🔐 CTF 网络安全入门指南 2026¶

从零基础到能打比赛的完整学习路径

游戏化学习，技能直接转化为工作能力

📋 目录¶

CTF 是什么 & 为什么要学
五大挑战类别详解
新手学习顺序推荐
最佳学习平台汇总
第一周上手计划
必备工具链
从入门到就业路线图

1. CTF 是什么 & 为什么要学¶

什么是 CTF？¶

Capture The Flag = 夺旗赛

黑客版的「解谜游戏」：
  给你一个有漏洞的系统/程序/网站
  你要利用漏洞，找到藏在里面的「flag」（一串字符）
  提交 flag 得分，上排行榜

形式：
  🏆 Jeopardy 模式：分类题库，任选挑战，按难度给分（最常见）
  ⚔️ 攻防模式：互相攻击对方服务器，同时防守自己的（高级比赛）

为什么要学 CTF？¶

好处	说明
✅ 实战技能	不是纸上谈兵，每个挑战都是真实的漏洞类
✅ 可验证	会不会，拿到 flag 才算数，没有嘴炮空间
✅ 就业加分	安全行业非常认 CTF 经历，比证书管用
✅ 游戏化	像打游戏升级一样学安全，不容易放弃
✅ 社区	认识一群技术大佬，人脉资源

关键：Web 方向的技能 1:1 转化为真实工作能力

你在 CTF 里练的 SQL 注入、XSS、权限绕过，就是真实渗透测试每天做的事。

2. 五大挑战类别详解¶

类别	难度曲线	就业相关性	核心内容
🌐 Web	🟢 平缓	✅ 最高	SQL 注入、XSS、SSRF、反序列化、权限绕过
🔐 密码学 (Crypto)	🟡 中等	⚠️ 中等	古典密码、哈希攻击、对称/非对称加密
🔍 取证 (Forensics)	🟢 平缓	⚠️ 中等	文件分析、隐写、流量分析、内存取证
🔧 逆向工程 (RE)	🔴 陡峭	⚠️ 中等	反汇编、读懂汇编、算法分析、去混淆
⚙️ 二进制 Pwn	🔴 最陡峭	⚠️ 低	缓冲区溢出、ROP、格式化字符串

🎯 新手优先级排序¶

1. 🌐 Web Exploitation → ✅ 必学，入门最简单，就业相关性最高
2. 🔐 Crypto → 可选，数学好的人有优势
3. 🔍 Forensics → 可选，喜欢做侦探的人会喜欢

4. 🔧 逆向工程 → ⚠️ 进阶再考虑，门槛高
5. ⚙️ Pwn → ⚠️ 高手向，最难，就业面也相对窄

3. 新手学习顺序推荐¶

阶段 0：前置基础（1-2 周）¶

不要跳过这一步！

✅ Linux 基础
  ├─ 常用命令：ls/cd/grep/find/strings/...
  ├─ 文件权限理解
  ├─ Bash 脚本基础
  └─ 会用 man/help 查文档

✅ Python 脚本能力
  ├─ 能写 100 行以内的脚本
  ├─ 会用 requests 发包
  └─ 会 pwntools（做 Pwn 再学也行）

✅ 网络基础
  ├─ TCP/IP 四层模型
  ├─ HTTP/HTTPS 协议
  └─ 常用端口号含义

阶段 1：Web 入门（2-4 周）¶

✅ OWASP Top 10 逐个理解
  ├─ 1. SQL 注入
  ├─ 2. XSS (跨站脚本)
  ├─ 3. CSRF
  ├─ 4. SSRF (服务端请求伪造)
  ├─ 5. 文件上传漏洞
  ├─ 6. 反序列化
  ├─ 7. 权限绕过
  └─ ...

✅ 每个类型至少做 5 道入门题
✅ 学会用 Burp Suite
✅ 能独立做中等难度的 Web 题

阶段 2：扩展其他方向（1-3 个月）¶

根据兴趣选 1-2 个深入：

喜欢数学 → 🔐 密码学
喜欢探案 → 🔍 取证
喜欢拆东西 → 🔧 逆向工程
喜欢搞破坏 → ⚙️ Pwn

不要贪多，精通 1-2 个方向 > 每个都只会一点

阶段 3：参加真实比赛（长期）¶

✅ 先打线上练习赛
✅ 组队参加正式比赛
✅ 赛后看大佬的 Writeup
✅ 每次比赛总结学到的新东西

4. 最佳学习平台汇总¶

🟢 完全免费，新手友好¶

平台	特点	推荐度
PicoCTF	卡内基梅隆大学做的，专门给新手，题目设计极佳	⭐⭐⭐⭐⭐ 首选
pwn.college	亚利桑那州立大学，二进制方向最佳免费资源	⭐⭐⭐⭐⭐
Hack The Box	最有名的平台，从入门到高级都有	⭐⭐⭐⭐
TryHackMe	结构化学习路径，新手体验好	⭐⭐⭐⭐
VulnHub	下载虚拟机本地打，适合练内网渗透	⭐⭐⭐⭐
OverTheWire	经典系列，从 Bandit 开始练 Linux 基础	⭐⭐⭐⭐

