文章总结： 本文系统介绍CTF中AWD攻防赛的零基础入门知识，涵盖比赛规则、常见漏洞类型、攻防策略及自动化脚本。核心内容包括AWD动态攻防特性（双向计分、Flag轮换）、PHP弱类型/文件包含/命令执行等高频漏洞利用方法，强调先守后攻原则，并提供批量抓取Flag的Python脚本和标准化参赛流程，帮助新手快速掌握实战技巧。 综合评分： 82 文章分类： CTF,WEB安全,实战经验,安全工具,红队

CTF比赛入门第十三期：AWD攻防赛零基础全解

点击关注👉 点击关注👉

网络安全学习室

2026年6月27日 10:50 湖南

在小说阅读器读本章

去阅读

一、AWD攻防赛核心认知（零基础必懂）

1、什么是AWD？

AWD全称 Attack and Defense World，即攻防对抗赛，是CTF比赛中最经典的动态对抗赛制，区别于静态解题、一次性提交Flag的模式。

简单通俗理解：每位选手/队伍拥有一台独立靶机，所有人靶机漏洞完全一致，一边攻击别人拿分，一边防守自己防丢分，实时动态计分、实时排名。

2、AWD核心比赛规则

所有AWD赛事通用基础规则，新手参赛必须熟记：

1、统一靶机环境：所有选手靶机漏洞、源码、配置完全相同，不存在题目差异，比拼攻防操作；

2、动态Flag轮换：系统每隔固定时间（通常3-5分钟）自动刷新所有靶机Flag，Flag为随机字符串，每轮可重复攻击拿分；

3、双向计分机制：攻击成功拿到对手Flag得分，自己靶机被攻破丢失分数，防守加固无扣分、攻击成功持续加分；

4、权限限制：选手仅拥有靶机普通操作权限，禁止暴力破解、DDOS、篡改题目源码、封禁端口等违规操作。

3、AWD与普通CTF解题的核心区别

| 对比维度 | 常规CTF解题赛 | AWD攻防对抗赛 | | — | — | — | | 核心目标 | 挖掘漏洞、静态获取Flag、一次性得分 | 持续攻击拿分+持续防守保分，动态对抗上分 | | 得分模式 | 解出题目永久得分，无扣分机制 | 每轮刷新Flag可重复得分，被攻击持续扣分 | | 核心能力 | 漏洞挖掘、代码审计、Payload构造 | 漏洞利用、快速攻击、靶机运维、防守加固 | | 比赛节奏 | 节奏平缓，可慢慢审计解题 | 节奏极快，每轮都要攻防操作，容错率极低 |

二、AWD靶机常见漏洞题型（赛场高频）

AWD比赛不会出现冷门复杂漏洞，全部以基础高频漏洞组合为主，和我们前几期课程知识点高度联动，新手无需学习新漏洞，只需切换攻防思维即可参赛：

1、PHP弱类型漏洞：==弱比较绕过、密钥权限绕过（对应第一期课程）；

2、PHP高阶函数漏洞：strcmp/in_array/switch弱类型绕过（对应第二期课程）；

3、文件包含/文件读取漏洞：本地/远程文件包含、任意文件读取；

4、命令执行漏洞：系统命令拼接、无过滤命令执行；

5、Python SSTI模板注入：Flask/Jinja2注入命令执行（对应第五期课程）；

6、弱口令/后台未授权访问：默认账号密码、后台地址泄露漏洞。

核心总结：AWD拼的不是谁会的漏洞多，而是谁利用速度快、防守更稳、脚本更自动化。

三、AWD核心两大打法：攻击+防守（新手必学）

1、AWD攻击打法（快速拿分核心）

AWD攻击核心逻辑：找到通用漏洞 → 批量构造Payload → 每轮刷新后自动拿Flag，无需逐个审计靶机，所有对手靶机漏洞完全一致。

通用攻击步骤（无脑套用）

第一步：本地打通漏洞：先在自己靶机测试漏洞Payload，确保可以成功读取Flag、执行命令；

第二步：批量遍历靶机：获取赛场所有对手IP列表，批量代入可用Payload；

第三步：每轮自动抓取Flag：依托脚本定时请求，Flag刷新后立刻抓取提交；

第四步：优先高分漏洞：命令执行、文件读取漏洞优先级最高，拿分效率远超普通绕过漏洞。

2、AWD防守打法（保底不丢分核心）

很多新手只攻不守，攻击拿的分全部被扣分抵消，排名垫底。AWD赛场防守比攻击更重要，守住分数就是稳上分。

基础防守四件套（新手必做）

① 修补源码漏洞

找到靶机源码漏洞点，临时修复：弱比较==改为强比较===、过滤危险参数、关闭命令执行函数、禁用文件包含伪协议。

② 修改默认账号密码

修改后台登录账号、数据库密码、FTP密码，杜绝弱口令爆破、默认口令登录。

③ 监控靶机日志

实时查看访问日志、请求日志，发现恶意Payload、攻击IP及时封禁，拦截高频攻击。

④ 定期自查漏洞

每轮Flag刷新后，自己先用通用Payload测试本机漏洞，确认是否被他人篡改、是否仍存在可利用漏洞。

四、新手专属AWD通用简易脚本（直接套用）

AWD想要稳定上分，必须依托脚本自动化操作，手动操作永远跟不上赛场节奏。这里给大家整理零基础可直接使用的简易Python脚本，适配90%入门AWD赛事，实现批量攻击、Flag抓取。

