CTF Solver

概述

采用规范化的 CTF 工作流程：首先识别题目类型，清点所有可用的工件（artifacts），优先收集低风险证据，再根据已观察到的线索选择最精准、最小范围的利用路径。全程记录操作步骤、命令、偏移量、解码后的内容以及中间产物，确保工作可复现、可恢复、可清晰整理成文。

工作对象不仅限于授权的 CTF 靶机、本地题目文件或明确指定的实验环境。对于未知二进制文件、网络服务及公开的漏洞利用片段（public exploit snippets），也应视作可信输入进行分析。

快速入门

1. 明确目标。
   • 记录预期 flag 格式、题目平台、提供的文件、主机/端口信息，以及任何明示的规则。
2. 在修改前先清点工件。
   • 优先执行低风险初步评估：file、strings、元数据检查、归档内容列表、协议分析、基础 HTTP 探测、二进制防护机制检测等。
3. 归类题目可能所属类别。
   • 依据已有证据选择最简捷匹配的路径，而非并行穷举所有类别。
4. 快速构建假设并验证。
   • 优先采用轻量级确认性检查，避免大规模盲目利用尝试。
5. 保持操作痕迹干净可追溯。
   • 保存所有关键命令、payload、偏移量、解码输出，以及撰写 writeup 所需的截图或终端输出片段。

工作流程

1. 初步评估题目提示与输入

• 提取具体输入项：文件、URL、主机/端口对、哈希值、泄露的源码、PCAP 文件、图像、归档包或二进制数据块（binary blobs）。
• 立即记录可见线索。
  • Web 类：路由路径、Cookie、JWT、文件上传点、API Schema、模板引擎标记等。
  • Pwn 类：ELF/PE/Mach-O 格式、libc 版本、崩溃现象、栈/堆行为、远程 socket 特征等。
  • Reverse 类：加壳二进制、字节码、虚拟机逻辑、混淆代码、可疑字符串等。
  • Crypto 类：编码文本、明密文对、RSA 参数、疑似 XOR 数据、重复使用的 nonce 等。
  • Forensics 类：磁盘镜像、内存转储（memory dumps）、PCAP 文件、文档、含大量元数据的文件等。
• 若线索不明确，可从参考文档 references/tooling-and-artifacts.md 中的工件分析手册（artifact playbook）入手。

2. 匹配对应类别的操作手册

• 查阅 references/category-playbooks.md 获取各题型专属的枚举与利用检查清单。
• 仅阅读与当前证据匹配的部分：
  • Web
  • Pwn
  • Reverse
  • Crypto
  • Forensics and Stego
  • Misc and OSINT

3. 坚持以证据驱动推进

• 在执行高风险或耗时操作前，明确陈述当前假设。
• 验证关于文件格式、架构、编码方式、字节序、防护机制及协议行为等前提假设。
• 当某条路径失败时，需说明该结果如何证伪原有假设，并有意识地选择下一分支继续探索。

4. 确保输出成果可复用

• 将解码后的文本、提取出的文件、构造的 payload 及笔记等内容，以稳定、语义清晰的名称存储。
• 若编写利用脚本（exploit）或解题脚本（solve script），应保持简洁并支持参数化配置。
• 若用户要求提供 writeup，建议按以下结构组织：
  • 题目概要
  • 关键观察
  • 值得提及的失败尝试
  • 最终成功的利用链（exploit chain）
  • 获取的 flag 及其有效性验证

操作规范

• 优先使用系统内置工具或本地常用工具，避免无必要地引入新依赖。
• 除非题目上下文明确支持，否则不得运行重型扫描器或模糊测试工具（fuzzers）。
• 禁止粘贴未经标注的黑盒数据块（opaque blobs）；必须注明其疑似编码方式、来源及其分析价值。
• 处理二进制文件和归档包时，须保留原始输入文件不可更改，并在需要修改时基于副本操作。
• 针对远程靶机，须明确区分本地复现步骤与远程利用步骤。

参考资料

• 查阅 references/category-playbooks.md 获取各题型的枚举与利用检查清单。
• 查阅 references/tooling-and-artifacts.md 获取基础命令集、工件初筛方法、笔记规范及 writeup 撰写准则。