Google CTF : fonctionnement et méthode pour s'entraîner (2026)

Qu'est-ce que le Google CTF ?

Le Google CTF est une compétition Capture the Flag annuelle organisée par l'équipe sécurité de Google. Les équipes résolvent des énigmes en sécurité web, cryptographie, rétro-ingénierie, exploitation de binaires (pwn) et catégories diverses (misc). Chaque énigme résolue révèle un flag de la forme CTF{...} et rapporte des points sur un classement public.

Google a présenté l'édition 2018 comme le « 3rd annual Google CTF », ce qui fait remonter la première édition à 2016. L'événement a grandi vite. Dans cette même annonce de 2018 sur le Google Security Blog, l'équipe indiquait que l'édition 2017 avait réuni plus de 5 000 joueurs et que près de 2 000 équipes avaient capturé des flags.

Pourquoi Google s'en donne la peine ? Le même article l'explique : l'entreprise estime que la communauté sécurité l'aide à protéger ses utilisateurs, et le CTF est une façon de « nourrir la communauté et de lui redonner ce qu'elle apporte, de manière ludique ». Il sert aussi de vitrine à ses programmes de bug bounty, que l'article met en avant juste après les détails du CTF.

Trois éléments le distinguent de la plupart des CTF :

• La difficulté. Sur CTFtime, le site qui note les CTF, le Google CTF 2025 a un poids de 97,17 sur un maximum de 100. Les événements notés aussi haut sont ceux autour desquels les meilleures équipes du monde organisent leur saison.
• Les prix. CTFtime indique 12 345 USD pour la première place en 2025, 5 432,10 USD pour la deuxième et 3 210 USD pour la troisième, avec d'autres récompenses en finale.
• L'archive. Google publie ses défis en open source sur GitHub après chaque édition. C'est cette archive qui justifie ce guide.

Comment fonctionne le Google CTF

La structure est stable depuis des années : une qualification en ligne ouverte à tous, puis une finale pour les meilleures équipes. Voici le format, d'après les pages d'événement de CTFtime et les annonces de Google.

La qualification

C'est là que joue presque tout le monde. Vous inscrivez une équipe, le tableau s'ouvre, et pendant 48 heures vous choisissez les défis dans l'ordre qui vous convient. La page CTFtime de l'édition 2025 affiche 276 équipes au classement final, remporté par Friendly Maltese Citizens devant kalmarunionen. L'archive publique contient 30 défis de cette qualification : 8 web, 6 pwn, 6 reversing, 5 crypto et 5 misc.

Hackceler8, la finale

La finale n'est pas un CTF classique. Hackceler8 mélange hacking et speedrun : chaque équipe joue à un jeu vidéo écrit par Google, trouve les bugs cachés dedans et les exploite en direct pour atteindre les objectifs plus vite que ses adversaires. Kalmarunionen, l'équipe danoise qui a remporté l'édition 2025 à Mexico, la décrit comme un « format de CTF atypique qui combine hacking en direct et jeu vidéo ». Google publie aussi les jeux Hackceler8 en open source, ce qui permet de les étudier après l'événement.

Ce qui s'est passé en 2026

CTFtime annonçait le Google Capture The Flag 2026 du 19 au 21 juin 2026. La fiche a ensuite été mise à jour pour indiquer que le CTF était reporté, avec la mention « stay tuned for further updates ». En novembre 2026, aucune nouvelle date n'a été publiée : vérifiez g.co/ctf et la page CTFtime avant de vous organiser. Les conseils d'entraînement de ce guide ne dépendent pas de la date.

Le Google CTF est-il adapté aux débutants ?

La qualification principale du Google CTF n'est pas un événement pour débutants, et il serait malhonnête de prétendre le contraire. Les défis sont écrits pour les meilleures équipes internationales, et un nouveau venu peut facilement passer 48 heures sans trouver un seul flag. Ce qui convient aux débutants, ce sont les éditions du Beginner's Quest et l'archive publique des anciens défis.

Google le sait depuis longtemps. Dans l'annonce de 2018, l'équipe expliquait vouloir ajouter des défis pour les personnes « nouvelles dans les CTF ou la sécurité », présentés sous forme de « Quest », avec un scénario « proche d'un vrai environnement de test d'intrusion ». C'est devenu le Beginner's Quest, organisé en parallèle de l'épreuve principale en 2018 et 2019. Dans son annonce de juin 2024, Google précisait qu'un nouveau Beginner's Quest serait lancé plus tard dans l'été, avec des « défis ludiques plus simples ».

La réponse honnête dépend donc de ce que vous entendez par « jouer » :

• Participer à la qualification : à faire une fois, pour voir à quoi ressemblent des défis de niveau élite. Attendez-vous à ne rien résoudre, ou presque.
• Jouer à un Beginner's Quest : un bon choix si une édition est en cours. L'histoire vous guide et la difficulté monte progressivement.
• S'entraîner sur l'archive : la meilleure option pour la plupart des débutants, disponible toute l'année.

