CTF 入门：在 AI Agent 时代，我们如何探索、思考与热爱

刚接触网络安全时，你大概会被一堆陌生的黑话包围：CTF、flag、Web、Pwn、逆向（Reverse），还有一句频繁出没在各大交流群里的——“师傅带带”。

这些词背后到底是一个怎样的世界？零基础能不能推开这扇门？更重要的是，在 AI Agent 已经能读代码、写脚本、甚至自动调用工具的今天，作为 AI Native（AI 原生） 的一代，我们又该怎样学习、思考，并真正享受 CTF 的乐趣？

这篇文章想和你聊聊这些话题，也聊聊我对未来 CTF 玩法的期待。

CTF 是什么？

CTF 的全称是 Capture The Flag，中文通常译作“夺旗赛”。你可以把它理解成网络安全领域的竞技游戏，或者一场融合了计算机知识的硬核解谜。

在最适合新人上手的 解题模式（Jeopardy） 中，出题人会给你一个网站、一段可执行程序、一串加密数据，或者其他看似平平无奇的材料。你的任务是像侦探一样剖析它们，找出隐藏在漏洞或逻辑深处的一串特定字符——也就是 flag（旗帜），提交后即可得分。比如，一道题的终点可能是让你从附件中找出 flag{hello_hnusec}。

在赛场上，你通常会遇到这五个经典方向：

不过，这张表格只是帮你认路的地图，而不是限制你的围墙。真实的漏洞往往跨越多个领域，你完全没必要在第一天就急着给自己贴上“只学某一个方向”的标签。

除了各自闯关的解题赛，还有一种更刺激的攻防模式（AWD / A&D）：所有参赛队伍在同一个网络里同台竞技，你既要修补自己服务器上的漏洞、保证服务正常运行，又要编写脚本去攻击对手的防线。作为新人，我们先从最基础的解题模式出发，一步步建立手感就足够了。

对我而言，CTF 最迷人的地方在于它为学习提供了具体而鲜活的问题。你不再是为了应付考试去背诵枯燥的概念，而是为了弄明白“为什么页面会这样跳转”“为什么程序在这里崩溃”，主动去翻阅文档、现学一门语言、写下第一行自动化脚本，并在敲下回车的那一刻，亲手验证自己的猜想。

零基础怎么开始？

面对庞大的计算机知识体系，很多新生的第一反应是怯场。对此，我的建议很直接：先完整经历一次小规模的解题过程，再带着遇到的真问题回来补基础。

千万不要等自己把计算机网络、操作系统、汇编语言和密码学全部啃完，才允许自己点开第一道题。先跳进水里扑腾两下，遇到呛水的地方，再停下来专心学换气。

先选一道“够得着”的题

去靶场找那些带有新人引导、明确提示（Hint）或详细题解（Writeup）的入门题。你可以从简单的网页源码观察、基础的文件分析，或者几行逻辑清晰的小程序开始，试探一下自己对哪类问题更容易产生好奇心。

起步阶段，别把精力耗在打造所谓的“全套神级黑客环境”上。一台普通的电脑，装上浏览器和最基础的代码编辑器，就足够支撑你拿下前几道题了。至于各种专业工具和虚拟机环境，完全可以等到题目真正需要时，再逢山开路、按需配置。

学习资源也忌讳“松鼠症”式的囤积。先从下面挑一个顺眼的入口，动手做起来：

• Hello CTF：非常友好的中文入门指南，包含系统的知识脉络与初体验引导。
• CTFshow：国内的中文 CTF 练习平台，我当年也用过。如果你想先在中文环境里熟悉做题流程，可以从它的入门题目开始，配合学习笔记和题解逐步练习。
• CyLab Security Academy：卡内基梅隆大学打造的安全学习平台，题目设计极佳，循序渐进。
• PortSwigger Web Security Academy：如果你对 Web 安全感兴趣，这里的免费理论材料与配套交互靶场几乎是业界公认的黄金标准。
• TryHackMe：将知识讲解和动手实验结合起来，适合喜欢跟着引导一步步学习的同学。零基础可以先看看它的新手学习路线，边补计算机与网络基础，边完成小实验。
• Hack The Box：提供课程、靶机实验和 CTF 等不同形式的练习。刚接触时，可以先从 HTB Academy 的基础模块学起，再逐步尝试更完整的靶机与场景挑战。

