簡介《CTF工具包.zip》是一份面向網(wǎng)絡(luò)安全奪旗賽參賽者與安全愛好者的離線工具箱覆蓋抓包分析、數(shù)據(jù)解碼、密碼破解、逆向調(diào)試等常用場景省去四處收集工具和反復(fù)配置環(huán)境的麻煩。壓縮包內(nèi)共132個文件整體約84.72MB包括89個txt說明、15個zip、11張png截圖、6個exe程序、4個jar工具、3個rar壓縮包以及Python腳本、Markdown筆記等txt文檔大量用于記錄工具用法與解題思路png截圖則便于對照檢查各類壓縮包中還可找到可二次部署的工具集合。包內(nèi)收錄了十六進(jìn)制編輯器、編碼轉(zhuǎn)換工具、后臺目錄掃描器、密碼字典爆破、離線網(wǎng)頁存檔等不同類別的小工具可支撐流量分析、隱寫還原、哈希碰撞和Web滲透等常見題型。資源已有2690人學(xué)習(xí)下載適合賽前快速搭建本地實(shí)驗(yàn)環(huán)境也可配合說明文檔逐項(xiàng)演練逐步形成自己的CTF解題工具箱。1. CTF工具包一場奪旗賽要從哪一步開始新人最容易犯的錯誤是把工具包當(dāng)成一個“雙擊就完事”的軟件解壓之后連目錄結(jié)構(gòu)都不看就開跑。CTF工具包的本質(zhì)是一個按抓包取證、密碼學(xué)、隱寫分析、Web滲透、編碼轉(zhuǎn)換五條線路組織起來的工具集合每一條線路都有獨(dú)立的運(yùn)行環(huán)境和依賴。這份資源對剛?cè)腴T的選手來說是進(jìn)入CTF奪旗賽的第一套完整裝備對已經(jīng)打了半年比賽的老手來說是換電腦后快速恢復(fù)做題環(huán)境的后悔藥。下面直接按實(shí)戰(zhàn)順序展開把文件結(jié)構(gòu)、命令參數(shù)和幾個容易翻車的位置一次說清楚。2. 工具包全景文件結(jié)構(gòu)、安裝路徑與第一輪環(huán)境校驗(yàn)?zāi)玫絲ip包我建議先花五分鐘看清單而不是急著解壓。工具包的結(jié)構(gòu)會直接決定后面每一步操作怎么走。2.1 包內(nèi)模塊劃分按用途拆成五條鏈路常見CTF工具包的目錄布局是五個子目錄對應(yīng)五條主鏈路。下面這個表是大多數(shù)包里會出現(xiàn)的模塊你可以照著它核對包內(nèi)容模塊典型工具應(yīng)對的題目類型抓包取證Wireshark、tshark、Burp Suite流量分析、HTTP請求分析、Web滲透密碼學(xué)hashcat、John the Ripper、fcrackzip哈希爆破、壓縮包密碼、古典密碼隱寫分析Stegsolve、zsteg、binwalk、foremost圖片隱寫、文件分離、二維碼隱藏信息編碼轉(zhuǎn)換CyberChef、隨波逐流CTF編碼工具多層編碼識別、編碼轉(zhuǎn)換、密文分析Web輔助dirsearch、sqlmap目錄掃描、注入檢測、接口探測同一種工具在不同包里會有形態(tài)差異比如Stegsolve有的是jar包有的直接放了一個exe。我一般會先翻一遍根目錄的README確認(rèn)有沒有額外說明而不是拿著就用。如果包里沒有README就按三個步驟做第一輪檢查統(tǒng)計(jì)文件總數(shù)、逐個看可執(zhí)行文件在不在、清理遺留的臨時文件。一個典型目錄結(jié)構(gòu)長這樣ctf_tools/ ├── README.md ├── requirements.txt ├── bin/ │ ├── zsteg │ └── fcrackzip ├── wordlist/ │ └── rockyou.txt ├── scripts/ │ ├── rsa_solve.py │ └── zip_fix.py └── web/ └── dirsearch/bin目錄放不可直接調(diào)用的二進(jìn)制工具scripts目錄放解題腳本wordlist目錄放字典。搞清楚這三類內(nèi)容的位置后面命令行調(diào)用時才不會到處找路徑。遇到過有人的包缺了wordlist目錄hashcat爆破命令一直報(bào)文件不存在其實(shí)字典被單獨(dú)丟到了別的文件夾里。2.2 解壓校驗(yàn)與依賴檢查先做這三步再碰工具第一步是校驗(yàn)包完整性。