CTF竞赛与AWDP攻防技术教学文档<\/h1>

一、CTF竞赛题目解析<\/h2>

1.1 热身签到（密码学）<\/h3>

解题步骤：<\/strong><\/p>

每4位数字为一组进行分割<\/li>
每组拆分为两个两位数<\/li>
转换为字符（得到十六进制字符串）<\/li>
将十六进制字符串解析为字节<\/li>
最终转换为ASCII字符获得flag<\/li> <\/ol>
解密脚本实现要点：<\/strong><\/p>

数字分组处理<\/li>
十六进制到ASCII的转换逻辑<\/li> <\/ul>
1.2 HappySong（二进制分析）<\/h3>
核心思路：<\/strong><\/p>

二进制文件中只包含两种节拍模式<\/li>
将所有节拍转换为对应字符即可获得flag<\/li>
注意处理图片加载失败时的替代方案<\/li> <\/ul>
1.3 Happy2026（Web安全）<\/h3>
技术要点：<\/strong><\/p>
漏洞利用链：<\/strong><\/p>

is_numeric绕过<\/strong>：使用2026.0绕过数字检测<\/li>
参数数组构造<\/strong>：将中括号作为参数名的一部分<\/li>
文件包含攻击<\/strong>：通过两次参数拼接实现<\/li> <\/ol>
完整Payload：<\/strong><\/p>
?year=2026.0&new[2026.0]=a&happy[a]=php:\/\/filter\/read=convert.base64-encode\/resource=flag.php <\/code><\/pre> 攻击流程：<\/strong><\/p> 利用PHP的数组参数解析特性<\/li> 通过php:\/\/filter协议读取文件内容<\/li> base64编码绕过内容检测<\/li> <\/ul> 1.4 HappyEmoji（未完整解出）<\/h3> 参考解法：<\/strong> 引用zs1994师傅的writeup<\/p> 需要特殊的表情符号处理技巧<\/li> 可能存在编码转换或隐写术<\/li> <\/ul> 1.5 SafePIN（音频分析）<\/h3> 两种解法：<\/strong><\/p> 人工分析<\/strong>：录制0-9的音频，仔细对比找出正确PIN<\/li> 脚本自动化<\/strong>：编写音频分析脚本自动判断特征点<\/li> <\/ol> 1.6 SafeLock（硬件安全）<\/h3> 初始步骤：<\/strong><\/p> 使用默认卡进行刷卡尝试<\/li> 获取设备ID（右上角显示）<\/li> 修改请求中的nonce值（从日志区获取）<\/li> <\/ul> 两种解决方案：<\/strong><\/p> 解法1：爆破攻击<\/strong><\/p> sig值为4位字符组合<\/li> 优先尝试纯数字、纯字母、16进制组合<\/li> 官方源码证实为4位16进制<\/li> 电量耗尽重启后进入工厂模式再次爆破<\/li> <\/ul> 解法2：签名预测<\/strong> 工厂模式安全降级：<\/strong><\/p> Salt重置为默认值"123456"<\/li> 生成新的nonce<\/li> 签名可预测（device_id公开）<\/li> <\/ol> 管理员签名计算：<\/strong><\/p> Sig =<\/span> CRC16("LOCK-X36D|new_nonce|123456|admin"<\/span>) <\/span><\/span><\/code><\/pre>1.7 SafePassword（PHP类型混淆）<\/h3> 漏洞链分析：<\/strong><\/p> 核心漏洞：<\/strong> PHP弱类型比较（版本<8）<\/p> PHP8前后弱比较规则变化<\/li> 旧版本会截断非数字部分<\/li> <\/ul> 利用条件：<\/strong><\/p> 让md5($accessKey)的前四位为"2025"<\/li> 第五位为非数字字符<\/li> <\/ul> 攻击脚本：<\/strong> 需要编写爆破脚本生成符合条件的accessKey<\/p> 1.8 问卷调查（略）<\/h3> 二、AWDP攻击技术详解<\/h2> 2.1 环境架构<\/h3> 前三题共用同一环境<\/li> viewer与render服务分离架构<\/li> 内部通信机制存在漏洞<\/li> <\/ul> 2.2 SafeViewer（目录穿越）<\/h3> 漏洞点：<\/strong> 简单的目录穿越漏洞<\/p> 可浏览任意文件（包括非当前服务器文件）<\/li> <\/ul> 关键代码分析（app.py）：<\/strong><\/p> 文件读取功能未做路径限制<\/li> 可读取系统敏感文件<\/li> <\/ul> 2.3 SafeRender（XXE+SSRF组合攻击）<\/h3> 攻击链构建：<\/strong><\/p> 第一步：日志分析<\/strong><\/p> 通过目录穿越查看日志文件<\/li> 发现create路由的通信记录<\/li> <\/ul> 第二步：XXE漏洞利用<\/strong><\/p> 提前闭合XML标签<\/li> 构造SSRF攻击访问内部接口<\/li> <\/ul> 