这些入口里既有 CTF 题库，也有课程和场景化靶场。你可以按自己的兴趣和基础选择，不用一口气全刷一遍。

做题时，留下自己的思维痕迹

打开一道题后，哪怕毫无头绪，也试着在笔记软件里随手记下四件事：

• 已知与目标：题目给了什么材料？期望我拿到什么？
• 客观现象：我点开了哪里，输入了什么，观察到了什么反常或正常的反馈？
• 我的猜想：我怀疑问题出在哪个环节？支撑我这么想的依据是什么？
• 下一步验证：接下来我打算做什么操作，来证实或推翻这个猜想？

这份记录不需要排版精美，哪怕只是几行碎碎念。它的意义在于帮你建立结构化的排错思维，避免在同一个死胡同里反复打转；更重要的是，当你向学长学姐或队友求助时，这份笔记能让别人一秒看懂你的思考卡点在哪里。

卡住了？大方求助，但要“带走逻辑”

给自己设定一个合理的探索时间。如果独立思考和搜索后依然没有新思路，不要硬熬，大方地去查资料、问同学、看提示，或者直接翻阅别人的题解（Writeup）。

在 CTF 圈子里，看 Writeup 绝不是什么丢人的事，真正拉开差距的是看完之后的动作。合上题解后，请务必自己亲手复现一遍，并试着向自己提问：

• 原作者是怎么注意到这个细节的？
• 为什么这个攻击载荷（Payload）能生效？
• 我最开始那个失败的思路，到底错在了哪一步假设上？

刚入门时，能顺着前人的脚印完整走通并理解一道题，就已经是很棒的胜利了。随着练习量的积累，你会发现自己需要依赖的提示越来越少，独立破局的时刻越来越多。

基础还要不要学？

不仅要学，而且因为有了题目的牵引，你可以学得比课堂上更具针对性。

在解题的过程中，课本上原本干瘪的词汇会突然活过来：

• 当你试图绕过一个网站的登录框时，HTTP 协议、Cookie、Session 会话机制就成了你必须摸透的武器；
• 当你盯着一段崩溃的程序发呆时，数据在内存中的表示、控制流、栈帧结构与调试器（Debugger）就成了你的显微镜；
• 当你面对一串乱码或损坏的文件时，字符编码、文件头格式与字节流操作就成了你的手术刀。

具体的问题，会让抽象的基础知识瞬间拥有落点。

当然，我们也要警惕只靠“面向搜索引擎做题”带来的碎片化陷阱。如果每次都只满足于抄一段脚本跑出 flag，脑海里很容易留下大片的知识盲区。比较健康的做法是：每做完几道题，就停下来做一次盘点——哪些概念最近反复出现？哪些步骤我其实只是在机械地照猫画虎？ 把这些盲点整理出来，专门抽出时间去啃一啃经典的教材、公开课或技术文档。

我非常期待大家能建立起这样的生长飞轮：

直面具体问题 → 大胆尝试破局 → 暴露知识缺口 → 系统修补基础 → 带着新认知回到战场验证。

至于未来的主攻方向，完全可以交给实践去筛选。如果你着迷于抽丝剥茧地观察底层指令的流转，不妨深耕 Reverse 或 Pwn；如果你喜欢研究复杂的业务交互与前后端架构，Web 会是你的游乐场；如果你享受严谨的数学推导与逻辑之美，Crypto 随时欢迎你。热爱，永远是在动手的过程中慢慢具体的。

Agent 已经来了，我们的学法与思考方式该如何迭代？

今天我们聊到的 Agent（智能体），早已不再是只能一问一答的聊天框，而是能够围绕目标自主调用工具、读取本地文件、编写并执行代码，还能根据报错信息不断自我修正的 AI 系统。