從網(wǎng)上下載的zip包很難判斷是否傳完整先把哈希值對一遍# 對包做SHA-256哈希校驗(yàn)和下載頁給出的哈希值對比 sha256sum CTF工具包.zip # 解壓到指定目錄避免文件散落到當(dāng)前文件夾 unzip CTF工具包.zip -d ctf_toolssha256sum是大多數(shù)Linux發(fā)行版自帶命令Windows下可以用PowerShell的Get-FileHash代替。解壓時用-d指定目標(biāo)目錄是個好習(xí)慣工具包里的文件動輒幾百個散在當(dāng)前目錄會非常難收拾。第二步是檢查運(yùn)行環(huán)境。工具包通常是Python腳本加二進(jìn)制工具的混合體Python版本不對腳本會直接報(bào)語法錯誤Java工具沒有JRE雙擊沒反應(yīng)Ruby寫的zsteg需要gem環(huán)境。我一般一次性把三類環(huán)境都查了python3 -V java -version ruby -v第三步是補(bǔ)依賴。隱寫分析里常用的zsteg依賴Ruby環(huán)境binwalk在部分Linux版本上需要額外組件才能完整解出某些格式。工具包里通常帶requirements.txt先裝一遍# 工具包內(nèi)有requirements.txt就優(yōu)先用這個 cd ctf_tools pip install -r requirements.txt # 不在清單里的常用庫一次裝齊 pip install pycryptodome pillow requestspycryptodome負(fù)責(zé)RSA、AES等密碼學(xué)算法pillow是圖片隱寫繞不開的庫requests用于寫Web題的輔助腳本。把這三個裝好大部分包的Python側(cè)依賴就齊了。2.3 環(huán)境變量與路徑約定Windows和Linux的差別工具包里的命令行工具在Windows和Linux上的調(diào)用方式很不一樣。binwalk在Linux下是系統(tǒng)命令在Windows下要cd到安裝目錄執(zhí)行。常見做法是給工具包建一個bin目錄把所有需要命令行調(diào)用的工具統(tǒng)一放進(jìn)去再把這個目錄加進(jìn)PATH。# 將工具包內(nèi)的bin目錄加入PATH任意位置直接調(diào)用工具 echo export PATH$HOME/ctf_tools/bin:$PATH ~/.bashrc source ~/.bashrc注意工具包解壓路徑不要帶中文、空格。Windows上有些老工具對帶空格的路徑支持很差腳本一跑就崩。我會把工具包放在C:\ctf_tools這種純英文路徑下避免在路徑問題上浪費(fèi)一個晚上。3. 抓包分析模塊從Wireshark到Burp Suite的取證鏈路抓包是CTF里最考驗(yàn)?zāi)托牡囊画h(huán)。很多題目不是不會做而是不知道該從流量里的哪個位置下手。3.1 流量分析為什么重要先看協(xié)議分布再找flagCTF中常見的抓包場景有兩類一類是直接給pcap文件讓你分析另一類是給一個運(yùn)行中的Web服務(wù)讓你抓請求。前者用Wireshark打開后者用Burp Suite代理。無論哪類第一步都是確定協(xié)議。pcap里最常藏flag的位置包括HTTP的POST參數(shù)、DNS查詢名、TCP流的中段和ICMP的payload。從經(jīng)驗(yàn)來看流量題有一個規(guī)律flag如果不是明文通常會被編碼后放進(jìn)某個字段。所以先看協(xié)議分布再找線索比一上來就用strings全文掃描更有效。Wireshark的Statistics菜單可以看協(xié)議分層統(tǒng)計(jì)拿到pcap先看一眼哪些協(xié)議占比異常異常點(diǎn)往往是藏flag的地方。CTF中常見的協(xié)議無非HTTP、DNS、ICMP、TCP幾類。HTTP適合藏文本flagDNS適合藏拆成多段的編碼字符串ICMP payload適合藏二進(jìn)制數(shù)據(jù)。還有一個容易漏掉的點(diǎn)有些題會同時給一張圖片和一個pcap圖片是干擾項(xiàng)pcap才是關(guān)鍵。這種組合題要先做協(xié)議統(tǒng)計(jì)再做文件分離兩條腿走路。