ISCTF2021新手CTF全攻略：从SQL注入到隐写分析的实战复盘

1. 赛事概览与赛前准备

1.1 ISCTF2021 到底是什么

ISCTF2021，说实话我第一次看到这个比赛名字的时候还愣了一下，后来才反应过来这是学校面向信息安全方向办的一场入门级 CTF 夺旗赛。比赛的核心玩法就一个：拿到一串符合特定格式的 flag 字符串，提交上去换分。题目覆盖 Web 安全、密码学、杂项（Misc）、逆向工程、二进制漏洞利用（Pwn）这几个大方向，难度从签到题一路排到地狱级，但对新手极其友好——它本质上就是给你一条入门安全行业的阶梯，而不是一上来就把你按在地上摩擦。

如果你正在纠结"学了点 Python 和 HTML，但不知道安全到底在干吗"，或者"刷题总是看 Writeup 看得懂、自己上手就懵"，那这篇文章就是为你准备的。我以参赛者（同时也是带队学长）的视角，把 ISCTF2021 整个参赛过程、题目思路、踩坑记录全部整理出来，附带可以直接抄作业的工具清单和脚本模板，让你看完就能上手复现。

1.2 赛制、分组与得分机制

ISCTF2021 采用的是典型的 Jeopardy 解题模式，所有题目列在一个平台上，解出一道题就提交 flag 得分，没有攻防对抗环节，也没有 AWD 那种实时挨打的压力，适合第一次参赛的人练手。比赛通常持续 24 到 48 小时，题目会在第一天分批放出，第二天补一些压轴题。

得分上有个细节值得注意：题目分值不是固定的，而是跟随解出人数动态变化。越多人解出的题，分值越低；越是没人碰的题目，分值越高。这带来一个策略问题——不要死磕某一题，先把所有能拿的分拿满，再回头啃硬骨头。我见过不少新手在 Web 题上卡了两小时，结果 Crypto 方向的基础题被别人捡漏拿分，事后复盘懊悔不已。

赛题方向占比上，ISCTF 这类新手友好型比赛一般有个规律：

这个配比意味着，哪怕你只会 Misc 和 Web 的基础题，也能拿到一个不错的排名。但这不代表随便玩玩就行——比赛的真正价值在于逼你建立一套完整的问题拆解方法论。

1.3 赛前工具链与环境准备

如果到比赛当天才开始装工具，你大概率会在前两个小时里心态爆炸。我建议把环境准备当成比赛的第一题来做，按下面的清单提前装好，并逐一跑通一个测试用例：

• Python 3.8+，装好 requests、pwn 库、pycryptodome；这是 Web 脚本、Crypto 脚本、Pwn 交互脚本的通用底座。
• 随波逐流 CTF 编码工具或同等功能的编码工具箱，处理各种奇奇怪怪的编码（后面会细说）。
• Wireshark，流量分析必备，配合 pcapng 文件解析。
• Stegsolve、binwalk、zsteg，这是 Misc 隐写题的三板斧。
• Burp Suite Community，Web 题抓包改包用；新手用免费版就足够。
• IDA Free 或 Ghidra，逆向题反编译用。
• CyberChef，这个在线工具强烈推荐，各种编码转换、Hash 识别、异或运算一条龙。

装完工具之后，我强烈建议你花半小时做一件事：写一个小脚本，实现用 Python 的 requests 库拿到一个网页内容并提取里面的 flag 格式字符串。这个动作不是为了拿分，而是帮你提前熟悉"题目环境交互"这件事。很多新手第一题就卡在不会写脚本提交 flag，而不是不会解题。

2. 各方向题目思路拆解

2.1 Web 方向：从信息收集到漏洞利用

Web 题是 ISCTF2021 的重头戏，也是新手最容易上手的方向。核心思维就一句话：找到服务端没有预料到的输入方式。拿热词里的"输入 id 即可查询到信息，但是报错感觉好奇怪"这类题目来说，这类题十有八九是 SQL 注入的变体。赛后很多新手问我："为什么我输入 1 和 2 都能正常查询，输入 1' 就报错？"这就是典型的判断注入点存在性的过程——你输入的特殊字符打破了原 SQL 语句的结构，报错本身就是信号。

