Google CTF: como funciona e como treinar para ele (2026)

O que é o Google CTF?

O Google CTF é uma competição anual de Capture the Flag organizada pela equipe de segurança do Google. As equipes resolvem enigmas de segurança web, criptografia, engenharia reversa, exploração de binários (pwn) e categorias diversas (misc). Cada enigma resolvido revela uma flag no formato CTF{...} e vale pontos em um placar público.

O Google anunciou a edição de 2018 como o "3rd annual Google CTF", o que coloca a primeira edição em 2016. O evento cresceu rápido. No mesmo anúncio de 2018 no Google Security Blog, a equipe contou que a edição de 2017 teve mais de 5.000 jogadores e que quase 2.000 equipes capturaram flags.

O motivo do esforço está no mesmo post: a empresa acredita que a comunidade de segurança ajuda a proteger seus usuários, e o CTF é uma forma de "nutrir a comunidade e retribuir de um jeito divertido". Ele também serve de vitrine para os programas de bug bounty, que o post divulga logo depois dos detalhes do CTF.

Três coisas o diferenciam da maioria dos CTFs:

• A dificuldade. No CTFtime, o site que avalia CTFs, o Google CTF 2025 tem peso de 97,17 de um máximo de 100. Eventos com nota tão alta são aqueles em torno dos quais as melhores equipes do mundo planejam o ano.
• Os prêmios. O CTFtime lista 12.345 USD para o primeiro lugar em 2025, 5.432,10 USD para o segundo e 3.210 USD para o terceiro, com mais prêmios na final.
• O arquivo. O Google publica os desafios como open source no GitHub depois de cada edição. Esse arquivo é o verdadeiro motivo deste guia.

Como funciona o Google CTF

A estrutura é a mesma há anos: uma eliminatória online aberta a todos e depois uma final para as melhores equipes. Este é o formato, segundo as páginas de evento do CTFtime e os anúncios do próprio Google.

A eliminatória

É na eliminatória que quase todo mundo joga. Você registra uma equipe, o painel abre e, durante 48 horas, você escolhe os desafios na ordem que quiser. A página do evento de 2025 no CTFtime mostra 276 equipes no placar final, vencido pela Friendly Maltese Citizens à frente da kalmarunionen. O arquivo público guarda 30 desafios dessa eliminatória: 8 de web, 6 de pwn, 6 de reversing, 5 de crypto e 5 de misc.

Hackceler8, a final

A final não é um CTF comum. O Hackceler8 mistura hacking e speedrun: cada equipe joga um videogame escrito pelo Google, encontra os bugs escondidos nele e os explora ao vivo para cumprir objetivos mais rápido que os rivais. A kalmarunionen, equipe dinamarquesa que venceu a edição de 2025 na Cidade do México, descreve o evento como um "formato de CTF atípico que combina hacking ao vivo e videogame". O Google também publica os jogos do Hackceler8 como open source, então dá para estudá-los depois do evento.

O que aconteceu em 2026

O CTFtime listava o Google Capture The Flag 2026 de 19 a 21 de junho de 2026. Depois, a página foi atualizada para informar que o CTF tinha sido adiado, com o aviso "stay tuned for further updates". Em novembro de 2026, nenhuma nova data foi publicada, então confira g.co/ctf e a página do CTFtime antes de planejar qualquer coisa. As dicas de treino deste guia não dependem da data.

O Google CTF é bom para iniciantes?

A eliminatória principal do Google CTF não é um evento para iniciantes, e seria injusto fingir o contrário. Os desafios são escritos para as melhores equipes internacionais, e um novato pode facilmente passar 48 horas sem conseguir uma única flag. As partes do Google CTF que servem para iniciantes são as edições do Beginner's Quest e o arquivo público de desafios antigos.

O Google sabe disso há muito tempo. No anúncio de 2018, a equipe disse que acrescentaria desafios para pessoas "novas em CTFs ou em segurança", apresentados no estilo "Quest", com um cenário "parecido com um ambiente real de teste de invasão". Isso virou o Beginner's Quest, que rodou junto com o evento principal em 2018 e 2019. No anúncio de junho de 2024, o Google disse que um novo Beginner's Quest seria lançado mais tarde naquele verão, com "desafios gamificados mais simples".

A resposta honesta depende do que você chama de "jogar":

• Competir na eliminatória: vale fazer uma vez, para ver como são desafios de nível elite. Espere resolver pouco ou nada.
• Jogar um Beginner's Quest: uma boa opção se houver um em andamento. A história guia você e a dificuldade sobe aos poucos.
• Treinar com o arquivo: a melhor opção para a maioria dos iniciantes, disponível em qualquer dia do ano.

