1. 先定个现实的目标：三个月后你该会什么，不该会什么
1.1 三个月的目标不是“拿奖”，而是“独立完赛”
CTF（Capture The Flag，夺旗赛）这几年在网络安全圈子里出现的频率越来越高，很多高校战队、安全公司招人、甚至招聘简历上都把CTF经历写得很重。但大多数人第一次接触CTF时的状态，和我当年一模一样：收藏了一堆学习路线图和资料包，结果三个月后还在“从零开始”。真正把CTF学起来，靠的不是更多的收藏，而是一份能执行的路线、一个能持续的节奏，以及每天稳定投入的那一两个小时。
这篇文章要讲的，就是一份可以直接照做的三个月实战路线图。目标定得很实在：三个月后你能够独立上手打一场正规CTF比赛，能解出签到题和部分简单题，能顺利提交flag，能看懂大部分WriteUp（也就是WP，解题报告），不会在比赛里全程蒙圈。能不能拿奖？说实话，三个月的训练量拿奖要看运气和天赋，但“能参赛”和“能拿奖”之间隔着至少半年的实战积累，我们要先把前者搞定。
适合谁来读？完全没有接触过安全、甚至编程都不太熟练的纯小白，以及那些已经零零散散学了一点、但始终没有体系的朋友。如果你已经在某个方向上刷了几百道题，这篇对你来说可能太基础，但用来带新人、整理团队训练节奏也是不错的参照。
1.2 每天两小时和每周一次集中训练，哪个更重要
先说一个反直觉的结论：三个月能不能出效果，不在于你周末爆发式学八个小时，而在于你能不能做到工作日每天雷打不动地投入一到两个小时。CTF的知识点非常碎，今天学一条命令、明天看一个漏洞原理、后天写一个小脚本，看起来都不起眼，但碎知识点之间是有依赖关系的，断了三天再捡起来，前面学的东西基本就还给资料了。
我建议的节奏是：工作日每天1.5到2小时，周末挑出半天做集中刷题和复盘。三个月算下来，有效学习时间能到180到240小时。这个量级用来“全面精通”肯定不够，但用来“建立全局认知、熟悉一类题型、具备完赛能力”是完全足够的。
1.3 三个月周期拆解：一底二专三实战
三个月不能平均用力，我的拆分方式是：
| 阶段 | 时间 | 核心任务 | 完成标志 |
|---|---|---|---|
| 第一个月 | 第1-4周 | 广度覆盖：Web、Misc、Crypto三大方向入门 | 知道每种题型在考什么，能独立做出各自方向的前十几道简单题 |
| 第二个月 | 第5-8周 | 选定主攻方向，专项深入 | 在一个方向上稳定做出中等难度题，能看懂高阶WP |
| 第三个月 | 第9-12周 | 模拟赛、复盘、查漏补缺 | 完整打完至少两场线上赛，赛后能自己复盘 |
为什么第一个月不直接定方向？因为CTF有Web、Pwn、Reverse、Crypto、Misc五大方向，每个方向需要的基础能力差别很大。你不亲自碰一碰，光看别人说“Pwn天花板高”“Web最实用”是没有体感的。第一个月把每个方向都摸一遍，第二个月再选自己最有兴趣、也最容易出正反馈的那条路深耕，效率反而更高。
2. 装备与习惯：开始学CTF之前要准备的四件事
2.1 一台装了Ubuntu的虚拟机，比Kali更适合起步
很多新手会问：“我是不是应该直接装Kali Linux？”我的建议是：第一个月别碰Kali，装一台Ubuntu虚拟机就够了。原因很简单，Kali里预装了几百个工具，你根本不知道先用哪个，光是面对那一屏的工具列表就会产生焦虑感。Ubuntu干净，装什么工具自己心里有数，遇到坑也更容易排查。
虚拟机平台用VMware或VirtualBox都行，跟着官方教程装一个Ubuntu 22.04 LTS，然后装好Python 3、Docker、Chrome浏览器，环境就算齐了。Windows笔记本也完全可以用WSL2替代虚拟机，日常写脚本和跑Linux命令都很顺，但涉及流量抓取、USB设备分析这类需要和硬件交互的题目时，还是传统虚拟机更好用。
2.2 Python不需要精通，但要会用这五个库
CTF圈的“通用语言”是Python，但你不需要学到能写爬虫框架的程度，能把下面五个库玩明白，第一二个月的题基本就不会因为脚本卡壳：
requests：发HTTP请求，Web题最常用；re：正则匹配，从响应里提取flag；binascii：十六进制和字节串互转，Crypto和Misc都会用；hashlib：算各类哈希值，碰密码学题必用；subprocess：在Python里调用系统命令。