Web 题的基本套路可以归纳成一条流水线：

1. 信息收集：先看 robots.txt、源码注释、响应头、隐藏目录，不要急着上工具扫。
2. 判断后端技术栈：看响应头里的 Server 字段、报错页面里的框架特征（如 ThinkPHP、Spring、Flask）。
3. 参数篡改：对所有用户可控的参数（GET、POST、Cookie、Header）都试一遍边界输入。
4. 利用已知漏洞：如果是知名框架，直接找对应版本的历史漏洞 POC。

以"小小查询系统"这类题目为例，完整的解题链条是：先正常请求一次拿到返回结构，再用单引号闭合试探，发现报错后判断注入类型（联合查询还是报错注入），然后通过 order by 判断字段数量，最后用 union select 把 flag 从数据库里拖出来。整个过程看起来复杂，实际上就是"试错—确认—利用"三件事的循环。

还有一个高频考点是命令执行。热词里提到的 passthru 函数就是一个鲜明的信号——PHP 里能够执行系统命令的函数不止 system 和 exec，passthru、shell_exec、popen 这些同样危险。如果一道题明显留了个命令执行的入口，但又好像在某个函数上做了限制，那你就该想到去查 PHP 手册里所有能执行系统命令的函数，逐个试试。这种"函数绕过"思路在 CTF 里极其常见，本质上是考察你有没有把基础知识学扎实。

2.2 Misc 方向：隐写与流量分析的组合拳

Misc 在 CTF 里被戏称为"啥都考学科"，因为它真的啥都考。ISCTF2021 的 Misc 题目主要集中在两个方向：文件隐写和流量分析。

隐写题的第一原则是：拿到文件先不要乱试工具，先看文件头。用file命令检查文件真实类型，用strings看有没有明显的 flag 明文，用binwalk检测文件里是否嵌入了其他文件。很多题目根本没上难度，就是把一个压缩包藏进了图片里，而图片本身又能正常打开——这种时候 binwalk 一跑就能直接看到 ZIP 的偏移量，binwalk -e直接提取，flag 就躺在新文件里。

另一种常见套路藏在图片像素里。LSB 隐写就是把信息藏在图片每个像素的最低有效位上，肉眼完全看不出来。热词里的 "sam_and_steg" 和"ctf二维码"这类题目，往往是先用工具分析图片的 LSB 通道，提取出来的数据要么直接是 flag，要么是一张二维码，扫完二维码再得到下一段信息。这里有个实用技巧：拿到一张看起来"很正常"的图片，可以先试 zsteg 处理 PNG，再用 Stegsolve 的 Plane 浏览功能逐个通道翻一遍，再看有没有额外的二维码图案。顺序很重要，因为很多新手一上来就用高强度工具，反而把简单题复杂化了。

流量分析题则完全是另一套思路。热词里的 "pcapng usb" 和 "pcap ctf python" 指向了一个很典型的题型——USB 流量分析。这类题会给你一个 USB 抓包文件，让你还原键盘敲击或鼠标移动的信息。键盘敲击的还原思路是：USB 协议里每个键盘事件的数据包前 8 个字节中的第三个字节就是按键的 HID 码，你需要把一串 HID 码映射回 ASCII 字符。这个映射表在网上一搜就有，但如果你不想手工查表，可以直接用现成的 usbhid 解析脚本。我记得 2021 年这批题目里好几道的 flag 就是这么被一步步敲出来的。

2.3 Crypto 方向：从编码识别到算法还原

Crypto 题大概是新手最畏惧的方向，但其实 ISCTF2021 的 Crypto 题大部分停留在"识别加密类型 + 找到密钥"这个层面，真正要你造轮子的题并不多。

先讲最基础的：编码识别。热词里的"ctf 符号密码""ctf 密码学"其实指向的就是这一阶段。你拿到一串看起来毫无规律的字符串，第一步不是猜它是什么算法，而是做特征识别：

• 一串由 A-Z、a-z、0-9 和 +/ 组成的字符串，结尾带 =，八成是 Base64。
• 只有 0 和 1 组成的长串，可能是二进制转 ASCII，也可能是 Bacon 密码。
• 一堆 O、0、I、1、l 之类的字符，可能是 Ook、Brainfuck 一类的 esolang。
• 一串看起来像乱码的 GBK 文本，复制进随波逐流工具里点一下"汉字解密"，可能就出来了。