Si vous voulez un événement en direct où un débutant peut vraiment marquer des points, commencez par picoCTF et revenez aux défis de Google une fois quelques dizaines de flags en poche. Notre guide picoCTF explique comment progresser dans sa bibliothèque d'entraînement.

À quoi ressemblait le Beginner's Quest du Google CTF

Le Beginner's Quest 2019 est entièrement conservé dans le dépôt de Google, et il illustre bien le style. Chaque défi appartenait à une même histoire loufoque d'extraterrestres et d'une société secrète baptisée « Cookie World Order », dont les membres se révèlent être des choux-fleurs. Derrière les blagues, de vraies techniques. Quatre défis méritent qu'on s'y arrête.

Work Computer (sandbox, 200 points)

Vous arrivez dans un shell restreint sur un conteneur et devez lire un fichier nommé README.flag. Le piège : les commandes habituelles pour lire un fichier ne sont pas disponibles. Le walkthrough officiel donne deux réponses, qui utilisent les outils BusyBox restants : mettre le fichier dans une archive et la réafficher avec tar, ou demander à makemime d'encoder le fichier et de l'afficher. Un second flag, plus difficile, n'avait aucun droit de lecture.

C'est un classique pour débutants parce qu'il enseigne le réflexe le plus utile en CTF : quand l'outil évident a disparu, listez ce qui vous reste et demandez-vous ce que chaque outil peut faire en effet de bord.

Caulingo (crypto)

Un défi RSA dont la faiblesse vient du choix des deux nombres premiers : l'énoncé indique que |a*p - b*q| < 10000 pour de petites valeurs de a et b. Autrement dit, les nombres premiers sont liés, et le module public peut être factorisé. L'indice officiel tient en deux mots : « Bruteforce » et « Fermat's Factorization Method ».

La méthode de Fermat trouve rapidement les deux facteurs d'un nombre quand ils sont proches l'un de l'autre. Voici une version jouet que nous avons lancée en Python 3.11 avec deux nombres premiers proches (1 000 000 007 et 1 000 000 009) :

import math

def fermat(n):
    a = math.isqrt(n)
    if a * a < n:
        a += 1
    while True:
        b2 = a * a - n
        b = math.isqrt(b2)
        if b * b == b2:
            return a - b, a + b
        a += 1

print(fermat(1000000016000000063))

$ python3 fermat.py
(1000000007, 1000000009)

Le second indice du dépôt est celui qui piège les vrais joueurs : « Check the precision of the result of your sqrt ». La fonction math.sqrt de Python convertit en nombre à virgule flottante et perd en précision sur les grands nombres. Sur notre module jouet, elle renvoie déjà 1000000008.0 alors que la vraie racine est juste en dessous. Utilisez math.isqrt (racine carrée entière exacte) ou une bibliothèque comme gmpy2, comme le recommande la solution officielle de Google. Avec les nombres de 2048 bits du vrai défi, la version flottante échoue tout simplement.

STOP GAN (pwn)

Un dépassement de tampon (buffer overflow) avec deux flags. La console du défi l'explique clairement : faire planter le programme donne le premier flag, contrôler le plantage donne un flag bonus. Ce découpage est très pédagogique. Faire planter un programme en lui envoyant trop de données est facile. Faire en sorte que le plantage fasse ce que vous voulez, c'est la vraie compétence. Le chapitre buffer overflow de notre cours d'exploitation de binaires détaille les deux étapes sur x86, plus simple pour débuter que le binaire MIPS de ce défi.

Cookie World Order (web)

Un défi web construit autour du cross-site scripting : la page de livestream insère un paramètre d'URL directement dans le chat, ce qui permet d'exécuter du JavaScript dans le navigateur d'un administrateur et de voler son cookie auth. L'espace d'administration cache ensuite un second flag derrière une server-side request forgery (SSRF). Que le Beginner's Quest 2019 inclue une XSS en dit long : c'est l'une des premières failles web à apprendre, et on la retrouve dans l'archive du Google CTF sous des formes bien plus difficiles.

Comment s'entraîner avec les anciens défis du Google CTF

Le dépôt google/google-ctf sur GitHub « liste la plupart des défis utilisés dans le Google CTF depuis 2017 », sous licence Apache 2.0. Chaque année a son dossier, divisé en quals, finals ou hackceler8, avec en plus un dossier beginners en 2018 et 2019.

