CTF比赛这几年热度一直没下来过但很多刚入圈的朋友问我的问题都差不多题目到底从哪下手为什么看别人的WriteUp觉得很简单自己一上手就卡住其实CTF的解题思路是有套路可循的尤其是从隐写术到漏洞利用这条主线题型再怎么变核心逻辑都跑不出那几个方向。这篇就结合我自己的参赛和出题经验把各类题型的底层思路、实操步骤和踩坑点完整过一遍新手可以直接照着路径练老手也能回来查漏补缺。先说明一点下面涉及的所有漏洞利用相关内容都只在CTF比赛授权的靶场环境中演示。网络安全的核心是动手能力但动手的前提是清楚边界——比赛里练出来的技术是为了防御和建设不是拿去做不该做的事。1. CTF题型全景先搞清楚比赛到底在考什么1.1 CTF各方向的核心区别与学习重点很多人第一次打CTF打开题目列表就懵了什么杂项、Web、逆向、PWN、密码学分类多到数不清。其实不用慌这些分类背后对应的是真实安全工作的不同环节。Misc杂项最像“侦探”的题型考信息收集、隐写分析、流量分析、编码识别。不需要太多代码能力但很吃经验积累。Web网络安全考的是对网站漏洞的认知SQL注入、文件上传、命令执行、SSRF、反序列化都是常客。这是目前参赛人数最多、题量最大的方向。Crypto密码学从古典密码到现代加密算法的破解重点不是让你发明算法而是识别加密方式并找到薄弱点。Reverse逆向工程把编译后的程序“翻回去”看懂逻辑常见工具是IDA、Ghidra。考的是代码分析耐心。PWN二进制漏洞利用利用程序本身的漏洞栈溢出、堆溢出、格式化字符等拿到控制权CTF里技术含量最高的方向之一对底层知识要求很高。新手入门我强烈建议先从Misc和Web入手。Misc能帮你积累“信息敏感度”什么奇怪文件都敢打开看看Web则能快速建立“漏洞长什么样”的直觉。而逆向和PWN可以往后放一放等C语言和操作系统基础扎实了再碰不迟。1.2 拿到赛题后最容易被忽略的四个判断比赛时间极其宝贵尤其是个人赛审题这一步做得好能省下大把试错时间。我每次拿到新题会强制自己先花两到三分钟做四个判断。第一看题目的提示和附件类型。很多题目描述里已经藏着答案方向了比如“图片好像藏了什么东西”“听说这个站的后台有猫腻”。附件后缀是什么也很关键.png多半是图片隐写.pcapng就是流量分析.pyc、.exe则需要逆向。第二确认flag格式。CTF常见的flag格式是flag{...}但也有的比赛用ctf{...}或者自定义前缀。这个看似琐碎实际上能帮你判断答案最终应该长什么样。有次比赛我解出一串像是base64的字符串差点以为自己失败后来发现题目要求的就是包一层flag{base64解码结果}。第三判断题目是单步还是多步。简单题往往一步就能出答案难题则是环环相扣的链式题目比如隐写的压缩包里面有密码密码又是从另一张图片提取出来的。这种题不要指望一口气吃成胖子要把每一次得到的线索都记录下来。第四检查环境是否能正常访问。平台连不上、题目容器没启动这类问题太常见了及时提交工单不要干等。2. 隐写术与Misc从一个图片题开始的完整解题流程2.1 文件类型的真实身份识别Misc方向最典型的一类题目就是“图片隐写”。刚入门的朋友最容易犯的错是看到jpg就用图片查看器打开看了一眼发现没问题就觉得题目坏了。其实图片类型不过是个伪装真正的信息可能藏在文件尾部、文件头里、或者图片像素的细微变化中。第一步永远是确认文件的真实身份。很多人误以为file命令只能识别扩展名其实它会读取文件的魔术字节magic bytes给出准确判断。常用命令是file mystery.png输出结果如果是PNG image data, 800 x 600说明扩展名没问题如果显示Zip archive data恭喜这就是一个改了后缀的压缩包。这时候直接把扩展名改成.zip再解压即可。进阶一点还要检查文件里有没有隐藏其他文件。经典工具是binwalkbinwalk mystery.png它会扫描文件里嵌着的其他文件签名。如果发现偏移量处有Zip archive data一眼就知道压缩包藏在哪里。提取时用binwalk -e就能自动拆出来。这类题目不会太复杂但很考基本功。2.2 图片隐写中的LSB、Exif、GIF帧与图片通道如果file和binwalk都没有发现异常就要往像素级隐写方向想。最常见的是LSB隐写原理是把图片每个像素最低的1位或几位替换成秘密信息人眼看不出区别计算机可以还原。实操时可以用工具zsteg专门检测PNG、BMP的LSB隐写或Stegsolve逐通道查看图片的RGB通道。