CTF 里的 Crypto 题有一半其实是"编码题"，不是"数学题"。这里特别推荐随波逐流 CTF 编码工具，它内置了大量的编码解码、密码识别、Hash 识别功能，对新手来说等于把半个密码学工具库做成了图形界面。当然工具是辅助，更重要的是你要能看懂输出结果的格式特征。

再往上一个台阶就是古典密码。栅栏密码、凯撒密码、维吉尼亚密码这类题目，特征是密文仍然由字母组成，且没有明显的现代加密特征。凯撒密码用暴力枚举就能出结果，维吉尼亚密码需要先通过 Kasiski 测试或重合指数法确定密钥长度，再逐位破译。这些算法原理不复杂，但要是没有提前写好脚本，现场手搓会浪费大量时间。

真正有区分度的 Crypto 题是 RSA 方向的。ISCTF2021 里 RSA 题通常不会直接让你去分解大整数，而是给你一个不寻常的条件，比如 e 特别大（对应 Wiener 攻击）、n 由多个相近质数相乘、或者 p 和 q 有某种线性关系。这类题的通用解法是：先识别出题目给了什么额外条件，再去翻对应的攻击脚本。我自己常用的套路是把 RSA 攻击脚本整理成一个仓库，比赛时按特征检索，比现场推公式快得多。

2.4 Reverse 与 Pwn 方向：前期不丢分，后期不硬刚

Reverse 和 Pwn 对新手来说门槛最高，但 ISCTF2021 在这两个方向上出了不少送分题。Reverse 的签到题通常就是一个主函数逻辑非常清晰的二进制文件，你拖进 IDA 按 F5 就能看到伪代码里直接写着判断逻辑，甚至有的题根本不加壳不混淆，字符串表里就能直接搜到 flag。我的建议是：这些送分题必须拿，遇到带壳的题果断跳过，不要在第一天的前几个小时内死磕。

Pwn 方向对新手最不友好，因为它需要你同时掌握 C 语言内存模型、汇编指令和系统调用原理。ISCTF2021 的 Pwn 题至少有前面一两道是栈溢出送分题：程序读入一个超长输入，你只需要覆盖返回地址跳到后门函数就行。关键步骤在于你用 checksec 查看防护机制，如果 NX 没开、PIE 没开，那这就是一道纯模板题；如果全开防护，新手直接放弃，把时间留给其他方向。

这里我想强调一个策略层面的东西：CTF 是个团队游戏，单兵作战很难拿高分。如果你是一个人参赛，正确的策略是"先杂项后 Web，再 Crypto 送分题，最后碰 Reverse/Pwn 的前两题"，把这个顺序当成默认方案，能帮你避免在错误的方向上浪费太多时间。

3. 实操记录：典型题目的完整解题过程

3.1 Web 题："小小查询系统"完整复现

这道题绝对是 ISCTF2021 里最有教学价值的 Web 题，因为它完整覆盖了 SQL 注入的基本流程。题目说穿了就是一个输入框，你输入 id 就能看到对应信息，但输入某些特殊字符会报奇怪的错。当年这道题的通过率并不高，原因不是难，而是很多新手不知道报错本身就是题目在向你泄露信息。

第一步，先输入正常值1，观察返回页面结构。返回内容里显示了一个用户名和一个邮箱，URL 参数是?id=1。第二步，输入1'，页面报错，报错信息里直接暴露了 SQL 语句的一部分：SELECT * FROM users WHERE id='1''。看到这里，注入点确认了，类型也确认了——字符型注入，因为语句里存在单引号闭合。

第三步，判断字段数。输入1' order by 3--+，页面正常返回；改成1' order by 4--+，报错，说明这张表只有 3 个字段。这里的所有细节都是考点，尤其是注释符--+在 URL 里会被解析成--（后面带空格），这是 MySQL 注释的标准写法；如果你用的是 URL 编码，要写%23来代表#。

第四步，用 union select 拖数据。输入-1' union select 1,2,3--+，页面回显了 2 和 3，说明第 2、3 字段是回显位。接下来就是信息收集：

• -1' union select 1,database(),version()--+得到当前数据库名
• 查表名：-1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()--+
• 查字段名，最后直接-1' union select 1,flag,3 from flags--+拿下 flag。

