CTF

CTF 和真实测试是两件事，这一点在 学 CTF 和做渗透测试是两件事 里写过。

但它有个不可替代的作用：在可控环境里反复练同一种判断。真实项目里，一个注入点可能一周才遇到一次；靶场里，一晚能刷二十道。

这一章按题型组织，不按比赛组织。原因是比赛会过期，题型不会。

写的时候尽量只留「判断顺序」——先看什么、什么条件下换思路。具体 flag 不写，写了对谁都没用。