Stegsolve还有个实用的“Data Extract”功能可以选择不同通道和Bit位配合方向LSB First/MSB First来提取隐藏数据。常见的解法是先跑一遍默认参数如果提出来是乱码就多换几种组合试。还有一种常见的信息位置是Exif元数据。用strings扫描图片文件看看能不能直接发现flag{...}的明文字符串strings mystery.png | grep -i flag如果题目换成GIF就要考虑分帧查看可能某一帧里藏了文字或URL如果是BMP记得检查文件头之后的填充字节。遇到不同的图片类型时最好先想清楚这个格式的“可藏空间”在哪。2.3 一个完整的隐写题实操案例这里用一道典型的简单隐写题做示范。题目附件是一张mystery.jpg描述写着“flag藏在一个你看不见的角落”。我的操作顺序是# 1. 确认文件类型 file mystery.jpg # 2. 用strings扫一遍可见字符串 strings mystery.jpg | grep -E flag|ctf|key|password # 3. 用binwalk查隐藏文件 binwalk mystery.jpg如果前三步都没收获就进入像素级检测用Stegsolve打开图片逐通道翻看重点看Red/Greed/Blue的低位平面。某些题会把一串字符直接通过LSB写入图片你可以看到图片最下方多出一行“噪声条”。这种情况下切换到Data Extract提取后得到一段类似ZmxhZ3t5MHVfZ290X20zIX0的字符串一眼认出base64编码解码后就是flagecho ZmxhZ3t5MHVfZ290X20zIX0 | base64 -d这道题的完整链条就是图片→LSB信息→base64解码→flag。很多新手卡在“看到编码却不知道下一步解码”这就暴露出编码识别经验不足的问题。Base64的特征是结尾可能有号字符集包含大小写和数字URL编码特征是有大量%十六进制特征则是0x前缀或者全部由0-9a-f组成。2.4 压缩包处理的常见考点伪加密与CRC32Misc题目里很少给裸的压缩包更多是把压缩包嵌在图片或者其他载体中。一旦拿到.zip文件解压时最常遇到两种情况一是提示需要密码二是明明没设密码却报“文件头错误”。第一种情况需要找密码密码藏得五花八门——可能是上一题解出来的字符串、图片里的备注信息甚至可能是纯数字爆破。简单密码可以用fcrackzip暴力尝试但如果题目是纯英文长密码爆破就基本不现实了回头看信息收集环节有没有遗漏。第二种情况大概率是伪加密。ZIP文件的每个文件条目都有一个“通用位标记”字段如果加密位被置为1解压工具就认为文件加密了而实际上文件内容可能根本没加密。这种题只要求把加密标志位改回0就能直接解压。修改方式有两种。一种是用工具ZipCenOpzipcenop.py -u flag.zip另一种是手动用十六进制编辑器定位到中央目录文件头50 4B 01 02把通用位标记里的加密位通常是00 00改成08 00或者反向操作改回未加密状态。解题时可以用binwalk探测或者直接用zipdetails查看ZIP结构。处理压缩包还有一个隐藏考点是CRC32碰撞。如果压缩包里只有一个极短文件比如4字节而且你知道它的大致内容范围就可以用CRC32爆破还原原始内容因为短内容的CRC32值传播空间有限。这个技巧在处理“压缩包文件内容被打码”的题目时尤其好用。2.5 流量分析题的解题顺序与Wireshark使用技巧除了图片和压缩包Misc还有一个重头戏是流量分析。给一个.pcap或.pcapng文件要求从网络流量中还原出文件、账号密码或者攻击过程。我的习惯是先看“统计”再做敏感字过滤。Wireshark里可以直接用http.request或tcp contains flag这样的过滤表达式快速锁定关键词。如果流量里上传过文件可以通过http.response.code 200加上Content-Type找到下载响应再通过“导出对象”功能把传输过的文件还原出来。有一次我遇到一个恶意软件下载的流量题前几步都很顺利结果还原出的文件是个加密压缩包密码一直找不到。后来才注意到流量里有一条IRC聊天记录里面有人无意间发了压缩包密码——这就是典型的“信息都在流量中只是你过滤条件不够”。另一个高频考点是USB流量分析。鼠标流量或者键盘流量的报文里每个HID报文代表一次按键或移动。用工具tshark把报文导出来后结合USB HID键码表就能还原出键盘输入的信息。这类题很吃耐心但出题思路相当固定。