大佬們CTF能搞得出來cve和0day嗎?

我看到n多個大佬說自己ctf搞出來了cve和0day，是真的嗎？ctf不是已知的安全問題出題嗎？未知的安全問題出題？或者又是什麼新玩法。

感覺這個問題可以分成兩個部分來回答：

1. CTF能不能弄出來0day（CVE）
2. CTF是否都是使用已知的安全問題出題

挨個來回答。

在學習CTF的過程中，能不能搞出來0day（CVE）這個問題，答案是可以的。

以Web方向的審計而言，提高源碼審計能力最快的方式，就是直接上手框架進行分析，在分析的過程中，隨著個人能力和投入時間的雙重提升，挖掘到0day（CVE）基本是一件確定的事情，除非是選擇的難度與個人實際水平差距過大。

以做題過程而言，也有可能在比賽途中，在進行漏洞挖掘的時候，找到了一個非預期的攻擊點，而這個非預期的攻擊點又剛好沒有人發現過，那就是「做題的過程中搞到了0day」。比如RealWorld CTF2018，詳細內容見鏈接：https://www.anquanke.com/post/id/156035

1. CTF嚴格來說是出題人把自己認為好玩的攻擊方法抽象成題目，至於這個攻擊方法是否已公開則不一定。
2. 在高規格的比賽中，出題人可能會出於質量、口碑等因素將自己挖掘到的0day（或新的攻擊方式）整理成題目，這和問題中的「未知的安全問題出題」就是對應的了。

比如N1CTF2019中，我和同為Nu1L隊友的orich1師傅一起出的Jenkins XStream RCE就是將一個利用細節暫時未公開的漏洞抽出來設計成了一個CTF題目（該漏洞原作者是orich1師傅）。

往前一點的另一個例子便是WCTF中Gyotaku The Flag這個題目，它用了一種新的攻擊方式，詳細內容見我博客：https://meizjm3i.github.io/2019/08/01/%E5%88%A9%E7%94%A8Windows%20Defender%E4%BE%A7%E4%BF%A1%E9%81%93%E6%94%BB%E5%87%BB/

所以，實名反對CTF和0day不沾邊的言論 : ）

PS：如果想試一試0day與CTF結合的感覺，可以看一看即將到來的RealWorld CTF 2019，或者期待N1CTF 2020~

ctf題目的確會有預期解。

但是有的題目會有非預期解，這裡面就會出來cve以及0day(

比如web題 可能出題人想考察你這個框架的已知漏洞 但你可以審計出0day來解題

可以的，ctf大多數考驗的是利用手段，but，現實系統這些shellcode都會失效，干擾太多，so需要龐大的系統知識去彌補，改變策略 ，你喜歡寂寞就可以做到。所以ctf和0day不沾邊。

這不是很正常的嘛，基本上鍛煉自己最好的方法就是去挖0day啊

0day也分很多種的，如果是常用框架的漏洞，且利用門檻低的，例如：struts、spring、laravel、thinkphp的，這樣的0day就比較牛逼了；還有常見的應用層面的cms漏但是常見的cms，範圍比較廣的：phpcms、discuz、dede、ecshop等；上面2種0day一般很少出現在ctf中。

ctf很少有基於真實軟體環境去出題目的；但也有例外，如長亭出的real ctf裡面，就是基於真實軟體和框架出的題目，漏洞是可以真實利用的。

當然可以的呀，比如Web，在平常學習的時候，想要提高代碼審計的能力，就會去審計一些cms，從小型到大型，在提高的過程中就會審計出一些0day（雖然說有的可能沒什麼利用價值），在比賽的時候，有的時候的一些非預期題解也是0day（主辦方賺爆）。