它们已经真实地坐上了安全竞赛的牌桌。早在 2025 年，Anthropic 就尝试让 AI 调用工具参加 CTF 比赛。它们有时解题很快，也会在复杂任务里卡住、反复走弯路。我们可以借助它们提高效率，也要学会判断什么时候该换一种思路。

作为 AI Native 的一代 CTFer，我们既不需要假装 AI 不存在、用纯粹的体力劳动去和机器较劲；也不能沦为只会把题目塞给 AI、坐等吐出 flag 的“传声筒”。

Agent 其实是极佳的全天候副驾驶（Copilot）。它可以帮你快速翻译天书般的报错信息、梳理陌生语言的代码骨架、快速生成验证猜想的小脚本，或者在你思路枯竭时陪你做头脑风暴。

我非常鼓励大家在日常训练中积极探索与 Agent 协作的边界。关键在于，你得始终握着方向盘。比如，遇到一段棘手的代码，与其直接问“这题怎么做，给我写个脚本”，不如试着这样和它对话：

“请先帮我梳理这段代码的输入入口、核心处理逻辑和输出条件。结合我下面提供的实际运行报错，帮我区分一下：目前哪些是已经确认的客观事实，哪些还只是待验证的猜测？最后，请建议一个最小的测试实验，帮我验证第 37 行的判断逻辑。”

你会发现，当你用这种方式提问时，你不仅没有放弃思考，反而强迫自己把注意力聚焦在了问题拆解与证据链构建上。

同时，请永远对 Agent 的输出保持一份属于安全研究员的审慎与怀疑。一段脚本哪怕能顺畅运行、没有报错，也未必真正测试了你关心的漏洞点；一段逻辑极其丝滑的代码解释，背后可能藏着模型一本正经胡说八道的“幻觉”。拿到 AI 给出的结果后，依然要在脑子里过三道关：这个结论的证据从哪来？我能独立复现吗？它真的贴合这道题的实际环境吗？

在 AI 时代，编写样板代码的成本正在急剧归零，但提出好问题的能力、敏锐的直觉、以及在复杂系统中定位核心矛盾的判断力，反而变得比以往任何时候都更加珍贵。

我希望和大家一起探索怎样的 CTF 模式？

如果未来由我们一起来组织日常训练和校内赛，我希望能把不同维度的训练目标拆解清楚，让大家明确知道每一场练习究竟在打磨自己的哪块肌肉。

纯手搓的基础训练：建立人类的底层直觉

在一些基础靶场中，我们可以有意识地收起 AI，亲手去抓一次原生的 HTTP 数据包、在调试器里单步跟踪一次寄存器的变化、在草稿纸上推导一次数学公式，或者自己敲出一段略显笨拙的数据处理脚本。

保留这种“手工作坊”式的训练，绝不是为了复古，而是为了帮大脑建立起对程序行为与系统底层的物理直觉。只有当你亲手摸过齿轮的咬合，未来当 Agent 在某个环节开始跑偏或产生幻觉时，你才能一眼看出违和感，并底气十足地接管键盘。

人机协同的开放赛道：探索“指挥官”的艺术

我们完全可以开辟明确允许、甚至鼓励深度使用 Agent 的训练赛。在这里，评判标准不再只是冷冰冰的 flag，更是一份鲜活的人机协作复盘报告：

• 你是如何把一个大问题拆解成子任务，并决定喂给 Agent 哪些上下文的？
• 协作过程中，哪些指令一击即中，哪些尝试让你和 AI 一起掉进了坑里？
• 破局最关键的那条线索，是由谁发现、如何确认的？
• 当 Agent 给出错误结论时，你是通过什么实验察觉并纠正它的？

我无比期待在交流群或分享会上，听到大家眉飞色舞地聊起：“当时 Agent 死活觉得这里是注入，结果我看了眼流量包发现不对劲，做了一个小实验直接推翻了它的假设！”——这种人类智慧与机器算力碰撞出的火花，对所有学习者来说都是无价的财富。

