CTF 题目解析与利用技术教学文档<\/h1>

1. Firewall 题目解析<\/h2>

1.1 题目背景<\/h3>
服务端部署了基于 eBPF tc ingress 的"防火墙"，对进入服务器的 IPv4 TCP 包进行内容扫描。<\/p>

1.2 防火墙规则<\/h3>

扫描内容中出现连续 4 字节 "flag" 关键字<\/li>
扫描内容中出现字符 '%' (0x25)<\/li>

触发规则直接丢包 (TC_ACT_SHOT)<\/li> <\/ul>

1.3 限制条件分析<\/h3>

仅允许 IPv4，直接封锁 IPv6<\/li>
不允许 IP 分片（MF 或 OFFSET 置位即丢包）<\/li>
仅检查 TCP 协议<\/li>

扫描范围：从 ETH_HLEN + ip_hdr_size 开始，扫描 ip_tot_len - ip_hdr_size 字节<\/li> <\/ol>

1.4 关键发现<\/h3>

扫描范围包含整个 TCP segment（TCP Header + TCP Payload），这带来两个可利用点：<\/p>

无 TCP stream 重组：只看单个包内的连续字节<\/li>

连 TCP Header 都扫描：TCP 头部中的随机字段可能包含 0x25<\/li> <\/ul>

1.5 绕过技术<\/h3>

1.5.1 分包绕过<\/h4>

将 "flag" 关键字拆分到不同 TCP 包中：<\/p>

第一个包：GET \/fl
第二个包：ag.html HTTP\/1.1\r\nHost: ...
<\/code><\/pre>
使用 time.sleep(0.1) 强制分包发送。<\/p>
1.5.2 概率丢包处理<\/h4>
由于 TCP Header 中可能随机出现 0x25 导致丢包：<\/p>

使用 HTTP Range 请求分块下载<\/li>
设置较小步长（如 3 字节）<\/li>
遇到无响应时重试当前段<\/li>
直到收到 206 Partial Content 继续推进<\/li>
文件结束时收到 416 Range Not Satisfiable<\/li>
<\/ul>
2. No Quotes 系列题目解析<\/h2>
2.1 No Quotes 1<\/h3>
2.1.1 漏洞分析<\/h4>
Flask + MySQL 登录页面存在 SQL 注入：<\/p>
SELECT<\/span> id, username FROM<\/span> users WHERE<\/span> username =<\/span> '{username}'<\/span> AND<\/span> password =<\/span> '{password}'<\/span>
<\/span><\/span><\/code><\/pre>WAF 仅过滤单引号和双引号，但允许使用反斜杠转义。<\/p>
2.1.2 利用技术<\/h4>


SQL 注入绕过<\/strong>：<\/p>

设置 username = \<\/code><\/li>
生成 SQL：'\''<\/code><\/li>
利用 MySQL 字符串转义特性破坏引号结构<\/li>
<\/ul>
<\/li>

SSTI 利用<\/strong>：<\/p>

通过 UNION 注入将 SSTI payload 放入 username 字段<\/li>
使用十六进制编码绕过引号限制：SELECT 1, 0x<hex_of_payload><\/code><\/li>
登录后 session["user"] 包含 payload，访问 \/home 触发 render_template_string<\/li>
<\/ul>
<\/li>
<\/ol>
2.2 No Quotes 2<\/h3>
2.2.1 新增限制<\/h4>
查询语句变更：<\/p>
SELECT<\/span> id, username FROM<\/span> users WHERE<\/span> username =<\/span> '{username}'<\/span> AND<\/span> password =<\/span> '{password}'<\/span>
<\/span><\/span><\/code><\/pre>登录后校验：UNION 返回的行必须完全等于提交的用户名\/密码。<\/p>
2.2.2 Quine 技术<\/h4>
构造自输出表达式（Quine）：<\/p>
@<\/span>a :=<\/span> _utf8 0<\/span>x.  -- 模板，使用 . 作为占位符
<\/span><\/span><\/span><\/span>HEX(@<\/span>a)  -- 获取模板的十六进制编码
<\/span><\/span><\/span><\/span>REPLACE<\/span>(..., 0<\/span>x2E, HEX(@<\/span>a))  -- 替换占位符为自身编码
<\/span><\/span><\/span><\/code><\/pre>2.2.3 利用链<\/h4>

username 设置为 {{config}}\\<\/code><\/li>
触发 SSTI 泄漏 SECRET_KEY<\/li>
从合法 cookie 中提取 timestamp<\/li>
使用正确 timestamp 伪造 session cookie<\/li>
访问 \/home 触发 RCE<\/li>
<\/ol>
2.3 No Quotes 3<\/h3>
2.3.1 新增限制<\/h4>

WAF 禁止点号 (.)<\/li>
密码校验改用 SHA256 哈希<\/li>
<\/ul>
2.3.2 增强 Quine 技术<\/h4>
@<\/span>a :=<\/span> 0<\/span>x$  -- 使用 $ 作为占位符
<\/span><\/span><\/span><\/span>REPLACE<\/span>(..., 0<\/span>x24, HEX(@<\/span>a))  -- 替换占位符
<\/span><\/span><\/span><\/span>SHA2(..., 256<\/span>)  -- 计算哈希满足校验
<\/span><\/span><\/span><\/code><\/pre>3. Personal Blog 题目解析<\/h2>
3.1 系统架构<\/h3>
Node.js\/Express 博客系统，包含注册、登录、文章管理功能。<\/p>
3.2 漏洞分析<\/h3>
3.2.1 XSS 漏洞<\/h4>

