Чтобы тренироваться в CTF, не нужно ждать следующего турнира. На одних площадках таски доступны постоянно: можно отправить флаг и сразу проверить ответ. В архивах прошедших соревнований лежат условия, файлы и райтапы, но сервер для веб-задачи или pwn-таска может уже не работать. Поэтому начать проще с действующей площадки, а к архивам перейти, когда захочется решать таски конкретных турниров.
С чего начать, если опыта мало
Курс Ugra CTF подойдёт тем, кто хочет читать объяснение на русском и сразу применять его в задаче. Курс разбит на главы: стеганография, форензика, криптография, OSINT, веб, программирование и реверс. В главе по стеганографии, например, рядом с теорией опубликованы отдельные задания. Это маршрут для первого знакомства с категориями, без необходимости самостоятельно собирать программу занятий.
edu строится вокруг типовых задач и объяснения приёмов решения. Здесь есть сети, пентест, криптография, форензика, реверс, pwn и веб. Участник поднимает стенд, пробует решить задачу, затем читает разбор техники. Площадка пригодится, если хочется понять ход решения перед переходом к соревновательным таскам.
БАГодельня — площадка одноимённой команды с задачами на русском. В разделе Welcome можно пройти квиз по шифрам и кодировкам или попробовать найти флаг в записи сетевого трафика. В каталоге есть фильтры по сложности и автору. Для тех, кто хочет научиться определять места по фотографиям, есть категория GEOINT.
CyLab Security Academy — новое имя платформы команды picoCTF. Здесь есть задачи по темам и сложности, подсказки и учебные маршруты. Среди направлений — работа с командной строкой, криптография, веб, форензика, реверс и эксплуатация бинарных программ. Если у вас была учётная запись picoCTF, созданная до 8 мая 2026 года, организаторы сообщают, что прежние данные для входа и прогресс сохранились.
CTFlearn позволяет сразу открыть таск и отправить флаг. Для первой попытки подойдёт Practice Flag: флаг указан прямо в условии, чтобы показать, как работает проверка ответа. После неё можно выбрать несколько задач с пометкой Easy и попробовать разные категории.
DUCKERZ — площадка для регулярной практики. На ней опубликованы задания по девяти категориям, среди которых веб, криптография, реверс, pwn, форензика и OSINT. За решения начисляют очки; свой результат можно сравнивать с рейтингом участников. DUCKERZ подойдёт тому, кто уже освоил основы и хочет переключаться между категориями, как на task-based CTF.
На TaipanByte CTF можно решать задачи по вебу, криптографии, реверсу и другим категориям без таймера. За решения начисляют баллы, так что свой прогресс можно отслеживать в рейтинге.
ХакерЛаб от команды Кодебай предлагает задачи по вебу, криптографии, реверсу, форензике и другим категориям. После регистрации часть каталога доступна бесплатно. Полный каталог, архивные задачи и их разборы входят в платную подписку.
Если мешает незнакомая командная строка, начните с Bandit на OverTheWire. Игра проходит по уровням: решение одного даёт данные для входа на следующий. Авторы называют Bandit вводной игрой и предлагают после неё перейти к Natas для веб-безопасности или Krypton для криптографии. Подключаться к уровням нужно по SSH; данные для старта указаны на сайте.
Где тренироваться в Attack/Defense
ad-edu показывает механику Attack/Defense в браузере без регистрации. На тренажёре можно увидеть, как связаны атака, защита, раунды с флагами и очки за доступность сервиса — SLA. Это отправная точка для тех, кто решал отдельные таски, но ещё не играл в Attack/Defense.
В ad-train от DEVCTF матч длится час. Против ботов можно играть одному или командой. Есть и режим, в котором встречаются две команды игроков. Первые 15 минут отведены на знакомство со своим сервисом и его защиту. К началу матча платформа готовит виртуальные машины, игровую сеть с VPN и таблицу результатов. Записаться можно через Telegram-бота.
