1. 从一道“欢迎题”说起CTF Web入门与信息收集的实战演练最近在带新人入门CTFCapture The Flag网络安全竞赛发现很多朋友面对Web题目时尤其是那些看起来像“欢迎页面”的简单题目常常会感到无从下手。他们要么觉得太简单扫一眼就放弃要么用复杂的工具一顿乱扫结果一无所获。这让我想起了在BUUCTF平台上的一道经典入门题——[b01lers2020]Welcome to Earth。这道题本身并不复杂但它完美地诠释了CTF Web赛题尤其是信息收集类题目的核心解题思路将看似无用的“欢迎”转化为有价值的“入口”。这道题来自b01lers战队在2020年出的一道题标题直译就是“欢迎来到地球”。在CTF语境下这种标题往往带有双重含义一是字面上的欢迎二是暗示解题者需要“脚踏实地”地从最基础的地方开始探索。它考察的不是高深的漏洞利用而是作为一名安全研究员或渗透测试人员最基础、也最重要的素养——全面且细致的信息收集能力。很多人以为信息收集就是拿个扫描器跑一下其实远不止如此。它更像侦探办案需要你观察页面的每一个细节理解服务器返回的每一个信号并从这些看似平常的信息中拼凑出通往“Flag”解题目标的路径。接下来我将以这道题为引子拆解一个完整的CTF Web解题流程。我会假设你是一个刚接触CTF的新手手边只有浏览器和Burp Suite这类基础工具。我们将一起像侦探一样从访问这个“欢迎页面”开始一步步挖掘隐藏的线索最终拿到Flag。这个过程也正是你在真实安全评估中面对一个陌生Web应用时应该采取的标准化操作思路。2. 初探靶场环境搭建与第一印象在开始任何实战之前拥有一个可控、可反复测试的环境是至关重要的。对于CTF练习我强烈推荐使用像BUUCTF这样的在线靶场平台。它的优势在于环境是现成的、隔离的你无需在本地配置复杂的Docker或虚拟机只需一个浏览器就能开始。访问题目对应的地址通常平台会提供我们就进入了[b01lers2020]Welcome to Earth的挑战页面。首先映入眼帘的是一个极其简单的页面。根据这类题目的典型特征它可能只包含一段文本比如“Welcome to Earth! Nothing here.”或者一张图片。我们的第一个任务不是寻找复杂的注入点而是建立对目标最全面的“第一印象”。这个阶段我习惯用浏览器的开发者工具F12打开作为主要侦察工具。2.1 页面静态内容分析右键“检查”或按F12我们首先看Elements元素标签页。这里呈现的是HTML源码。新手常犯的错误是只看渲染出来的文字而忽略了HTML注释、隐藏的输入框、禁用的按钮或者奇怪的属性值。我们需要逐行阅读源码。有时Flag或提示就直接藏在注释里格式可能是!-- flag is not here, try /secret --或者!-- debug: admin:admin --。另一种常见套路是在某个div或span标签的style属性里设置display:none隐藏了一段关键文本。我们需要仔细查看所有元素的属性特别是那些看起来“没有用”的id、class或>curl -I “http://靶场地址/”这个-I参数表示只获取响应头。你可能会发现浏览器里没显示出来的X-开头的神秘头信息。3. 进阶侦察目录扫描与敏感文件发现当页面本身和响应头没有提供明显线索时我们就需要主动探索服务器上可能存在的其他路径和文件。这就是目录路径扫描。很多安全工具可以自动化这个过程但理解其原理同样重要。3.1 目录扫描的原理与工具选择目录扫描的本质是暴力猜解。它基于一个字典文件里面包含了成千上万条常见的目录和文件名如/admin,/backup,/config,/index.php.bak,/robots.txt等工具会依次拼接这些条目到目标URL后发送HTTP请求并根据响应码和响应内容长度等特征来判断该路径是否存在、是否可访问、是否与已知的404页面不同。对于CTF入门我推荐使用dirsearch或gobuster。它们轻量、高效。以dirsearch为例一个基础命令如下python3 dirsearch.py -u http://靶场地址/ -e php,html,js,bak,txt,zip-u: 指定目标URL。-e: 指定尝试的文件扩展名。在CTF中php,txt,bak,tar.gz,zip等都是高频出现项。但是直接运行扫描器然后等待结果是不够的。高明的出题人可能会设置一些障碍非标准响应码 存在的路径可能返回403禁止访问而非200不存在的路径也可能返回200但内容是一个统一的“错误页面”。