老饭骨年前带完新一届的校内CTF培训，又赶上几场线上赛的复盘，很多新人在群里问同一个问题：知识点太碎，今天看一道Web明天碰一道Misc，感觉学了又好像没学，到底怎么系统地把CTF吃透？这个问题我太有体会了，刚入坑那会儿我也是东一榔头西一棒槌，刷了上百道题还是记不住套路。后来才意识到，CTF知识体系其实是有清晰脉络的，每个方向的核心思路就那么几条，题目再多都是换着花样包装。
这篇文章我把自己这几年在各个比赛中反复用到的高频知识点梳理成一套完整框架，按主流的五大方向来拆：Web、Reverse、Pwn、Crypto、Misc。每个方向都先讲核心思路，再展开具体的题型和知识点，最后补上我自己刷题和打比赛的习惯心得。不管你是刚开始接触CTF的新人，还是已经入门想补全知识盲区的选手，这篇文章都值得收藏，刷题前翻一遍比瞎刷几十道题有用得多。
1. 先搭认知框架：CTF五大方向到底都在考什么
很多新人最迷茫的不是不会做题，而是根本不知道每个方向在考什么，拿到一道题连该往哪个方向想都不知道。所以第一步，先把五大方向的核心逻辑搞清楚。
1.1 方向分类与核心思维方式
CTF比赛主要分为解题模式（Jeopardy）和攻防模式（Attack-Defense），国内高校和平台赛事里最常见的是解题模式，题目按类别分散排列，所以你的知识体系按类别去构建最合理。
| 方向 | 核心考察能力 | 一句话总结 |
|---|---|---|
| Web | 代码审计能力、网络协议理解 | 找代码逻辑漏洞，从服务器那"拿"东西 |
| Reverse | 逆向分析能力、底层机制理解 | 把程序翻个底朝天，读懂它的秘密 |
| Pwn | 漏洞利用能力、系统底层知识 | 让程序干它不该干的事，夺下shell |
| Crypto | 数学功底、密码分析思维 | 破解加密算法或者利用密码实现缺陷 |
| Misc | 综合素养、信息隐藏与编码知识 | 脏活累活都归它，脑洞大于技术 |
需要强调一点：这个方向划分不是绝对的，尤其是Misc，它像是综合杂货铺，编码类、流量分析类、图片隐写类、甚至问卷调查类都可能出现。而Web和Pwn都涉及代码，Reverse和Pwn都涉及汇编，Crypto则经常作为某个方向里的一个环节出现。
1.2 不同基础的人如何规划主攻路线
新人最应该先明确自己的学习路径，我根据经验把选手分成三类，可以对照找自己的定位：
有编程基础但没接触过安全的，建议从Web入手。Web方向的题目环境相对统一，基本都是HTTP请求和服务器交互，不需要太深的系统知识，做题反馈也直观，入门成就感强。昨天把注入点找到，今天就能出flag，学习曲线最平缓。
科班出身、对操作系统和编译原理熟悉的，直接冲Reverse和Pwn。这两个方向看起来门槛高，但底层都是汇编、内存、堆栈这些计算机基础内容，你的专业背景在这里是实打实的优势。
零基础但想系统入门的，建议Misc和Crypto先走一遍。这两个方向对系统知识要求低，更偏重工具使用和数学思维，能快速积累比赛经验和工具操作手感，等整体节奏适应了再切入Web和Reverse。
我自己当初是从Misc入门的，因为学校比赛那会儿只有Misc题能让我在三小时内做出来，其他方向基本在发呆。但正是Misc让我把各种工具用熟了，后面转Web时才没那么吃力。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Web方向：从源码审计到利用思路的解题链路
Web方向是最贴合实战的一类，因为Web安全本身就是一个完整的攻防领域，CTF里的Web题就是把真实漏洞抽象成一个个小而精的靶场。
2.1 信息收集与代码审计是起点，不是漏洞字典