整套过程下来不到十分钟，但里面每一步都对应一个知识盲区。很多新手在第三步就卡住了，因为不知道--+的作用，或者不知道为什么要填-1。这里特别解释一下：填-1是为了让前面那条查询结果为空，这样 union 后面的查询结果就会被直接回显在页面上。如果你填1，页面会优先显示原有数据，flag 就被挤到后面去了。

这类题的价值不在于它本身多难，而在于你通过亲手走完一遍注入流程，把注入原理从"听说过"变成"跑得通"。我强烈建议新手把这个流程多练几遍，做到不用看笔记也能流畅输入，后面遇到各种变体题你才有底气。

3.2 Misc 题：一张图片背后的两层秘密

ISCTF2021 的 Misc 方向有一道让我印象深刻的题：题目给了一张看起来完全正常的风景照，文件名是secret.png，flag 格式提示也没有额外信息，就是最朴素的隐写题。

我的第一步是跑file secret.png，确认是 PNG 文件；然后跑strings secret.png，没有看到任何 flag 相关字符。接着跑binwalk secret.png，输出结果里出现了一个 ZIP 文件的签名，位置在文件末尾偏移量附近。用binwalk -e secret.png提取后，得到一个压缩包，打开发现里面是一张黑白二维码图片。

二维码本身就是第二层信息载体。用手机扫码或者用 Python 的 pyzbar 库解析，得到一段 Base64 编码的字符串。解码后发现是反转过的文本（每个字节取反），用 CyberChef 的 "XOR with 0xFF" 处理之后，flag 就出来了。

这道题的价值在于它展示了一个多步骤隐写题的典型特征：文件里嵌文件、载体里藏载体。每一步的工具都是通用工具，难点只在于你有没有"再往下挖一层"的意识。很多新手扫描完图片看不到 flag，就以为题目有问题。这里我总结一个个人经验：凡是隐写题，至少在自己脑子里过三遍问题——文件头检查了吗？binwalk 跑了吗？LSB 通道翻了吗？提取出来的数据有没有再做一次编码识别？这三遍过完，八九成的隐写题都能解出个眉目。

流量分析题目也有一个典型代表。一道题给了一个 pcapng 文件，文件大小只有几十 KB，明显不是大流量。用 Wireshark 打开后，我按协议统计看了一眼，发现大部分流量是 USB URB 包，其中 interrupt transfer 类型的包占了绝大多数。这就基本锁定了方向：键盘流量分析。

我用 tshark 先把数据包里的 HID 数据提取出来：

tshark -r usb.pcapng -Y "usb.capdata" -T fields -e usb.capdata

输出是一串形如00 00 0a 00 00 00 00 00的字节，第三个字节就是按键码。把 0a 对照 HID 键盘映射表，查到是回车键；后面连着几个字节拼出来是一句话，里面就有部分 flag 字符。整道题的路径很直接，考的就是你对 USB 协议和工具使用的熟悉程度。

3.3 Crypto 题：从"看不懂"到"秒识别"

Crypto 方向的第一道送分题给了我很大启发。题目给了一个字符串，看起来像ZmxhZ3t...这种形式，末尾还有一个=。我几乎是条件反射地确定了它是 Base64 编码，解码后得到flag{base64_is_not_pwd}。这种难度就是给你建立信心的。

第二道题开始上强度了：给了一串灏侊...这样的汉字序列。很多人看到直接懵了，但如果你对编码体系有概念，就知道这其实是一种把 ASCII 字节映射到汉字区位码的编码方式，叫"汉字编码"或"与佛论禅"这类 CTF 专属编码。这种编码在随波逐流工具里点个按钮就能解，难点只在于"识别"。我后来总结出一个经验：凡是看到一串中文/日文/韩文风格字符，且上下文完全不构成人话的，直接丢进编码识别工具，八成能解出 ASCII 文本。

第三道题就真的是 RSA 了。题目给了 n、e、c 和一个额外提示，内容大致是 p 和 q 的差距很小。看到这个条件，第一反应就是费马分解法：当 p 和 q 非常接近时，n 可以被快速分解为两个因数。脚本逻辑很简单：

from gmpy2 import isqrt def fermat_factor(n): a = isqrt(n) while True: b2 = a*a - n b = isqrt(b2) if b*b == b2: return a-b, a+b a += 1