举个例子，你拿到一个Web题，知道flag藏在某个请求的响应头里，用Python写起来就是：
import requests r = requests.get("http://target.com/flag.php") print(r.text) print(r.headers)这种脚本不需要背，写到笔记里，用的时候翻出来改改就行。CTF要的从来不是背代码，而是知道“该用哪个工具解决当前问题”。
2.3 记录和复盘的底层逻辑：笔记仓库+个人WP
这一条是我特别想强调的。同样的题，有些人刷一遍就忘，有些人能从中提炼出一类题的解法，差距就在记录。我建议从第一天就建一个笔记仓库，用什么工具不重要，GitHub私有仓库、本地Markdown文件夹都行，关键是记录模板要固定：
- 题目名称和来源
- 考点标签（比如“命令执行”“USB流量”“RSA共模”）
- 解题过程中用到的关键命令、Payload和脚本
- 当时的卡点在哪，最后怎么解决的
- 这道题能抽象出什么通用解法
我见过太多人半年刷了三百道题，回头问他“SQL注入的万能密码有哪些绕过方式”，答不上来。因为没有沉淀。哪怕你每天只记录一道题，三个月也有将近一百条笔记，这些才是你真正攒下的资产。
2.4 检索信息的能力，才是CTF的第六个方向
CTF五大方向之外，还有一个隐藏方向就是信息检索。做题时遇到奇怪的报错、第一次见的函数、某个工具的输出格式看不懂，绝大多数情况下你遇到坑别人已经踩过了。我的习惯是把报错信息原文复制到搜索引擎里搜，比如“tshark usb.capdata 提取”“RSA给了两个n和一个e 怎么解”，通常前几条结果就能解决问题。
这里也有个心态问题：遇到不会的东西，第一反应不是“我太菜了”，而是“这个知识点可以通过什么方式快速搞懂”。有了这个习惯，你后面学任何新方向都会比别人快很多。
3. 第一个月：用三大方向快速建立手感
3.1 Web：从请求与响应开始，越早接触越有感觉
Web方向是CTF里最贴近真实网络安全工作的方向，也是新手最容易产生成就感的方向。第一个月不需要深入理解浏览器原理，把这几件事搞明白就行。
第一件事是熟练使用浏览器的开发者工具（F12），学会看HTTP请求的URL、请求头、响应体、Cookie。CTF里大量题目就是让你通过修改请求来拿到flag，比如把GET改成POST、把某个参数从0改成1、在Cookie里伪造身份。
第二件事是了解Web方向的高频考点：SQL注入、命令执行、文件上传、信息泄露、反序列化等。第一个月不用全会，按照“SQL注入 → 命令执行 → 文件上传 → 信息泄露”这个顺序刷题就行。这里我特别推荐把前两周的时间花在SQL注入和命令执行上，因为这两个考点原理清晰、题目多、套路固定，新手很容易做出正反馈。
3.2 Misc：最容易拿分的“杂货铺”，但杂而不浅
Misc（杂项）是CTF里最“不挑基础”的方向，也是最适合小白入门找信心的方向。它考察的东西很杂：图片隐写、压缩包密码、流量分析、编码转换、音频分析、内存取证……好处是不需要太多前置知识，坏处是工具特别多，每类题目都要认一下对应的工具。
第一个月我的建议是掌握下面这张工具清单的入门用法：
strings：在文件里搜索可打印字符串，很多flag直接藏在里面；binwalk：探测文件里是否嵌了其他文件，自动分离；foremost：按文件类型还原文件，常用于图片隐写；stegsolve：查看图片的各个通道、LSB隐写；Wireshark：流量分析之王，先学会用Follow TCP Stream 看HTTP明文流量；010 Editor：十六进制编辑器，观察文件头和结构。
Misc题很多时候就是“用工具三板斧”：先strings，再binwalk，不行就上 Wireshark 或者在十六进制里找可疑内容。第一个月能把这套流程跑熟，Misc的基础就算打牢了。
3.3 Crypto：区分“编码”和“加密”是入门第一课
Crypto方向大概是劝退新手最严重的地方，很多人一看到数学公式就头疼。其实CTF里的Crypto题并不全是高大上的密码学理论，入门阶段很大一部分反而是“解码题”：Base64、十六进制、URL编码、摩斯电码、凯撒密码、栅栏密码。