很多人做Web题上来就掏工具扫描，指望着扫出个SQL注入点或者文件上传框。工具当然要用，但CTF的Web题和真实渗透不一样，题目通常是一个精简的Web应用，关键的漏洞点往往藏在代码逻辑里，而不是靠扫描就能发现。
正确的打开方式是先做信息收集和代码审计。拿到题目先理清三个问题：这个Web应用用了什么语言和框架，有哪些页面和参数，有没有明显的源码泄露入口。常见的源码泄露方式包括.git目录泄露、.svn泄露、备份文件（比如index.php.bak）、编辑器临时文件等，这些是CTFWeb题的经典考点，因为出题人故意把源码留给你，让你通过审计源码找到漏洞点。
代码审计阶段，优先关注这几个位置：参数进SQL语句的地方（有没有过滤和转义）、文件包含和文件读取的地方（路径能不能控制）、反序列化的入口（用户输入是否直接进入unserialize）、模板渲染的地方（有没有模板注入可能）。
2.2 高频漏洞类型：注入、文件操作、反序列化
Web方向题目虽然五花八门，但高频漏洞其实是有限的。我把这些年最常遇到的几类按出题频率排一下：
SQL注入依然是最经典的一类。数字型、字符型、报错注入、布尔盲注、时间盲注、堆叠注入这几种都要熟。重点在MySQL的information_schema，很多题都需要从里面取表名和字段名。另外，如果发现注入点被WAF过滤了关键词，要考虑绕过手法，比如内联注释、大小写绕过、十六进制编码等。
文件包含漏洞在CTF中也极其常见，include和require这类函数如果参数可控就会出问题。本地文件包含可以读源码，配合php伪协议能读php文件内容；远程文件包含则可能直接getshell。特别要熟悉php://filter这个伪协议，读取php源码的固定套路就是拿它配合base64编码来绕过解析。
反序列化是近几年Web题的大热门，主要考点集中在PHP和Java上。PHP反序列化的核心是魔术方法，比如__wakeup、__destruct、__call这些，攻击思路就是构造一个对象，让它反序列化后触发危险方法链。如果题目里给了源码，先找危险函数（eval、system、file_put_contents之类），再往前追溯哪些对象能间接调用到它，串成一条利用链。
2.3 实战思路：一道典型Web题的完整推理过程
拿一道典型的PHP反序列化题来说说完整的思考过程。题目给了一个代码片段，关键逻辑大致是：
php复制class A {
public $cmd;
public function __destruct() {
eval($this->cmd);
}
}
$data = unserialize($_GET['data']);
看到这段代码，正确的反应顺序是：先找危险函数，这里eval是明确的目标；再看哪个类的哪个方法会触发它，__destruct会在对象被销毁时执行；最后确定可控入口，$_GET['data']直接进了unserialize。那么利用思路就很清晰了——构造一个A类的对象，cmd属性填上php代码，序列化后通过data参数传进去，对象被反序列化之后程序结束，析构函数触发eval，代码被执行。
这道题是简化版，但思路链条是通用的：入口参数 → 反序列化 → 魔术方法触发 → 危险函数执行，每一步都要问自己"这里的数据是谁控制的"。很多复杂题就是在中间环节再加几层类与类的调用关系，本质还是这条链。
我踩过的一个印象很深的坑是，序列化之后的字符串如果有不可打印字符，直接放在URL参数里会出错。记得先对payload进行url编码，或者用python脚本的requests库直接传参，别傻乎乎地手敲编码。
3. Reverse与Pwn：静态分析、动态调试到漏洞利用的思考框架
这两个方向都涉及程序的底层运行机制，区别在于Reverse是"读懂"程序，Pwn是"操纵"程序。因为底层知识重叠度高，我放在一起讲，但解题思路要区分清楚。