第三步：链式利用<\/strong><\/p> 通过viewer服务器的http:\/\/viewer:5000\/ops\/sync<\/code>接口<\/li> 结合文件读取漏洞获取返回数据<\/li> <\/ul> 2.4 SafeAdmin（高级组合攻击）<\/h3> 完整攻击流程：<\/strong><\/p> 文件上传机制：<\/strong><\/p> viewer上传文件到render的\/internal\/upload<\/code><\/li> render解压到\/app\/docxTemplates\/<\/code><\/li> <\/ul> <\/li> API文件读取：<\/strong> 通过接口读取处理后的文件<\/p> <\/li> Flag位置：<\/strong> viewer侧根目录下的"galf"文件（反向命名）<\/p> <\/li> 技术组合：<\/strong><\/p> XXE漏洞注入<\/li> 文件读取漏洞<\/li> 路径遍历技巧<\/li> <\/ul> <\/li> <\/ol> 最终flag：<\/strong> ctfshow{12ba5dc41b7c76a8aac352d12e3c5d9d}<\/code><\/p> 2.5 SafePythonJail（Python沙箱逃逸）<\/h3> 代码审计重点：<\/strong><\/p> 关键漏洞点：<\/strong><\/p> # 关键代码逻辑<\/span> <\/span><\/span>def<\/span> execute_route<\/span>(): <\/span><\/span> 必须接收两个参数 <\/span><\/span> 以not开头的表达式可获得固定sig和nonce <\/span><\/span><\/code><\/pre>阶段控制漏洞：<\/strong><\/p> stage参数可控且大于1000时返回假flag<\/li> status路由通过stage值回显数据<\/li> <\/ul> 污染链利用：<\/strong><\/p> 读取secret.txt文件内容<\/li> 将flag转换为整数形式污染stage参数<\/li> 通过status路由带出flag数值<\/li> <\/ol> EXP构造要点：<\/strong><\/p> 起点任意的污染链构建<\/li> 数字与字符串的转换技巧<\/li> 沙箱环境下的数据带出方法<\/li> <\/ul> 三、AWDP防御技术<\/h2> 3.1 SafeCalc（代码注入防御）<\/h3> 漏洞原理：<\/strong><\/p> 使用)<\/code>提前闭合执行多条语句<\/li> 缺乏完整的语法检查<\/li> <\/ul> 防御方案：<\/strong><\/p> 增加括号嵌套检测<\/li> 添加语句分隔符检查<\/li> 实现语法完整性验证<\/li> <\/ul> 3.2 SafeCard（模板注入防御）<\/h3> 沙箱环境安全加固：<\/strong><\/p> SandboxedEnvironment安全特性：<\/strong><\/p> 属性访问限制：禁止访问_<\/code>开头的私有属性和方法<\/li> 方法调用限制：白名单机制控制可调用函数<\/li> 危险操作拦截：阻断getattr<\/code>、setattr<\/code>等逃逸操作<\/li> 资源消耗控制：限制执行时间和内存使用<\/li> <\/ol> 关键修改：<\/strong> 调整沙箱配置语句，增强安全限制<\/p> 3.3 SafePHP（会话管理防御）<\/h3> 两种防御方案：<\/strong><\/p> 方案1：暴力修改<\/strong><\/p> 直接修改flag输出逻辑<\/li> 删除关键字符使漏洞利用失效<\/li> 简单有效但影响服务完整性<\/li> <\/ul> 方案2：预期解（会话安全加固）<\/strong><\/p> 漏洞分析：<\/strong><\/p> JCJWT参数直接获取管理员session<\/li> 修改密码时缺乏session验证<\/li> 过度信任sessionManager中的username<\/li> <\/ul> 防御措施：<\/strong><\/p> 增加session有效性验证<\/li> 密码修改时要求二次认证<\/li> 实现完整的权限检查链<\/li> 添加操作日志和异常检测<\/li> <\/ol> 四、总结与最佳实践<\/h2> 4.1 CTF解题核心技巧<\/h3> 漏洞链思维：多个漏洞组合利用<\/li> 语言特性利用：PHP类型混淆、Python沙箱特性<\/li> 协议分析：音频、射频信号等物理层攻击<\/li> <\/ul> 4.2 AWDP攻防要点<\/h3> 环境感知：快速理解系统架构<\/li> 链式利用：单一漏洞到完整攻击链<\/li> 防御深度：多层次安全防护<\/li> <\/ul> 4.3 安全开发建议<\/h3> 输入验证的完整性<\/li> 权限检查的全面性<\/li> 错误处理的安全性<\/li> 日志记录的完整性<\/li> <\/ul> 本教学文档涵盖了从基础CTF解题到高级AWDP攻防的完整知识体系，重点突出了漏洞利用链的构建和防御措施的实施，为安全研究人员提供了全面的技术参考。<\/p>