第一次接触 CTF 的朋友我最推荐的入门路径就是去打一次高校新生赛。我是从 2024 年秋季的 SWPUCTF 新生赛开始正式上手的它面向的是没什么基础的新生题目难度整体压得比较低却能让你把 Web、Misc、Crypto、Reverse、PWN 这几个方向都真实过一遍。这篇文章不聊虚的我会按“赛前准备 → 题型拆解 → 实战流程 → 踩坑复盘”的顺序把新生赛需要知道的所有东西一次说清楚。如果你也打算报下一场新生赛存好这一篇按着节奏来就够了。1. SWPUCTF 2024秋季赛到底是什么赛制、题目结构与新手适配度1.1 赛制线上个人赛重点是“低门槛”SWPUCTF 是由高校 CTF 战队主办的公开新生赛面向全国开放注册比赛一般在指定 Capture The Flag 平台上进行。新生赛的定位非常明确让大一、大二学生第一次完整体验 CTF 的流程所以它不会像高级别比赛那样一上来就是地狱难度的漏洞利用而是给你足够的签到题、入门题和送分题。比赛通常是线上个人赛持续一整天或者两天的周末时间不需要现场集合。注册好平台后题目列表会按 Web、Misc、Crypto、Reverse、PWN 分类展示每道题有对应分值。Web 类题目一般会提供动态容器地址形如 ip:端口点击启动后会给你一个独立的靶机环境其他方向则以附件下载为主下载压缩包或者图片就能开始解。我个人很推荐新生去打这类比赛的另一个原因是动态容器不会因为人多拥挤而互相影响每个人都是独立隔离的靶机操作不违规的前提下完全自由。比赛平台一般也会自带排行榜能看到自己实时排名这种即时反馈对新手建立信心特别重要。1.2 题目结构与给分特点新生赛的题量通常在 20~40 道之间简单题占了大头。我这次的经验是最基础的那批签到题基本上考察的是“会不会用工具”而不是“有没有深厚功底”。比如一张图片里藏着 flag 文本、一段密文是 Base64 编码、一个网页源码注释里写着提示这些靠的是细心和基本的工具操作。分值设置上简单题虽然分低但胜在稳拿中等题往往卡在一个知识点上比如文件包含读取源码、SQL 注入字符型绕过、图片宽高 CRC 校验错误。难题则是留给有一定积累的选手的新生赛的难题数量少通常是压轴题新手没有必要死磕。理解这种“梯度式”出题逻辑你就不会在前期盲目冲难题浪费大量时间。1.3 flag的形式、提交规则与做题记录习惯所有 CTF 题目最终都指向一个答案字符串叫做 flag比赛中一般以flag{...}或ctf{...}的形式出现。提交时注意三点花括号不要漏、大小写要一致、提交次数通常在几十次以内不会因为你多试几次就封号但也别把平台当爆破工具。我强烈建议从第一道题开始就养成记录习惯每个题目建一个文件夹附件原始文件保存一份做完之后把 flag 和解题步骤截图存下来。原因很现实——新生赛结束后会有 writeup 要求平台后台也会统计成绩万一你中途换电脑或者环境丢失之前的做题笔记就是你唯一能复盘的材料。另外复盘时你会发现自己当时卡住的原因是某个低级错误这种记录比任何教程都更有价值。2. 开赛前环境准备虚拟机、工具箱与脚本依赖2.1 Kali虚拟机为什么推荐而不是直接用WindowsCTF 解题经常要跑很多命令和工具我推荐使用 Kali Linux 虚拟机而不是直接在 Windows 里裸奔。不是说 Windows 不能做题而是 Linux 环境下工具链更统一、命令更顺手而且很多题目附带的脚本都是 Python/Linux 环境下写的直接运行更省事。虚拟机选择 VirtualBox 或 VMware 都可以分配 4GB 内存、2 个 CPU 核心就足够应付新生赛了。如果电脑配置一般也可以用 WSL2 配合 Kali 发行版基本够用。但要注意别在比赛当天才装环境提前三天装好把系统更新和无痕浏览器都配好比赛时才能把精力放在题目上。Kali 官方镜像自带了很多 CTF 常用工具比如binwalk、foremost、steghide、john、sqlmap、wireshark、gdb等新生赛里 Misc 和 Web 类题目基本不需要额外装太多东西。2.2 工具箱与浏览器的选择随波逐流、HackBar是新生赛好搭档这里要重点提一个对新生赛帮助极大的工具——随波逐流 CTF 工具箱。它集成了大量高频使用的编码解码、古典密码分析、图片隐写检测、压缩包爆破等小功能界面是图形化的不需要记一堆命令行参数。Misc 和 Crypto 里很多题你只需要把密文粘贴进去它就能自动识别是 Base64、十六进制还是凯撒、栅栏密码。对新手来说这个工具箱是真的能节省一半以上的检索时间。浏览器侧我推荐安装 HackBarFirefox 版或 Chrome 的替代插件。它能在你调试 Web 请求时快速修改参数、拼接 Payload不用手动开 Burp Suite 那么重。很多 Web 题只是让你传入一个?file参数HackBar 点几下就能完成测试。当然 Burp Suite Community 版也可以装但新生赛不太需要抓包改包那么复杂动手用 HackBar 会更直接。2.3 Python脚本依赖requests、pwntoolsCTF 离不开 Python即使你是编程零基础也建议提前装好 Python 3 环境并且学会运行别人写好的脚本。