美可琼杰1. 赛前准备清单：为什么我最终选了这套练手靶场组合
2026 i春秋冬季赛的报名信息一放出来，我第一反应不是去看赛制说明，而是先翻了翻自己半年来刷过的靶场记录。说句实话，i春秋的比赛题目风格这些年变化挺大的，从早期的纯CTF套路题，慢慢变成了“贴近实战场景但是又保留CTF解题逻辑”的混合型命题。如果赛前一周才开始临时抱佛脚，基本就是去当炮灰。
我这次赛前准备分了三层：第一层是基础漏洞靶场，把Web方向常见的漏洞类型过一遍手；第二层是带权重的综合靶场，模拟真实业务系统里的多点串联利用；第三层才是比赛真题回顾，把i春秋历届冬季赛里出现过的出题套路捋一遍。
基础漏洞靶场我选了DVWA和Pikachu。为什么是这两个？因为它们都是开源、能在本地用Docker一键搭起来的，而且DVWA的漏洞等级分低中高三个档位，适合从原理到绕过分层递进；Pikachu则更贴近国内CTF比赛的出题习惯，比如它的RCE、文件包含、SQL注入这些模块，基本就是国内比赛题的简化版，刷完它再去看i春秋的Web题，起码不会对着题目发懵。
Docker搭建这个过程我要多说一句，因为很多人卡在环境上而不是题目上。我当时用的是kali里直接跑Docker的方式，命令很简单：
bash复制docker run -d --name dvwa -p 8080:80 vulnerables/web-dvwa
跑起来之后访问http://localhost:8080就能进DVWA的登录页，默认账号密码是admin/password。Pikachu的话，官方仓库clone下来之后，有现成的Dockerfile，直接docker build就能起。唯一要注意的是Pikachu的数据库初始化脚本需要PHP环境支持pdo_mysql扩展，如果你用的是默认镜像，大概率已经装好了，但是如果自己改过PHP配置，这一步会是第一个坑。
综合靶场我刷的是upload-labs和sqli-labs，这俩也是Docker一键起。upload-labs专门练文件上传绕过，从前端JS校验到服务端MIME校验、黑名单后缀、图片马、二次渲染，一共21关，每一关都对应一种真实场景里的上传过滤逻辑，刷完基本能把上传漏洞的绕过思路理顺。sqli-labs则是从数字型注入、字符型注入、报错注入到时间盲注，1-65关全过一遍之后，SQL注入的手工判断能力会有明显提升。
上传和注入为什么会成为练手重点？因为i春秋的比赛题目里，Web题有一半以上都绕不开这两个点。要么是登录框存在SQL注入，要么是后台存在文件上传，前者用来拿权限，后者用来留后门，两个点结合就是一条标准的Web攻击链。如果你连这两个基础模块都需要现查笔记，那比赛四小时基本不够用。
至于为什么没选vulnhub，是因为vulnhub的靶机更偏向内网渗透和整体思路训练，单关时长普遍在两小时以上，和比赛这种“短平快拆题”的节奏不太匹配。vulnhub适合放在比赛之后作为进阶，不适合赛前冲刺。这是我的个人判断，不代表所有人，但对于目标是“在i春秋冬季赛里拿保底分”的选手来说，基础靶场刷熟练度的优先级肯定高于打整台vulnhub机器。
赛前最后一天，我把kali里的工具清单重新过了一遍：Burp Suite的抓包改包、sqlmap的Tamper脚本、nmap的常用扫描参数、蚁剑和冰蝎的连接方式、还有John the Ripper做弱口令爆破。这些工具的熟练度，决定了你在比赛里能不能快速从“发现漏洞”走到“拿到flag”。很多人比赛失败不是因为不会漏洞原理，而是因为工具用得太慢，比如一个Base64编码的数据包，手工改要两分钟，用Burp的Decoder模块十秒就搞定，这个差距在分秒必争的比赛里会被无限放大。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 三个最容易上分的Web题：从源码审计到SQL注入绕过
正式比赛开始之后，我按惯例先把Web题全部点开看了一遍，不急着上手，先判断每道题的难度和目标环境。这一轮信息收集非常重要，我见过太多人一上来就拿着sqlmap扫全场，结果把简单的源码审计题打成了盲注题，浪费时间不说