奪旗 (網路安全)

奪旗（英語：Capture the flag，簡稱「CTF」）在計算機安全中是一種活動，當中會將「旗子」秘密地埋藏於有目的的易受攻擊的程式或網站。參賽者從其他參賽者（攻／防式奪旗）或主辦方（危難式挑戰）偷去旗子。奪旗活動衍生出數種變體，當中包括於硬體裝置內隱藏旗子。相關比賽可透過線上或實體形式進行，亦可分為進階和入門兩種層級。此遊戲乃基於同名傳統戶外運動而設計。

一支於DEF CON 17，正參與奪旗比賽的隊伍

概述

保安奪旗活動的設計旨在以一種教育練習的方式，給予參加者於保護機器的經驗，同時對那些在現實世界中發現的攻擊進行處理並作出反應（即專業環境中的漏洞獎勵計畫）。著名的攻／防式奪旗包括通常被視為競賽圈（competition circuit）「決賽」、自1996年起，於最大型黑客會議期間舉辦的DEF CON，以及最大型的學生網路安全比賽NYU-CSAW（網路安全關注周）。

典型奪旗活動包括逆向工程、數據包嗅探、協定分析、系統管理、編程、密碼分析，以及編寫漏洞利用等等。在攻／防式比賽中，每支隊伍獲分配一台用以防守的機器（或一個小型網路）——一般位於一個獨立的比賽網路之上。隊伍會按成功防禦己方的機器，以及成功攻破其他隊伍的機器而獲得分數。典型奪旗的一個變體，是於敵方機器上「植下」己方的旗子。

硬體挑戰（hardware challenge）通常涉及獲得一枚未知的硬體，並需找出如何繞過部份安全措施，例如使用除錯端子或採取一種旁路攻擊。危難式挑戰與算法競賽頗為相似：隊伍之間並非互相攻擊，而是解決由主辦方所公佈的挑戰。一般而言，時間並非贏取這類比賽的一項要素，但「第一滴血」額外分數通常會給予最快解決挑戰的隊伍。在山之王式挑戰中，玩家透過相對排名（relative ranking）獲取積分。典型而言，只有排名第一的隊伍才能得分。當另一隊伍擊破目前的冠軍隊伍（例如，透過獲得冠軍隊伍所防守的共享「目標」機器），則他們成為新的冠軍，並轉為捍衛己方的排名，與其他隊伍作對抗。

參見

• 軍事遊戲 (駭侵)
• 網路戰準備