最常用的两个库是requests发 HTTP 请求和pwntools处理远程交互和服务连接。安装命令很简单pip install requests pwntoolsrequests在 Web 题中用于自动化提交参数、循环构造 Payloadpwntools多在 PWN 和带交互服务的 Crypto 题中出现比如连接一个远程端口反复接收返回数据。新生赛里你基本上不需要自己从零写很长的脚本更多时候是复制模板改几个参数。但前提是你得知道脚本怎么运行、依赖装没装齐。建议赛前跑一遍python3 -c import requests; print(ok) python3 -c from pwn import *; print(ok)能输出 ok 就说明依赖没问题否则先解决报错再开赛。2.4 附件管理与笔记习惯很多新生赛的 Misc 题会给一个压缩包压缩包里可能又是一个压缩包这种“套娃”非常常见。如果你不规划好目录解压到最后自己都不知道哪一层藏了 flag。我个人的习惯是每题一个文件夹命名格式序号_题目名_方向原始附件先复制一份标记为origin永远不要直接改动原始文件解压后的内容单独放一个extract子目录每做一步把关键发现写入一个notes.md这样做的好处是当你解压了六七层、改了一堆文件之后还能知道每一层做了什么。尤其是在做多层图片隐写、压缩包套娃时这个习惯能帮你快速回溯思路不至于晕头转向。3. 新生赛五大方向怎么取舍先拿分再学技术3.1 一个给新手的方向优先级表格新生赛题目方向一般有五类我不建议平均用力。下面这张表是我打完之后总结出的优先级方向简单题占比新手拿分难度建议投入Web高低优先约 40% 时间Misc高很低优先约 25% 时间Crypto中中等次优先约 20% 时间Reverse中低较高有余力再碰PWN低高先看题型再决定这个排序基于一个核心逻辑新生赛的 Web 和 Misc 是真正送分的地方。Web 题考的是思路和工具熟悉程度不需要你手撸汇编Misc 题很多时候就是用strings和binwalk扫一遍就能出 flag。Crypto 虽然要懂一点编码和数论但新生赛大多数是已识别加密方式的套模板难度没有想象中高。Reverse 和 PWN 对新手不友好因为它们需要反汇编、调试、栈结构等前置知识短时间内很难补上。3.2 Web是送分大户Misc是另一个签到现场我在这个新生赛里最大的感触是Web 的题量往往是全场最多的而且每一道都有明显的“考察点”。可能是让你在源码里找注释可能是让你传一个参数也可能是让你通过文件包含读一个敏感文件。这些题目的解法套路非常固定一旦掌握了基本手法就仿佛开了倍速。Misc 则是另一个签到现场。所谓“杂项”其实是把图片隐写、压缩包分析、流量分析、音频分析、编码转换等常考知识点揉在一起。新生赛里的 Misc 题通常很善良不会让你做高强度脑洞题而是只考察工具调用一个file看类型一个strings看明文一个binwalk分离文件。只要你愿意动手去试分数几乎是白捡。3.3 Crypto、Reverse与PWN的投入节奏Crypto 我觉得值得划出专门的时间学一学因为编码识别和古典密码部分对新手非常友好。Base64、十六进制、凯撒、栅栏、摩斯这些只要记住特征就能解RSA 题也只需要把e、p、q、c代进公式就能算。新生赛不会让你在格密码或者椭圆曲线上卡死所以这部分性价比其实不错。Reverse 和 PWN 则要量力而行。Reverse 如果附件是个 Linux ELF 文件新手最快上手方式是运行它看输出、用strings看可疑字符串PWN 则更多是给有栈溢出基础的选手准备的。我的建议是第一场比赛把 Web、Misc、Crypto 拿稳Reverse 试个一两题感受一下PWN 看一眼题型即可不用死磕。技术积累是长期的事不差这一场比赛。4. Web常见考法拆解从这次秋季赛题型看入门路线4.1 SQL注入一个报错就是一道题的突破口SQL 注入是新生赛 Web 题出现频率最高的考点之一而且这个知识点入门门槛很低。你只需要知道页面某个输入框或参数把内容拼到了 SQL 查询语句里如果能通过构造特殊符号改变语句逻辑就能绕过验证或者读取额外数据。新手拿到一个登录框时第一件事是测试它是否存在注入最简单的测试方法是输入一个单引号admin。如果页面报错说明参数很可能直接拼到了 SQL 语句中。接下来判断注入类型常见的是数字型和字符型数字型id1 and 11页面正常id1 and 12页面异常说明数字型注入字符型name and 11正常name and 12异常说明字符型注入确认存在注入后用order by判断字段数再用union select联合查询找回显位。新生赛的 SQL 题大多允许直接联合查询不需要太复杂的盲注。如果题目加了过滤常见的绕过方式是注释符#、--或者大小写混写、内联注释/*!*/。记牢这几个手法SQL 送分题基本就到手了。id-1 union select 1,database(),flag from flag_table#这是我经常在新手 writeup 里看到的标准 Payload 形态。前面的-1是为了让原查询结果为空后面的union select拼接我们想要的内容#注释掉末尾多余语句。新生赛的题目环境都是隔离的测试容器你大可以放心尝试。