这里关键点是isqrt函数处理大整数平方根，不能直接用 Python 内置的math.isqrt以外的浮点开方，否则大数精度会出错。得到 p 和 q 之后，接下来的流程就是标准操作：算 φ(n) = (p-1)(q-1)，求 e 的模逆元得到 d，然后pow(c, d, n)解码得到 flag。这一段流程我建议所有想学 CTF 的人都烂熟于心，因为 RSA 的攻击手段虽然花样百出，但最后解码的几步永远都是同一个模板。

4. 新手最容易踩的坑与排查技巧

4.1 常见问题速查表

我把 ISCTF2021 参赛过程中遇到的高频问题整理成了一张速查表，这些坑我当年几乎全踩过：

这个速查表里的每一条都来自真实翻车现场，尤其是第一条。2021 年那届比赛，我亲眼看到一个队伍的 flag 就多了个换行符，提交了十几次都失败，最后是队里有人眼尖发现了。CTF 是个细节决定成败的游戏，小翻车往往比大题卡壳更让人崩溃。

4.2 工具坑与环境问题

工具坑是新手最容易被劝退的地方，这里挑三个最典型的讲。

第一个是 zsteg 装不上。它依赖的 Ruby 环境在老系统上可能有问题，装了 gem 也跑不起来。我的建议是优先用 Docker 跑环境：

docker run -it --rm -v $(pwd):/data ctf-toolbox

或者退一步用 Stegsolve 的 LSB 功能替代。不必迷信某个工具，你的目标是解出题，不是学会用某个具体软件。

第二个是 IDA 的许可证问题。如果你用的是破解版，比赛中可能突然弹窗报错。这里不讨论许可合规层面的问题，只说一个稳妥替代方案：Ghidra 是完全开源的，功能对 CTF 来说绰绰有余，而且 JVM 环境比 Windows 专有软件好兼容得多。我后来大部分逆向题都直接用 Ghidra 的 Decompiler 看伪代码，习惯之后反而觉得比 IDA 顺手。

第三个是 Python 环境冲突。pycryptodome 和 Crypto 这两个包在同一个环境里会造成命名空间冲突，import 的时候经常出现不可预期的错误。解决办法是：只在虚拟环境里装 pycryptodome，或者直接全部用 pycryptodome，不要混装。我见过有人因为这个问题在 RSA 题上浪费了四十分钟，最后发现只是 import 错了库。

另外提一个比赛现场的环境细节：比赛平台通常要求你提交 flag 时附带解题过程的说明（部分题目需要），所以解题过程中随手截图、保留脚本和输入输出非常重要。不要等到赛后写 Writeup 才发现中间步骤全忘了。

4.3 时间管理与止损意识

CTF 比赛是有限时博弈，不是无限刷题。ISCTF2021 这类比赛持续一两天，但你的精力是有限的，特别是通宵选手，后半夜的脑力下降非常明显。我的止损规则是：单题卡 45 分钟以上，立刻换题，标记一下，回头再战。这 45 分钟不是随便定的，它大约等于你完成两到三个其他送分题的时间；与其赌一个方向上的小概率突破，不如先把确定性的分数装在口袋里。

另一个容易忽略的点是"分阶段冲刺"。比赛初期（第一天上午）优先做所有签到题和送分题，目标是把分数曲线拉高；中期（第一天晚间）做中等题，尤其是你有知识储备的方向；末期（最后六小时）复盘已经解出的题，看看是否有更优解法，或者去啃标记过的硬骨头。这个节奏在多次比赛里验证下来都挺稳的。

心态层面，我想多说一句。CTF 的挫败感来源很奇特——你在题目上花了几小时，可能只是一步之差，但当你知道别人解出来的时候，那种落差比"完全不会"更难受。我的经验是：CTF 比的从来不是单个题目的解出速度，而是你在单位时间里拿到了多少有效分数。学会止损、学会分配精力、学会和队友共享信息，这些能力在比赛里的价值完全不亚于技术水平。