当然，如果要将这种模式推向正式比赛，我们也必须在规则设计上更进一步：提前明确工具调用的边界、外部联网权限以及算力资源限制。如果涉及比拼 Agent 本身改造能力的赛道，还可以引入统一的 API 预算或基座环境，确保比赛比拼的是参赛者的安全思维与工程调度能力，而不是单纯的“氪金”差距。

在拿到 Flag 之后，多往前走一步

很多时候，提交 flag 只是认识一个漏洞的开始。在平时的练习里，解出题目后，不妨试着换个身份——从“攻击者”变成“建设者”，多问自己几个问题：

• 如果我是写这段代码的程序员，当初为什么会犯下这个逻辑错误？
• 怎样修改源码，才能从根源上修补这个漏洞，而不是仅仅打一个容易被绕过的补丁？
• 加上这段修复代码后，会不会误伤正常用户的业务流程？
• 我能不能写一个自动化测试用例（Test Case），确保以后代码迭代时不会再次引入同类问题？

当你开始思考这些问题，一道小小的 CTF 题目就瞬间打通了漏洞分析、软件工程与安全验证的任督二脉。在这个环节，Agent 同样是绝佳的搭档——你可以让它帮你审查修补方案、生成边界测试，再用真实的运行结果去检验你们共同打磨的防线。

这些想法目前还在不断生长和迭代中，它们需要依靠你们每一次真实的敲击、每一份反馈和脑洞，来一起探索成型。

有些底线，我们要在出发前达成共识

能力越强，视野越宽，我们就越需要清楚脚下的边界在哪里：

• 尊重竞技规则：平时训练探讨可以百无禁忌、用尽十八般武艺；但一旦踏入正式赛场，请严格遵守当场比赛关于 AI 辅助、团队协作及禁止跨队交流题解的红线。
• 严守授权边界：所有的测试与攻击尝试，都必须严格限制在题目靶机或明确获得授权的实验环境内。特别是在给具备自主执行能力的 Agent 配置网络权限与系统工具时，务必看管好它的操作范围，永远不要让它对非授权的真实网络资产发起探测。
• 保持真诚与坦荡：在撰写技术博客或分享 Writeup 时，大方地写明思路的来源——哪一步是队友的灵光一闪，哪一步参考了前人的文章，哪一步是由哪个模型辅助生成的。坦诚地记录借力的过程，不仅是对知识产权的尊重，也是对自己成长轨迹最真实的复盘。

今天，你就可以迈出的第一步

如果你刚刚来到湖南大学网络空间安全学院，面对眼前这个庞大而神秘的领域感到既兴奋又有些不知所措，不妨今天就做一件最小的事：挑一道入门题，新建一个空白文档，写下你的第一份探索记录。

遇到卡壳的地方，完全不用不好意思。带着你看的题目、你已经做过的尝试、以及你具体想不通的那个点，随时来找我们聊聊。

• 欢迎加入 HNUSEC 交流群（群号：571381107），这里有一群和你一样充满好奇心的伙伴与学长学姐；
• 也欢迎关注并参与 HNUinfoSec 开源社区，在这里留下你的学习笔记、解题复盘，哪怕是那些“暂时还没解开、但觉得特别有意思”的半成品思考，也同样受欢迎。

也许你会从此深深爱上 CTF 赛场上的读秒绝杀；也许你会在某道题的启发下，顺着藤蔓走向系统研发、编译器、密码学理论或是更广阔的计算机世界。无论走向哪里，这段亲手拆解未知、与问题死磕的经历，都会成为你技术生涯里最酷的底色。

愿你在这里，找到那个让你甘愿废寝忘食去弄明白的真问题，也找到一群愿意在深夜里和你一起对着屏幕欢呼的同行者。

Just for Fun✨

---

Moyuin · 2026 年 HNUSEC 协会会长

本文中的学习建议与 CTF 模式设想为个人观点。