CTF杂项入门 · 课堂笔记

01

CTF 到底是比什么？

Capture The Flag · 夺旗赛

它是信息安全领域的竞赛，全称 Capture The Flag，中文叫“夺旗赛”。所谓“旗”，就是题目中的一段 flag 字符串，解出来就得分。

形式分为：解题模式 与 攻防模式

解题模式：多在线上赛出现，自由组队，常见 3-4 人，也有一人成队。最先解出题目的前几名设有额外加分。

攻防模式：多见于线下决赛/现场赛。时间短，更看重临场反应、攻防速度和综合能力。

解题前三名通常会被叫作“一血、二血、三血”，也是比赛的看点。

02

CTF 常见五大方向

Misc / Web / Reverse / Pwn / Crypto

杂项 Misc

利用隐写/保护技术，把信息藏在图片、音频、视频、压缩包；相对较入门。

Web Web

访问目标网站，找漏洞、突破站点权限，进而获得 flag。

逆向 Rev

通常没有源码，需使用工具反编译/反汇编，分析算法与核心逻辑。

Pwn

从程序中寻找漏洞，并利用漏洞拿到远程服务器的控制权限。

密码学 Crypto

分析题目算法，寻找加密协议弱点，计算密钥或解密来得到 flag。

03

Misc 方向到底考什么

大量基础而有趣的题目类型

信息搜集：一张随手拍图片可能暴露地点信息，可用地图/工具做推测。

游戏改判：比如要做到第 999 关才能拿 flag，可通过修改游戏程序，直接跳到指定关卡，或修改通关条件。

内存/磁盘取证：分析转储下来的内存或磁盘内容，找到开机密码、文件或残余信息。

文件隐写：图片、音频、视频、压缩包、文本中，都可能藏有另一段信息。

流量分析：属于杂项里偏难的题，需要从网络数据包中提取隐藏内容。

编码转码：明文按某种规则变换后隐藏，例如 base 家族、URL 编码、摩斯电码等。

04

比赛中常说的 WP

Write Up · 解题报告

CTF 通常要写 WP (Write Up)，相当于解题过程的文档。内容包括：题目描述、解题思路、关键步骤、代码分析等，类似高中时的“答题卡复盘”。

一般推荐把 WP 写成 Markdown 文档，留存解题思路，方便后续复现和分享。

05

Kali Linux 环境

Misc 题常用的数字取证 OS

课堂上用虚拟机安装了 Kali Linux，它内置大量安全工具：扫描、抓包、爆破、漏洞利用等，省去到处找工具的麻烦。

系统演示：这是一份“中文桌面 + 预装工具”的定制版 Kali，比较适合入门。

默认账号：用户名与密码均为 kali。

虚拟机设置：VMware 中记得将“网络适配器”改为桥接模式，并且复制物理网络连接状态。

工具包：另外还提供了 Java 相关工具包，可按需提前安装。

06

编码与加密基础

看见一串符号，先判断编码特征

编码是把明文按规则转成其他形式，解码则是逆向恢复成可读内容。常见形式包括：

BASE 64 BASE 32 BASE 16 BASE 58 URL 编码摩斯电码

常用编码特征

Base64大小写字母+数字+“+ /”，末尾可带 0–2 个“=”

Base32大写字母 + 数字2–7，末尾等号可能到6个

Base16字符集：0–9 + A–F

Base58一般没有等号，字符更紧凑

URL 编码“%” + 该字符 ASCII 的十六进制

举例：ASCII 码值 32 对应十六进制 0x20，URL 编码后就写成 %20。

做题技巧：看到等号和大小写字符，优先直接用可用的解码工具在线解。有多层编码时，就一层层解，例如 base64 → base16 → base58。

课堂案例：一段字符需先 Base64 解码，再做 Base16 解码，最后 Base58 解码，解出来才是最终 flag。

07

文件类型识别

后缀缺失或后缀错误时怎么办

有些题给的文件没有后缀、或故意改成 .txt / 图片后缀，导致打不开。这时需要识别“真实类型”。

1使用 Kali 命令
file file.txt 终端中输入可查看文件的真实格式；也可以用 binwalk 辅助识别。若真实类型是 jpg，就把后缀改成 .jpg 即可打开。

2用 010 Editor 看文件头/文件尾
每个格式都有特定数据头，乱码文本打开 010 Editor 后，可手工比对特征。

常见文件头/文件尾速查

JPG / JPEG文件头 FF D8 FF · 文件尾 FF D9

PNG文件头 89 50 4E 47 · 文件尾 AE 42 60 82

GIF文件头 47 49 46 38 · 文件尾 00 3B

ZIP 压缩包文件头 50 4B 03 04 · 文件尾 50 4B

小技巧：一个文件内部如果出现多个相同文件头，说明可能把多个文件拼接在一起了。

08

文件分离：拆出隐藏文件

binwalk · foremost

遇到图片或文件中“藏着别的文件”时，可以尝试分离。

binwalk binwalk -e 文件名递归提取可能包含的文件
foremost foremost 文件名 -o 输出目录将分离出的文件放入指定文件夹

课堂示范：把它给的 png 图片扔进 Kali。

binwalk -e 有时会失败或不完整，于是改使用 foremost，成功提取出藏在 PNG 中的另一个文件，也就是 flag 所在文件。

手动分离方式：

用 010 Editor 打开文件，看到两个 PNG文件头，就说明里面拼了两个 PNG。

选中第二个文件头开始的区域 → 复制 → 新建文件 → 粘贴 → 另存为新 .png，即可把分开的两个图片还原。

09

“随波逐流”一站式工具

解码 + 文件提取，不用手输命令

这个 Windows 小工具非常全能，集合了编码解码、文件分离、进制转换、二维码扫描等功能。

编码解码：base64 / base16 / base32 / base58 等可直接切换。

一键解码：支持多重编码，一键解开，不必逐步搜索工具。

文件提取：内置 binwalk / foremost 的图形化入口，直接把目标文件拖进去就能输出分离结果。

目标题：一个 JPG 图片正常显示，但用随波逐流工具“foremost 提取”后，多出一个 zip 压缩包，打开压缩包又得到一张二维码图片；扫描二维码后得到最后一串 flag。

10

做题心法与小结

杂项题由浅入深的几个判断顺序

1打开文件：如果乱码或无法预览，先判断真实类型（file 命令 / 文件头）。

2处理文本串：识编码特征，优先试 base 家族，再尝试多层解码。

3面对图片题：确认文件尾部是否藏了压缩包或额外文件，必要时提取文件。

4多尝试不同工具：binwalk 解不出，就换 foremost；命令行不熟，就用“随波逐流”。

CTF 解题不要只靠死记，多试、多拆、多复盘。

今天的杂项课主要帮大家把“可能遇到的坑”提前走了一遍。

课

课后建议

回到课堂节奏

Kali 还没装好？可以用 QQ 闪传或备用的网盘链接下载大文件，再用 7-Zip 合并 .001 / .002 分卷包，得到完整 .vmdk 磁盘文件后导入 VMware。

配网要留意：Kali 虚拟机网络适配器选择“桥接模式”，并勾选“复制物理网络连接状态”。

善用资源：课后会发课件、工具包和课堂回放，没跟上的同学可以反复看，也可以私信提问。

明天同一时间继续讲第二节杂项课，之后会慢慢带入更多图片隐写与动图分离的例子。

Misc 杂项·解密与取证