3.1 Reverse的三大基本功：静态分析、动态调试、算法还原
逆向工程的日常就是把已经编译成二进制、理论上不该被人类阅读的程序，重新变回逻辑清晰的代码视图。这个过程依赖工具，更依赖方法。
静态分析的主力工具在不同平台有不同选择，Linux下的ELF文件常用开源工具配合反汇编器，Windows下的PE文件常用交互式反汇编器。不过不管什么工具，核心操作都一样：找关键函数、看交叉引用、追踪字符串。找字符串是最快的入口，因为出题人为了让你做出来，通常会在代码里留下提示性字符串。
动态调试解决的是静态分析看不清逻辑的问题。最常见的场景是程序对输入做了复杂的变换，静态看半天不知道它在算什么。这时候可以把程序跑起来，在关键位置下断点，观察寄存器和内存变化，搞清楚它每一步到底做了什么。调试器是必备工具，但上手成本不低，不过这个成本值得花，所有Reverse高手都是调试器用得溜的人。
算法还原是Reverse里最考验耐心的一关。很多题会把一段加密或者哈希算法藏在程序里，你需要把它抠出来，搞清楚它怎么变换输入数据，然后写脚本实现逆运算。常见的有RC4、AES、TEA系列加密算法，也有一些魔改的哈希变换，碰到没见过的算法就从数据的位运算逻辑入手，逆推回去。
3.2 Pwn的底层模型：栈、堆、格式化字符串
Pwn方向的入门必须在理解了进程内存布局之后才能真正开始。关键概念包括栈帧结构、堆的分配与释放机制、程序的保护机制。我建议用这样一个顺序学：先搞懂栈上的缓冲区溢出，这是最经典也最能建立信心的题型。
栈溢出利用的核心是控制程序执行流。程序在栈上存放局部变量和返回地址，如果输入数据超长且没有检查边界，就可能溢出覆盖到返回地址。你把这个地址改成自己想要的地址，程序返回时就会跳到那里执行。这个过程听着简单，但实际操作中有个关键前提——要看程序的保护机制开没开。
| 保护机制 | 作用 | 绕过思路 |
|---|---|---|
| NX（不可执行栈） | 栈上数据不可当作代码执行 | 用ROP（返回导向编程）拼接已有代码片段 |
| ASLR（地址随机化） | 栈和库的地址每次运行随机 | 泄露地址，或使用部分覆盖 |
| Canary（栈保护） | 检测栈溢出并终止程序 | 先泄露canary值再在payload中保持它不变 |
堆利用是Pwn中的进阶部分，核心是理解堆分配器（ptmalloc）的管理模型。这类题常见的有double free、use-after-free、堆溢出，攻击思路围绕着如何让分配器把同一块内存分配两次或者如何篡改关键指针。堆题的学习曲线陡，我建议先把栈溢出和ROP练熟练之后再来碰。
格式化字符串漏洞是个很有意思的类型，printf的格式化参数如果由用户控制，就能实现任意地址读和任意地址写。写脚本时用%n系列格式符写数据，用%s读数据，再配合pwntools的fmtstr_payload工具，能省很多功夫。
3.3 工具链跑起来，pwntools与调试器的配合
Pwn和Reverse的实战离开工具寸步难行。我最常用的组合是pwntools配合调试器。pwntools是交互式漏洞利用框架，可以连接远程服务、发送payload、接收回显，脚本写得好一人顶三人力。
举个直观的用法，向一个程序发送精心构造的payload：
python复制from pwn import *
context.arch = 'amd64'
elf = ELF('./pwn')
rop = ROP(elf)
pop_rdi = rop.find_gadget(['pop rdi', 'ret']).address
system_addr = elf.plt['system']
bin_sh = next(elf.search(b'/bin/sh'))
payload = b'A' * 72