3.2 Wireshark和tshark圖形界面配合命令行效率更高Wireshark圖形界面適合手動追蹤命令行tshark適合批量過濾。拿到pcap后我一般先用Wireshark打開看整體再用tshark做兩輪過濾第一輪按協(xié)議篩可疑包第二輪按字段提取內(nèi)容。# 只顯示HTTP請求方法和URI快速定位可疑請求 tshark -r capture.pcap -Y http -T fields -e http.request.method -e http.host -e http.request.uri # 跟蹤指定TCP流以ASCII格式輸出完整流內(nèi)容 tshark -r capture.pcap -z follow,tcp,ascii,0-Y指定顯示過濾器語法和Wireshark過濾欄一致-T fields表示按字段輸出-e后面跟要提取的字段名-z follow可以追蹤一條完整TCP流把來回的數(shù)據(jù)按順序拼起來適合看HTTP響應(yīng)體和文件內(nèi)容。流量題的一個常見坑是flag被拆成兩段放在不同請求里單追一條流看不到全貌。我會把pcap里所有HTTP的URI全部列出來按順序掃一遍前后請求拼接起來就是答案。這個做法看著笨但確實(shí)是最穩(wěn)的解法。如果HTTP響應(yīng)里帶了文件下載可以用tshark把響應(yīng)body直接抽出來# 提取HTTP響應(yīng)體中的二進(jìn)制數(shù)據(jù)另存為文件 tshark -r capture.pcap -Y http.response -T fields -e http.file_data | xxd -r -p extracted.binhttp.file_data字段保存的是響應(yīng)體的十六進(jìn)制xxd -r -p把它還原成二進(jìn)制。抽出文件后再用binwalk檢查這一套組合拳在流量題里幾乎不會落空。3.3 Burp Suite的代理與重放Web題的調(diào)試鏈路Web場景下Burp Suite做兩件事抓瀏覽器與服務(wù)器之間的請求以及修改請求后重放。CTF web解題里常見操作是在Repeater里改參數(shù)觀察返回值差異在Intruder里做參數(shù)爆破找出隱藏字段。Burp的代理默認(rèn)端口是8080瀏覽器需要把代理指過去。配置好后HTTPS流量需要安裝Burp的CA證書否則看不到加密內(nèi)容。下面是Intruder的常用配置參數(shù)參數(shù)推薦值說明Attack TypeSniper單參數(shù)爆破最常用先看單點(diǎn)結(jié)果Payloadwordlist.txt弱口令、flag關(guān)鍵詞混合字典Threads1-5線程過高容易被服務(wù)端限流Redirectionsalways跟隨302跳轉(zhuǎn)避免漏響應(yīng)Intruder結(jié)果里響應(yīng)長度和狀態(tài)碼異常的條目優(yōu)先看。一個狀態(tài)碼200且長度明顯不同的請求大概率就是有效結(jié)果。命令執(zhí)行類題目在Web題里很常見特征是參數(shù)值被拼接進(jìn)了系統(tǒng)命令用分號或管道符可以注入額外命令。在Repeater里把參數(shù)從id1改成id1;ls響應(yīng)里會多出目錄列表。配合Burp的重放功能排查命令執(zhí)行漏洞是最快的驗(yàn)證方式。Web題還有一個實(shí)戰(zhàn)技巧Burp的Proxy History會記錄所有經(jīng)過代理的請求。有時候flag不在目標(biāo)接口里而是藏在某個被前端隱藏的備用接口中。掃一遍History把路徑參數(shù)奇怪的請求挑出來挨個測試比盲猜接口靠譜得多。4. 密碼學(xué)與編碼解密古典密碼到現(xiàn)代算法的破解思路CTF密碼學(xué)題目里最卡人的往往不是算法本身而是不知道題目用了什么編碼、什么密碼。4.1 編碼識別是第一步區(qū)分Base64、Base32、Hex和URL編碼看到一串由字母數(shù)字組成的字符串很多人第一反應(yīng)是Base64。但Base64的特征是字符集包含大小寫字母、數(shù)字、加號和斜杠結(jié)尾常帶一到兩個等號全大寫字母加數(shù)字且不帶等號更可能是Base32全部是0-9a-f是十六進(jìn)制。