通用批量抓取Flag脚本（文件读取漏洞适配）

# AWD批量读取Flag简易脚本
import requests
import time

# 对手IP列表，自行填充赛场IP
ip_list = ["192.168.1.101","192.168.1.102","192.168.1.103"]
# 漏洞Payload，根据题目自行替换
payload = "/include.php?file=/flag"

def get_flag():
    for ip in ip_list:
        try:
            url = f"http://{ip}{payload}"
            res = requests.get(url,timeout=3)
            if "flag{" in res.text.lower():
                print(f"【成功】{ip} Flag：{res.text.strip()}")
            else:
                print(f"【失败】{ip} 未获取到Flag")
        except Exception as e:
            print(f"【异常】{ip} 请求失败")

# 每3分钟执行一次，适配Flag刷新时间
while True:
    get_flag()
    time.sleep(180)

脚本使用说明

1、根据题目漏洞替换对应Payload（文件包含、命令执行、弱类型绕过均可适配）；

2、填充赛场所有对手IP地址，运行脚本即可批量扫靶机拿Flag；

3、自动循环执行，适配Flag定时刷新机制，全程挂机上分。

五、AWD赛场高分实战技巧（新手避坑必看）

1、攻防优先级原则

先守后攻！先守后攻！先守后攻！

比赛初期优先修复本机漏洞、加固权限，保证零扣分；稳定防守后再开启批量攻击，避免“攻一分、扣两分”的亏损局面。

2、杜绝无效攻击

不要盲目扫描、暴力破解、发送无效Payload，不仅浪费时间，还会被判定为恶意操作违规扣分，入门赛只需精准利用已知通用漏洞即可。

3、Flag提交时效性

AWD Flag存在提交时效，刷新后越早提交分数越高，脚本自动化抓取远快于手动操作，是上分核心关键。

4、禁止违规操作

严禁删除靶机源码、清空日志、封禁端口、DDOS攻击他人，所有赛事对此零容忍，直接判负取消成绩。

5、留存漏洞备份

修复本机漏洞前，务必备份原始源码，防止改错文件导致本机环境崩溃，无法正常得分。

六、新手AWD标准参赛流程（全程无脑套用）

整理一套适配所有入门赛事的标准化流程，新手第一次参赛直接照搬，稳定拿基础分：

第一步：环境熟悉（赛前5分钟）

访问本机靶机，审计源码、排查所有漏洞、记录可利用Payload；修改本机所有默认密码，初步加固。

第二步：漏洞复现（赛前预热）

在本机测试所有漏洞Payload，确保100%成功可用，确认无报错、无过滤。

第三步：防守加固（比赛初期）

批量修复源码漏洞、开启日志监控、自查漏洞，保证本机零失分。

第四步：部署自动化攻击脚本（比赛全程）

填充对手IP列表，运行脚本定时抓取Flag、自动提交，持续稳定上分。

第五步：实时监控调整

随时查看得分排名、日志记录，发现新漏洞及时补充Payload，发现本机被攻击及时二次加固。

七、课后实操练习（AWD专属训练）

零基础快速上手AWD，完成两项基础训练，吃透本期知识点：

1、漏洞复用训练：任选往期PHP弱类型、文件包含漏洞，搭建简易靶机，编写对应批量抓取Flag脚本；

2、防守加固训练：针对已知漏洞，完成源码修复、密码修改、参数过滤，实现漏洞闭环。

文末学习福利

如果你也是零基础、想参加CTF比赛但不知道从哪开始，可以点击文末阅读原文领取200节攻防教程，帮你少走弯路。后续我会持续更新网安实战、就业、副业相关干货，关注我，带你从零基础一步步靠网安变现。

八、下期预告（第十四期全新题材）

本期我们正式解锁CTF AWD攻防对抗赛道，跳出静态解题思维，掌握动态攻防、自动化对抗的核心能力，补齐CTF比赛最后一大核心体系。

CTF比赛入门第十四期我们将开启全新题材：CTF渗透信息收集全解，精讲域名探测、端口扫描、目录爆破、敏感信息挖掘、源码泄露探测，手把手教大家拿下渗透类题型基础分，完善CTF全维度解题能力！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全学习室 点击关注👉 点击关注👉《CTF比赛入门第十三期：AWD攻防赛零基础全解》