網絡安全競賽：開啟安全人才培養通道

文/姜開達 武永興

（作者單位為上海交通大學）

CTF 競賽逐漸演變成為網絡安全競賽的一種重要形式

隨著全社會對網絡空間安全的重視程度日益增加，高校的網絡安全人才培養和各行業在職安全人員專業能力提升教育日益重要，網絡安全人才供不應求的局面還將長期持續。

各類網絡安全競賽作為培養安全人才，發現安全人才的有效途徑，這幾年在國內出現了爆發式增長。比賽提供了一個完美的平臺，參與者能夠綜合運用各種手段，進行漏洞挖掘和有效利用，開展取證分析和積極防御，像攻擊者一樣來思考問題，在攻防相長的過程中完成自我升華。比賽選手或主動或被動，補全了計算機和網絡安全基礎理論知識，培養了從理論轉向實踐的動手能力，并且能夠在安全領域結合業務活學活用。同時伴隨競賽也凝聚了一支支蓬勃發展的安全團隊，他們有著共同的理想和奮斗目標，互相鼓舞激勵前行。

Capture The Flag（簡稱CTF）直譯為“奪旗賽”，起源于1996 年美國舉辦的DEF CON 全球黑客大會，最早是交流安全技術的重要途徑。隨著時間的推移，CTF 競賽逐漸演變成為網絡安全競賽的一種重要形式，發展成為全球范圍網絡安全圈的流行比賽，成為了學習鍛煉網絡安全技術，展現安全能力和水平的絕佳平臺。參賽隊伍需要通過解決網絡安全的技術問題來獲取盡可能多的flag。flag 可能來自于一臺遠端的服務器，一個復雜的軟件，也可能隱藏在一段通過密碼算法或協議加密的數據，或是一組網絡流量及音頻視頻文件中。選手需要綜合利用自己掌握的安全技術，并輔以快速學習新知識，通過獲取服務器權限，分析并破解軟件或是設計解密算法等不限定途徑來獲取。

四種主流競賽形式

目前主流的網絡安全競賽體現為以下幾種形式：

1.解題賽（Jeopardy）

這是大多數國內外CTF 比賽的主流形式，選手自由組隊參賽，題目通常在比賽過程中陸續放出。解出一道題目后，提交題目對應的flag 即可得分，比賽結束時分高者勝（同分時比較總提交時間）。為了向現實生活中實際場景靠攏，近年也出現了一種新的Real World 形式，題目載體一般是現實中真實出現過的漏洞。

2.攻防賽（AWD，Attack With Defense）

通常為現場比賽采用，是多數CTF決賽的比賽形式，選手自由組隊參賽，但通常隊伍人數會受到限制（3～6 人不等），比賽中更為注重臨場反應和解題速度，考察團隊多方面的綜合安全能力，要求攻防能力均衡，不能存在短板。

3.破解賽（Pwn）

國內知名的破解賽有GeekPwn（極棒）安全極客大賽，“天府杯”國際網絡安全大賽等。這類比賽沒有明確命題和答案，主要來自參賽選手提交的0day 漏洞。

4.混合賽（Mix）

CTF 線下賽可能是解題賽，可能是攻防賽+解題賽，比如XCTF 國際網絡攻防聯賽總決賽，也有可能是攻防賽+Real World，比如第三屆強網杯全國網絡安全挑戰賽。

常見題目類型

常見的比賽題目類型包含但不限于以下幾類：

1.Web 安全

通過瀏覽器訪問題目服務器上的網站，尋找網站漏洞，利用網站漏洞獲得服務器的部分或全部權限，拿到flag。具體考察：操作系統和網站應用服務器安全，網站多種語言源代碼審計分析（特別是php），數據庫管理和SQL 語句查詢，Web 漏洞挖掘和利用（SQL 注入和XSS 等），各種服務器提權，編寫代碼補丁并修復網站漏洞。

2.逆向工程

題目就是一個軟件，但通常沒有軟件的源代碼。需要利用工具對軟件進行反編譯甚至反匯編，從而理解軟件內部邏輯和原理，找出與flag 計算相關的算法并破解這個算法，拿到flag。具體考察：Windows / Linux / Android 在 x86 / x86_64 /ARM 平臺多種編程語言的熟練掌握，對源代碼及二進制文件的分析和理解，對多種反編譯乃至反匯編逆向工具和脫殼調試技巧的熟練掌握，Android 移動應用APK文件的逆向分析，掌握加解密、內核編程、算法、反調試和代碼混淆技術。