工具包里隨波逐流CTF編碼工具就是干這個的它把幾十種常見編碼的識別和解碼做成一鍵操作。界面上的編碼類型如果和題目字符串特征對不上就切到自動檢測。但我一般不盲信自動檢測多層編碼題里它只識別最外層內(nèi)層還得繼續(xù)處理。我常備一段循環(huán)解碼腳本處理連續(xù)編碼多次的題目import base64 # 對密文循環(huán)解碼最多迭代50次 s ZmxhZ3t0aGlzX2lzX2Zha2V9 for i in range(50): try: s base64.b64decode(s).decode() except Exception: break print(s)腳本核心是try-except結(jié)構(gòu)解碼成功就繼續(xù)失敗說明已經(jīng)解到明文跳出循環(huán)。如果題目最終結(jié)果是二進(jìn)制數(shù)據(jù)decode會拋UnicodeDecodeError把decode去掉保留bytes類型繼續(xù)處理。判斷編碼有一個小技巧把字符串拖進(jìn)隨波逐流工具看各編碼的置信度排序。如果Base64和Base32的置信度都很低試一下反轉(zhuǎn)字符串后再解碼。有些題目會先把明文反轉(zhuǎn)再編碼這種歪招在簽到題里出現(xiàn)頻率不低。4.2 古典密碼與哈希爆破quipqiup和hashcat的參數(shù)細(xì)節(jié)古典密碼題目的難點(diǎn)在于識別替換密碼后怎么快速還原明文。quipqiup是一個詞頻分析工具適合凱撒、維吉尼亞、換表密碼這類字母替換題。它的原理是把密文按空格切分用英文單詞頻率統(tǒng)計(jì)推斷最可能的明文句子。注意quipqiup只適合作空格分隔的英文文本。如果題目把空格也刪掉了要先手動恢復(fù)空格邊界否則詞頻分析會失效。哈希爆破是另一種常見場景題目直接給出MD5或SHA1值目標(biāo)是找回原始字符串。hashcat的參數(shù)直接決定爆破速度# 對MD5哈希做字典爆破結(jié)果寫入found.txt hashcat -m 0 hash.txt /usr/share/wordlists/rockyou.txt -o found.txt # 已知明文是純數(shù)字時改用掩碼模式加速 hashcat -m 0 hash.txt -a 3 ?d?d?d?d?d?d-m 0指定算法MD5-m 100對應(yīng)SHA1-m 1800是sha512crypt具體值以hashcat --help輸出為準(zhǔn)。-a 3是掩碼模式?d代表數(shù)字六個?d就是六位純數(shù)字。很多題目的密碼就是六位數(shù)字掩碼模式比字典模式快得多。爆破完成后用--show查看已破結(jié)果比重新跑一遍快得多。4.3 RSA與AES從公鑰文件到密文解出RSA題目屬于中檔難度但流程很固定。先從公鑰文件里提取n和e# 提取公鑰文件中的模數(shù)n和指數(shù)e openssl rsa -pubin -in pub.pem -text -noout輸出里modulus那一行是nexponent通常是65537。拿到n之后如果位數(shù)不大可以用factordb這類在線分解服務(wù)查p和q。當(dāng)題目給出p、q、e和密文c時用Python腳本算私鑰import gmpy2 from Crypto.Util.number import long_to_bytes # 已知參數(shù)n分解出的兩個質(zhì)數(shù)p、q公鑰指數(shù)e密文c p 1000000007 q 1000000009 e 65537 c 123456789 # 實(shí)際密文 phi (p - 1) * (q - 1) d gmpy2.invert(e, phi) m pow(c, d, n) print(long_to_bytes(m))這段腳本的核心是算私鑰指數(shù)d。d是e在模phi下的逆元用gmpy2.invert比手寫擴(kuò)展歐幾里得更快。pow(c, d, n)是模冪運(yùn)算結(jié)果m是明文對應(yīng)的整數(shù)最后用long_to_bytes轉(zhuǎn)回字符串。密文轉(zhuǎn)整數(shù)時如果題目給的是十六進(jìn)制字符串先int(c, 16)轉(zhuǎn)換。