4.2 文件包含像ezez_include这种题先读源码再绕过滤文件包含在新生赛里几乎是必考的这次的题目里就有类似ezez_include的考点。它的核心是后端代码用include函数引入了一个文件文件名来自用户可控参数比如?fileindex.php。如果直接包含目标文件PHP 会把文件当代码执行往往看不到内容。所以第一步通常是借 PHP 伪协议读取源码?filephp://filter/convert.base64-encode/resourceindex.php看到php://这种结构后后端会返回一段 Base64 编码的源码用工具解码就能看到完整的 PHP 代码然后根据代码逻辑找 flag。如果题目直接把包含点指向了/flag那通常还需要配合日志注入、伪协议配合data://等方式。文件包含题最大的坑在于“只看到文件包含就兴奋”但忘记看后端到底过滤了什么。这类题往往会有str_replace过滤了php你可以用php://的大小写变异或嵌套编码来绕过。先读源码、再构造 Payload这是最稳的思路。4.3 命令执行管道符、空格过滤和编码绕过命令执行题在新生赛中也很多常以 Ping 功能或cmd参数的形式出现。核心思路是后端没有对输入的命令做充分校验直接把你的输入拼接到系统命令后面执行。常见操作是让你传127.0.0.1你在后面追加命令127.0.0.1; ls 127.0.0.1 | cat /flag 127.0.0.1 whoami;、|、这些符号能分隔并追加命令。如果发现命令被过滤比如不允许空格那可以用${IFS}替代空格127.0.0.1;cat${IFS}/flag如果过滤了关键字flag可以试试通配符127.0.0.1;cat${IFS}/f*命令执行题的另一个技巧是看回显位置有的题执行结果直接显示在页面里有的却没有任何输出。没有输出时可以用curl把结果外带或者将命令结果写入一个 Web 目录下的文件再访问这在新生赛里也经常出现。4.4 文件上传与git泄露别在第一层就卡住文件上传考察的是后端对上传文件的校验是否严格。新手常见的做法是尝试上传.php一句话木马如果被拦截可以改成.php5、.phtml、.php.jpg等变体或者修改Content-Type为image/jpeg。上传成功后用蚁剑AntSword连接并找到 flag。整个过程要在比赛靶场中进行不要拿真实站点测试。git 泄露也是新生赛常见考点后端部署时留下了.git目录导致源码泄露。新手只需要会用工具比如GitHacker或githack把源码拉下来然后去源码里找备份文件、数据库配置或者 flag。这个考点比拼的不是漏洞挖掘能力而是信息收集意识。我见过不少选手已经打开网站却不知道要看.git文件夹白白错过送分题。5. Misc与Crypto的万能解题模板新生赛拿分主要靠这两块5.1 Misc第一步先看文件类型再看内容Misc 题拿到的第一个文件是什么决定了后续思路。很多新手习惯直接双击打开图片看到图片里没有 flag 就放弃这其实错过了大量信息。正确的流程是file 附件 strings 附件 | grep -i flag binwalk 附件file命令会告诉你真实文件类型防止扩展名被修改strings提取文件中所有可打印字符串很多时候 flag 就藏在一堆乱码里binwalk扫描文件中是否嵌入了其他文件如果发现压缩包或者隐藏图片用binwalk -e自动分离。经验之谈如果一张图片用strings能看到flag{...}那它基本是纯送分题如果看不到再考虑图片隐写如果图片本身有问题比如显示不全、宽高不对那多半是 CRC 校验和高度被篡改。新生赛 Misc 的解题路径非常线性大概率就在这几种情况里。5.2 图片隐写、压缩包伪加密与流量包分析套路图片隐写里最常见的是把 flag 写入图片的像素值低位LSB或者附加在文件尾部。LSB 隐写用工具即可比如zsteg或开源脚本直接提取新生赛一般不会让你手搓算法。附加在文件尾部的用stringsbinwalk就能搞定。压缩包题有两个高频考点伪加密和弱口令。伪加密是指压缩包在头部标记了加密标志实际上文件并没有真正的密码保护只需要修改压缩源文件目录区的加密标志位就能直接解压。弱口令则是需要跑字典可以用john配合常用密码字典或者用工具自带的爆破功能。新生赛的密码通常不会是超长随机串多半是 123456、admin 这类常见密码。流量包分析题依靠 Wireshark。先按协议过滤比如重点看 HTTP 和 DNS然后右键追踪 TCP 流 / HTTP 流看原始数据。很多 flag 藏在一个 HTTP POST 请求里或者藏在 DNS 查询的域名中还有些藏在图片传输的字节里。作为新手你只需要掌握“导出 HTTP 对象”这个功能它会把流量里的文件都导出来图片、压缩包一眼可见。5.3 Crypto识别流程编码、古典、现代Crypto 题拿到一段密文第一件事不是解密而是识别类型。我的固定流程是看字符集全数字可能十六进制包含大小写和数字的等长字符串优先试 Base64只含 A/B 或 0/1 可能是培根密码或二进制。用随波逐流工具箱自动检测它能很快识别 Base64、ROT13、凯撒、栅栏等常见编码。如果识别失败考虑是否是 MD5、SHA 这类哈希值。