payload += p64(pop_rdi) + p64(bin_sh) + p64(system_addr)
io = process('./pwn')
io.sendline(payload)
io.interactive()
这段代码做的事情很典型：先找设计好的gadget，再找system函数的地址和"/bin/sh"字符串的位置，构造一个ROP链payload发送过去，程序就被控制住了。练习时配合调试器在payload到达前后分别查看栈变化，你会对"控制程序执行流"有极深的理解。
调试器还有一个日常用途就是排查自己脚本的问题。payload发送后程序崩溃了，崩溃在哪个地址？崩溃前寄存器是什么值？一跑调试器全清楚了，比自己瞎改脚本快得多。
4. Crypto与Misc：数学基础与脑洞技巧并存的另类战场
Crypto和Misc在比赛里经常被大家叫做"小题"方向，但其实这两个方向的知识点广度惊人，而且性价比极高——很多Crypto题目只要找到正确的数学原理，几分钟就能解出来，是小分快拿的关键战场。
4.1 Crypto常用密码类型：编码、古典密码、现代密码
Crypto的第一个层次是编码，严格来说不算密码，但比赛里大量出现。Base64、十六进制、ROT13、摩斯电码，这些都要练成条件反射，看到一串特征明显的字符串能立刻判断用哪种编码。网上都有在线工具，但至少要熟悉每一种编码的典型特征。
古典密码则是对字母做替换或换位，单表替换、维吉尼亚、栅栏密码等。这部分的解题思路高度依赖频率分析和已知明文攻击。比赛里常见的是把古典密码和一个编码套在一起，先做密码破解再做编码转换就能拿到flag。
现代密码才是Crypto方向的大头，分为对称密码、非对称密码和哈希。对称密码里AES和DES的考点主要集中在"使用不安全的工作模式"上，比如ECB模式的块独立性可以用来做字节交换攻击。非对称密码的考点更多：
RSA是绝对的高频考点，它的安全基础是大整数分解困难。但CTF里考的不是破解RSA本身，而是利用它的错误实现。常见的攻击模型包括：质数选择不当导致n可被因式分解、低加密指数（e很小）直接开方攻击、质数相近用费马分解、共模攻击（同一个明文用两个不同公钥加密）等。每道RSA题都可以归到某一种错误成因里，拿到题先把n、e、c列出来，再判断符合哪种攻击场景。
离散对数问题则出现在ElGamal和ECC相关的题目里，小规模参数下可以直接算离散对数，常见的攻击手法包括Pohlig-Hellman算法和Baby-step-giant-step算法。哈希方向的考点少一些，基本是判断碰撞和长度扩展攻击。
4.2 经典RSA攻击场景与脚本片段
RSA出题率太高了，我把最常见的几种攻击场景和判断依据列出来，这个表值得反复看，我当年就是靠它刷完了几乎所有RSA入门题：
| 攻击场景 | 判断特征 | 解题思路 |
|---|---|---|
| 直接分解n | n较小或因子已知 | 用现成工具分解，拿到p和q恢复私钥 |
| 共模攻击 | 同一个m，两个不同e加密 | 扩展欧几里得算法恢复明文 |
| 低加密指数攻击 | e很小（如3），m很小 | 对c直接开e次方 |
| 低解密指数攻击 | d很小 | 用维纳攻击连分数逼近 |
| 同因子攻击 | 多个n共享质因子 | 求最大公约数分解各n |
举个例子，如果你看到题里给了两对公钥(e1, n1)和(e2, n2)，而且gcd(e1, e2)等于1，那不用犹豫，基本就是共模攻击。原理是存在整数s1和s2让e1乘s1加上e2乘s2等于1，于是密文c1的s1次方乘以c2的s2次方就能还原出原文。这是一道典型的"看到特征直接套攻击方案"的题，脚本的核心就几行，理解了原理就永远记得住。
