句教训。这个目录不是资料收藏夹，而是比赛现场打开频率最高的页面。
平时翻 PDF，遇到一个值得记录的技巧就追加进对应方向的速查表。遇到报错，把原因和修复方案也写进速查表末尾。这样经过三周训练，你手里的 PDF 已经变成一个旧索引，你自己的 Markdown 才是新索引。基于网络安全技术的 CTF 竞赛，最终取胜靠的还是你能立刻翻到的资料，而不是电脑里囤了多少 GB 的电子书。
6.2 用“新题验证法”检验武器库好不好用
武器库好不好用，要看它能不能应对没见过的新题。我习惯每两周找三道没做过的真题，直接开做，不许先翻题解。如果卡住，先查自己的速查表，看有没有可以复用的 Payload；如果查不到，再翻原 PDF 的对应章节，然后把缺的知识点补进速查表。这个方法叫新题验证法，核心是让漏洞暴露在学习期，而不是比赛期。
验证时注意，不要只验证“做得出”，还要记录“花了多久”。一道题如果花了超过两个小时才做出来，说明速查表里缺一条更快的路径。比如你花了 1 小时扫描目录，后来才发现可以直接通过响应头里的版本号推断框架，再命中一个已知接口。这种经验只有在新题验证里才会暴露，平时顺着 PDF 题解做，永远发现不了。
6.3 一个值得长期坚持的复盘习惯
我坚持多年的习惯：赛后 24 小时内，把每道题的三栏复盘写下来——第一反应是什么、实际路径是什么、最终解法是什么，每栏控制在几十字。不要赛后立刻写，等 24 小时再写，是因为刚结束比赛时情绪还在，容易把简单题写复杂；隔一天再回看，能更客观地判断哪个环节真正卡住。写完之后，把这三栏贴到 PDF 对应章节附近，下一个赛季复习时先看这部分，就能跳过大量无效翻书时间。
这个习惯，让我在多年比赛里得失心越来越小，而技术判断力越来越强。遇到新题时，我首先想的不是“能不能做出来”，而是“这个题对应的技术方向我有没有整理过”。能想到，就八成有分；想不到，就说明速查表还缺一块。基于网络安全技术的 CTF 竞赛，说到底是一场“技术积累速度”的比拼，PDF 只是起点，你自己的武器库才是终点。这些年我最大的教训是：资料多不是优势，能把一份 PDF 按自己的节奏拆完才是。希望帮到你。
本文还有配套的精品资源，点击获取