哈希不能“解密”但可以用在线库撞库新生赛的哈希值里经常会有一段弱口令或者简单明文。如果是摩斯密码看特征点、划、空格为主。如果出现一堆看起来像乱码的符号考虑 Brainfuck、Ook、JSFuck 等极客编码。Crypto 题的关键是见多识广新生赛的密文类型不会太冷门基本都在上述范围里。见过一次下次就能秒识别。5.4 RSA新手的标准操作顺序RSA 是 Crypto 方向最常出现的现代密码考点。新生赛的 RSA 一般给这几个参数n、e、c有时也会给p和q。标准操作顺序是判断 n 的大小如果 n 很小比如 256 bit 以下直接尝试分解用在线分解服务或本地工具yafu。如果给了p和q直接计算私钥dd inverse(e, (p-1)*(q-1))然后m pow(c, d, n)把m转成字节就是 flag。如果e很小比如 3并且密文长度明显小于 n很可能是低加密指数攻击直接对c开立方。如果同一明文用了不同n加密且e相同可能是共模攻击。新手最容易犯的错误是用c**d % n的方式解密密文。这个写法在 Python 里对大数计算慢得离谱而且容易内存溢出。一定要用内置函数pow(c, d, n)它采用快速幂算法瞬间出结果。from Crypto.Util.number import long_to_bytes n ... e 65537 c ... p ... q ... phi (p - 1) * (q - 1) d pow(e, -1, phi) m pow(c, d, n) print(long_to_bytes(m))这套代码模板可以当作 RSA 入门题的“万能钥匙”把题目给的参数填进去运行就能得到明文。6. 我在这场比赛里踩过的坑和比赛节奏建议6.1 最容易让人遗憾的五个低级失误作为过来人我复盘了一下自己在 SWPUCTF 2024 秋季新生赛里犯过的错下面这几个问题非常典型新手很容易中招。第一个坑是忽略题目描述。有些题的 flag 格式、提示信息、容器地址全写在描述里但我当时只顾着点开链接直接做题来回试了半小时才发现描述里有提示。比赛时间宝贵读题本身就是解题步骤的一部分。第二个坑是提交 flag 时格式写错。有一次我明明拿到了正确内容但疏忽了花括号的完整性和大小写导致连续提交多次失败。后来才注意到平台提示“flag格式不正确”。遇到这种情况不要慌先确认自己拿到的字符串是否包含完整的flag{}前缀如果题目声明是ctf{}也要对应修改。第三个坑是看到附件直接运行。比如有题给了个.exe文件我差点在 Windows 上双击幸好及时转念把它丢进了虚拟机。国内的 CTF 比赛题目一般不会放恶意程序但陌生文件直接执行仍然是不好的习惯万一附件里藏了恶作剧脚本轻则环境被破坏重则影响比赛后续流程。建议所有附件先经过file和strings检查再决定是否执行。第四个坑是盲目追求难题。比赛开始时总觉得不做难题就不够厉害结果卡在一道 Reverse 题上浪费了两个小时回头发现两道简单 Web 题已经没时间做了。新生赛排名的本质是总分不是谁做过的题难度高我的建议是先把能拿的分全部拿到再去挑战压轴题。第五个坑是容器环境因超时被重置。有些 Web 题的动态容器是限时的搁置太久会导致环境过期每次重置后地址会变之前构造的请求也得重新发。打比赛时应养成“拿到容器先熟悉环境做完题立刻提交 flag 并截图”的习惯。6.2 时间分配与做题顺序建议新生赛通常持续一整天节奏控制很重要。我的建议是把时间分成三段前期、中期和收尾。前期开始后 1~2 小时扫遍所有题目先把会做的签到题、Misc 题和最简单的 Web 题全做掉。这个阶段目标是快速累积分数同时建立信心。不要试图马上理解所有题目只挑有把握的。中期中间 4~6 小时主攻 Web 和 Crypto这两个方向每做一道都能学到新东西而且思路清晰。如果你在某道题上卡了超过 40 分钟暂时标记下来先去推进其他题目回头再看有时反而豁然开朗。收尾最后一小时别再开新坑集中精力整理已经做出来的题确认 flag 是否都提交成功截图记录解题过程。有剩余时间再试试卡住的中等题但不要恋战。掌握这个节奏你会明显感觉到分值是稳步上升的不会像没头苍蝇一样乱撞。6.3 我一直提醒自己的几件事打比赛过程中我还总结了几条一直提醒自己的原则。第一不轻易外传自己的解题过程。比赛成绩会影响后续的复赛资格评定别在比赛期间把自己的 flag 或完整思路发在公开群里避免被他人复制提交。第二专注于比赛环境不拿学到的工具去扫描或测试比赛之外的任何系统。CTF 精神是在限定环境中攻防不是到处乱试。这一点是对自己负责也是对主办方的尊重。第三保持记录、保持呼吸。新生赛只是起点很多技术点第一次见不会很正常把每条思路和报错都记录下来赛后写 writeup 的时候就会发现自己已经比开赛前强了一大截。题目做不出来的时候记得站起来喝口水别让自己钻牛角尖。这次 SWPUCTF 秋季新生赛给我最大的收获不是排名而是它让我搞清楚了 CTF 每个方向到底在干什么、自己适合往哪个方向走。对完全零基础的朋友来说这种比赛比刷一百篇教程都有用——你会真的遇到问题、检索工具、尝试 Payload然后再回头看理论发现一切都能对上。希望这篇记录能给准备参赛的你省掉不少弯路。 
