▸ What is Capture The Flag (CTF)?

Capture The Flag (CTF) คือการแข่งขันด้านความมั่นคงปลอดภัยไซเบอร์ ที่เป้าหมายคือการหา flag ครับ

flag คือข้อความลับสั้น ๆ ที่ผู้ออกโจทย์ซ่อนไว้ในระบบ ไฟล์ หรือเว็บไซต์ มักอยู่ในรูปแบบเฉพาะ เช่น flag{...} หรือ coc2023{...} หน้าที่ของผู้เข้าแข่งคือใช้ทักษะด้านความปลอดภัยไล่หาช่องโหว่ แกะร่องรอย หรือถอดรหัส จนเจอ flag แล้วส่งเข้าระบบเพื่อรับคะแนน ใครเก็บ flag ได้คะแนนรวมมากที่สุดก็เป็นผู้ชนะครับ

พูดง่าย ๆ มันคือเกมล่าสมบัติของสายแฮก ที่ทุกด่านคือโจทย์ความปลอดภัยจริง ๆ

Capture The Flag (CTF) is a cybersecurity competition where the goal is to find the flag.

A flag is a short secret string that the challenge author hides inside a system, a file, or a website, usually in a fixed format like flag{...} or coc2023{...}. Your job is to use security skills to find vulnerabilities, follow traces, or break encryption until you uncover the flag, then submit it for points. Whoever collects the most points wins.

In short, it is a treasure hunt for hackers, where every stage is a real security problem.

จากประสบการณ์ของผมเอง CTF ให้อะไรมากกว่าที่คิดครับ

• เรียนรู้ทักษะ Cybersecurity จากการลงมือทำ ไม่ใช่แค่อ่านทฤษฎี แต่ได้ exploit ระบบจริง วิเคราะห์ของจริง
• สนุกและท้าทาย มันคือเกม การได้ flag แรกหลังนั่งงมมาหลายชั่วโมงให้ความรู้สึกที่หาจากที่อื่นยาก
• ได้ connection เจอเพื่อนสายเดียวกัน รุ่นพี่ที่เก่ง ๆ และทีมที่เรียนรู้ไปด้วยกัน
• สร้างชื่อและโอกาสในการทำงาน ผลการแข่งและ write-up เป็นพอร์ตที่บริษัทสาย security มองหา

From my own experience, CTF gives back more than you would expect.

• You learn Cybersecurity by doing, not just reading theory. You exploit real systems and analyse real artefacts.
• It is fun and challenging. It is a game. Landing your first flag after hours of grinding is a feeling that is hard to get elsewhere.
• You build connections. You meet peers on the same path, strong seniors, and teammates who learn alongside you.
• It builds a name and job opportunities. Competition results and write-ups are exactly the portfolio that security companies look for.

การแข่ง CTF มีอยู่หลัก ๆ 3 รูปแบบครับ

• Jeopardy · รูปแบบที่พบบ่อยที่สุด โจทย์แยกเป็นหมวดตามคะแนน เช่น Web, Crypto, Forensics, Reverse, Pwn, Misc ทำข้อไหนก็ได้ ใครคะแนนรวมมากที่สุดชนะ เหมาะกับมือใหม่
• Attack and Defense · แต่ละทีมได้เซิร์ฟเวอร์ของตัวเอง ต้องป้องกันระบบของตัวเองพร้อมกับโจมตีระบบของทีมอื่นไปด้วย เข้มข้นและต้องทำหลายอย่างพร้อมกัน
• King of the Hill · ทุกทีมแย่งกันยึดเครื่องเป้าหมายเดียวกัน ใครครองเครื่องได้นานกว่าก็ได้คะแนนมากกว่า

CTF competitions come in three main formats.

• Jeopardy · the most common format. Challenges are split into scored categories such as Web, Crypto, Forensics, Reverse, Pwn, and Misc. You solve them in any order, and the highest total score wins. Best for beginners.
• Attack and Defense · each team gets its own server. You defend your system while attacking the other teams’ systems at the same time. Intense, and you juggle several things at once.
• King of the Hill · every team fights to hold the same target machine. The longer you keep control, the more points you earn.

