Как написать write-up CTF: чеклист и шаблон

На прошлом CTF наша команда закрыла 23 таска за двое суток. Write-up'ы не писали — «и так всё помним». Через два месяца, готовясь к новому турниру, не смогли воспроизвести решение ни одного. Повторная разведка, повторный подбор техник, повторные тупики — время потрачено дважды.

С тех пор правило простое: нет write-up'а — считай, таск не решён.

Грамотный write-up CTF — не литературный талант. Это чеклист из конкретных действий, которые превращают черновые заметки в материал, полезный вам через полгода и незнакомому читателю сегодня. Ниже — готовый шаблон, пример хорошего и плохого разбора одного таска, таблица проверки перед публикацией.

Зачем документировать решение CTF-таска

Write-up — не отчёт ради отчёта. Это инструмент, который работает сразу в трёх направлениях. Подробнее — в нашем обзоре создание ctf заданий.

Память и скорость. CTF-категории строятся на повторяющихся паттернах. Web-таски часто идут по схеме «осмотр исходного кода → тест параметров → подтверждение уязвимости». Forensics — «определить тип файла → извлечь данные → проанализировать метаданные». Crypto — распознать кодировку и применить правильный метод декодирования. Если не зафиксировать паттерн после решения, через месяц придётся разбираться заново. Документирование решения CTF превращает одноразовое озарение в воспроизводимый рецепт. Я на себе проверил: таск, который решал два часа, через полгода по собственному write-up'у восстановил за десять минут.

Портфолио пентестера. На собеседовании строчка «знаком с reverse engineering» в резюме ничем не выделяет среди десятка других кандидатов. А ссылка на write-up, где виден ход рассуждений, работа с инструментами и умение внятно объяснить сложную технику — это конкретное доказательство навыков. Умение последовательно излагать техническую мысль напрямую переносится в рабочие задачи: написание отчётов, документирование уязвимостей, обучение коллег. На форуме Codeby верно замечают: «человек, который может объяснить механизм эксплуатации так, чтобы его понял новичок, обладает навыком, который переводится в рабочие задачи».

Вклад в сообщество. Официальное решение от организаторов — один путь к флагу, обычно самый прямой. Ваш путь, пусть извилистый, демонстрирует альтернативные техники и нестандартное мышление. Для новичка, застрявшего на задаче, чужой разбор CTF-таска может стать тем моментом, когда всё встаёт на свои места. Именно культура публикации write-up'ов превращает CTF из закрытого клуба в образовательную среду.

Что фиксировать во время решения таска

Главная ошибка — надеяться на память и bash_history. После 48 часов без сна история команд в терминале превращается в кашу, а последовательность рассуждений исчезает полностью. Начинайте файл заметок до первой команды — потом будет поздно.

Минимальный набор заметок во время CTF

Формат — Markdown, потому что он станет основой write-up'а без переформатирования. Инструмент — Obsidian, CherryTree или обычный .md файл в любом редакторе. Главное не инструмент, а привычка записывать.

Что фиксировать в реальном времени:

• Условие таска. Скопируйте текст задания, сделайте скриншот. После окончания CTF платформа может стать недоступной, а условие — часть контекста, без которого write-up теряет смысл.
• Первые наблюдения. Что увидели, что показалось странным, какие гипотезы возникли. Одно-два предложения, не больше.
• Результативные команды. Не полный лог терминала, а те команды, после которых что-то изменилось. Копируйте вместе с выводом.
• Тупики. Куда пошли и почему это не сработало. Парадоксально, но это самая ценная часть для будущих читателей — и для вас самих.
• Скриншоты. Делайте больше, чем кажется нужным. Лишний скриншот удалить проще, чем воссоздать состояние интерфейса через неделю. Как советует learnhacking.io: «Take LOTS of screenshots» — и этот совет оправдывает себя каждый раз.
• Файлы. Скачанные бинарники, PCAP-дампы, скрипты — всё складывайте в папку таска.

Практический совет: создайте шаблонную папку с подпапками screenshots/, files/, scripts/ и файлом notes.md. На соревновании просто копируете шаблон и переименовываете — не тратите время на организацию в разгар решения.

Время на оформление финального write-up'а после CTF — 10–15 минут на таск, если заметки велись в процессе. Без заметок — от часа и выше, причём с дырами в логике, которые уже не восстановить.

Структура write-up: шаблон из 7 блоков

Хороший write-up отвечает на небольшой набор вопросов в предсказуемом порядке. Предсказуемость здесь не минус, а плюс: читатель заранее знает, где искать нужное. Ниже — шаблон, который можно скопировать в Obsidian или любой Markdown-редактор.