3.漏洞挖掘與漏洞利用

訪問一個本地或遠程的二進制服務程序，通過逆向工程找出程序中存在的漏洞，并利用程序中的漏洞獲取遠程服務器的部分或全部權限，拿到flag。具體考察：Windows / Linux 平臺的二進制程序漏洞挖掘，掌握C / C++ / Python / PHP / Java / Ruby/ 匯編等語言，掌握緩沖區溢出和格式化字符串攻擊，編寫shellcode 并進行利用。

4.密碼學

分析題目中的密碼算法與協議，利用算法或協議的弱點來計算密鑰或對密文進行解密，從而拿到flag。具體考察：掌握古典密碼學和現代密碼學，分析密碼算法和協議，計算密鑰和進行加解密操作。

5.其他雜類

利用隱寫術等保護技術將信息隱藏在圖像、音頻、視頻中，或者信息就在一段內存鏡像或網絡流量中，嘗試將隱藏的信息恢復出來即可拿到flag。ACM 算法題，游戲或其他安全常識題目，都需要一定的編程基礎。具體考察：信息搜集能力，編程能力，移動（Mobile）應用安全，隱寫術和信息隱藏，計算機取證 (Forensics) 技術和文件恢復，計算機網絡基礎以及對網絡流量的分析能力。

賽題的質量是最重要的

目前國內外安全比賽風起云涌，但也同時存在一些問題。比賽數量越來越多，幾乎每周都有比賽，但質量參差不齊。國際比賽難度越來越高，對新人不友好，可能會打擊到入門新人的積極性。一些國內比賽題目直接挪用以前的陳題，腦洞太大導致選手花費了很多時間卻沒有學到知識，還有一些隊伍為了利益或名聲存在作弊的行為。種種怪現象影響了安全比賽的健康發展。

高難度的競賽對選手的知識積累與技術熟練度要求非常高

現在很多比賽獎金不菲，但對于參與者來說，獎金并不是最吸引人的，最重要的還是賽題的質量。好的題目能夠引導選手去注意到一些以前忽略的知識點，可以是一些新的利用方法，也可以是現實生活中遇到的漏洞的復現等等。要讓選手在經過數小時奮戰之后，獲得感滿滿，而不是為了強行提升難度去增加腦洞題數量。

高難度的競賽對選手的知識積累與技術熟練度要求非常高，因此如果想要在競賽中取得好成績，需要首先具備扎實的計算機理論和實踐基礎。其中涉及到的重要基礎課程包括：計算機組成與系統結構、操作系統、編譯原理、數據結構、計算機網絡、密碼學、離散數學、數論、近世代數、數字電路等。

安全競賽已經成為了安全從業人員非常好的入門途徑，獲獎經歷也成為了很多學生求職的敲門磚，一些在安全賽場上表現出色的選手，在實際工作中同樣表現優秀。對于參加比賽的選手來說，要想從一個比賽中有所收獲，首先要明白競賽題目和實戰的區別，比賽一般會涉及到最新的知識點，可能會觸及到知識的盲區，這時不能產生畏難的情緒。參加比賽最鍛煉的不是技術水平，而是融會貫通，快速學習的能力。技術和知識可能會隨著時間而過時，但是快速學習的能力對個人的成長會一直有益。比賽之后要積極地和命題人交流，了解題目的考察點，有沒有非預期解法等，要樂于分享自己的解題思路（Writeup），和其他選手交流互通有無。最重要的是多尋找一些志同道合的伙伴，盡快參與到實際的競賽中來，隊員之間多交流，多總結，從而迅速熟悉當下競賽的題目風格和形式，通過實戰獲得能力上的最大提升，同時也能夠促進團隊的默契與凝聚力。知識的積累，能力的提升從來沒有快速通道，只有一次次地參與比賽挑戰，長期沉淀下來才能小有所成。

紙上得來終覺淺，絕知此事要躬行，這也正是網絡安全競賽的魅力，吸引著一代代安全愛好者走入網絡空間的神秘殿堂。