一、課程簡(jiǎn)介
CTF（Capture The Flag，奪旗賽）是一種流行于網(wǎng)絡(luò)安全技術(shù)人員之間的一種信息安全技術(shù)競(jìng)賽。其前身是傳統(tǒng)黑客之間網(wǎng)絡(luò)技術(shù)比拼的游戲，以代替之前黑客們通過互相發(fā)起真實(shí)攻擊進(jìn)行技術(shù)比拼的方式。起源于1996年第四屆DEFCON。現(xiàn)在已成為全球范圍網(wǎng)絡(luò)安全圈流行的競(jìng)賽形式。
通常CTF分為三種賽制：解題賽（Jeopardy）、攻防賽（Attack-Defence）和混合賽。
競(jìng)賽模式基本分為解題模式、攻防模式和混合模式。大多題目的內(nèi)容基本包括web安全，密碼學(xué)、逆向、二進(jìn)制安全編程類題目等國(guó)內(nèi)外有很多CTF比賽。
解題賽是線上賽通常采取的賽制，題目通常分為多個(gè)類型，如Web，F(xiàn)orensic（取證），Crypto（密碼學(xué)），Binary（二進(jìn)制）等。團(tuán)隊(duì)或個(gè)人可以通過解題獲得一串具有一定格式的字符串，也就是flag。將flag提交到競(jìng)賽平臺(tái)可以獲得積分。題目的難度越大，分值就越高。當(dāng)比賽結(jié)束后，得分最高者勝出。
攻防賽是另一種有趣的賽制，常見于線下決賽。攻防賽中，每個(gè)隊(duì)伍都會(huì)被分配一臺(tái)主機(jī)或虛擬機(jī)，稱為gamebox，隊(duì)員可以通過網(wǎng)絡(luò)連接到gamebox。而所有隊(duì)伍的gamebox通過內(nèi)網(wǎng)連接在一起。每個(gè)隊(duì)伍的gamebox上都運(yùn)行著多個(gè)相同的服務(wù)。參賽隊(duì)伍需要挖掘服務(wù)的漏洞，然后攻擊其他隊(duì)伍的服務(wù)來獲取flag，并提交給計(jì)分服務(wù)器來獲取積分。與此同時(shí)，參賽隊(duì)伍還需要修補(bǔ)自身服務(wù)中的漏洞來防止丟分。攻防賽不僅考驗(yàn)了參賽選手的技術(shù)水平，還考驗(yàn)了參賽者的體力，因?yàn)橥ǔ①愓咝枰B續(xù)混合賽可能采取解題賽和攻防賽的混合模式，也可能是其他形式。

二、培訓(xùn)時(shí)間
本次CTF競(jìng)賽培訓(xùn)包括培訓(xùn)和考核兩部分，5天集中培訓(xùn)和2天考核。

三、 培訓(xùn)大綱

序號(hào)	項(xiàng)目	內(nèi)容
1	CTF入門	CTF概念和入門 國(guó)內(nèi)外安全攻防比賽現(xiàn)狀 攻防比賽方式和題型介紹 安全培訓(xùn)基礎(chǔ)環(huán)境介紹和配置搭建 實(shí)訓(xùn)期間所需工具包和資料分發(fā) 操作系統(tǒng)命令和數(shù)據(jù)庫(kù)基礎(chǔ) PHP和python程序入門 數(shù)據(jù)庫(kù)基礎(chǔ)入門和SQL語(yǔ)言簡(jiǎn)述 網(wǎng)絡(luò)安全攻防滲透基礎(chǔ)知識(shí)（搜集、定點(diǎn)、攻擊等） Linux安全基礎(chǔ)（基本命令、系統(tǒng)管理、反彈shell等） Windows安全基礎(chǔ)（DOS/PS基本命令、用戶權(quán)限、AD、網(wǎng)絡(luò)協(xié)議等）
2	數(shù)據(jù)隱寫	數(shù)據(jù)隱寫基礎(chǔ)和工具分發(fā) 隱寫比賽模式和題型分析 隱寫專項(xiàng)練習(xí)：圖片隱寫、視頻隱寫、音頻隱寫、網(wǎng)絡(luò)協(xié)議隱藏、pdf隱寫、壓縮文件隱寫等
	MISC雜項(xiàng)	常見MISC雜項(xiàng)題目分析 網(wǎng)絡(luò)流量協(xié)議分析基礎(chǔ) Wireshark工具實(shí)操 系統(tǒng)日志分析思路 社會(huì)工程學(xué)概念 其他技術(shù)點(diǎn)探討
3	密碼編碼	常見比賽密碼學(xué)題型分析 密碼編碼工具介紹和分發(fā) 密碼學(xué)理論基礎(chǔ)（凱撒、柵欄、莫斯等） 古典密碼學(xué)題型分析 編碼解碼基礎(chǔ)入門 常見編碼解碼題型分析
	密碼學(xué)進(jìn)階	現(xiàn)代密碼學(xué)入門 算法加解密原理 題型分析和關(guān)鍵代碼學(xué)習(xí) 其他算法介紹
	綜合訓(xùn)練	隱寫技術(shù)復(fù)習(xí) 密碼學(xué)復(fù)習(xí) 題目答疑解惑 雜項(xiàng)題目實(shí)操
4	WEB基礎(chǔ)	Web漏洞基礎(chǔ)和工具介紹 WEB爆破和burp實(shí)操 任意文件下載和信息泄露 文件上傳和文件解析漏洞分析 XSS跨站攻擊（反射、存儲(chǔ)、DOM）靶場(chǎng)實(shí)操 命令執(zhí)行原理和OS命令強(qiáng)化 代碼執(zhí)行和PHP代碼強(qiáng)化 XXE原理分析和賽題解析
	SQLI提高	SQL注入基礎(chǔ)（原理、工具、SQLMAP等） SQL注入進(jìn)階（報(bào)錯(cuò)、盲注、聯(lián)合、寬字節(jié)、二階注入、二次編碼等注入）
	WEB強(qiáng)化	PHP反序列化題型分析 SSRF原理和題型分析 弱類型技術(shù)原理 變量覆蓋和條件競(jìng)爭(zhēng) 文件包含強(qiáng)化（偽協(xié)議、結(jié)合上傳、結(jié)合XSS等） SSTI模板注入分析（flask等框架介紹）
	代碼審計(jì)	python安全編程與代碼審計(jì) PHP安全編程與代碼審計(jì) Java、JSP安全編程與代碼審計(jì) 代碼審計(jì)工具和真題分析
	實(shí)操練習(xí)	典型題目實(shí)操練習(xí)和指導(dǎo)
5	逆向工程	逆向工程入門 匯編語(yǔ)言基礎(chǔ)和關(guān)鍵語(yǔ)句詳解 PE格式介紹和X86/X64平臺(tái)原理 靜態(tài)分析和動(dòng)態(tài)調(diào)試工具介紹 代碼和數(shù)據(jù)結(jié)構(gòu)分析 逆向題目技術(shù)點(diǎn)分析和題型介紹 Android基礎(chǔ)和逆向題型 逆向題目實(shí)操和技能強(qiáng)化 【PWN入門和題型概述】（酌情）
6	CTF模擬訓(xùn)練	個(gè)人奪旗戰(zhàn)和AWD攻防混戰(zhàn)（0.5天）
	CTF解題賽	（提供賽題和比賽平臺(tái)，1.5天）