Ne téléchargez que le défi qui vous intéresse

Le dépôt complet est volumineux. Le sparse checkout de Git permet de récupérer un seul dossier de défi :

git clone --depth 1 --filter=blob:none --sparse https://github.com/google/google-ctf.git
cd google-ctf
git sparse-checkout set 2019/beginners/crypto-caulingo
ls 2019/beginners/crypto-caulingo
# README.md  attachments  hint.md  solution.md  solution.py

L'organisation varie d'un défi à l'autre. En 2019, README.md contient l'énoncé, attachments les fichiers fournis aux joueurs, et certains dossiers ajoutent des indices, une solution ou un Dockerfile pour lancer le service vulnérable en local. Depuis 2021, la plupart des défis de qualification sont livrés au format kCTF, l'infrastructure CTF de Google basée sur Kubernetes, avec un challenge.yaml et un dossier challenge qui contient le Dockerfile.

Une méthode qui fonctionne

1. Lisez uniquement le README et les pièces jointes. N'ouvrez pas encore le code du serveur ni la solution. Le but est d'affronter le défi comme les joueurs l'ont fait.
2. Limitez votre temps. Accordez-vous 60 à 90 minutes. Notez chaque idée essayée, y compris celles qui ont échoué.
3. Utilisez l'indice s'il existe. Dans les dossiers débutants de 2019, hint.md donne souvent exactement le coup de pouce dont un débutant a besoin.
4. Lisez ensuite la solution ou un write-up de la communauté. CTFtime rassemble les write-ups de chaque événement. Comparez avec vos notes et repérez l'étape exacte où vous avez bloqué.
5. Refaites le défi de mémoire une semaine plus tard. Si vous n'y arrivez pas, vous avez appris la réponse, pas la technique.

En pratique, les dossiers du Beginner's Quest sont le bon point de départ, puis les défis de qualification qui semblent les plus simples parmi les éditions récentes. Le nom des défis commence en général par la catégorie (web-, crypto-, rev-, pwn-, misc-), ce qui permet de travailler une catégorie à la fois. Les débutants en reversing peuvent regarder 2024/quals/rev-ilovecrackmes après avoir fait quelques crackmes ailleurs.

Comment se préparer au prochain Google CTF

Quelle que soit la date de la prochaine qualification, la préparation reste la même : être à l'aise dans deux ou trois catégories, rejoindre ou monter une équipe et s'entraîner sous la contrainte du temps. Un plan réaliste pour quelqu'un qui connaît déjà les bases :

1. Mois 1 et 2 : les compétences de base. Apprenez assez de Python pour scripter une solution, la ligne de commande Linux et les fondamentaux d'une catégorie. Le web est le point de départ le plus indulgent.
2. Mois 3 : les anciens Beginner's Quest. Faites les dossiers débutants de 2018 et 2019 avec la méthode ci-dessus.
3. Mois 4 : des CTF en direct plus petits. Jouez deux ou trois événements de week-end listés sur CTFtime avec un poids inférieur à 50, bien plus accessibles que le Google CTF.
4. Mois 5 : les défis de qualification récents. Choisissez les défis les plus résolus des deux derniers Google CTF et attaquez-les avec un chronomètre.
5. Le week-end de l'événement : gérez votre rythme. Lisez tous les défis dans la première heure, choisissez-en un, et dormez. 48 heures, c'est long, et les joueurs fatigués ratent des choses simples.

Un conseil honnête : jouez en équipe. Les défis sont si durs que la plupart des équipes de milieu de classement ne marquent des points que grâce aux échanges de notes entre spécialistes de catégories différentes. Si vous n'avez pas d'équipe, les pages équipes de CTFtime et les serveurs Discord d'autres CTF pour débutants sont les bons endroits pour en trouver une.

Google CTF vs les autres compétitions

Le Google CTF est un excellent événement à suivre et une excellente archive pour s'entraîner, mais c'est rarement la bonne première compétition. Voici comment il se compare aux événements par lesquels les débutants commencent souvent. Notre guide pour participer à votre première compétition CTF couvre le calendrier complet.

Notre avis : utilisez l'archive du Google CTF comme un musicien écoute les enregistrements des grands. Vous ne jouerez pas à ce niveau le mois prochain, mais étudier la construction d'un défi difficile vous apprend plus que résoudre dix défis faciles que vous comprenez déjà.

Considérations légales et éthiques

• Restez dans le périmètre des défis. Attaquer le classement, l'infrastructure du CTF ou les autres équipes va contre l'esprit de tout CTF et peut faire disqualifier votre équipe.
• Gardez le code vulnérable hors d'Internet. L'archive est volontairement non sécurisée. Un conteneur de défi qui écoute sur une IP publique est une vraie vulnérabilité sur votre réseau.
• Attendez avant de publier vos write-ups. Ne partagez vos solutions qu'après la fin de l'événement, pour ne pas gâcher le jeu des équipes encore en lice.

Questions fréquentes