这里必须先建立一个关键认知：编码和加密是两回事。Base64、Hex这类东西是可逆的编码，目的不是保护信息，而是转换表示形式，用Python的base64库或CyberChef这类工具就能直接解。而加密需要用密钥，比如凯撒密码、维吉尼亚密码、AES、RSA。
第一个月Crypto只需要做两件事：第一，把常见的编码和古典密码认全，会查表、会用工具解；第二，把RSA入门题刷上十道左右，记住最基础的解密流程：已知n、e和密文c，如果能分解n得到p和q，就可以算私钥d再解出明文。这个过程背后的数论原理暂时不理解也不影响做题，但最好还是了解一下模运算和欧拉函数，对后续深入有好处。
3.4 第一个月先别碰Pwn和Reverse，原因在这里
五大方向里，Pwn（二进制漏洞利用）和Reverse（逆向工程）是最吃前置知识的两个方向。Reverse需要懂汇编、懂PE/ELF文件格式、会用IDA和GDB；Pwn则需要懂内存布局、栈帧、ROP链。这些知识不是不能学，但在三个月路线里，它们的时间性价比不如Web、Misc和Crypto。
第一个月的重点是快速建立“我能做出来题”的成就感，Pwn和Reverse恰好是最难给新手成就感的方向。所以我的策略是：第一个月完全不碰，第二个月根据兴趣决定要不要了解，第三个月如果发现比赛里这两类题分值很高，再针对性地补基础。
4. 第一个月怎么练：入门靶场和日刷题量
4.1 新手入门靶场怎么选
靶场是CTF学习的核心场所，就像健身房的器械一样，光看视频不上去练是永远不会有肌肉的。第一个月我建议同时用两个平台：CTFHub和BUUCTF。
CTFHub是按技能树分类的靶场，Web、Misc、Crypto下面又细分成一个个具体考点，比如SQL注入下面会分“整数型”“字符型”“报错注入”等等，非常适合按部就班地刷。BUUCTF的题目大多是历年国内外赛事的原题，题目量大，但难度不均，新手容易一进去就被难倒。所以我的用法是：在CTFHub上按考点刷基础题，刷到某个考点有感觉了，再去BUUCTF找同考点的高质量题目练手。
4.2 每天刷多少题，刷到什么程度算“会了”
关于刷题量，我给一个具体可执行的参考：工作日每天2到3道题，周末集中复盘一周做过的题。这三个月的路线我不主张“一味多刷”，更重要的是刷一道会一类。
判断自己是不是真会了一道题，标准很简单：把这道题的思路不看任何资料地复述出来，并且能解释每一步为什么要这样做。如果你能做到不看WP独立重做一遍，那这道题才算真正变成你自己的。每天做题之后顺手记录到笔记里，这条习惯比多刷两道题重要得多。
5. 第二个月：选定主攻赛道，把一道题吃透比刷十道有用
5.1 怎么判断自己适合哪个方向
第一个月把Web、Misc、Crypto都摸了一遍之后，第二个月就要做一次方向选择的决策。我的建议标准就一条：哪个方向让你“做题的时候不觉得痛苦、解出来之后还愿意继续看”，就选哪个。
这个标准听起来很主观，但比各种“职业前景分析”靠谱得多。如果Web题你总是有动力去追根究底，那就深耕Web；如果Misc的流量分析让你感觉像侦探破案，那就专攻Misc；如果Crypto的数学推导让你兴奋，那就别犹豫。说实话，三个月时间只够在一个方向上形成真正的深度，全面开花是不可能的。
5.2 从一道命令执行题看Web题的完整分析链路
第二个月我会重点训练一类题的分析链路。就拿热词里出现过的PHP命令执行（passthru）来当例子。题目代码往往长这样：
<?php if (isset($_GET['cmd'])) { passthru($_GET['cmd']); } ?>拿到这种题，第一步是识别危险函数。passthru()会把外部命令的原始输出直接打印到页面上，和system()、exec()、shell_exec()一样都属于PHP命令执行函数，但细节不同：exec()只返回最后一行输出，shell_exec()返回完整输出，system()直接输出，passthru()适合处理二进制等特殊输出。知道这些区别，你才知道出题人为什么用这个函数。