这时需要对比响应内容长度-l或关键词-w。速率限制 过快请求会导致IP被临时封禁。需要添加延迟参数如--delay1每秒1个请求。自定义字典 通用字典可能找不到出题人精心设计的路径名。你需要结合题目标题、页面内容中的单词如“earth”, “welcome”, “b01lers”来构造一个自定义的小字典进行尝试。3.2 敏感文件与源码泄露在CTF中有几类文件是“敏感文件”的代名词几乎成了必查项robots.txt 本意是告诉搜索引擎哪些目录不要抓取。在CTF里它经常直接给出后台管理路径Disallow: /admin/或隐藏的入口Disallow: /s3cr3t_fl4g/。www.zip/website.tar.gz 网站源码打包文件。如果存在并能下载你就能在本地审计所有源码寻找数据库配置、硬编码密码、逻辑漏洞等。下载后第一件事是检查README.md、config.php、.env等配置文件。.git目录 如果网站目录存在.git文件夹且未做防护你可以利用git-dumper等工具还原整个版本库查看历史提交记录可能找到被删除的包含Flag的文件或硬编码的凭证。.DS_Store(Mac) /Thumbs.db(Windows) 这些是操作系统生成的隐藏文件有时会包含目录列表信息。index.php.bak,index.php~ 编辑器或备份工具生成的备份文件内容往往是源码。/phpinfo.php 如果存在会泄露大量服务器配置信息有时Flag会作为环境变量$_ENV或PHP变量被定义在其中。在[b01lers2020]Welcome to Earth这道题里解题的关键一步往往就是通过目录扫描或对已知敏感文件的直接访问发现了一个隐藏的路径。例如扫描可能发现一个/flag路径或者访问/robots.txt发现提示Disallow: /hidd3n_p4th/。4. 协议与参数不寻常的入口点当常规的HTTP GET请求浏览找不到突破口时我们需要拓宽思路检查其他HTTP方法和请求参数。这就像一扇门推不开试试拉、或者看看有没有窗户。4.1 HTTP方法测试除了最常见的GET和POSTHTTP协议还定义了其他方法如HEAD、PUT、DELETE、OPTIONS、TRACE等。服务器对它们的支持情况可能暴露信息或漏洞。OPTIONS方法 用于询问服务器对某个资源支持哪些方法。使用curl -X OPTIONS http://靶场地址/如果返回的Allow头里包含PUT或DELETE可能意味着存在文件上传或删除的风险点虽然CTF中直接利用较少但这是重要信息。HEAD方法 只获取响应头不下载正文。用于快速检查资源是否存在或获取头信息比GET更节省带宽。PUT/DELETE方法 如果服务器配置不当支持WebDAV可能允许通过PUT方法上传文件从而获取Webshell。测试命令如curl -X PUT -d “?php phpinfo();?” http://靶场地址/shell.php。在CTF中出题人有时会要求你用特定的HTTP方法访问某个路径才能得到响应。例如对/flag路径使用GET请求返回403但使用POST或PUT请求却可能成功。这种设计旨在考察选手对HTTP协议的理解。4.2 参数名与参数污染即使页面看起来没有表单也要尝试在URL中添加参数。参数名可以凭空猜测常见的有file,page,path,filename(文件包含)cmd,command,exec(命令执行)id,user,uid(SQL注入)debug,test,admin(调试开关或权限标识)例如访问http://靶场地址/?fileindex.php观察响应是否有变化。或者尝试http://靶场地址/?debug1这可能会开启一个调试模式输出更多内部信息。参数污染HPP也是一个考点。即传递多个同名参数如?id1id2。不同的后端语言PHP/Asp.net/JSP解析这类参数的方式不同可能导致逻辑判断绕过。在测试时可以简单尝试一下。4.3 请求头注入与修改我们之前关注的是响应头现在要主动操控请求头。Burp Suite的Repeater模块是完成这个任务的利器。捕获一个普通请求后在Repeater中你可以任意修改请求头字段X-Forwarded-For/X-Real-IP 常用于识别客户端真实IP。尝试将其改为127.0.0.1或localhost有时可以绕过IP限制访问本地才能访问的接口。