Блок 1. Метаданные. Название CTF, название задания, категория (Web / Crypto / Forensics / Pwn / Reverse / OSINT), количество очков или уровень сложности, дата проведения. Команда P=NP в своём чеклисте по оформлению write-up верно отмечает: категория нужна, чтобы читатель сразу понял область задачи, а очки — чтобы оценить сложность. Без метаданных write-up висит в воздухе.

Блок 2. Условие задания. Полный текст задания, описание приложенных файлов. URL, скриншот интерфейса, хинты от организаторов — всё сюда. Цель: дать читателю ту же стартовую точку, которая была у вас.

Блок 3. Разведка и первые наблюдения. Что вы увидели, когда впервые открыли задание. Не начинайте с финала — начните с того, что заметили. «Открыл страницу — форма логина, но в URL параметр debug=false». Блок позволяет читателю проследить за вашей методологией CTF с нулевой точки.

Блок 4. Ход решения. Пошаговая цепочка: действие → результат → вывод → следующее действие. Это ядро write-up'а. Не перечисляйте команды без пояснений — объясняйте, почему перешли от одного шага к другому. «Увидел параметр debug → попробовал debug=true → получил stack trace → заметил путь к конфигу БД». Каждый переход должен быть понятен человеку, который видит таск впервые.

Блок 5. Код и ключевые команды. Если писали скрипт — покажите его с комментариями к ключевым строкам. Если использовали стандартный инструмент — приведите конкретную команду с флагами и объясните выбор именно этих флагов. Показать код — дать читателю инструмент. Объяснить ключевые строки — научить им пользоваться.

Блок 6. Флаг и итог. Сам флаг (если правила CTF разрешают публикацию) и краткое резюме: в чём заключалась уязвимость или трюк. Два предложения максимум.

Блок 7. Извлечённые уроки. Что нового узнали, какой паттерн запомнить, что попробовать первым в аналогичном таске. По рекомендации Elite Era Security, именно блок lessons learned делает write-up переиспользуемым: через полгода откроете и за 30 секунд вспомните суть, не перечитывая весь разбор.

Опциональный блок — альтернативные пути решения. Если знаете, что таск решался иначе — упомяните. Указание альтернатив показывает глубокое понимание задачи. Для github портфолио CTF это выделяет автора среди тех, кто остановился на первом рабочем варианте.

Готовый шаблон для быстрого старта:

## [Название таска] — [Категория], [Очки] pts
**CTF:** [Название]  |  **Дата:** [ДД.ММ.ГГГГ]
**Сложность:** [Easy / Medium / Hard]

### Условие
> [Текст задания]

### Разведка
[Первые наблюдения, скриншоты]

### Решение
1. [Действие] → [Результат] → [Вывод]
2. ...

### Флаг
`flag{...}`

### Уроки
- [Паттерн для будущих тасков]

Пример оформления write-up: разбор Web-таска

Разница между плохим и хорошим write-up'ом нагляднее всего на одном и том же таске. Возьмём простой Web: «Найдите флаг на странице».

Как выглядит write-up без контекста

Открыл сайт, посмотрел исходник, нашёл комментарий с base64, декодировал, получил flag{s0urc3_c0d3_r3v13w}.

Четыре проблемы: нет метаданных (какой CTF, категория, очки), нет условия, нет объяснения логики (почему автор полез в исходный код, а не в cookies или заголовки), нет уроков. Читатель не может ни повторить решение, ни чему-то научиться.

Как оформить решение CTF грамотно — тот же таск

Метаданные: ExampleCTF 2025 / Hidden Comment / Web / 100 pts / Easy.

Условие: «Найдите флаг на странице. URL: http://chall.example.com:8080».

Разведка: страница — стандартный лендинг без форм и интерактива. В видимой части ничего подозрительного. Таск на 100 очков в категории Web — при таком уровне сложности первое действие: просмотр исходного кода страницы (Ctrl+U).

Решение:

1. Открыл исходный код. В конце <body> обнаружил HTML-комментарий: <!-- ZmxhZ3tzMHVyYzNfYzBkM19yM3YxM3d9 -->.
2. Строка похожа на Base64: латиница, цифры, длина кратна 4, нет спецсимволов кроме +, /, =.
3. Декодировал через CyberChef (операция From Base64). Результат: flag{s0urc3_c0d3_r3v13w}.

Флаг: flag{s0urc3_c0d3_r3v13w}.

Уроки: в лёгких Web-тасках всегда начинать с просмотра исходного кода страницы. HTML-комментарии — типичное место для скрытых данных. Строки из символов [A-Za-z0-9+/=] — первый кандидат на Base64.