AES題目出現(xiàn)頻率低但一旦遇到多數(shù)是給了密鑰和IV的對稱解密。工具包里的pycryptodome直接調(diào)AES模塊就行。要注意AES-CBC模式的IV參數(shù)不能省略即使全零也要顯式傳入。5. 常見問題與避坑zip偽加密、隱寫分離與編碼誤判工具包能不能用起來往往不是看工具多不多而是看踩坑時能不能快速脫身。下面幾條是雜項(xiàng)和流量題里反復(fù)出現(xiàn)的坑。5.1 zip偽加密標(biāo)志位被改密碼永遠(yuǎn)不對現(xiàn)象解壓zip時提示文件加密輸入任何密碼都報(bào)錯。原因題目改了zip文件頭里的加密標(biāo)志位。真正的加密zip在local file headerPK\x03\x04和central directory headerPK\x01\x02中都把通用標(biāo)志位bit 0置1偽加密文件只改了標(biāo)志位實(shí)際并沒有加密。解決用十六進(jìn)制編輯器打開zip定位到被標(biāo)記加密的文件對應(yīng)的local file header把通用位標(biāo)志從0x09改成0x08再重新解壓。也可以用工具包里的fcrackzip做字典爆破# 對zip做字典爆破-u表示驗(yàn)證解壓-D為字典模式 fcrackzip -u -D -p /usr/share/wordlists/rockyou.txt flag.zip偽加密的zip爆破其實(shí)無效因?yàn)樗緵]有真實(shí)密碼。先判斷真?zhèn)渭用茉贈Q定是爆破還是改文件頭順序錯了會浪費(fèi)大量時間。判斷方法是用十六進(jìn)制編輯器看通用位標(biāo)志如果central directory里的標(biāo)志位和local file header不一致基本就是偽加密。提示還有一種隱蔽變體是兩邊標(biāo)志位都改了但壓縮算法字段是0。用7-Zip打開提示加密換WinRAR卻能直接解壓。碰到加密zip先換個軟件試試是排查偽加密最快的動作。5.2 jpg里藏著zip文件分離的正確姿勢現(xiàn)象拿到一張jpg打開是一張二維碼掃碼識別不出內(nèi)容strings也搜不到flag明文。原因圖片文件尾部被追加了一個zip圖片查看器和strings都能正常讀取圖片部分但看不到zip里的內(nèi)容。jpg格式允許尾部附加數(shù)據(jù)這正是雜項(xiàng)題常用的藏法。解決用binwalk檢查文件尾部是否有其他文件再用foremost或binwalk -e分離# 掃描圖片中嵌入的文件 binwalk flag.jpg # 自動分離嵌入文件結(jié)果輸出到_extracted目錄 binwalk -e flag.jpgbinwalk -e會把分離結(jié)果放在_flag.jpg.extracted目錄下。分離出的可能是zip也可能是一個文本。如果分離出的zip打不開檢查文件頭是不是被干擾了常見做法是把PK\x03\x04改成其他字節(jié)改回來就可以正常解壓。jpg里藏zip和zip偽加密是雜項(xiàng)題目最常組合的兩個考點(diǎn)。先分離再解壓解壓時再檢查是否偽加密這條鏈路在ctf雜項(xiàng)題目里出現(xiàn)頻率很高。遇到一道題binwalk分離成功才知道zip是偽加密修改標(biāo)志位后才拿到flag文件。5.3 自動編碼識別器給出亂碼別盲信先看字符集現(xiàn)象用CyberChef或隨波逐流工具的自動檢測模式解碼輸出是一堆亂碼。原因自動檢測只匹配最外層編碼題目可能先做了AES加密再Base64或者先反轉(zhuǎn)字符串再編碼。另一種常見情況是密文里混了換行符或空格自動檢測把這些字符也算進(jìn)去導(dǎo)致解碼失敗。解決先手動觀察密文字符集確定編碼類型再用文本工具清理掉空白字符最后按“反轉(zhuǎn)→Base64→再反轉(zhuǎn)”的逐層順序處理。舉個例子題目給出一串“aHR0cDovL2ZsYWcudGVzdA”肉眼一看是Base64去掉末尾等號后解出來是URL編碼還要再解一層。自動檢測工具通常只解出URL編碼字符串就停了不會繼續(xù)處理內(nèi)層。多層編碼題我習(xí)慣寫一個循環(huán)腳本先反轉(zhuǎn)再解碼輸出每一步結(jié)果逐層觀察確定停在哪一層。