长河君 · 2026/10/5 10:43:38 · 阅读 1.2k SWPUCTF 2024秋季新生赛入门攻略：题型拆解与避坑指南
第一次接触 CTF 的朋友我最推荐的入门路径就是去打一次高校新生赛。我是从 2024 年秋季的 SWPUCTF 新生赛开始正式上手的它面向的是没什么基础的新生题目难度整体压得比较低却能让你把 Web、Misc、Crypto、Reverse、PWN 这几个方向都真实过一遍。这篇文章不聊虚的我会按“赛前准备 → 题型拆解 → 实战流程 → 踩坑复盘”的顺序把新生赛需要知道的所有东西一次说清楚。如果你也打算报下一场新生赛存好这一篇按着节奏来就够了。1. SWPUCTF 2024秋季赛到底是什么赛制、题目结构与新手适配度1.1 赛制线上个人赛重点是“低门槛”SWPUCTF 是由高校 CTF 战队主办的公开新生赛面向全国开放注册比赛一般在指定 Capture The Flag 平台上进行。新生赛的定位非常明确让大一、大二学生第一次完整体验 CTF 的流程所以它不会像高级别比赛那样一上来就是地狱难度的漏洞利用而是给你足够的签到题、入门题和送分题。比赛通常是线上个人赛持续一整天或者两天的周末时间不需要现场集合。注册好平台后题目列表会按 Web、Misc、Crypto、Reverse、PWN 分类展示每道题有对应分值。Web 类题目一般会提供动态容器地址形如 ip:端口点击启动后会给你一个独立的靶机环境其他方向则以附件下载为主下载压缩包或者图片就能开始解。我个人很推荐新生去打这类比赛的另一个原因是动态容器不会因为人多拥挤而互相影响每个人都是独立隔离的靶机操作不违规的前提下完全自由。比赛平台一般也会自带排行榜能看到自己实时排名这种即时反馈对新手建立信心特别重要。1.2 题目结构与给分特点新生赛的题量通常在 20~40 道之间简单题占了大头。我这次的经验是最基础的那批签到题基本上考察的是“会不会用工具”而不是“有没有深厚功底”。比如一张图片里藏着 flag 文本、一段密文是 Base64 编码、一个网页源码注释里写着提示这些靠的是细心和基本的工具操作。分值设置上简单题虽然分低但胜在稳拿中等题往往卡在一个知识点上比如文件包含读取源码、SQL 注入字符型绕过、图片宽高 CRC 校验错误。难题则是留给有一定积累的选手的新生赛的难题数量少通常是压轴题新手没有必要死磕。理解这种“梯度式”出题逻辑你就不会在前期盲目冲难题浪费大量时间。1.3 flag的形式、提交规则与做题记录习惯所有 CTF 题目最终都指向一个答案字符串叫做 flag比赛中一般以flag{...}或ctf{...}的形式出现。提交时注意三点花括号不要漏、大小写要一致、提交次数通常在几十次以内不会因为你多试几次就封号但也别把平台当爆破工具。我强烈建议从第一道题开始就养成记录习惯每个题目建一个文件夹附件原始文件保存一份做完之后把 flag 和解题步骤截图存下来。原因很现实——新生赛结束后会有 writeup 要求平台后台也会统计成绩万一你中途换电脑或者环境丢失之前的做题笔记就是你唯一能复盘的材料。另外复盘时你会发现自己当时卡住的原因是某个低级错误这种记录比任何教程都更有价值。2. 开赛前环境准备虚拟机、工具箱与脚本依赖2.1 Kali虚拟机为什么推荐而不是直接用WindowsCTF 解题经常要跑很多命令和工具我推荐使用 Kali Linux 虚拟机而不是直接在 Windows 里裸奔。不是说 Windows 不能做题而是 Linux 环境下工具链更统一、命令更顺手而且很多题目附带的脚本都是 Python/Linux 环境下写的直接运行更省事。虚拟机选择 VirtualBox 或 VMware 都可以分配 4GB 内存、2 个 CPU 核心就足够应付新生赛了。如果电脑配置一般也可以用 WSL2 配合 Kali 发行版基本够用。但要注意别在比赛当天才装环境提前三天装好把系统更新和无痕浏览器都配好比赛时才能把精力放在题目上。Kali 官方镜像自带了很多 CTF 常用工具比如binwalk、foremost、steghide、john、sqlmap、wireshark、gdb等新生赛里 Misc 和 Web 类题目基本不需要额外装太多东西。2.2 工具箱与浏览器的选择随波逐流、HackBar是新生赛好搭档这里要重点提一个对新生赛帮助极大的工具——随波逐流 CTF 工具箱。它集成了大量高频使用的编码解码、古典密码分析、图片隐写检测、压缩包爆破等小功能界面是图形化的不需要记一堆命令行参数。Misc 和 Crypto 里很多题你只需要把密文粘贴进去它就能自动识别是 Base64、十六进制还是凯撒、栅栏密码。对新手来说这个工具箱是真的能节省一半以上的检索时间。浏览器侧我推荐安装 HackBarFirefox 版或 Chrome 的替代插件。它能在你调试 Web 请求时快速修改参数、拼接 Payload不用手动开 Burp Suite 那么重。很多 Web 题只是让你传入一个?file参数HackBar 点几下就能完成测试。当然 Burp Suite Community 版也可以装但新生赛不太需要抓包改包那么复杂动手用 HackBar 会更直接。2.3 Python脚本依赖requests、pwntoolsCTF 离不开 Python即使你是编程零基础也建议提前装好 Python 3 环境并且学会运行别人写好的脚本。