Тот же таск, та же сложность — но второй вариант можно переиспользовать через полгода, показать на собеседовании и найти текстовым поиском в архиве. Вот и вся разница между «я решил таск» и «у меня есть write-up CTF, который работает как справочник».

Оформление write-up в Markdown

Markdown — стандарт технического письма в CTF-сообществе. Работает на GitHub, в Obsidian, на форумах Codeby и Habr, конвертируется в PDF через pandoc. Синтаксис осваивается за час и дальше экономит время на каждом разборе.

Ключевые правила форматирования для читабельности:

• Заголовки через ## и ### — создают навигацию. Не используйте больше трёх уровней вложенности: структура write-up'а не настолько глубока.
• Блоки кода — тройные обратные кавычки с указанием языка (```python, ```bash). Так включается подсветка синтаксиса на всех платформах.
• Inline-код — одинарные обратные кавычки для имён файлов, параметров, коротких команд: nmap -sV target. Не создавайте отдельный блок ради одной строки.
• Нумерованные списки — для пошаговых действий. Маркированные — для перечислений без порядка.
• Жирный текст — для ключевых терминов при первом упоминании, но без злоупотреблений. Если выделено всё — не выделено ничего.

Код в write-up: как не превратить разбор в лог терминала

Частая проблема — вставить полный вывод nmap -sV -sC -A -p- target, занимающий два экрана. Читатель тонет и не понимает, что из этого важно.

Правило: показывайте только строки, которые повлияли на решение. Остальное сокращайте до [...] или описывайте текстом. Вместо 50 строк вывода сканера хватит одного предложения: «Nmap обнаружил открытые порты 22 (SSH), 80 (HTTP) и 8080 (Apache Tomcat 9.0.31)». Вся информация на месте, а внимание сфокусировано на том, что двигает решение вперёд.

Код вставляйте, только когда без него теряется смысл. Два-три блока на весь разбор — оптимум. Каждый не длиннее десяти строк. Если эксплойт-скрипт длиннее — выложите файлом в репозитории, а в write-up покажите ключевой фрагмент с комментариями к важным строкам.

Для конвертации Markdown в PDF с оглавлением и подсветкой кода удобен Pandoc с шаблоном Eisvogel: pandoc writeup.md -o writeup.pdf --from markdown --template eisvogel --listings. Результат — аккуратный документ для портфолио. Ryan Kozak описывает эту связку в своём workflow: Markdown пишется один раз, генерируется PDF, тот же файл с минимальными правками header'а становится постом для блога на Jekyll. Один write-up — два формата, минимум ручной работы.

Чеклист write-up перед публикацией

Перед тем как нажать «опубликовать», пройдитесь по таблице. Её можно сохранить шаблоном и вставлять в конец каждого черновика — заполнили все пункты, значит написание отчёта по CTF завершено.

Пункт	Что проверить
Метаданные	Указаны название CTF, таска, категория, очки, дата
Условие	Скопирован текст задания, добавлены файлы или скриншоты
Воспроизводимость	Читатель без контекста сможет повторить решение по шагам
Логика переходов	Каждый шаг объясняет, почему вы перешли к следующему
Код	Комментарии к ключевым строкам, указан язык блока
Скриншоты	Читаемы на мобильном, подписаны
Тупики	Упомянуты ошибочные гипотезы и причины их отклонения
Флаг	Указан (если правила разрешают)
Уроки	Записаны 2–3 паттерна для будущих тасков
Спойлеры	CTF завершён, публикация решений разрешена
Персональные данные	Убраны IP-адреса, токены, реальные учётные записи
Вычитка	Пройдена хотя бы одна проверка на читаемость

Самый быстрый тест качества: дайте write-up человеку, который не участвовал в этом CTF. Если он понял ход решения — разбор работает. Если спрашивает «а откуда взялся этот URL?» или «почему ты решил проверить cookies?» — пропущен контекст, нужно дополнить.

Где публиковать write-up: портфолио пентестера

Выбор площадки зависит от цели. У каждого варианта свои плюсы и минусы.

GitHub. Полный контроль над структурой и архивом. Создайте репозиторий ctf-writeups/ с папками по соревнованиям — это станет вашим github портфолио CTF, которое видят рекрутеры. Markdown рендерится прямо на платформе, PDF-версии генерируются через Pandoc. Минус — нет встроенной аудитории: читателей придётся привлекать через ссылки в тематических чатах.

Тематические форумы и блог-платформы. Codeby, Habr — здесь уже есть аудитория. Write-up сразу попадает в поле зрения коллег и потенциальных работодателей. Обратная связь в комментариях помогает увидеть слабые места в оформлении write-up и рассуждениях. Для первых публикаций это особенно ценно.

