南邮ctf
时间：2026-10-17 06:31:57 来源：烟消火灭网 作者：综合 阅读：938次
南邮ctf，南邮全称南京邮电大学网络攻防大赛，南邮是南邮高校圈里少数几个能让人熬夜到凌晨三点还不想睡的CTF比赛。我参加过两次，南邮一次作为选手，南邮一次纯粹去围观，南邮感受完全不同。南邮 第一次去的南邮时候，我连“签到题”都卡了半小时。南邮题目就一张图片，南邮文件名叫`flag.zip`，南邮但后缀被改成了jpg。南邮我当时盯着屏幕，南邮脑子里全是南邮“这怎么可能解出来”。后来旁边一个大佬路过，南邮瞄了一眼，说：“binwalk跑一下啊。”我愣了两秒，才想起还有文件分离这回事。跑完，压缩包出来了，里面一个txt，内容就一句话：`flag{ you_are_so_naive}`。那一刻我哭笑不得——这比赛从第一题就开始教做人。 真正让我印象深刻的，是那年的Web题。题目是一个看起来极其简陋的留言板，没有任何过滤，SQL注入直接就能打。但当我提交`' or 1=1 --`的时候，页面居然返回了“检测到非法字符”。我试了大小写绕过、注释符变体、甚至用`%0a`换行，全部被拦。直到我注意到响应头里有个自定义字段：`X-Filter-Version: 1.3`。我猜这可能是某个开源WAF的旧版本，上网一查，果然有个已知的绕过方式——用`/*!50000union*/`这种MySQL版本号注释。提交后，数据库里所有留言都出来了，flag就藏在一条被隐藏的管理员留言里。 那种感觉，怎么说呢，不是“我学会了某种技巧”的成就感，而是“原来安全防护的每一层都有漏洞，只是看你有没有耐心去摸清它的逻辑”。南邮ctf的题目很少出那种纯考记忆的偏题怪题，它们更像是把真实世界里的攻击场景压缩成一个可控的谜题。比如有个Misc题，给了一个pcap网络抓包文件，里面全是DNS查询记录，每一条子域名都只有几个字符。我一开始以为要解DNS隧道，后来发现那些子域名拼起来是一段base64编码的字符串，解码后是一张二维码，扫码才拿到flag。整个过程绕了三道弯，但每一步都有提示，只是提示藏得很深。 比赛结束后，主办方会公开每道题的writeup，我每次都会把错过的题重新做一遍。说实话，有些题我看完官方解法都会拍大腿——原来那个看似无用的响应头、那个多余的空格、那个异常的时间戳，都是线索。南邮ctf最打动我的地方，不是它有多难，而是它让你意识到：在网络安全这个领域，细节不是魔鬼，细节就是全部。 有个细节我一直记得。那次比赛现场，有个选手因为一道密码学题卡了两个小时，最后发现是题目里给的那个“随机数种子”其实就是`20240401`——比赛当天的日期。他当场骂了一句，然后周围人都笑了。那种氛围，比任何奖状都真实。
(责任编辑：时尚)
相关内容
最新内容
推荐内容