第二步是构造第一个探测请求。先用?cmd=ls看看当前目录里有什么文件，再用?cmd=cat flag.php尝试读取flag。如果flag.php里的PHP代码被直接执行导致看不到源码，可以用?cmd=cat index.php配合浏览器的view-source功能查看原始PHP代码，或者用curl访问源码页再处理。
第三步是绕过过滤。常见过滤手段有：把空格过滤掉，可以用${IFS}代替空格；把flag关键字过滤掉，可以用通配符cat fla*；把cat过滤掉，可以用tac、more、less、head、tail等命令替代。这类绕过技巧没有统一的解法，平时刷题时注意积累，笔记的作用这时候就体现出来了。
如果命令执行是无回显的（命令执行了但页面不输出任何内容），还有两个思路：一个是通过DNSLog等手段带外接收数据，另一个是把命令输出重定向写到web目录下的文件里，然后再访问这个文件。但这类操作只建议在CTF靶场和授权实验环境中使用。
5.3 流量分析专项：从.pcapng文件里提取USB按键数据
流量类Misc题是近年比赛里的常客，其中.pcapng格式的USB流量题更是高频题型。这类题看起来很难，实际套路非常固定，非常适合作为第二个月的专项训练题。
拿到.pcapng文件，先拖进Wireshark，在过滤栏输入usb.capdata，会看到很多形如00000c0000000000的十六进制数据。USB键盘流量包通常是8字节，其中第3个字节就是按键码，比如0x04对应A键，0x05对应B键，0x06对应C键，0x1e对应数字1。另一个关键点是第2个字节，0x02表示同时按下了左Shift键，这时候按键码对应的是大写字母或符号。
提取数据的命令可以写成：
tshark -r usb.pcapng -Y "usb.capdata" -T fields -e usb.capdata接下来的事情就是写一个Python小脚本，把按键码映射成字符，把所有按键拼在一起，得到一串字符串，里面往往就藏着flag。这类题考的不是什么高深算法，而是你懂不懂USB协议的基本结构、会不会用Wireshark提取字段、能不能耐下性子写脚本。这就是Misc方向的典型风格。
5.4 Crypto专项：MT19937这类题为什么值得死磕
再举一个Crypto方向的例子：MT19937，也就是Python里random模块默认使用的梅森旋转伪随机数生成算法。这类题的热度这几年一直很高，因为它介于“纯数学”和“实际编程”之间，考的是对随机数生成机制的理解和工具的熟练度。
题目特征很典型：给你一串由Python的random.randrange(32)生成的随机数，要求你预测下一个随机数。如果你知道MT19937的内部状态是624个32位整数，那你就会想到：当我拿到连续624个输出之后，就可以用现成工具randcrack恢复这个随机数生成器的内部状态，进而预测之后的所有随机数。
做题脚本大致长这样：
from randcrack import RandCrack rc = RandCrack() for num in outputs: # outputs 是题目给出的 624 个随机数 rc.submit(num) print(rc.predict_getrandbits(32))很多Crypto题会用它生成的“随机数”当异或密钥或者混淆数据，你只要能预测出后续输出，就能还原出真正的明文。这类题的启发是：CTF的Crypto远不止是数学题，识别算法特征、调用现成工具、把数学原理落到代码上，这套能力才是比赛里真正值钱的。
6. 第三个月：从刷题到参赛，中间只差这一步
6.1 赛前一个月：模拟赛和每日一题怎么安排
第三个月的核心任务就是“模拟赛”。如果你前两个月是按每天一到两小时、周末半天刷题的节奏过来的，第三个月你就应该开始找比赛的节奏感。
比赛和刷题完全是两种状态。刷题可以随时暂停、随时看资料，但比赛有时间压力，每个题都跟其他队伍在比速度，而且赛题往往不像靶场题那样按考点排好。所以我建议第三个月的安排调整为：工作日每天做一道当日推荐题（随便哪个平台都行，重点是保持手感和速度），周末参加一场线上赛或者自己组织一场小范围的团队模拟赛。
线上赛去哪里找？国内各个安全社区和CTF平台经常发布赛事信息，留意一下就能找到。不用挑规模大的比赛，很多小型赛事反而更适合新手，题目难度分布对初学者更友好。