CTFtime. Агрегатор write-up'ов по конкретным соревнованиям. Команды публикуют решения, любой участник может найти их по названию таска. Если write-up уже лежит на GitHub или в блоге — добавьте ссылку на CTFtime для максимального охвата.

Комбинированный подход работает лучше всего: пишете в Markdown, храните на GitHub, публикуете на форуме, даёте ссылку на CTFtime. Один write-up — несколько точек входа для разных аудиторий.

Момент, который многие игнорируют — правила публикации. Одноразовые CTF (48 часов, после завершения таски недоступны) обычно разрешают write-up'ы сразу. Постоянные платформы живут по другим правилам: Hack The Box просит публиковать только retired-машины, Root-Me запрещает решения активных задач. Как отмечает learnhacking.io: «if you are interested in doing write-ups for long-term, always-available CTFs, it's best to check for permission before uploading your solution» — всегда проверяйте правила перед публикацией, иначе рискуете дисквалификацией команды.

Типичные ошибки в write-up CTF

Эти ошибки встречаются регулярно — даже у тех, кто решает сложные таски.

Прыжок к ответу. «Нашёл SQL-инъекцию, достал флаг.» Как нашли? Где? Какой payload? Write-up без промежуточных шагов бесполезен и как разбор уязвимости не работает. Команда P=NP формулирует прямо: «You have to explain the exact sequence of thoughts you went through to go from A to B» — объясните последовательность мыслей, а не только итог.

Код без комментариев. Скрипт на 30 строк, вставленный как есть. Читатель вынужден реверсить ваш код, чтобы понять, что он делает. Комментарии хотя бы к ключевым строкам — обязательны: что делает функция, откуда взялось магическое число, зачем этот конкретный параметр.

Стена текста. Один сплошной абзац на 500 слов без разрывов. Делите текст заголовками, списками, визуально отделяйте код от прозы. Write-up могут читать с телефона — проверьте, что блоки кода не уезжают за границы экрана, а скриншоты читаемы без зума.

Избыточная детализация. Противоположная крайность — описывать каждую набранную команду, включая ls, cd и pwd. Показывайте только действия, которые продвинули решение. Остальное — шум.

Отсутствие тупиков. Write-up, где всё получается с первой попытки, выглядит неправдоподобно и не учит. Упомяните ошибочные гипотезы — почему пробовали XSS, прежде чем нашли IDOR. Это демонстрирует реальную методологию CTF и помогает другим не наступать на те же грабли.

Скриншоты без контекста. Картинка без подписи — загадка. «Что я должен увидеть?» Добавляйте подпись: «Ответ Burp Suite — заголовок X-Debug-Token раскрывает путь к конфигу». Без подписи читатель тратит минуту на разгадывание того, что автор показал за секунду.

Публикация во время CTF. Каждый сезон кто-то выкладывает решение до окончания соревнования. Дисквалификация команды и удар по репутации, который запоминается надолго.

Отдельная ошибка формата — write-up, состоящий только из скриншотов. Скриншоты дополняют текст, но не заменяют его. Поисковики не индексируют содержимое картинок, команду из скриншота нельзя скопировать, а через год хостинг изображений может вернуть 404. Текст плюс скриншоты — оптимальная форма. Только текст — допустимо. Только скриншоты — нет.

Write-up'ы — более честный показатель уровня специалиста, чем сертификат. Сертификат подтверждает, что вы сдали экзамен в конкретный день при конкретных условиях. Write-up показывает, как вы думаете, как подходите к неизвестной проблеме, как справляетесь с тупиками — всё в открытом доступе, верифицируемо. Я видел десятки ситуаций на собеседованиях, где кандидат с тремя write-up'ами на GitHub производил большее впечатление, чем кандидат с пятью строчками сертификаций в резюме. Потому что write-up невозможно подделать — либо вы понимаете, что написали, либо это видно на первом уточняющем вопросе.

Часто слышу от начинающих: «Мне нечего писать, я решил только лёгкий таск на 50 очков.» Это заблуждение, которое стоит месяцев развития. Easy-таск с грамотным разбором ценнее, чем hard-таск с двумя строчками «применил RCE, получил флаг». Не сложность задачи определяет ценность write-up'а, а качество мышления, которое в нём видно.

Начинайте с простых тасков, оттачивайте шаблон — через десяток разборов процесс станет автоматическим: 10 минут после каждого решения. Через полгода у вас будет библиотека, которую можно показать работодателю, перечитать перед турниром и предложить сообществу. Если хочется получить структуру для самых первых шагов в кибербезопасности — на IB Basics показывают, что делать в первый месяц, без академического тона и с практикой от первого дня.

🚀 Хочешь закрепить на практике? Реши задачи по теме на HackerLab — категория «pentest-machines».