一場合法讓你光明正大駭東西的比賽
CTF全名是Capture The Flag，中文通常翻譯成奪旗賽，這個名字聽起來像戶外運動，實際內容卻是一場資安技術競賽。參賽者要在主辦方刻意設計的環境裡，透過各種資安技術找出隱藏的一段特定格式字串，這段字串被稱為旗標，找到之後提交給比賽系統就能得分。 這個機制的巧妙之處在於，它把原本聽起來很危險、需要授權才能進行的入侵測試技巧，包裝成一個完全合法、甚至被鼓勵的競賽環境。所有的攻防對象都是主辦方特別建置的練習靶場，沒有任何真實系統會受到影響，這讓CTF成為資安圈子裡最普及的技能練習與人才發掘管道。
CTF主要在考哪些類型的題目
CTF題目通常會分成幾個大類別，各自對應不同的資安技術領域。 Web類題目考驗網頁應用程式的漏洞挖掘能力，例如找出網站程式碼裡的邏輯漏洞或輸入驗證問題。Crypto類題目圍繞密碼學展開，可能要求破解一段被弱加密演算法保護的訊息。Pwn類題目屬於難度較高的二進位漏洞利用領域，需要理解程式底層的記憶體運作機制。Forensics數位鑑識類題目則像是在做偵探工作，從一份可疑的檔案或封包紀錄裡挖出隱藏的線索。Reverse逆向工程類題目要求分析已編譯好的程式，反推出它原本的邏輯設計。 不同賽事會依照這幾大類別分別出題，參賽者可以依照自己擅長或有興趣的方向選擇題目挑戰，不需要每個類別都精通才能參賽。 CTF競賽獎金知多少？資安新手比賽也能賺獎金
完全沒背景的新手，可以怎麼開始
CTF看似門檻很高，但實際上有相當完整的新手友善資源可以循序漸進累積能力。 第一步可以先從線上練習平台開始，這類平台把過去比賽的題目整理成常態開放的練習關卡，並附上難度分級，讓新手可以從最基礎的題目開始熟悉解題邏輯，不需要在正式比賽的時間壓力下摸索。 第二步是尋找有詳細解題過程記錄的教學文章或影片，這類資源通常被稱為writeup，作者會完整記錄自己是怎麼一步步推理找到旗標的，透過閱讀他人的解題思路，比自己盲目摸索能更快建立起解題的思維模式。 第三步是嘗試加入正式的比賽，多數大型CTF比賽會開放個人或組隊參加，即使完全解不出任何題目也沒關係，觀察排行榜上高手在什麼時間點解出哪些題目，本身就是很有價值的學習過程，之後賽後多半也會有官方或參賽者釋出的writeup可以參考。 如果對這個領域有興趣但不知道從何系統性學習起， VexelOps在資安知識累積這塊也能提供一些協助方向。
關於CTF競賽，使用者最常問的幾個問題
CTF比賽解不出題目會不會很丟臉
完全不會，這是幾乎每個參與者一開始都會經歷的過程。CTF題目的難度分布本來就設計得很廣，從幾分鐘就能解出的入門題，到需要花上數小時甚至跨越整場比賽時間都解不出來的高難度題目都有，就算是資深的資安研究員參加自己不熟悉領域的題目分類，一樣可能完全沒有進展。 比賽的重點更多時候在於過程中學到的解題思路和技術累積，而不是最終在排行榜上的名次高低，很多長期活躍在這個圈子的人，一開始也是從完全解不出任何題目開始的。
參加CTF對找資安相關工作有實質幫助嗎？
有一定程度的幫助。不少資安領域的企業和招募單位會關注CTF戰績作為評估技術能力的參考指標之一，因為CTF題目往往需要應用到實務工作中會遇到的技術類型，長期穩定參與CTF並累積解題經驗，某種程度上等同於在履歷之外提供了一份可驗證的實作能力證明。 不過需要理解的是，CTF成績通常只是評估的其中一環，並不能完全取代正式的學經歷背景或工作經驗，比較適合當作額外的加分項目。
除了CTF，還有其他類似的合法練習管道嗎
有的，除了CTF競賽之外，另外還有前面文章提過的Bug Bounty漏洞懸賞平台，讓研究員在真實但受控授權的環境裡尋找漏洞並獲得獎金；也有一些網路安全學習平台提供訂閱制的漸進式教學關卡，讓學習者按照自己的節奏逐步累積技能。這些管道各自適合不同階段的學習者，CTF比較適合作為技術基礎的建立與驗證，Bug Bounty則更貼近實際企業環境的漏洞挖掘經驗。
One Key Takeaway： CTF奪旗賽是資安圈子裡最普及的合法練功場，透過解題累積技術能力，新手可以從線上練習平台和writeup資源開始入門，不需要一開始就具備深厚的技術背景。