3. Web漏洞利用SQL注入、SSRF、命令执行的实际构造3.1 登录绕过的SQL注入逻辑Web方向在CTF里占的比重很大也是最“接地气”的方向因为题目环境就是真实的网站系统。考的最基础也最常见的就是SQL注入。很多初学者的第一个Web题就是“请以admin身份登录”。后台代码如果对输入过滤不严很可能会出现这样的拼接逻辑$sql SELECT * FROM users WHERE username . $_POST[username] . AND password . md5($_POST[password]) . ;正常用户输入用户名admin密码123456拼接后的SQL是SELECT * FROM users WHERE username admin AND password e10adc3949ba59abbe56e057f20f883e但如果你在用户名处输入admin --拼接结果就变成SELECT * FROM users WHERE username admin -- AND password ...--在MySQL里是注释符后面的密码校验被注释掉整个查询就变成只查找用户名为admin的记录密码是否正确完全不重要。登录框直接绕过。不过比赛的登录题往往不会这么直白。常见的过滤方式是把空格、单引号等字符删掉这时就要用等价替代法绕过。比如用/**/代替空格用||拼接字符串用十六进制内联甚至大小写混合来规避基于关键字匹配的简单WAF。这里给一个常用的万能密码思路 or 11 -- or 11 admin--如果or被过滤可以尝试||或者通过注释符内联admin/**/||/**/11-- -实操时优先用Burp Suite抓包重放因为浏览器的开发者工具在遇到POST请求时不够灵活也不方便进行多次变换和对比。Burp的Repeater可以保留所有请求历史你在过滤器那里改一版、发一次、看响应效率比每次重新填表单高太多。注意遇到过滤时不要只想着“绕过”先看回显和报错信息这些往往是解题的提示。3.2 SSRF怎么让服务器帮你访问内网再往上一层的Web题比如SSRF服务端请求伪造利用原理是服务器自己发起了网络请求而这个请求的目标地址是由用户控制的。很多内部接口只对本地开放不经过公网绕开的办法就是骗服务器去请求自己的内网地址。出题场景通常是一个“图片抓取”或者“URL预览”功能。你提交一个URL服务器就去访问并展示内容。若把URL改成http://127.0.0.1:8080/flag服务器就会拿到内网服务的响应SSRF漏洞就存在。CTF里SSRF常用的探测思路访问http://127.0.0.1:80或http://localhost确认本地Web服务用file:///etc/passwd读取服务器本机文件用gopher://协议扩展攻击面构造完整的HTTP或Redis请求包结合云原生的元数据服务地址探测内部管理接口。其中一个典型的SSRF进阶玩法是结合gopher扩展攻击。因为HTTP协议走的是文本传输如果能通过SSRF控制一个TCP连接到内网服务我们完全可以把手工构造的HTTP请求全文塞进gopher负载。比如探测内网Redis的未授权访问gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflsuhall%0d%0a...注意这段内容需要URL编码两次因为一次编码会在服务器解析参数时被解码实际发到内网还需要继续保持可解析状态。做这类题目时我会先把构造好的gopher数据用脚本转一次编码再用Burp发出去。有回显就等于打通了前半程没回显则要检查编码层数。如果没有现成脚本可以用CyberChef的URL Encode功能叠加运行。这里多说一句SSRF的关键不是构造协议本身难而是对“谁能访问什么”的判断。题目总说内网服务只在本地可访问但你可以通过服务器这个“跳板”绕过网络隔离——这就是SSRF的精髓。3.3 命令执行与代码执行从危险函数找突破口命令执行这类题一旦出现基本是白给的因为API往往直接把系统命令的入口暴露出来了。PHP中常见的危险函数包括system()、exec()、shell_exec()、passthru()以及反引号操作符。题目若是让你提供一个“ping测试工具”一眼就能怀疑到命令拼接。假设题目场景是一个输入IP的ping工具后端的代码大概长这样?php $ip $_GET[ip]; system(ping -c 1 . $ip); ?在输入框里填127.0.0.1; whoami分号会结束前一条命令紧接着执行whoami服务器回显当前用户。