最常用的两个库是requests发 HTTP 请求和pwntools处理远程交互和服务连接。安装命令很简单pip install requests pwntoolsrequests在 Web 题中用于自动化提交参数、循环构造 Payloadpwntools多在 PWN 和带交互服务的 Crypto 题中出现比如连接一个远程端口反复接收返回数据。新生赛里你基本上不需要自己从零写很长的脚本更多时候是复制模板改几个参数。但前提是你得知道脚本怎么运行、依赖装没装齐。建议赛前跑一遍python3 -c import requests; print(ok) python3 -c from pwn import *; print(ok)能输出 ok 就说明依赖没问题否则先解决报错再开赛。2.4 附件管理与笔记习惯很多新生赛的 Misc 题会给一个压缩包压缩包里可能又是一个压缩包这种“套娃”非常常见。如果你不规划好目录解压到最后自己都不知道哪一层藏了 flag。我个人的习惯是每题一个文件夹命名格式序号_题目名_方向原始附件先复制一份标记为origin永远不要直接改动原始文件解压后的内容单独放一个extract子目录每做一步把关键发现写入一个notes.md这样做的好处是当你解压了六七层、改了一堆文件之后还能知道每一层做了什么。尤其是在做多层图片隐写、压缩包套娃时这个习惯能帮你快速回溯思路不至于晕头转向。3. 新生赛五大方向怎么取舍先拿分再学技术3.1 一个给新手的方向优先级表格新生赛题目方向一般有五类我不建议平均用力。下面这张表是我打完之后总结出的优先级方向简单题占比新手拿分难度建议投入Web高低优先约 40% 时间Misc高很低优先约 25% 时间Crypto中中等次优先约 20% 时间Reverse中低较高有余力再碰PWN低高先看题型再决定这个排序基于一个核心逻辑新生赛的 Web 和 Misc 是真正送分的地方。Web 题考的是思路和工具熟悉程度不需要你手撸汇编Misc 题很多时候就是用strings和binwalk扫一遍就能出 flag。Crypto 虽然要懂一点编码和数论但新生赛大多数是已识别加密方式的套模板难度没有想象中高。Reverse 和 PWN 对新手不友好因为它们需要反汇编、调试、栈结构等前置知识短时间内很难补上。3.2 Web是送分大户Misc是另一个签到现场我在这个新生赛里最大的感触是Web 的题量往往是全场最多的而且每一道都有明显的“考察点”。可能是让你在源码里找注释可能是让你传一个参数也可能是让你通过文件包含读一个敏感文件。这些题目的解法套路非常固定一旦掌握了基本手法就仿佛开了倍速。Misc 则是另一个签到现场。所谓“杂项”其实是把图片隐写、压缩包分析、流量分析、音频分析、编码转换等常考知识点揉在一起。新生赛里的 Misc 题通常很善良不会让你做高强度脑洞题而是只考察工具调用一个file看类型一个strings看明文一个binwalk分离文件。只要你愿意动手去试分数几乎是白捡。3.3 Crypto、Reverse与PWN的投入节奏Crypto 我觉得值得划出专门的时间学一学因为编码识别和古典密码部分对新手非常友好。Base64、十六进制、凯撒、栅栏、摩斯这些只要记住特征就能解RSA 题也只需要把e、p、q、c代进公式就能算。新生赛不会让你在格密码或者椭圆曲线上卡死所以这部分性价比其实不错。Reverse 和 PWN 则要量力而行。Reverse 如果附件是个 Linux ELF 文件新手最快上手方式是运行它看输出、用strings看可疑字符串PWN 则更多是给有栈溢出基础的选手准备的。我的建议是第一场比赛把 Web、Misc、Crypto 拿稳Reverse 试个一两题感受一下PWN 看一眼题型即可不用死磕。技术积累是长期的事不差这一场比赛。4. Web常见考法拆解从这次秋季赛题型看入门路线4.1 SQL注入一个报错就是一道题的突破口SQL 注入是新生赛 Web 题出现频率最高的考点之一而且这个知识点入门门槛很低。你只需要知道页面某个输入框或参数把内容拼到了 SQL 查询语句里如果能通过构造特殊符号改变语句逻辑就能绕过验证或者读取额外数据。新手拿到一个登录框时第一件事是测试它是否存在注入最简单的测试方法是输入一个单引号admin。如果页面报错说明参数很可能直接拼到了 SQL 语句中。接下来判断注入类型常见的是数字型和字符型数字型id1 and 11页面正常id1 and 12页面异常说明数字型注入字符型name and 11正常name and 12异常说明字符型注入确认存在注入后用order by判断字段数再用union select联合查询找回显位。新生赛的 SQL 题大多允许直接联合查询不需要太复杂的盲注。如果题目加了过滤常见的绕过方式是注释符#、--或者大小写混写、内联注释/*!*/。记牢这几个手法SQL 送分题基本就到手了。id-1 union select 1,database(),flag from flag_table#这是我经常在新手 writeup 里看到的标准 Payload 形态。前面的-1是为了让原查询结果为空后面的union select拼接我们想要的内容#注释掉末尾多余语句。