第一次接触CTF，络安是全比在大一社团招新。一个学长盯着屏幕，赛入手指在键盘上翻飞，络安几分钟后，全比他面前的赛入黑框窗口里弹出一行小字——flag{ ...}。旁边围观的络安女生惊呼：“好酷！”我心想，全比这玩意儿，赛入我也要会。络安

但真正上手，全比才发现CTF根本不是赛入“黑客炫技”。它更像一场限时解谜游戏，络安只不过谜题藏在代码、全比协议、赛入甚至一张图片的像素里。入门的第一步，不是学攻击，而是学会“看”。看一个HTTP请求的头部，看一段被混淆的JavaScript，看一个二进制文件里多出来的几个字节。说白了，就是培养一种“怀疑一切”的直觉——哪个字段可能是注入点？哪个参数没过滤？哪个数据包被偷偷改了？

我见过太多人一上来就盯着PWN（二进制漏洞利用）和Reverse（逆向工程），结果被汇编语言和堆栈布局劝退。说实话，对纯新手，Web和Misc才是友好的入口。Web题就像在别人家门口试钥匙——先看看有没有没锁的窗户（SQL注入），再试试门缝里塞没塞纸条（XSS）。而Misc更杂，可能是一张藏了文件的图片，一段倒放的音频，甚至一串摩斯码。我第一次拿到flag，就是在流量包里翻出一张PNG图片，用binwalk拆开，里面躺着个txt。那一刻的快乐，不亚于在旧衣服口袋里摸出五十块钱。

别急着刷题。先搭环境。装个Linux虚拟机（Kali或Ubuntu都行），配好Burp Suite、Wireshark、Python3。工具不用多，够用就行。很多人卡在“不知道从哪下手”，其实解法很简单——把一道题做透。比如SQL注入，别光看教程，自己搭个靶场（DVWA或者sqli-labs），从联合查询到盲注，一步步亲手试。报错了，就盯着报错信息想：为什么这里多了个引号？为什么注释符是--空格而不是#？这些细节，刷题刷不出来，只有踩坑才记得住。

有个让我印象深刻的案例。一道看似简单的文件上传题，过滤了.php后缀。我试着改成.phtml，不行；改成.php3，还是不行。最后灵机一动，在文件名后加了个空格——“shell.php ”。服务器居然没过滤，直接解析了。那一刻我才明白，CTF考的不是知识量，而是“你能不能想到别人没想到的角落”。这种思路，靠的是积累，更是对系统底层逻辑的好奇。

当然，入门最忌闭门造车。加个CTF交流群，或者直接看大佬的Writeup（解题报告）。但别只看结论，要看他们踩过的弯路。有人会在Writeup里写：“我一开始以为是XX，试了半天，最后发现是YY。”这些废话，比标准答案值钱得多。另外，每年国内的CTF比赛（比如XCTF联赛、强网杯）都有新手友好的题目，注册个账号，去赛场上感受下氛围，哪怕一道题解不出来，看看别人怎么做的，也长见识。

最后说点扎心的。CTF不能速成，它像学骑自行车——你看再多教程，不摔几跤，永远学不会。我见过有人三个月就拿了省级奖项，也见过有人刷了一年题还在入门徘徊。区别不在智商，而在“是否愿意为一道题熬到凌晨两点”。那种盯着屏幕发呆、怀疑自己是不是傻的时刻，每个CTFer都经历过。但当你终于看到那个flag字符串时，前面所有的崩溃都会变成一句：“就这？还挺简单。”

去搭环境吧。第一道题，就从“查看网页源代码”开始。flag可能就藏在注释里，等着你。