5. 赛后复盘与工具链沉淀

5.1 复盘方法论：让一道题产生十倍价值

赛后复盘是 CTF 里最容易被忽略却最有价值的部分。我见过很多人比赛一结束就删任务、关电脑，等下次比赛又踩一遍同样的坑。复盘不是我教你整理的题解，而是把每道题背后的知识模型拆出来，转化成你自己的能力。

我的复盘模板长这样：

1. 记录这道题考了什么知识点（如"字符型 SQL 注入""LSB 隐写""费马分解攻击"）。
2. 记录你卡在哪里（如"不知道 union 的作用""没意识到要再用 binwalk 扫一次"）。
3. 记录别人解这道题用到的关键步骤，尤其是你没走过的路。
4. 从每道题里抽象出一个"下次遇到同类题目我先做什么"的行动清单。

拿前面那道 USB 流量分析题举例，赛后我会在笔记里写："拿到 pcapng 文件先按协议统计，看到 USB 就提取 usb.capdata；提取后看长度分布，长度为 8 的多数是键盘，长度为 4 的多半是鼠标。"这个行动清单不是从任何教程里抄来的，是一次次复盘沉淀出来的肌肉记忆。

复盘还有一个巨大的好处：它帮你建立"题目模式识别"能力。CTF 题目千变万化，但套路是有限的——Web 题的注入、文件上传、命令执行；Misc 题的隐写、流量、编码；Crypto 题的古典、分组、公钥；Recerse 题的加壳、混淆、算法还原。你复盘的题目越多，这个模式库就越大，下次比赛时你看到题面的第一反应就不再是"这我不会"，而是"这应该是那个套路的变体，我先验证哪个特征"。

5.2 值得沉淀的工具与脚本

ISCTF2021 之后，我把自己常用的脚本沉淀成了一个私有仓库，这里把最值得沉淀的几个工具类别列出来，你可以按需自制：

• 通用解码脚本：一个脚本自动识别常见编码（Base64、Base32、Hex、URL 编码），配合 pycryptodome 解码常见古典密码。
• RSA 攻击工具箱：把费马分解、共模攻击、低加密指数攻击、Wiener 攻击脚本分类存放，每个脚本输入输出格式统一。
• 隐写提取流水线：一个 Shell 脚本依次执行 file、binwalk、strings、zsteg、steghide extract，输出所有提取结果，省去反复手工命令。
• Web 快测脚本：用 Python 写一个模板，包含 requests.Session、Headers 设置、GET/POST 切换，遇到题目改一下 URL 和参数就能用。
• HID 键盘流量解析器：维护一个 HID 码到字符的映射字典，从 pcap 提取后一键还原按键，并用脚本来处理 Shift 组合键。

这些工具的代码量都不大，但沉淀下来之后，下次比赛你可以把大部分时间花在思路上，而不是花在敲命令上。还有一个容易被忽略的沉淀物——你自己的 Writeup 模板。比赛结束时尽量当天写完简版复盘，第二天再补细节，不然隔几天就全忘了。

5.3 后续学习路线

最后聊一下打完 ISCTF2021 之后可以往哪个方向走。如果你在比赛中发现自己对 Web 方向顺手，下一步应该系统学习 SQL 注入、文件上传、命令执行、SSRF、反序列化这几个高频考点，配合 PortSwigger 的 Web Security Academy 做靶场练习。如果对 Misc 方向更感兴趣，重点补文件格式知识、隐写原理和流量分析，尤其是 Wireshark 的过滤语法。如果 Crypto 方向让你产生了兴趣，我建议从古典密码开始系统过一遍，然后进入 RSA 攻击家族，最后才是椭圆曲线和格密码。

复盘完 ISCTF2021，我最大的体会是：CTF 真正锻炼的从来不是某个具体工具的使用，而是你在一个充满未知的临时环境里，接到一个模糊指令时，如何拆解问题、寻找线索、验证假设、最终得出结果的能力。这种能力在任何技术岗位上都是通用的。

最后再分享一个小技巧：当你下次准备参加 CTF 时，提前一周把比赛的历届题目翻出来，每道题不求解出，只求写下你的"第一反应"——你会用什么工具、先看什么信息、按什么顺序试探。这个动作坚持三届比赛，你对题目的敏感度会比刷一百道题还强。ISCTF2021 只是起点，保持复盘习惯，你会慢慢发现自己的解题速度和准确率在稳步提升。