另外一个高频知识点是AES的CBC字节翻转攻击。CBC模式下每块密文解密时都要和前一块密文做异或，如果题目给了你完整的密文和可控的IV，你可以通过修改前一块密文来定点控制后一块解密出来的明文内容。这类题的出题方式通常是"给你加密后的cookie，你可以改cookie内容但不被检测"。
4.3 Misc题型图谱与信息隐藏的破解思路
Misc的"杂"让很多人摸不着头脑，但其实可以按信息的存在形式来分。图片是最大的载体，所以图片隐写是Misc中的主力。LSB隐写（修改图片像素最低有效位藏数据）是最常见的，直接看图色值是否异常就能怀疑。处理思路是先看文件尾有没有追加数据，再用常见隐写工具去提取。
图片里还经常藏附加信息。文件合并是初学者最容易忽略的：用文件合并命令把压缩包藏在图片后面，用图片查看器看不出问题，但用十六进制编辑器看文件尾部就能发现异常。这类题的做法是查看文件头，发现和预期不符时立刻想到分离工具。
流量分析是另一个Misc大类。题目会给你一个抓包文件，可能是网络会话的全部交互记录，也可能是某个协议的具体交互过程。核心操作是在流量里筛选HTTP协议或某种特定协议的会话，找到传输的数据内容。常见的考点包括：从HTTP请求里找上传的文件、从DNS协议里读信息、从网络会话里提取传输的图像文件。养成一个习惯：拿到流量包先看协议统计，再追踪可疑流，别在几十万条记录里头晕。
音频和压缩包的隐藏考点也经常出现。音频题常见的破解思路是看频谱图，因为隐藏信息往往以特殊频率成分存在；压缩包题目则集中在伪加密和弱口令上，当你发现文件头被篡改或者压缩包加密异常时，不妨测试一下文件头修改技巧。
4.4 Misc解题的核心习惯：先看文件头，再猜内容
我给Misc新人的第一条建议就是：拿到文件先查文件头。一个图片文件扩展名显示jpg，但文件头显示PK，那它实际是个zip压缩包。很多Misc题的突破口就是这么来的。养成用十六进制编辑器看文件头的习惯，很多题目根本不用复杂工具，只要发现文件真实类型就能定位解法。
排查顺序建议：先看文件真实类型，再看文件尾部有无附加数据，然后看二进制内容里有没有可打印字符串，最后才上隐写分析工具。按这个顺序能筛掉一半以上的"水题"，把精力留给真正有技术含量的题。
5. 赛前准备与实战经验：工具链搭建、刷题方法和比赛节奏控制
到了这个部分，你已经知道每个方向考什么了，但知识是知识，比赛是比赛，中间差的这条河要靠刷题和实战来填。
5.1 工具链准备：装有这些才算站上起跑线
每个方向都有核心工具，我按方向列一份最低配置清单。Web方向需要Burp Suite（抓包改包）和一款好用的浏览器开发者工具；Reverse方向需要反汇编器、调试器和一个顺手的十六进制编辑器；Pwn方向需要pwntools和调试器，这俩是黄金组合，离了一个都不行。Crypto方向需要Python的密码学相关库和一个能跑数学脚本的环境；Misc方向则要备好图片和文件分析工具、流量分析工具、音频分析工具和压缩包工具。
这些工具不光要会装，还要做到日常就开着练习。我见过很多人比赛时现场装工具，然后在那调环境，时间全浪费了。比赛前一周就要把所有工具更新到顺手状态，确认常用命令都记得。这里强调一个容易被忽略的细节：Windows下的工具路径和Linux下的命令有些区别，建议选定一个主操作系统踏实用，别来回切换，切换成本高还容易误事。
5.2 刷题的正确姿势：题库不在多，在于分类总结
网上有很多公开的CTF题库平台，问题从来不是缺题，而是不知道怎么刷。我的建议是：别按顺序刷，按类别刷。每周专注刷一个方向里的一种题型，比如这周专刷SQL注入，下周专刷文件包含，直到这类题你一看就知道往哪个方向走。
刷题的时候必须建立自己的知识库。每做完一道题，记三个东西：这道题的考点是什么、我的卡点在哪里、下次遇到同类型的题第一步该怎么做。这个知识库是CTF路上最宝贵的资产，比收藏几百篇大佬博文有用得多。
