最近朋友小李在群里发了个链接，说是个网络安全挑战赛，练练手还能拿奖金，点进去一看要交80块报名费。他问我这正常吗？我反手就是一个截图发过去：别交！十有八九是坑。
正规比赛基本不收报名费
真正靠谱的网络安全挑战活动，比如CTF（Capture The Flag）比赛，大多由高校、安全厂商或政府机构主办，目的就是培养人才、发现漏洞。这类活动不仅免费，还经常倒贴奖金、奖品甚至实习机会。像DEF CON CTF、强网杯这些知名赛事，谁听说过要选手先交钱才能参加？
收费的可能是“培训营”或认证考试
有些打着“挑战赛”旗号的活动确实会收费，但它们本质是培训课程。比如某机构办个“黑客实战训练营”，前两天模拟攻防，最后搞个小比赛，这种收几百到几千不等，属于教育服务范畴。还有像OSCP这类国际安全认证考试，本身带测评环节，报名费确实要上千美元，但它不是普通“挑战活动”。
怎么分辨是不是骗局？
最简单的办法——查主办方。官网有没有备案？社交媒体有没有长期运营痕迹？搜一下往届参赛者反馈。如果页面只有QQ群二维码和模糊介绍，付款方式还只能走个人收款码，基本可以判定是钓鱼套信息的。之前就有案例，交了“报名费”后，对方拉你进群发个木马程序让你“下载题库”，一运行电脑就中招。
建议这么做
看到要收费的挑战活动，先别急着扫码。去知乎、FreeBuf、看雪论坛搜搜名字，或者问问身边搞安全的朋友。真想练技术，GitHub上一堆开源CTF题目，Kali Linux搭个靶机环境自己就能玩起来。省下的报名费，够买好几本《Web安全深度剖析》了。