\/api\/save<\/code>：使用 DOMPurify 净化<\/li>
\/api\/autosave<\/code>：直接原样写入 draftContent<\/li>
编辑页面非转义输出 draftContent，造成存储型 XSS<\/li>
<\/ul>
3.2.2 会话管理漏洞<\/h4>

Cookie 设置 httpOnly: false<\/code>，XSS 可读取<\/li>
访问 magic link 时，旧 sid 会复制到 sid_prev<\/li>
sid_prev 可被 XSS 读取<\/li>
<\/ul>
3.3 完整利用链<\/h3>
3.3.1 准备阶段<\/h4>

注册普通用户账号<\/li>
创建文章获取 post_id<\/li>
通过 \/api\/autosave 注入 XSS payload 到 draftContent<\/li>
<\/ol>
3.3.2 XSS Payload 功能<\/h4>
\/\/ 读取 admin 的 sid_prev（即之前的 admin session）
<\/span><\/span><\/span><\/span>var<\/span> adminSid<\/span> =<\/span> document.cookie<\/span>.match<\/span>(\/sid_prev=([^;]+)\/<\/span>)[1<\/span>];
<\/span><\/span>
<\/span><\/span>\/\/ 替换当前 sid 为 admin sid
<\/span><\/span><\/span><\/span>document.cookie<\/span> =<\/span> "sid="<\/span> +<\/span> adminSid<\/span>;
<\/span><\/span>
<\/span><\/span>\/\/ 获取 flag
<\/span><\/span><\/span><\/span>fetch<\/span>('\/flag'<\/span>).then<\/span>(r<\/span> => r<\/span>.text<\/span>()).then<\/span>(flag<\/span> => {
<\/span><\/span>    \/\/ 将 flag 写入文章
<\/span><\/span><\/span><\/span>    return<\/span> fetch<\/span>('\/api\/save'<\/span>, {method<\/span>:<\/span> 'POST'<\/span>, body<\/span>:<\/span> JSON<\/span>.stringify<\/span>({content<\/span>:<\/span> flag<\/span>})});
<\/span><\/span>});
<\/span><\/span><\/code><\/pre>3.3.3 攻击流程<\/h4>

生成 magic link token<\/li>
向 \/report 提交：\/magic\/<token>?redirect=\/edit\/<post_id><\/code><\/li>
Bot（admin）流程：

登录 admin 账号<\/li>
访问 magic link（复制 sid 到 sid_prev）<\/li>
重定向到编辑页面触发 XSS<\/li>
XSS 读取 sid_prev 并替换当前会话<\/li>
获取 flag 并保存到文章<\/li>
<\/ul>
<\/li>
攻击者访问文章查看 flag<\/li>
<\/ol>
3.4 关键注意事项<\/h3>

使用相对路径确保同源策略<\/li>
避免域名不一致导致的会话问题<\/li>
利用 APP_ORIGIN 自动补全机制<\/li>
<\/ul>
4. 技术要点总结<\/h2>
4.1 网络层绕过技术<\/h3>

协议特性分析（TCP 分段）<\/li>
统计概率利用（随机字节匹配）<\/li>
重试机制设计<\/li>
<\/ul>
4.2 Web 安全技术<\/h3>

SQL 注入高级绕过（Quine 技术）<\/li>
SSTI 与 SQLi 结合利用<\/li>
会话管理漏洞利用<\/li>
存储型 XSS 链式利用<\/li>
<\/ul>
4.3 系统设计思维<\/h3>

完整攻击链构建<\/li>
条件竞争处理<\/li>
错误恢复机制<\/li>
自动化攻击脚本设计<\/li>
<\/ul>
本教学文档详细分析了各个 CTF 题目的技术要点和利用方法，涵盖了从网络层到应用层的多种安全技术，为安全研究人员提供了完整的学习路径和实践指导。<\/p>

CTF 题目解析与利用技术教学文档<\/h1>

1. Firewall 题目解析<\/h2>

1.1 题目背景<\/h3> 服务端部署了基于 eBPF tc ingress 的"防火墙"，对进入服务器的 IPv4 TCP 包进行内容扫描。<\/p>

1.5 绕过技术<\/h3>

2. No Quotes 系列题目解析<\/h2>

2.1 No Quotes 1<\/h3>

2.2 No Quotes 2<\/h3>

2.3 No Quotes 3<\/h3>

3. Personal Blog 题目解析<\/h2>

3.1 系统架构<\/h3> Node.js\/Express 博客系统，包含注册、登录、文章管理功能。<\/p>

3.2 漏洞分析<\/h3>

3.3 完整利用链<\/h3>

4. 技术要点总结<\/h2>

1.1 题目背景<\/h3>
服务端部署了基于 eBPF tc ingress 的"防火墙"，对进入服务器的 IPv4 TCP 包进行内容扫描。<\/p>

3.1 系统架构<\/h3>
Node.js\/Express 博客系统，包含注册、登录、文章管理功能。<\/p>