命令连接符的选择也很重要Linux下;是无条件执行只有当前一条成功才执行|把前一条的输出变成后一条的输入。实际测试时我习惯先试;再看回显选|或。绕过过滤时空格往往首当其冲被删掉。Linux shell中有多种方式代替空格${IFS}内部字段分隔符可当作空格使用$IFS$9中间加数字9避免被误识别用、、{cmd,arg}等构造。假设cat /flag被过滤了空格则可以写成cat${IFS}/flag cat$IFS$9/flag经过几轮尝试命令执行和代码执行的区别要分清楚。命令执行是OS的命令层代码执行则是直接执行PHP、Python或JavaScript代码后者往往出现在反序列化、模板注入或“eval”这类函数滥用场景。只要能把控参数输入就能一步步到达系统命令层。3.4 SSTI与沙箱逃逸模板注入的另一条路模板注入SSTI近几年逐渐成为Web方向的高频题本质是服务端把用户输入直接拼进模板引擎里解析。比如用Python Flask Jinja2渲染页面时from flask import Flask, request, render_template_string app Flask(__name__) app.route(/) def index(): name request.args.get(name) return render_template_string(h1Hello name /h1)用户提交{{7*7}}页面就可能返回Hello 49这就能确认存在模板注入。下一步往往是想通过模板引擎暴露的对象链去读取文件或执行命令。Jinja2里经典的探测载荷是{{ config.__class__.__init__.__globals__[os].popen(cat /flag).read() }}核心思路是找到配置对象再沿Python对象的内置属性回溯到os模块的popen指令。顺带一提如果题目的环境是Node.js的vm或sandbox这类模块只要能在JavaScript沙箱里拿到this.constructor.constructor就等于拿到了构造函数的Function可以直接执行任意代码——CTF中此类“沙箱逃逸”的考法越来越常见。3.5 Web题目排查方向速查Web题解不出来时先不要盲试payload快速定位问题更关键。下面这个速查表是我自己调试时经常对照的现象可能原因排查方向提交{{7*7}}返回原样模板引擎并未启用或输入被编码检查Content-Type尝试双层编码SQL注入无报错、无回显盲注或无回显情况用时间盲注if(11,sleep(5),0)判断SSRF返回400错误URL被过滤尝试短地址、http://0.0.0.0或十六进制编码命令执行无输出输出被截断或无回显尝试curl外带数据到自己的监听端上传成功后找不到文件路径路径被隐藏扫目录常用路径带上时间戳做字典登录验证码一直失败Session固定先访问一次登录页固定Session再提交遇到信息泄露的页面也要重视备份文件和源码泄露问题。.git泄露、.svn泄露、www.zip备份文件出现时基本等于把源码送给你这时候直接拖下来审代码找漏洞比自己黑盒猜测快得多。4. 密码学、流量分析与其他题型补全解谜工具箱4.1 从一眼识别的编码到古典密码CTF密码学入门的快乐源泉来自“一眼识别”。一看字符串结尾是想到base64看到大量%开头想到URL编码看到一堆八进制数可能转ASCII看到二进制字符串可能转文本看到Morse码的点和横线才能想到需要翻译。单独掌握这些编码规则并不算真正的能力真正的能力是“看见编码结构判断走向”的快速反应。十六进制转ASCII在Linux上可以直接用xxd -r -pecho 666c61677b746573747d | xxd -r -p输出结果就是flag{test}。很多时候题目的编码链条有好多层比如base64后做了十六进制编码再做一次URL编码。手动套解码器容易出错我建议直接用CyberChef把所有步骤堆在同一个pipeline里跑一层一层加很快看到哪一步出明文。古典密码方面凯撒密码的特征是字母整体移位遇到可以跑caesar爆破栅栏密码的特征是明文按行分列后重新排列维吉尼亚密码则需要知道密钥长度先做重合指数分析再用卡方检验爆破。这些工具在CyberChef和很多在线解密平台都有现成模块不需要手写算法但知道原理能帮你判断密钥空间和结果是否合理。4.2 RSA题常见的薄弱点在哪里到了现代密码最常见的就是RSA。RSA的核心是np*q其中p和q是两个大质数。