CTF Writeup 合集

题目类型： MISC（流量分析）

题目附件： passwd.zip

题目描述： flag形式为flag{xxx}

解题过程

打开附件是一个 pcap 流量包文件，用 Wireshark 打开进行流量分析。首先追踪 TCP 流，搜索关键字 flag 或者 password，发现了一段包含用户名和密码的数据。

追踪 TCP 流后发现用户名和密码信息，但密码部分存在特殊字符，需要以 Hex 方式查看。

通过 Hex 转储查看发现，特殊字符对应的 Hex 值为 7F，这是一个删除控制字符（DEL），将其恢复后即可得到完整的用户名和密码。

恢复特殊字符后，得到完整的凭据信息，直接作为 flag 提交。

题目类型： MISC

题目附件： misc_Only one picture.zip

题目描述： 这张图片是谁的呢？

解题过程

解压附件得到一张图片文件，根据题目提示和“这张图片是谁的呢”的描述，首先用 010 Editor 查看文件的头部和尾部结构，发现文件末尾隐藏了一个 ZIP 压缩包。

将隐藏的压缩包分离保存后尝试解压，发现需要输入密码。回到题目提示“这张图片是谁的呢？”，查看图片的属性信息（EXIF信息），在其中找到了密码线索。

使用从图片属性中获取的密码成功解压压缩包，即可得到 flag。

题目类型： MISC

题目附件： liu.zip

题目描述： Nothing here. flag格式为CTF{xxx}

解题过程

解压附件得到一个 liu.vmdk 虚拟磁盘文件。首先使用 7-Zip 解压该文件，从中提取出一个文件，根据文件名推测其可能指向 flag 的存储位置。

提取出关键文件后，用 Autopsy（或随波逐流工具）打开 vmdk 磁盘镜像进行文件系统分析。通过 NTFS 交替数据流（ADS）技术发现了隐藏的 flag 数据。

该题考查的是 NTFS 交替数据流（Alternate Data Streams）的知识点，这是一种在 NTFS 文件系统中隐藏数据的技术。

题目类型： Crypto

题目附件： bucket.zip

题目描述： 解密Base全家桶。

解题过程

题目提示为“Base全家桶”，解压附件后打开 cipher.txt 文件，发现是一串数字编码数据。

第一层：Hex 解码

原始数据 34413441... 只包含 0-9 和 A-F，且长度很长，初步判断为十六进制（Hex）编码。第一次 Hex 解码后得到 4A4A4645...，仍然是 Hex 编码，继续进行第二次 Hex 解码。

第二层：Base32 解码

第二次 Hex 解码后得到 JJFEMRKNKJFU4S2K... 这串字符全部大写、包含数字 2-7、无 +/= 符号，这些特征明显符合 Base32 编码的字符集特征。

第三层：Base32 多层嵌套

经过分析发现 Base32 编码进行了多层嵌套，连续解 7 次 Base32 后最终得到明文。解码过程可以使用 CyberChef 等工具，也可以编写 Python 脚本进行自动化处理。

题目类型： WEB

目标地址： 172.29.254.78

漏洞类型： LFI（本地文件包含）+ 文件上传 → RCE

1. 信息收集

访问首页 index.php，URL 中 file 参数直接控制包含的文件，存在 LFI（本地文件包含）漏洞：

查看页面源代码，发现注释泄露了上传页面路径 upload.php，同时响应头中包含一条 HTML 实体编码的 Base64 提示，解码后得到 include.php。

2. 漏洞分析

2.1 LFI 漏洞 (index.php)

后端对 file 参数进行了过滤：拦截 php://、http、data、ftp、input、%00 等协议，禁止目录遍历（..），限制字符串长度不超过70。但过滤规则支持绝对路径包含，且对文件扩展名无限制，因此可以通过包含上传的图片文件来执行代码。

2.2 文件上传 (upload.php)

上传页面存在以下限制：仅允许图片扩展名（gif/jpeg/jpg/png），检查 Content-Type，文件会被重命名为 YmdHis+随机数.jpg，并且 <?php 标签会被替换为下划线。

3. 利用过程

3.1 绕过内容过滤

<?php 和 ?> 标签被替换为下划线，但 PHP 还支持其他脚本标记。使用 <script language="php"> 标签可以成功绕过内容过滤：

3.2 上传 Webshell

上传成功后，文件被保存为 upload/20260430XXXXXX.jpg（YmdHis + 4位随机数）。

3.3 LFI 触发 RCE

通过 LFI 包含上传的图片 webshell，实现远程代码执行：

3.4 查找 Flag 文件

列出 Web 目录后，在其中发现了 Flag 文件 this_is_th3_F14g_66666999999.txt，读取即可获得 flag。

4. 攻击链总结

本题的完整攻击链为：信息收集发现 LFI 漏洞和文件上传功能 → 绕过文件上传的内容过滤（使用 <script language="php"> 标签） → 上传图片 Webshell → 通过 LFI 包含上传的图片文件 → 实现 RCE → 读取 Flag 文件。