這個腳本不大但在比賽里非常省時間。5.4 流量包里搜不到flag過濾器和關(guān)鍵字的坑現(xiàn)象明文搜索“flag”沒有結(jié)果但題目明確flag在流量中。原因flag被URL編碼、Base64編碼或者被拆成多段分布在不同的包里。還有一種情況是HTTP層根本沒有flagflag藏在DNS查詢名或ICMP payload中。解決先用協(xié)議統(tǒng)計(jì)看異常再對所有協(xié)議的payload做十六進(jìn)制關(guān)鍵字搜索。flag的十六進(jìn)制是666c6167搜明文字符串的同時搜一遍十六進(jìn)制形式# 提取pcap中所有數(shù)據(jù)payload搜索flag的十六進(jìn)制形式 tshark -r capture.pcap -T fields -e data.data | grep -i 666c6167data.data是payload的十六進(jìn)制輸出grep -i忽略大小寫。DNS查詢名里的flag不會出現(xiàn)在data字段里還需要看dns.qry.name字段。流量分析題最怕先入為主只盯HTTP把協(xié)議列表從頭掃一遍再動手比反復(fù)搜索更可靠。6. 進(jìn)階技巧把工具包變成一條可重復(fù)的做題流水線6.1 用腳本串聯(lián)隱寫和編碼工具省掉重復(fù)勞動工具包里最值錢的不是單獨(dú)某個工具而是把工具串起來的流程。我在CTF練習(xí)網(wǎng)站上刷題時會把固定的解隱寫、解碼操作寫成一個Python腳本每次有新題目只改路徑和參數(shù)。import base64, os, subprocess # 對圖片做分離并在分離結(jié)果中查找文本文件 subprocess.run([binwalk, -e, flag.jpg], checkTrue) for root, _, files in os.walk(_flag.jpg.extracted): for fn in files: path os.path.join(root, fn) if fn.endswith(.txt): with open(path) as f: content f.read().strip() # 對常用編碼做循環(huán)嘗試 for _ in range(20): try: content base64.b64decode(content).decode() except Exception: break print(content)這個腳本把“分離→找文件→循環(huán)解碼”串聯(lián)起來一次跑完不用手動切換工具。subprocess.run調(diào)用binwalkif判斷只處理文本文件內(nèi)層循環(huán)做Base64逐層解。核心思路是讓腳本承擔(dān)重復(fù)勞動人只負(fù)責(zé)判斷哪個步驟的輸出需要停下來細(xì)看。6.2 冒煙測試五分鐘驗(yàn)證工具包能不能用新解壓的工具包最怕所有工具看著都在一跑就報(bào)錯。我的習(xí)慣是拿到包先做一輪冒煙測試找一個已知答案的題目把整條鏈路跑一遍全部通過才認(rèn)為包可用。具體做法是在本地起一個簡單HTTP服務(wù)自己抓一段流量再用tshark過濾出內(nèi)容驗(yàn)證抓包鏈路完整。# 本地起一個8000端口的HTTP服務(wù) python3 -m http.server 8000 # 在另一終端用tshark抓本機(jī)回環(huán)流量抓20個包停止 tshark -i lo -f tcp port 8000 -c 20-c 20表示抓20個包就停止避免流量文件過大。如果tshark提示沒有權(quán)限在Linux下加sudo執(zhí)行。這個流程走通說明抓包和過濾功能正常工具包的運(yùn)行環(huán)境沒有問題。從那以后我每次拿到新的CTF工具包都強(qiáng)制走一遍“哈希校驗(yàn)→解壓→依賴安裝→冒煙測試”的流程不通過就不帶進(jìn)賽場。工具本身不會解決所有問題關(guān)鍵是你知道每個工具在什么時候該被信任、什么時候要手動驗(yàn)證。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取