Se você quer um evento ao vivo em que um iniciante consiga pontuar de verdade, comece pelo picoCTF e volte aos desafios do Google quando tiver algumas dezenas de flags na bagagem. Nosso guia do picoCTF explica como avançar na biblioteca de treino dele.

Como era o Beginner's Quest do Google CTF

O Beginner's Quest de 2019 está totalmente preservado no repositório do Google e mostra bem o estilo. Todos os desafios faziam parte de uma mesma história maluca sobre alienígenas e uma sociedade secreta chamada "Cookie World Order", cujos membros acabam sendo couves-flores. Por trás das piadas havia técnicas reais. Quatro desafios merecem um olhar mais atento.

Work Computer (sandbox, 200 pontos)

Você cai em um shell restrito dentro de um contêiner e precisa ler um arquivo chamado README.flag. O problema: os comandos de sempre para ler arquivos não estão disponíveis. O walkthrough oficial mostra duas respostas, ambas com as ferramentas do BusyBox que sobraram: empacotar o arquivo com tar e imprimi-lo de volta, ou fazer o makemime codificar o arquivo e exibi-lo. Uma segunda flag, mais difícil, não tinha permissão de leitura nenhuma.

É um clássico para iniciantes porque ensina o reflexo mais útil em CTF: quando a ferramenta óbvia some, liste o que você ainda tem e pergunte-se o que cada ferramenta pode fazer como efeito colateral.

Caulingo (crypto)

Um desafio de RSA com uma falha na escolha dos dois primos: o enunciado diz que |a*p - b*q| < 10000 para valores pequenos de a e b. Ou seja, os primos estão relacionados, e o módulo público pode ser fatorado. A dica oficial tem duas palavras: "Bruteforce" e "Fermat's Factorization Method".

O método de Fermat encontra rapidamente os dois fatores de um número quando eles estão próximos um do outro. Esta é uma versão de brinquedo que rodamos no Python 3.11 com dois primos próximos (1.000.000.007 e 1.000.000.009):

import math

def fermat(n):
    a = math.isqrt(n)
    if a * a < n:
        a += 1
    while True:
        b2 = a * a - n
        b = math.isqrt(b2)
        if b * b == b2:
            return a - b, a + b
        a += 1

print(fermat(1000000016000000063))

$ python3 fermat.py
(1000000007, 1000000009)

A segunda dica do repositório é a que pega os jogadores de verdade: "Check the precision of the result of your sqrt". O math.sqrt do Python converte para ponto flutuante e perde precisão em números grandes. No nosso módulo de brinquedo, ele já devolve 1000000008.0, quando a raiz real fica um pouco abaixo disso. Use math.isqrt (raiz quadrada inteira exata) ou uma biblioteca como gmpy2, como recomenda a solução oficial do Google. Com os números de 2048 bits do desafio real, a versão em ponto flutuante simplesmente falha.

STOP GAN (pwn)

Um buffer overflow com duas flags. O console do desafio explica sem rodeios: derrubar o programa dá a primeira flag, e controlar o travamento dá uma flag bônus. Essa divisão é ótima para aprender. Derrubar um programa enviando dados demais é fácil. Fazer com que o travamento faça o que você quer é a habilidade de verdade. O capítulo de buffer overflow do nosso curso de exploração de binários mostra as duas etapas em x86, que é mais fácil para começar do que o binário MIPS deste desafio.

Cookie World Order (web)

Um desafio web construído em torno de cross-site scripting: a página de livestream insere um parâmetro da URL direto no chat, o que permite rodar JavaScript no navegador de um administrador e roubar o cookie auth dele. A área de administração ainda esconde uma segunda flag atrás de uma server-side request forgery (SSRF). O fato de o Beginner's Quest de 2019 incluir XSS diz muito: é uma das primeiras falhas web que você deve aprender, e ela aparece no arquivo do Google CTF em formas bem mais difíceis.

Como treinar com desafios antigos do Google CTF

O repositório google/google-ctf no GitHub "lista a maioria dos desafios usados no Google CTF desde 2017", sob a licença Apache 2.0. Cada ano tem sua pasta, dividida em quals, finals ou hackceler8, além de uma pasta beginners em 2018 e 2019.