6.2 线上赛的真实流程：注册、签到、拿分顺序
第一次参赛的人最需要先熟悉流程。比赛开始前半小时进入官网，确认账号能登录、能看到赛题列表，然后等比赛开始。
开赛后千万不要从第一题顺序往下做，而要按“拿分效率”排序。签到题和Web/Misc方向的简单题永远是第一优先级，因为这些题可能五分钟就能拿分。Crypto里套了模板的题排在第二优先级，Reverse和Pwn的题如果第一眼看不出考点就直接跳过。比赛时间有限，先保证把能拿的分全部拿到，再回头啃硬骨头。
交flag的时候有几个细节容易踩坑：注意flag的格式和大小写，有的比赛要求带flag{}外壳，有的只填内容；提交后如果显示格式错误，先检查是不是多了空格或者换行；每提交一个有效flag都会实时计分，看到分数跳动的时候确实是这三个月最爽的瞬间。
6.3 赛后复盘：把WriteUp变成自己的“错题本”
比赛结束后别急着休息，真正的学习才刚刚开始。赛后复盘我通常分三步走。
第一步，收集题目和官方WriteUp。大部分比赛结束后会公开官方WP，还有参赛者自己写的解题报告。把所有题目和WP收集到一个文件夹里。
第二步，逐题对照自己的笔记。做出来的题想一想有没有更优解法；没做出来的题，看WP理解考点后，合上WP重新做一遍。做题时必须亲自动手，而不是看完觉得“原来这么简单”就关掉。
第三步，把新知识点拆解归档到个人笔记。这个题考的是哪个方向？用了什么工具？有没有通用的payload？以后遇到类似特征我该从哪入手？把这些写下来，这场比赛的收获才算真正沉淀下来。
6.4 团队赛怎么分配角色
如果第三个月能报名参加团队赛，还有一件事需要提前想好：五个人怎么分工。CTF战队通常按方向分工，Web、Pwn、Reverse、Crypto、Misc各一人。新手团队常常出现的问题是三个人挤在Web题上，其他方向没人看。正确的做法是开赛第一天就确认好每个人的负责方向，一人主攻一个方向，其他队友的题如果卡住了可以有一个人去帮忙。
队长这个角色也很重要，负责统揽全局：哪道题被解出来了、哪道题快被解出来了、哪道题卡了多久、要不要建议队员先换题。队长不一定是技术最强的，但一定是对比赛节奏最敏感的那个。
7. 路线图配套靶场与题目资源清单
7.1 入门期最值得用的四个靶场
| 平台 | 特点 | 适用人群 | 注意事项 |
|---|---|---|---|
| CTFHub | 按技能树分类，考点清晰 | 新手按部就班刷题 | 建议作为前期主战场 |
| BUUCTF | 题量大，收录历年赛题 | 刷完基础题后的进阶选择 | 难度不均衡，新人易受挫 |
| 攻防世界 | 老牌平台，题目质量高 | 有一定基础后刷题 | 部分老题环境不稳定 |
| polarCTF | 难度分梯度，贴近实战 | 边学边打比赛合适 | 适合第三个月模拟赛 |
另外NSSCTF等新平台环境稳定、题目更新快，也可以作为补充。我的建议是不要贪多，一个主平台刷透，两个辅助平台刷特定考点，就够了。靶场再多，打开三天就关掉，和没有一样。
7.2 从热词看当前CTF出题趋势
如果你关注各类CTF资讯平台的热搜词，会发现几个挺明显的趋势：一是AI相关题目开始出现，“AI+CTF”逐渐成为新赛道，有的比赛会要求选手利用大模型做推理、做漏洞分析；二是车联网安全等垂直领域的CTF赛事多了起来，题目场景更贴近真实产品；三是经典的Web命令执行、流量分析、USB流量类题型依然是永远的主流。
对三个月学习路线的影响是：第一、二个月老老实实打好经典题型的基础，第三个月可以留出一点时间了解AI相关安全工具和最新的比赛动态。经典题型的解法是“存量”，新趋势是“增量”，没有前者撑腰，后者就是空中楼阁。
7.3 一份能持续使用的学习资源清单
最后给一份不是特别长但足够用的清单。
- CTF Wiki：可以把入门知识体系重新过一遍，重点看Web、Crypto、Misc章节；
- CyberChef：英国情报机构GCHQ开源的“网络瑞士军刀”，解码、解密、格式转换全部在线解决；
- 各类安全社区和公众号：用来获取最新的赛事信息和优秀WP；
- B站上的解题视频：适合看别人怎么走通一道完整题目流程，但看完一定要自己动手重做。