CTF里为什么总有RSA题因为出题人可以从很多角度构造“已知条件亏缺”的难度而参赛者要做的就是找到题目的不小心之处。最经典的攻击面是模数分解。如果n比较小可以直接用Yafu或在线因子库分解出p和q。另一个出题模式是n在两个文件里重复使用也就是两个密文共享同一个n但加密指数e不同。这时候可以用共模攻击不需要分解n直接通过扩展欧几里得算法求得明文。实操脚本在Python里用gmpy2和Crypto.Util.number。以下是一个最基础但很常用的RSA解密模板from Crypto.Util.number import inverse, long_to_bytes p 某质数 q 某质数 e 65537 c 密文整数 n p * q phi (p - 1) * (q - 1) d inverse(e, phi) m pow(c, d, n) print(long_to_bytes(m).decode())遇到不知道p、q的题第一反应是利用factordb.com查n能否在线分解如果不能分解接着看两个n之间是否有公约数用欧几里得算法gcd(n1, n2)尝试求公因子——这一步能突破相当多的RSA共享质因数题目。4.3 逆向工程与PWN的入门观察点逆向和PWN总是把新手吓跑但它们也有相对固定套路可循。一个.exe或ELF文件扔进IDA后第一件事不是急着F5看伪代码而是先看字符串窗口。题目程序如果是“要求你输入一个key”那么flag或正确提示往往就藏在字符串中。用strings命令扫一遍可执行文件strings maze | grep -E flag|correct|wrong如果看到可疑但加密的字符串可以定位到代码中对应的引用。常规做法是运行程序观察输入什么会输出“wrong”再用IDA回溯这个“wrong”字符串的交叉引用找到校验逻辑最后分析校验函数的条件。极简难度下校验可能只是一串字符比较比较的对象就是明文的flag。PWN的入门通常是栈溢出经典考点是控制程序返回地址执行后门函数。先检查保护措施checksec --file./pwn_test查看是否开启NX栈不可执行和PIE地址随机化。如果程序里已有win()这类函数且没有开PIE你只需要通过溢出覆盖返回地址即可。这类题在本地调试时常常需要关闭系统的地址随机化sudo sysctl -w kernel.randomize_va_space0写exp时本地通了不代表远程也通原因多半是远程环境的libc版本和你本机不同。如果题目只给了一个裸二进制文件却没有给libc那远程也很可能不要求你泄露真实地址只需保证返回地址准确。4.4 移动端与特殊环境题目部分比赛还会出现移动端Mobile题目一般是对Android APK做逆向。拿到APK先不要急先用jeb或者jadx反编译看Java代码flag有时在assets目录、res/values/strings.xml或AndroidManifest.xml里就能直接看到。如果有Native层.so再用IDA分析JNI函数。还有些比赛会把题目做成Node.js沙箱逃逸、Java反序列化或者工控协议分析。这些都属于特定领域题掌握了通用方法后遇到时再针对性学习即可。重要的是别把自己限制在单一方向上否则比赛碰到完全没接触的题目类型时一定会很被动。5. 比赛中的实操流程与时间管理从单题到整场5.1 比赛的读题顺序和优先级选择打比赛最怕的不是题目难而是把时间耗在性价比极低的题目上。很多新人一上来就盯着一道Web难题死磕磕了三个小时没出回头一看Misc送分题都没碰。这里分享一个经过多次比赛验证的读题顺序。比赛的开始阶段先把所有题目都过一遍用最短时间完成“简单判断”。判断标准很简单有没有附件、有没有源码、有没有明确提示题目是不是你熟悉的题型。把你一眼就知道怎么解的题目按顺序标记出来先做这些。这些“熟练题”是保底分能迅速建立节奏感。然后是中等题这类题往往需要两步以上才能完成比如解压需要密码而密码藏在流量包里。可以考虑分多次短时间冲刺处理不要求一次搞定。最后才轮到大题。CTF比赛的得分是按题算的一道题卡住不如先去做其他能稳定多得几分的题——这道题如果真没思路可以放在最后的加时赛里再试试。5.2 团队赛里的分工情报同步团队赛和单人赛是两种游戏。团队赛尽量用“按题型分工”而不是“按题目数量分工”。比如一名队员专门啃Crypto一名覆盖Misc和流量取证Web和逆向分别指定专人。而且每个人都要在共享笔记里实时更新进度包括“尝试过的方法”“没成功的原因”“想到一半的线索”——不同方向的知识背景很容易碰撞出解法。