几个月前分享了一篇文章，叫《一张图片居然能隐藏这么多东西！》，讲述了一个看上去是个图片文件，实际上里面隐藏了很多很多其他信息的例子。其实这是一道CTF的Misc杂项题，在上文的开头也简要的提到了。这篇文章就来简单介绍一下CTF比赛。
一、什么是CTF/CTF的历史
CTF，英文全称是：Capture The Flag，中文翻译为夺旗赛，顾名思义，就是要获取Flag（旗）。比赛的主要形式是通过团队内部的交流，挖掘题目中的漏洞，隐藏信息，从而获取最终的Flag值，提交得分，不同难度的题目/Flag会有不同的分值。
CTF的模式[1]：
- 解题模式 - Jeopardy
- 战争分享模式 - Belluminar
- 攻防模式 - Attack & Defense
其中解题模式就是比较常见的比赛，主要包含了Web 网络攻防 、 RE 逆向工程 、 Pwn 二进制漏洞利用 、 Crypto 密码攻击 、 Mobile 移动安全 以及 Misc 安全杂项 这六个类别[1]。
至于中间那种，我没有接触过，所以我也不好给大家伙儿科普了，大家有兴趣可以去了解一下~
攻防模式则是所有队伍在一个封闭的网络环境中，守护自己队伍的服务器安全，同时尽可能多的抓取其他队伍服务器的漏洞，挖取其中蕴藏的flag。
CTF 的前身是传统黑客之间网络技术比拼的游戏，起源于 1996 年第四届 DEFCON[2]。
（历年DEFCON CTF总决赛举办情况[3]）
作者注：实在找不到更新的表格了大家将就着看吧
DEF CON会议官网：https://www.defcon.org/html/links/dc-archives.html
二、CTF比赛
据参加比赛的朋友不完全统计，就去年（2018年）一整年，国内大大小小的CTF比赛就有几十场，较17年比呈现一个井喷式的增长趋势（数据不确保正确）。从比赛场次的增多，可以看出来，国内的网络安全意识开始迅速的提升，越来越多的企业/网络管理员/学生甚至是单纯的计算机爱好者，开始重视网络安全。
CTF比赛真正的意义是为了让大家能够提高计算机网络安全意识，同时比拼大家对于网络攻击的防御技能。随着互联网的发展，网络环境却日益恶化，用户的隐私信息/公司的商业机密等都是非常重要的部分。因此，不管是程序员也好，网络管理员也罢，都需要不断地提升自身的网络安全意识。
前段时间华住被“脱裤”（业内术语，表示数据库的数据被黑客拿走了）的事情，被爆出疑似是程序员将数据库连接方式直接传到github（开源代码托管平台，上传以后大家都能看到具体的代码）上了，导致数据库地址用户名密码全部泄露。讲道理，如果这个是真的，这个程序员给你个忠告，换职业吧，真的，程序员不适合你。
(source: Freebuf[4])
三、我与CTF
我首次接触CTF，是在18年中旬，公司组织内部的网络安全技能大赛，荣幸参加比赛，以及赛前的培训/训练。为了更有把握，提前还参加了绿盟在我们城市举办的第一届网络安全大赛，不过那时候的我们甚至说是连网络安全的门都没入，自然战绩惨不忍睹。
后来接触了几位参加过很多次比赛的老师/朋友，慢慢的找到了一些套路，以及方式方法，虽然在公司内部的比赛中只排到了中上的名次，毕竟也只能算是个刚刚入门的小学生而已。不过这几次比赛下来，提升了我很多对于网络安全方面的意识。也希望能够通过自己的这一微薄的力量，给周围的家人朋友们，普及一下网络安全方面的知识，避免中招。
四、举几个CTF的例题
1. Misc杂项题：
这个题型文章开头就提到过，大家有兴趣可以点文章开头的链接查看（我知道你们懒得往上翻，这里再放一边吧：《一张图片居然能隐藏这么多东西！》），其实这个题算是我做过的Misc题中比较复杂的题了。
2. Web题：
这是一道非常简单的题，来源：BugKu（https://ctf.bugku.com/challenges#web2）
因为是个Web题，因此就肯定是个网页啦~首先我们打开网页看一下：
哎呀我的天，这么多滑稽，弄得我眼花缭乱的。。。这表面看也看不出什么东西啊。祭出神器F12，浏览器自带的调试功能：
唉这不就有东西了~看到源代码里包含了一串flag值，复制下来，提交即可。
这就是一道非常简单的Web题啦，这题考察的就是你的源代码审查能力。当然啦，比赛的时候难度自然就没有这么简单了~（可能会作为比赛的签到题来作为热身，以及起到告知选手flag格式的作用）
3. 加解密题：
常见的加解密题，用到的加解密方式大概包含了Base64，Base32，Hex，RSA，再加上一些古典密码学，比如摩斯密码，凯撒密码，维吉尼亚密码，猪圈密码，希尔密码，波利比奥斯棋盘等。
举个例子，题目同样来自于BugKu（https://ctf.bugku.com/challenges#滴答~滴）
一看到题目中给的是".", "-"，以及标题滴答滴，瞬间就想到摩斯电码，转换一下（答案同样也被我打了码）：
于是我们就拿到了真正的结果，按照题目要求的格式提交即可。
好了，篇幅有限，CTF的例子就举这几个吧，大家如果有兴趣的，下方推荐几个CTF联系平台，有兴趣可以去自己玩一玩~
五、CTF练习平台
BugKu：https://ctf.bugku.com/challenges
新BugKu（CTF-论剑场）：https://new.bugku.com/challenges
实验吧：http://www.shiyanbar.com/ctf/practice
浙大的Jarvis OJ：https://www.jarvisoj.com/login
看雪CTF：https://ctf.pediy.com/（这个好像是比赛为主，暂时没找到练习的题）
六、引用 (Reference)
[1] "CTF 竞赛模式简介 - CTF Wiki", Ctf-wiki.github.io. [Online]. Available: https://ctf-wiki.github.io/ctf-wiki/introduction/mode/. [Accessed: 19- Jan- 2019]
[2] "CTF 历史 - CTF Wiki", Ctf-wiki.github.io. [Online]. Available: https://ctf-wiki.github.io/ctf-wiki/introduction/history/. [Accessed: 19- Jan- 2019]
[3]"Defcon黑客大会CTF夺旗赛历史", Defcon黑客大会CTF夺旗赛历史|Defcon黑客大会|CTF夺旗赛_滚动新闻_新浪科技_新浪网, 2014. [Online]. Available: http://tech.sina.com.cn/roll/2014-08-21/17429566710.shtml. [Accessed: 19- Jan- 2019]
[4]"华住开房数据泄露，下一个可能就是你！ - FreeBuf互联网安全新媒体平台", Freebuf.com, 2018. [Online]. Available: https://www.freebuf.com/company-information/182475.html. [Accessed: 19- Jan- 2019]
作者注：本文最早发布于我的公众号Carl中，感兴趣的小伙伴们可以关注一下我的二维码：
（本文为作者原创。转载请注明：转自carlzhang.xyz）