ถ้าอยากลอง CTF ผมแนะนำให้ไล่ตามลำดับนี้ครับ

1. ปูพื้นฐานคอมพิวเตอร์ · networking, operating systems, ภาษาโปรแกรมพื้นฐาน และช่องโหว่ความปลอดภัยที่พบบ่อย เป็นรากฐานที่ขาดไม่ได้
2. เลือกแพลตฟอร์มฝึก · มีหลายเจ้าให้เลือกตามระดับและงบ
3. ใช้ทรัพยากรที่มีให้คุ้ม · บทความ tutorial และ write-up ของคนอื่น คือครูที่ดีที่สุด
4. ฝึกสม่ำเสมอ · CTF เป็นทักษะที่สร้างจากการทำซ้ำ ความสม่ำเสมอสำคัญกว่าพรสวรรค์

If you want to try CTF, I suggest this order.

1. Build computer fundamentals · networking, operating systems, a basic programming language, and common security vulnerabilities. This base is non-negotiable.
2. Pick a practice platform · there are several, sorted by difficulty and budget.
3. Use available resources well · articles, tutorials, and other people’s write-ups are the best teachers.
4. Practice regularly · CTF is a skill built by repetition. Doing it often beats raw talent.

แพลตฟอร์มที่ผมแนะนำ จัดตามความยากและค่าใช้จ่ายคร่าว ๆ ครับ

• picoCTF · ฟรีและเป็นมิตรกับมือใหม่มาก เหมาะเป็นจุดเริ่มต้นที่สุด
• TryHackMe · มีเส้นทางเรียนรู้แบบจับมือทำ เหมาะกับคนเริ่มต้น มีทั้งฟรีและแบบเสียเงิน
• VulnHub · โหลดเครื่องมาฝึกเองได้ฟรี ความยากปานกลาง
• SecPlayground · แพลตฟอร์มฝึกที่เป็นมิตรกับผู้เริ่มต้น
• Hack The Box · ท้าทายและสมจริง เหมาะกับคนที่เริ่มมีพื้นฐานแล้วและอยากดันตัวเอง

นอกจากนี้ลองตามเว็บอย่าง CTFtime เพื่อดูตารางการแข่งที่เปิดให้สมัครได้เรื่อย ๆ ครับ

The platforms I recommend, roughly sorted by difficulty and cost.

• picoCTF · free and very beginner-friendly. The best place to start.
• TryHackMe · has guided, hands-on learning paths. Great for beginners, with free and paid tiers.
• VulnHub · free machines you download and run yourself. Medium difficulty.
• SecPlayground · a beginner-friendly practice platform.
• Hack The Box · challenging and realistic. Best once you have a base and want to push yourself.

Also follow sites like CTFtime to see the schedule of competitions open for registration.

ผมเริ่มจากการเป็นคนที่ไม่ได้จบสายไซเบอร์โดยตรง แล้วเก็บประสบการณ์ส่วนใหญ่จากการลงแข่ง CTF ครับ ถ้าให้แนะนำสั้น ๆ คือ อย่ากลัวที่จะทำข้อที่ยังทำไม่ได้ การติดอยู่กับโจทย์นาน ๆ แล้วในที่สุดก็แก้ได้ คือกระบวนการเรียนรู้ที่ดีที่สุดของสายนี้

ลองดูครับ แล้วถ้าติดใจ ค่อยกลับมาอ่าน write-up ในบล็อกนี้เป็นแนวทางต่อได้

I started as someone without a direct cyber background and picked up most of my experience from competing in CTF. My short advice: do not be afraid of challenges you cannot solve yet. Being stuck on a problem for a long time and finally cracking it is the best learning process this field has.

Give it a try. If it grabs you, come back and use the write-ups on this blog as a guide.