NSSCTF

定义

NSSCTF是一个运行于万维网的在线CTF平台，由NSS团队自行研发，定位是为CTF爱好者提供学习、练习与交流的环境^[1]。CTF是Capture The Flag的缩写，指参赛者通过分析给定的程序、系统或数据，找到隐藏字符串即flag并提交，以验证其所掌握的安全技术^[3]。

平台把题目练习、比赛组织、笔记整理和战队管理等功能集中在同一个站点内^[1]。用户注册后可以浏览公开题库、参加公开赛、创建或加入战队，并在平台内撰写和阅读解题文章^[3]。其名称中的NSS取自英文表达No System is Safe，来源是一部以黑客为主题的德国电影的中文译名《我是谁：没有绝对安全的系统》^[1]。

作为国内高校网络安全人才培养中被采用的竞赛平台之一，NSSCTF为多所院校的校赛和招新赛提供线上比赛环境，参赛者通过浏览器即可完成答题^[4]。

原理

平台的核心机制是动态化。所谓动态靶机，是指选手在答题时按需启动一个独立的题目运行环境，环境配置、题目文件与flag由平台实时生成^[1]。动态Flag通常以环境变量注入容器，NSSCTF使用的变量名为NSSFLAG，从而使同一道题在不同用户、不同时间呈现不同答案^[5]。

动态积分是另一项基础规则。题目在首次放出时具有较高的基准分值，随着解出该题的队伍数量增加，题目分值逐步下降，从而鼓励选手尽早完成难度更高的题目^[2]。题目的基本呈现形式分为附件与容器两类：附件题以压缩包等形式给出源码或数据，容器题则给出可供连接的靶机地址，Web类靶机可直接在浏览器中访问，二进制类靶机需要借助nc一类工具进行交互^[3]。

在计分与验证环节，平台通过比对用户提交的flag与环境中的真实flag来判定作答是否成功，并结合排行榜实时展示名次^[6]。除常规解题赛外，平台还支持KOH与RHG等对抗形式：前者要求选手在漏洞利用质量上与其他参与者比较，后者要求编写脚本机器人按接口自动完成目标，两类题目均以相对表现而非单次答对决定得分^[3]。

发展历程

NSSCTF的第一代开发与维护工作由Xenny完成，平台在2021年前后进入使用，其早期介绍文档的落款时间为2021年9月3日^[1]。平台上线初期采用邀请码注册方式，并在后续版本中取消了注册环节所需的邀请码，改为填写基本信息并借助邮箱验证完成注册，同时支持通过第三方代码托管平台账号绑定登录^[3]。

平台持续扩充题目方向与赛事功能。除Web、逆向、杂项、密码学、二进制利用等常规方向外，陆续增加了移动安全、以太坊智能合约、物联网安全、人工智能安全以及靶场实战等题目类型^[3]。2025年8月24日，平台举办了NSSCTF四周年竞赛，赛事面向所有网络安全爱好者开放^[7]。

2025年11月22日，平台推出面向对抗类赛事的NSSArena，提供AWD、AWDP等赛制，并允许赛事组织者自定义flag格式、文件位置和提交方式^[6]。竞技场账号与CTF平台账号初期并不互通，用户可从已登录的CTF平台切换绑定，也可单独注册^[6]。此外，平台还上线了面向人工智能方向的Agent Arena专区，允许用户创建自动化解题代理参与CTF解题流程^[8]。

应用

NSSCTF的常见用途是作为高校网络安全竞赛与入门训练的比赛平台。高校可依托平台设置校内与校外赛道，本校学生通过邀请码进入校内赛道，参赛者按线上CTF夺旗赛形式完成题目^[2]。

在日常学习中，平台的公开题库与工坊被用于分方向练习，题库内的每题都附带标签、评分、统计数据与解题文章，便于按知识点检索^[1]。平台同时设有用户上传与比赛复现两类题目来源，用户可提交原创题，也可将他人的公开赛题整理上传，形成可检索的赛题库^[5]。

在赛事组织方面，平台提供独占靶机、实时排名、实时公告和多轮题目等功能，并支持战队创建私有题库、私有比赛和私有讨论板^[1]。面向对抗类训练，NSSArena提供AWD与AWDP等赛制，并引入金币奖池，赛后按排名分配^[6]。此外，一些比赛将平台与动态靶机模板配合使用，通过容器模板批量部署带动态flag的题目^[9]。

局限

平台的题目来源以公开资料整理为主，部分题目并未取得原主办方或出题人授权，平台自身也声明这类内容在接到通知后可由管理员删除^[1]。这意味着题库在内容授权上存在不确定性，使用者在引用或再利用题目时需注意来源。

动态机制也带来一定限制。由于flag与靶机按用户会话实时生成，答题结果与运行环境相关，不同用户对同一题目的答案可能存在差异，部分题目的题解在赛后无法直接复现^[2]。平台方面也曾说明，出于资源消耗的考虑，暂不开放多靶机调度，用户上传题目在创建复杂题面时会受到一定约束^[5]。

赛事组织对平台的依赖还体现在反作弊环节。动态flag、容器与浏览器指纹等信息可被用于比对参赛者行为，一旦出现流量高度相似、动态flag被非本账号使用等情形，相关题目的成绩可能被判定无效，因此成绩的最终认定往往需要参赛者另行提交解题报告接受审查^[4]。

参见

• CTF —— NSSCTF所承载的主要竞赛形式，即通过寻找flag验证安全技能。

• 动态靶机 —— 平台按需生成独立题目环境的机制，是动态flag的载体。

• 动态积分 —— 平台按解出人数调整题目分值的计分规则。

• 二进制利用 —— 平台题目方向之一，常以容器靶机形式给出。

• 网络安全 —— 平台所服务的学科领域与人才培养方向。