AWD攻防赛新手入门：从被吊打到慢慢上道，我踩过的坑全在这了
说实话,第一次听说 AWD攻防赛新手入门 这个词的时候，我整个人是懵的，啥是AWD？攻防赛？跟我打CTF有关系吗？后来被学长拉去凑人数打了一场校赛，那叫一个惨啊……被人按在地上摩擦，自己服务器上的flag被人掏得干干净净，我连对面怎么进来的都不知道，今天这篇文章，就当是一个菜鸡的血泪复盘吧，希望能帮到同样想入门AWD的你。
AWD到底是个啥玩意儿？
AWD,全称Attack With Defense，中文叫“攻防对抗赛”，跟CTF那种做题拿flag不一样，AWD是每支队伍分到一台一模一样的目标服务器，里面跑着几个有漏洞的服务，你要干两件事：
- 防守：修自己机器上的漏洞，保住自己服务器里的flag
- 攻击：去挖别人机器上的漏洞，把别人的flag打下来
比赛一般是打几个小时,flag每隔几分钟刷新一次，你守住了就有分，被别人打穿了就扣分，是不是听着就刺激？我那次打的时候，血压直接拉满，手心全是汗。
新手最容易犯的几个蠢事（我全占了）
上来就急着去打别人
哎,我跟你讲，新手最大的毛病就是一开局就想去干别人，结果呢？自己机器上的洞一个没补，对面还没打下来，自己先被人轮了三遍。AWD攻防赛新手入门的核心口诀：先防守，再攻击！ 真的，血泪教训。
不知道备份源码
每台机器上跑的服务源码,一定要第一时间下载下来备份！我那次傻乎乎的，被人改了个后门都不知道，还以为是自己配置写错了，后来才知道，比赛前几分钟，先scp把源码拖回本地，这是基本操作。
不会看流量
AWD里有个东西叫“流量分析”，说白了就是看别人怎么打你的，WAF日志、access.log，这些都要盯着，新手一开始根本不会看，被人打了半天才发现哦原来是从这个口子进来的……
AWD攻防赛新手入门，到底该练啥？
我总结了一下,想入门AWD，下面这几块你得啃下来：
| 技能方向 | 优先级 |
|---|---|
| Web漏洞 | SQL注入、文件上传、RCE、SSRF |
| 代码审计 | PHP/Java源码快速找洞 |
| 应急响应 | 看日志、找后门、杀进程 |
| 脚本编写 | 批量打flag的脚本 |
| 工具使用 | 蚁剑、Burp、nmap |
防守比攻击重要，这句话我说一百遍都不嫌多，你打别人一次拿100分，自己被人打穿扣200分，这买卖亏大了对吧？
我的入门路线（亲测有效）
- 先打几场CTF，把Web基础打牢，不然AWD你连洞都看不懂
- 本地搭环境，用Docker跑几个靶机，自己打自己
- 学写自动提交flag的脚本，比赛的时候手动提交根本来不及
- 找个队伍抱大腿，跟着老手打一两场，看他们怎么操作
- 复盘，每场比赛结束一定要复盘，看看自己哪里没守住
说到脚本,我给你看个简单的Python提交flag的模板，当时我就是靠这个省了不少事：
import requests
flag = "flag{xxxxx}"
url = "http://比赛平台/submit"
requests.post(url, data={"flag": flag, "token": "你的token"})
就这么几行,但比赛的时候能救命。
最后唠叨几句
AWD攻防赛新手入门 真的没有捷径，就是多打、多看、多复盘，我第一次打的时候全程懵逼，第二次好歹能守住自己机器了，第三次居然还打穿了对面两台……那种成就感，啧啧，比打游戏爽多了。
别怕被虐,谁还不是从被吊打开始的呢？重要的是每次打完要知道自己输在哪，好了，不说了，我去练代码审计了，下次比赛我一定要进前三！
如果你也在学AWD，欢迎一起交流，咱们菜鸡互啄也能进步嘛哈哈~