新生赛的题目环境都是隔离的测试容器你大可以放心尝试。4.2 文件包含像ezez_include这种题先读源码再绕过滤文件包含在新生赛里几乎是必考的这次的题目里就有类似ezez_include的考点。它的核心是后端代码用include函数引入了一个文件文件名来自用户可控参数比如?fileindex.php。如果直接包含目标文件PHP 会把文件当代码执行往往看不到内容。所以第一步通常是借 PHP 伪协议读取源码?filephp://filter/convert.base64-encode/resourceindex.php看到php://这种结构后后端会返回一段 Base64 编码的源码用工具解码就能看到完整的 PHP 代码然后根据代码逻辑找 flag。如果题目直接把包含点指向了/flag那通常还需要配合日志注入、伪协议配合data://等方式。文件包含题最大的坑在于“只看到文件包含就兴奋”但忘记看后端到底过滤了什么。这类题往往会有str_replace过滤了php你可以用php://的大小写变异或嵌套编码来绕过。先读源码、再构造 Payload这是最稳的思路。4.3 命令执行管道符、空格过滤和编码绕过命令执行题在新生赛中也很多常以 Ping 功能或cmd参数的形式出现。核心思路是后端没有对输入的命令做充分校验直接把你的输入拼接到系统命令后面执行。常见操作是让你传127.0.0.1你在后面追加命令127.0.0.1; ls 127.0.0.1 | cat /flag 127.0.0.1 whoami;、|、这些符号能分隔并追加命令。如果发现命令被过滤比如不允许空格那可以用${IFS}替代空格127.0.0.1;cat${IFS}/flag如果过滤了关键字flag可以试试通配符127.0.0.1;cat${IFS}/f*命令执行题的另一个技巧是看回显位置有的题执行结果直接显示在页面里有的却没有任何输出。没有输出时可以用curl把结果外带或者将命令结果写入一个 Web 目录下的文件再访问这在新生赛里也经常出现。4.4 文件上传与git泄露别在第一层就卡住文件上传考察的是后端对上传文件的校验是否严格。新手常见的做法是尝试上传.php一句话木马如果被拦截可以改成.php5、.phtml、.php.jpg等变体或者修改Content-Type为image/jpeg。上传成功后用蚁剑AntSword连接并找到 flag。整个过程要在比赛靶场中进行不要拿真实站点测试。git 泄露也是新生赛常见考点后端部署时留下了.git目录导致源码泄露。新手只需要会用工具比如GitHacker或githack把源码拉下来然后去源码里找备份文件、数据库配置或者 flag。这个考点比拼的不是漏洞挖掘能力而是信息收集意识。我见过不少选手已经打开网站却不知道要看.git文件夹白白错过送分题。5. Misc与Crypto的万能解题模板新生赛拿分主要靠这两块5.1 Misc第一步先看文件类型再看内容Misc 题拿到的第一个文件是什么决定了后续思路。很多新手习惯直接双击打开图片看到图片里没有 flag 就放弃这其实错过了大量信息。正确的流程是file 附件 strings 附件 | grep -i flag binwalk 附件file命令会告诉你真实文件类型防止扩展名被修改strings提取文件中所有可打印字符串很多时候 flag 就藏在一堆乱码里binwalk扫描文件中是否嵌入了其他文件如果发现压缩包或者隐藏图片用binwalk -e自动分离。经验之谈如果一张图片用strings能看到flag{...}那它基本是纯送分题如果看不到再考虑图片隐写如果图片本身有问题比如显示不全、宽高不对那多半是 CRC 校验和高度被篡改。新生赛 Misc 的解题路径非常线性大概率就在这几种情况里。5.2 图片隐写、压缩包伪加密与流量包分析套路图片隐写里最常见的是把 flag 写入图片的像素值低位LSB或者附加在文件尾部。LSB 隐写用工具即可比如zsteg或开源脚本直接提取新生赛一般不会让你手搓算法。附加在文件尾部的用stringsbinwalk就能搞定。压缩包题有两个高频考点伪加密和弱口令。伪加密是指压缩包在头部标记了加密标志实际上文件并没有真正的密码保护只需要修改压缩源文件目录区的加密标志位就能直接解压。弱口令则是需要跑字典可以用john配合常用密码字典或者用工具自带的爆破功能。新生赛的密码通常不会是超长随机串多半是 123456、admin 这类常见密码。流量包分析题依靠 Wireshark。先按协议过滤比如重点看 HTTP 和 DNS然后右键追踪 TCP 流 / HTTP 流看原始数据。很多 flag 藏在一个 HTTP POST 请求里或者藏在 DNS 查询的域名中还有些藏在图片传输的字节里。作为新手你只需要掌握“导出 HTTP 对象”这个功能它会把流量里的文件都导出来图片、压缩包一眼可见。5.3 Crypto识别流程编码、古典、现代Crypto 题拿到一段密文第一件事不是解密而是识别类型。我的固定流程是看字符集全数字可能十六进制包含大小写和数字的等长字符串优先试 Base64只含 A/B 或 0/1 可能是培根密码或二进制。用随波逐流工具箱自动检测它能很快识别 Base64、ROT13、凯撒、栅栏等常见编码。