Baixe só o desafio que você quer

O repositório completo é grande. O sparse checkout do Git permite buscar uma única pasta de desafio:

git clone --depth 1 --filter=blob:none --sparse https://github.com/google/google-ctf.git
cd google-ctf
git sparse-checkout set 2019/beginners/crypto-caulingo
ls 2019/beginners/crypto-caulingo
# README.md  attachments  hint.md  solution.md  solution.py

A organização varia de desafio para desafio. Em 2019, o README.md traz o enunciado, a pasta attachments traz os arquivos que os jogadores receberam, e algumas pastas incluem dicas, uma solução ou um Dockerfile para rodar o serviço vulnerável localmente. Desde 2021, a maioria dos desafios das eliminatórias vem no formato kCTF, a infraestrutura de CTF do Google baseada em Kubernetes, com um challenge.yaml e uma pasta challenge com o Dockerfile.

Um método que funciona

1. Leia só o README e os anexos. Não abra ainda o código do servidor nem a solução. A ideia é encarar o desafio como os jogadores encararam.
2. Limite o tempo. Dê a si mesmo de 60 a 90 minutos. Anote cada ideia que testou, inclusive as que falharam.
3. Use a dica, se houver. Nas pastas de iniciantes de 2019, o hint.md costuma dar exatamente o empurrão de que um novato precisa.
4. Depois leia a solução ou um write-up da comunidade. O CTFtime reúne write-ups de cada evento. Compare com suas anotações e descubra o passo exato em que você travou.
5. Resolva de novo de memória uma semana depois. Se não conseguir, você aprendeu a resposta, mas não a técnica.

Na prática, as pastas do Beginner's Quest são o lugar certo para começar, seguidas pelos desafios de eliminatória que parecem mais fáceis nas edições recentes. Os nomes dos desafios costumam começar pela categoria (web-, crypto-, rev-, pwn-, misc-), então dá para focar em uma categoria por vez. Quem está começando em reversing pode olhar o 2024/quals/rev-ilovecrackmes depois de fazer alguns crackmes em outro lugar.

Como se preparar para o próximo Google CTF

Seja qual for a data da próxima eliminatória, a preparação é a mesma: ficar confortável em duas ou três categorias, entrar em uma equipe ou montar uma, e treinar contra o relógio. Um plano realista para quem já conhece o básico:

1. Meses 1 e 2: habilidades essenciais. Aprenda Python o suficiente para escrever o script de uma solução, a linha de comando do Linux e os fundamentos de uma categoria. Web é o ponto de partida mais tolerante.
2. Mês 3: Beginner's Quests antigos. Resolva as pastas de iniciantes de 2018 e 2019 com o método acima.
3. Mês 4: CTFs ao vivo menores. Jogue dois ou três eventos de fim de semana listados no CTFtime com peso abaixo de 50, que são bem mais amigáveis que o Google CTF.
4. Mês 5: desafios recentes da eliminatória. Escolha os desafios com mais soluções dos dois últimos Google CTFs e tente resolvê-los com cronômetro.
5. Fim de semana do evento: controle o ritmo. Leia todos os desafios na primeira hora, escolha um e durma. 48 horas é muito tempo, e jogadores cansados deixam passar coisas simples.

Uma dica sincera: jogue em equipe. Os desafios são difíceis o bastante para que a troca de anotações entre pessoas de categorias diferentes seja a única forma de a maioria das equipes do meio do placar pontuar. Se você não tem equipe, as páginas de equipes do CTFtime e os servidores de Discord de outros CTFs para iniciantes são os lugares onde as pessoas encontram uma.

Google CTF vs outras competições

O Google CTF é ótimo para acompanhar e um ótimo arquivo para treinar, mas raramente é a primeira competição certa. Veja como ele se compara aos eventos por onde os iniciantes costumam começar. Nosso guia sobre como entrar na sua primeira competição de CTF cobre o calendário completo.

Nossa opinião: use o arquivo do Google CTF como músicos usam gravações dos grandes mestres. Você não vai jogar nesse nível no mês que vem, mas estudar como um desafio difícil foi construído ensina mais do que resolver dez desafios fáceis que você já entende.

Considerações legais e éticas

• Fique dentro do escopo dos desafios. Atacar o placar, a própria infraestrutura do CTF ou outras equipes vai contra o espírito de qualquer CTF e pode desclassificar sua equipe.
• Mantenha o código vulnerável longe da internet. O arquivo é inseguro de propósito. Um contêiner de desafio escutando em um IP público é uma vulnerabilidade real na sua rede.
• Espere para publicar write-ups. Compartilhe soluções só depois que o evento terminar, para não estragar a experiência de quem ainda está jogando.

Perguntas frequentes