记得有一次团队赛我负责的Web题发现一个可疑的base64字符串破解了一半交给了做Crypto的队友。他立刻认出这是RSA密文其中一段并在几分钟内就帮我解出了下一步的key。如果我没有把“字符串内容”同步出来可能这道题要拖上很久。5.3 题目记录与赛后复现的价值比赛中全程记录自己做过什么和试过什么非常重要。我通常用Markdown文件记录每道题的尝试过程复制好关键的响应数据。赛后复现时再复盘一遍当初为什么卡住、哪一步思路错了、看到了什么提示却没往正确方向联想。很多比赛平台赛后会有官方WriteUp把对照自己记录逐题学习一遍比自己乱练十道题管用得多。把每次踩过的坑都沉淀下来后面遇到同类型的题目时就不会再犯。至少我自己建了一个“踩坑数据库”每次比赛后都更新目前已经积累了上百条真实案例遇到相似问题时翻一翻效率极高。6. 常见问题排查与工具链选择6.1 工具链不统一导致的低级问题做CTF很吃工具但工具不在多而在于顺手。下面是我目前长期保留的工具组合按场景分类场景工具使用场景文件识别与提取file, binwalk, foremost, strings快速确认伪装文件、提取隐藏附件图片隐写分析Stegsolve, zsteg, exiftoolLSB提取、Exif信息、帧分析流量分析Wireshark, tshark找关键字、导出对象、分析USB流量Web请求调试Burp Suite抓包、重放、绕过过滤编码与解码CyberChef万能编码转换、多层解码密码学openssl, CyberChef, Yafu基础加密、RSA分解与解密逆向分析IDA, Ghidra, checksec静态分析、看伪代码、保护机制检查脚本协作Python pwntools gmpy2编写exp、处理网络交互、解题脚本新手最容易犯的错误是电脑里装了一堆工具但并不知道每个工具最适合的场景。比如strings看到二进制文件里有敏感字符串有些人不知道配合grep过滤再比如流量分析时一台机器上Wireshark性能卡顿却不知道TShark命令行可以快速提取。6.2 比赛现场最容易翻车的五个技术点想在这里说说我踩过的几个印象深刻的大坑每一个都让我的队伍丢过不该丢的分。第一个是编码层数判断错误。写解码脚本时少解一层或者多解一层结果就是差一点。遇到这种情况不要凭脑袋想直接在CyberChef里堆步骤解码一层层看输出输出变得“更像明文”的那一层就是对的。第二个是字符编码陷阱。有的题目把中文字符串用Unicode转了一下暴力搜索时关键字全是乱码。搜索可疑字符串前要先确认页面编码是UTF-8还是GBK再在搜索器和脚本里做相应设置。第三个是过滤规则理解不透。用union select被过滤了很多新手只想着换其他变体却忽略了服务器可能同时过滤了大小写、注释符和空格。这个时候要先做“探针式测试”一点点摸清过滤规则再针对性地用等价符替换。第四个是没有备份原文件。对附件做修改之前一定要先复制一份原文件。有次我改ZIP加密位时不小心改坏了文件头因为没有原文件只能向主办方重新要附件白白浪费了一二十分钟。现在遇到任何需要改文件的环节我都把原始文件先放在另一个文件夹。第五个是时间盲注的循环判断太慢。如果题目确实需要时间盲注用脚本逐字符跑也是可行的但网络环境不一定稳定。尽量用二分法判断字符而不是逐字符顺序比可以省下大量时间。6.3 比赛中的时间优化与稳定输出CTF比赛通常时间跨度长不合理的熬夜会让最后几个小时的解题质量断崖式下降。我在比赛中的经验是每隔一小时定时回顾一次状态如果连续两小时没有任何进展就站起来歇一下换换脑子。比赛最后半小时要避免开新的题目这时的核心是稳定输出。把已经解出的flag确认无误的同时再复查有没有漏填、误填的问题。回想我拿过不错名次的那几场比赛靠的往往不是某道复杂题的灵光一现而是把该拿的分都稳稳拿到手中。还有一个被很多人忽略的环节赛后的心得复盘要具体到“哪个方法被证明没用”而不是只写“这道题原来是这样解的”。前者能帮你真正排查掉死胡同方法后者只是看了一遍热闹。做题的能力积累就是从一次次复盘中的“原来这边堵死了”开始的。我个人在带新人时反复强调一条习惯——遇到不会的题先记录下当前进度和想到的线索再开下一道题。做CTF很像剥洋葱外层的壳只要多剥几分钟就能看见里面的信息。真正有价值的不是“解出这道题”而是“你能不能稳定地把做题的方法复用到下一道长得完全不像的题上”。这也是为什么拿到题目的前几分钟理清类型、理清线索、理清目标永远比急着上手更值得。希望这篇梳理能帮你在下次比赛里少走点弯路把该拿的分都拿回来。