🔍 比赛信息¶

CTFtime.org → 全球所有 CTF 比赛日历
  看即将到来的比赛
  看队伍排名
  看往届比赛的 Writeup

📚 必备速查手册¶

GTFOBins → Unix 命令提权速查
  网址：gtfobins.github.io
  每个安全从业者都把这个加入书签

LOLBAS → Windows 同理
PayloadAllTheThings → 各种 Payload 合集

5. 第一周上手计划¶

Day 1-2：Linux 基础热身¶

# 玩 OverTheWire: Bandit
# 一共 34 关，从最简单的 Linux 命令开始
# 通关 = Linux 基础完全够用了

ssh bandit0@bandit.labs.overthewire.org -p 2220
# 密码: bandit0

# 目标：至少打到第 10 关

Day 3-4：第一个 Web 题¶

去 PicoCTF 注册账号
找到 Web Exploitation 分类
从最简单的题开始做
目标：至少解 3 道题

过程中学会：
  ✅ 怎么看网页源代码
  ✅ 怎么用浏览器开发者工具
  ✅ 怎么发 HTTP 请求
  ✅ 什么是 Cookie

Day 5-7：熟悉工具链¶

✅ 安装 Kali Linux（虚拟机就行）
✅ 学会用 Burp Suite Community Edition
✅ 学会写简单的 Python 脚本发包
✅ 试着用 sqlmap 跑一下注入题

6. 必备工具链¶

基础工具（必装）¶

🌐 Web 方向
  ├─ Burp Suite → 行业标准，必学
  ├─ 浏览器开发者工具（F12）
  └─ sqlmap → 自动化注入工具

🔐 密码学方向
  ├─ CyberChef → 瑞士军刀，各种编码转换
  ├─ gpg/openssl 命令行
  └─ Python + pycryptodome 库

🔍 取证方向
  ├─ binwalk → 文件分析
  ├─ exiftool → 元数据分析
  ├─ wireshark → 流量分析
  └─ foremost → 文件分离

🔧 逆向/Pwn
  ├─ IDA Pro / Ghidra → 反汇编
  ├─ gdb + pwndbg → 调试
  └─ pwntools → 写利用脚本

操作系统选择¶

✅ Kali Linux → 推荐新手用，所有工具预装好了
  不用折腾环境，直接开始做题

✅ Parrot OS → 可选，和 Kali 类似

⚠️ 不要用 Windows 原生做 CTF
  很多工具没有 Windows 版，用着很痛苦
  装个虚拟机跑 Linux 是唯一正确选择

7. 从入门到就业路线图¶

🎯 6 个月目标¶

第 1 个月
  ✅ Linux 基础过关（OverTheWire Bandit 通关）
  ✅ 能解入门级 Web 题（SQL 注入、XSS）
  ✅ 掌握 Burp Suite 基本用法

第 2-3 个月
  ✅ Web 中难题也能解了
  ✅ 开始学第二个方向（比如 Crypto）
  ✅ 参加了第一次线上 CTF 比赛

第 4-6 个月
  ✅ 有一个主攻方向，其他方向也懂基础
  ✅ 参加了 3-5 次正式比赛
  ✅ GitHub 上有自己的 Writeup 仓库
  ✅ 能在比赛中为团队贡献分数

💼 就业路径¶

CTF 技能 → 真实工作
  ├─ Web 方向 → 渗透测试工程师、Web 安全工程师
  ├─ 取证方向 → 应急响应、安全分析
  ├─ 逆向方向 → 恶意代码分析、安全研究员
  └─ Pwn 方向 → 二进制安全研究员、漏洞挖掘

薪资范围（国内 2026）：
  入门：8-15K
  1-3 年经验：15-30K
  3-5 年经验：30-60K+
  挖洞大佬：上不封顶（一个严重漏洞奖金几十万很正常）

💡 给新手的建议¶

不要怕看不懂，每个人都是从 0 开始的
先看 Writeup 不丢人，卡了 2 小时以上就去看答案，学到东西最重要
做笔记！ 每个做过的题写一下思路，以后会忘的
不要贪多求全，先精通一个方向
找同伴一起学，一个人容易放弃，互相讨论进步快
享受过程，解出一道题的那种成就感，是 CTF 最迷人的地方

记住：每一个你解出来的题，都是你简历上的一个亮点。