我也推荐新人参加一些入门级的线上赛事，不为名次，就为感受比赛压力下的节奏。线上赛一般是周末两天，不用担心影响学业，做出来两三道题拿个参与奖就值回票价了。第一次比赛大概率是手忙脚乱的，这非常正常，多打几次就好了。
5.3 比赛节奏：先易后难，时间分配决定下限
解题模式的比赛，题目分数不完全与难度挂钩，有的你以为是高分大题其实是纸老虎。我的固定策略是：开场先花十几分钟把所有题目的标题和类别扫一遍，标记出可能有思路的题，然后按照自己擅长方向的题目优先做。
比赛中最忌在一道题上死磕超过四十分钟。CTF题目有个特点，不会就是不会，多给两小时可能还是一点头绪都没有。果断放弃去做能拿分的题，证明之前的判断，回头再看第一道题往往有新的视角。我见过太多人在高分题上面磨了一下午，最后一道简单题都没碰，这是最亏的。
比赛后半程要多关注队友的动态，如果是线上赛，及时在队伍频道交流每道题的线索和进展，一个队伍的战斗力1加1大于2往往靠的是信息同步。
5.4 赛后复盘：真正拉开差距的环节
打比赛只是诊断，赛后复盘才是治疗。每次比赛结束，不管成绩好坏，花和比赛同样的时间做复盘。复盘分三步：把每道题从题目到解题过程重新走一遍，确保自己能独立做出来；整理出这次比赛自己暴露的知识盲区，补充到知识库里；看看别人的writeup，重点不是学习解题方法，而是对比"为什么我想不到这个方向"。
这里说一个我自己的体会：有些题你花了几小时做不出来，看writeup的时候觉得原来这么简单，然后下一个比赛遇到同类题又卡住了。为什么？因为你看writeup的时候只记了答案，没记思路。复盘的正确姿势是：先不看题解，回到题目本身，逼自己再想半小时怎么入手，然后把题解思路的关键转折点写进自己的知识库，比如"这类题看到xx特征就该考虑xx攻击"。这样才能把别人的经验变成自己的肌肉记忆。
6. 我踩过的那些坑：几个值得留意的经验教训
CTF学习路上有很多坑，光靠自己踩是很浪费时间的。我挑几个最常见的坑分享出来，至少让你能绕开我当年踩过的那几个。
第一个坑是工具癖。有个学弟入坑三个月，啥题不会，但工具装了二十多个，每天不是刷题是折腾工具。工具是来用的不是来供的，一个方向有两三个趁手的就足够起步。以后遇到特定需求再按需添加，别一上来就搞"全家桶"，浪费的时间比省下的多。
第二个坑是只看writeup不实操。很多新手收藏夹里存了几百篇技术文章，但自己动手敲过的代码不超过几十行。动手刷题和看文章是完全两种体验，你亲手构造过一遍payload，才会真正理解为什么这个攻击手法能生效，文章里那些话才真正长在你身上。
第三个坑是忽视基础知识。CTF很多题目其实考的是基础知识的组合，但有些选手一上来就想学骚操作，结果连HTTP状态码都说不清、连进程虚拟内存布局都没有基础概念。基础不牢后面学什么都像空中楼阁，做过的题稍微变形就识别不出来。
第四个坑是不做笔记。人的记忆是不可靠的，你上周做过的题这周可能就忘了。从第一天刷题就开始记知识库，用哪个笔记软件无所谓，关键是养成记录的习惯。我自己用的是一个本地目录加纯文本文件，分类归档，随手可查，简单可靠，比任何花哨的知识库软件都实在。
CTF的整个知识体系说复杂也复杂，说简单也简单：五大方向各成体系，每个方向里有固定的题型和对应的解题思路，你要做的就是把这些"思路"用刷题内化成自己的判断力。我见过很多一开始完全零基础的新人，按照上面的路径一点点积累，半年之后已经能在省级赛事里拿名次了。没别的窍门，就是方向对加肯花时间，外加每次都认真复盘。
如果你看完这篇还是不知道从哪个方向下手，那就从Misc和Web入手，先把做题的手感练出来，在第一个月内强迫自己每周刷够十道题。等你刷满一百道题再回头来看这篇文章，你会发现自己已经能看懂每一句话背后对应的具体题目了。那个感觉，就是入门了。