如果识别失败考虑是否是 MD5、SHA 这类哈希值。哈希不能“解密”但可以用在线库撞库新生赛的哈希值里经常会有一段弱口令或者简单明文。如果是摩斯密码看特征点、划、空格为主。如果出现一堆看起来像乱码的符号考虑 Brainfuck、Ook、JSFuck 等极客编码。Crypto 题的关键是见多识广新生赛的密文类型不会太冷门基本都在上述范围里。见过一次下次就能秒识别。5.4 RSA新手的标准操作顺序RSA 是 Crypto 方向最常出现的现代密码考点。新生赛的 RSA 一般给这几个参数n、e、c有时也会给p和q。标准操作顺序是判断 n 的大小如果 n 很小比如 256 bit 以下直接尝试分解用在线分解服务或本地工具yafu。如果给了p和q直接计算私钥dd inverse(e, (p-1)*(q-1))然后m pow(c, d, n)把m转成字节就是 flag。如果e很小比如 3并且密文长度明显小于 n很可能是低加密指数攻击直接对c开立方。如果同一明文用了不同n加密且e相同可能是共模攻击。新手最容易犯的错误是用c**d % n的方式解密密文。这个写法在 Python 里对大数计算慢得离谱而且容易内存溢出。一定要用内置函数pow(c, d, n)它采用快速幂算法瞬间出结果。from Crypto.Util.number import long_to_bytes n ... e 65537 c ... p ... q ... phi (p - 1) * (q - 1) d pow(e, -1, phi) m pow(c, d, n) print(long_to_bytes(m))这套代码模板可以当作 RSA 入门题的“万能钥匙”把题目给的参数填进去运行就能得到明文。6. 我在这场比赛里踩过的坑和比赛节奏建议6.1 最容易让人遗憾的五个低级失误作为过来人我复盘了一下自己在 SWPUCTF 2024 秋季新生赛里犯过的错下面这几个问题非常典型新手很容易中招。第一个坑是忽略题目描述。有些题的 flag 格式、提示信息、容器地址全写在描述里但我当时只顾着点开链接直接做题来回试了半小时才发现描述里有提示。比赛时间宝贵读题本身就是解题步骤的一部分。第二个坑是提交 flag 时格式写错。有一次我明明拿到了正确内容但疏忽了花括号的完整性和大小写导致连续提交多次失败。后来才注意到平台提示“flag格式不正确”。遇到这种情况不要慌先确认自己拿到的字符串是否包含完整的flag{}前缀如果题目声明是ctf{}也要对应修改。第三个坑是看到附件直接运行。比如有题给了个.exe文件我差点在 Windows 上双击幸好及时转念把它丢进了虚拟机。国内的 CTF 比赛题目一般不会放恶意程序但陌生文件直接执行仍然是不好的习惯万一附件里藏了恶作剧脚本轻则环境被破坏重则影响比赛后续流程。建议所有附件先经过file和strings检查再决定是否执行。第四个坑是盲目追求难题。比赛开始时总觉得不做难题就不够厉害结果卡在一道 Reverse 题上浪费了两个小时回头发现两道简单 Web 题已经没时间做了。新生赛排名的本质是总分不是谁做过的题难度高我的建议是先把能拿的分全部拿到再去挑战压轴题。第五个坑是容器环境因超时被重置。有些 Web 题的动态容器是限时的搁置太久会导致环境过期每次重置后地址会变之前构造的请求也得重新发。打比赛时应养成“拿到容器先熟悉环境做完题立刻提交 flag 并截图”的习惯。6.2 时间分配与做题顺序建议新生赛通常持续一整天节奏控制很重要。我的建议是把时间分成三段前期、中期和收尾。前期开始后 1~2 小时扫遍所有题目先把会做的签到题、Misc 题和最简单的 Web 题全做掉。这个阶段目标是快速累积分数同时建立信心。不要试图马上理解所有题目只挑有把握的。中期中间 4~6 小时主攻 Web 和 Crypto这两个方向每做一道都能学到新东西而且思路清晰。如果你在某道题上卡了超过 40 分钟暂时标记下来先去推进其他题目回头再看有时反而豁然开朗。收尾最后一小时别再开新坑集中精力整理已经做出来的题确认 flag 是否都提交成功截图记录解题过程。有剩余时间再试试卡住的中等题但不要恋战。掌握这个节奏你会明显感觉到分值是稳步上升的不会像没头苍蝇一样乱撞。6.3 我一直提醒自己的几件事打比赛过程中我还总结了几条一直提醒自己的原则。第一不轻易外传自己的解题过程。比赛成绩会影响后续的复赛资格评定别在比赛期间把自己的 flag 或完整思路发在公开群里避免被他人复制提交。第二专注于比赛环境不拿学到的工具去扫描或测试比赛之外的任何系统。CTF 精神是在限定环境中攻防不是到处乱试。这一点是对自己负责也是对主办方的尊重。第三保持记录、保持呼吸。新生赛只是起点很多技术点第一次见不会很正常把每条思路和报错都记录下来赛后写 writeup 的时候就会发现自己已经比开赛前强了一大截。题目做不出来的时候记得站起来喝口水别让自己钻牛角尖。这次 SWPUCTF 秋季新生赛给我最大的收获不是排名而是它让我搞清楚了 CTF 每个方向到底在干什么、自己适合往哪个方向走。对完全零基础的朋友来说这种比赛比刷一百篇教程都有用——你会真的遇到问题、检索工具、尝试 Payload然后再回头看理论发现一切都能对上。希望这篇记录能给准备参赛的你省掉不少弯路。