资源不求多，关键是每一样都用起来。哪怕你把CTF Wiki的所有目录读一遍、把CyberChef的常用功能玩一遍、把三个考试题视频跟着做一遍，你的基础认知就已经超过八成的新手了。
8. 这三个月最容易翻车的五个坑，我替你踩过了
8.1 收藏了三天就放弃，问题出在没有正反馈
“收藏了三天就放弃”是新手最大的坑，我太有体会了。收藏本身不产生任何学习效果，真正能让你坚持下来的是“我今天做了一个题，拿到了flag”的正反馈。所以新手第一个星期一定要把目标设得足够小：第一天装好虚拟机跑通一条命令就算成功，第三天做出来第一道签到题就是胜利。正反馈越频繁，你才越能熬过前面那段“什么都不会”的黑暗期。
8.2 卡题45分钟的“及时止损”原则
我见过太多人卡在一道题上一下午，饭都不吃，最后还没做出来。CTF做题有一条不成文的“45分钟定律”：一道题如果连续做了45分钟没有任何进展，立刻放下，去看WP或者问队友。不要觉得看WP丢人，WP是你最好的老师，学习拆解别人的思路，比你一个人死磕三个小时有价值得多。看懂了WP之后，一定记得合上答案自己重新做一遍。
8.3 只读WP不重做，等于白看
承接上一条。很多人看WP时连连点头，觉得出题人思路“妙啊”，然后关掉页面，下次遇到同类题照样不会。因为看懂和被教会之间差的正是“亲自动手”。我在团队里带新人的时候有一条规矩：看完WP必须当场重做，重做的时候不能再看答案，卡住了可以讨论，但必须自己把题目跑通。这条规矩的效果立竿见影。
8.4 基础还不牢，上来就啃Pwn
每个月我都会遇到几个新手，学了几天Web就一头扎进Pwn，结果被汇编、栈溢出、ROP链劝退。我不是说Pwn不能学，而是三个月路线里，Pwn的时间窗口在第二个月后半段，并且要建立在你会用GDB、看得懂简单汇编的基础上。如果暂时学不动，不丢人，先回到Web或者Misc方向把信心捡起来，等有了一定积累再回头挑战。
8.5 不记录过程，过几天连自己写的代码都看不懂
这个坑特别隐蔽，很多人刷了不少题，但从来不写笔记。第一次做出来某道题时，也许觉得“这很简单不用记”，但两个月后你再看到当时写的payload，大概率想不起来为什么要这么写。养成记录习惯之后，你会发现笔记仓库才是整个三个月学习里最值钱的东西。哪怕你最后没去参赛，翻开笔记，你学到的每一点东西都还在那里。
9. 三个月之后的下一站
9.1 CTF到SRC：竞赛和实战的差别
三个月能完赛之后，很多人的下一个念头是：能不能去挖真实漏洞、找SRC漏洞平台提交漏洞赚钱？这里我得先泼一盆冷水：CTF和真实SRC是两码事。CTF是人为构造的、有明确答案的靶场，SRC面对的是真实业务系统，需要你对资产、业务逻辑、代码实现都有更深入的理解。建议先把CTF题刷扎实，再了解SRC平台和漏洞报告规范。任何人挖漏洞都必须遵守授权和边界，不要越权测试，这个底线任何时候都不能破。
9.2 继续深造的三个方向
三个月如果走完了，你已经站在了网络安全行业门槛上。接下来可以有三个深化的方向。
如果你对Web方向感兴趣，可以系统学习OWASP Top 10漏洞类型、代码审计的常见思路、内网渗透的基本方法，这条路直接指向Web安全工程师方向。如果你喜欢底层，可以开始啃汇编、ELF格式、Windows PE结构、IDA逆向插件开发，这是走向二进制安全工程师的路。如果你对流量分析、电子取证、日志分析感兴趣，可以往安全运营与应急响应方向走，这更像传统意义上的“网络安全工程师”。
9.3 保持手感的最小成本方案
最后分享一个我自己用了很久的习惯：毕业后工作再忙，我也保持着“每周一道题、每月一场线上赛”的频率。CTF这种技能非常吃手感，一段时间不碰就会生疏，但也不需要天天高强度训练。每周挑一个晚上，做一道以前没做过的题；每个月报一场不用花太多时间准备的线上赛，维持比赛节奏感。这样你的技能曲线不会断，还能一直跟在圈子的技术前沿后面。
说实话，回看我自己最开始带人的那段经历，三个月能走多远，真的不取决于智商和编程基础，取决于你能不能在前两周顶住那种“什么都不会”的挫败感。把目标定小一点，把动作拆细一点，今天装好虚拟机，明天跑通第一条命令，后天提交第一个flag。三个月后回头看，你会发现自己已经走进了网络安全这个大门。