Где тренировать отдельную категорию
Если после первых заданий стало ясно, что чаще всего вы застреваете на криптографии, откройте CryptoHack. Вводный курс начинается с кодировок и XOR, затем можно перейти к математике, симметричному шифрованию и криптографии с открытым ключом. На сайте есть и раздел с криптографическими тасками прошедших CTF. Часть заданий решается по приложенным файлам, часть требует общения с работающим сервером.
Для веб-задач пригодится Web Security Academy от PortSwigger. Это учебная площадка по безопасности веб-приложений с интерактивными лабораториями. Таски собраны по темам: SQL-инъекции, XSS, контроль доступа, загрузка файлов и другим. Можно прочитать материал по одной уязвимости, решить несколько лабораторных работ и вернуться к веб-таску на CTF.
pwn.college помогает разобраться в основах, которые нужны для технических категорий CTF: работе с терминалом, устройстве программ и сетей. Материалы выстроены по модулям и открыты для самостоятельного прохождения. У площадки есть просьба к участникам: не публиковать готовые разборы её учебных заданий, поскольку те же задачи используют для обучения студентов.
У SPbCTF есть тематические подборки: Web Kids 2.0, Crypto Kids 2.0, Forensics Kids 2.0, Reverse Kids 2.0 и Pwn Season. Они пригодятся, когда нужно последовательно потренировать одну категорию.
Где искать задачи прошедших CTF
CTFtime удобен как указатель. У него есть страницы прошедших соревнований, задач и райтапов. Найдите турнир или категорию, затем проверьте страницу таска и ссылки на материалы организаторов. Запись в каталоге сама по себе не означает, что файлы доступны и удалённый сервис ещё запущен.
В CTF Archive на pwn.college можно решать задачи прошлых турниров в учебной среде и отслеживать, какие уже сданы. Задания сгруппированы по соревнованиям и годам. Есть, например, подборки DownUnderCTF, ångstromCTF и LA CTF.
За файлами задач полезно идти к самим организаторам. В репозитории Google CTF опубликована большая часть задач турниров начиная с 2017 года и часть инфраструктуры для их запуска.
АРСИБ опубликовала на GitHub архив NSK CTF School 2026 — школьного турнира, который прошёл 7 ноября. Задачи разложены по категориям. В архиве есть условия, авторские разборы и файлы, которые выдавали участникам. Для заданий с сервисами приложены файлы для локального запуска.
Команда [team Team] выкладывает материалы Ugra CTF на GitHub. В репозитории отбора 2025 года есть список задач с категориями и баллами. Отдельно лежат разогревочные таски, которые участники решали перед туром.
Для подготовки к школьной олимпиаде пригодится архив ВсОШ по информационной безопасности на сайте МИЭМ ВШЭ. К региональному и заключительному этапам 2025/26 там приложены образы платформы с заданиями, виртуальные машины участников и авторские разборы. В некоторых выпусках условия и решения разбиты по классам.
Примеры репозиториев российских соревнований:
- MIA CTF 2026
- GoCTF 2026
- Кубок CTF России 2026, 2025, 2024, 2023
- BRICS+ CTF 2024
- SAS CTF 2026, 2025
- CTFZONE 2025
Как заниматься с архивом
Перед тем как тратить время на старую задачу, проверьте три вещи: есть ли файл или исходный код, нужен ли для решения удалённый сервер и приложен ли райтап. Статический таск по криптографии или форензике часто можно решать по скачанным материалам. Для веба и pwn может понадобиться локально поднять сервис по инструкции из репозитория.
Выберите одну категорию и решите несколько заданий подряд. Записывайте, где остановились: не поняли условие, не знали инструмент или проверяли неверную гипотезу. Если обратились к разбору, вернитесь к таску и воспроизведите решение самостоятельно. Так после каждой попытки остаётся конкретный навык, который можно применить на следующем CTF.
Для первого шага достаточно выбрать один маршрут: курс Ugra CTF для обучения на русском, CyLab Security Academy для задач разных категорий или Bandit для практики в командной строке. Когда станет понятна интересующая категория, добавьте профильную площадку и задачи из архивов турниров.