Referer 表示请求来源。某些页面可能校验Referer是否来自本站点你可以尝试修改或删除它。User-Agent 浏览器标识。有些功能如某些API接口可能只对特定的User-Agent如curl或某个移动端标识开放。尝试将其改为Googlebot谷歌爬虫有时也会有奇效。Cookie 除了修改值还可以尝试完全删除Cookie或者添加一个名为admin、值为true的Cookie测试权限校验逻辑。自定义请求头 模仿响应头尝试添加一些可能的自定义请求头如X-API-Key: test,Authorization: Basic YWRtaW46YWRtaW4(admin:admin的Base64编码)。在“Welcome to Earth”这类题目中Flag的获取条件可能就隐藏在某个特殊的请求头里。比如你需要添加一个X-CTF: b01lers的请求头服务器才会在响应中返回Flag。5. 数据编码与转换发现隐藏的信息信息并非总是以明文形式呈现。出题人热衷于使用各种编码、哈希或转换来隐藏信息。这就要求我们具备“解码眼”能识别出数据可能经过的处理并熟练使用工具进行反向操作。5.1 常见编码识别与解码当你在页面源码、注释、Cookie、响应头甚至图片的元数据中发现一段乱码或看似随机的字符串时首先考虑以下几种最常见的编码Base64 字符集包含A-Z, a-z, 0-9, , /末尾常用填充。例如ZmxhZ3t3ZWxjb21lX3RvX2VhcnRofQ。在线工具或命令行echo “字符串” | base64 -d即可解码。注意Base64编码后的数据长度通常是4的倍数这是一个快速识别特征。URL编码百分号编码 形式为%XX其中XX是十六进制数。常见于URL参数中如flag%7Bhello%7D解码后是flag{hello}%7B和%7D分别是{和}。HTML实体编码 用于在HTML中显示特殊字符。如#102;#108;#97;#103;十进制或#x66;#x6c;#x61;#x67;十六进制都表示flag。浏览器会自动渲染但查看源码时能看到编码形式。十六进制Hex 直接由0-9, a-f组成的字符串可能成对出现。如666c6167解码后是flag。工具如xxd或在线转换器可以处理。ROT13 一种简单的字母替换密码将字母按字母表顺序移动13位。synt{欢迎}经过ROT13就是flag{欢迎}。命令行可用echo “synt” | tr ‘A-Za-z’ ‘N-ZA-Mn-za-m’解码。实战技巧遇到一串可疑字符串我习惯用一个叫CyberChef的在线“数字厨房”工具。它集成了上百种编码、加密、哈希操作并且可以像搭积木一样将多个操作“配方”组合起来。你可以先把字符串丢进去尝试“Magic”功能它会自动猜测可能的编码组合非常高效。5.2 隐藏在图片与文件中的信息信息也可以藏在二进制文件里。这就是所谓的“隐写术”Steganography。图片隐写 下载页面上的图片如果有。首先用file命令查看实际文件类型有时.jpg文件可能实际上是.png。然后使用strings 图片名 | grep -i flag查看文件中可打印的字符串。使用binwalk 图片名检查文件中是否嵌入了其他文件如zip、另一个图片。使用exiftool 图片名查看图片的元数据EXIF出题人可能把Flag写在注释Comment、作者Artist等字段里。使用Stegsolve.jar等工具分析图片的各个颜色通道RGB查看最低有效位LSB是否藏有信息。文件末尾追加 有时Flag直接以文本形式追加在图片或PDF等文件的末尾。用hexdump -C 文件名 | tail -20查看文件末尾的十六进制和ASCII表示或者用文本编辑器打开文件直接滚动到最后查看。在“Welcome to Earth”的语境下如果页面上有一张地球的图片那么这张图就极有可能是隐写载体。你需要用上述方法对其进行彻底检查。6. 组合拳与思维跃迁从线索到Flag经过前面几个步骤的系统性信息收集你应该已经积累了一些线索可能是一个隐藏路径、一个特殊的请求头要求、一段编码后的字符串或者图片中隐藏的数据。现在需要将这些线索串联起来形成完整的解题链条。6.1 线索的逻辑串联解题过程就像玩解谜游戏上一步的答案往往是下一步的输入。例如你在robots.txt中发现Disallow: /s3cr3t/。访问/s3cr3t/得到一个空白页面或一句提示。查看响应头发现X-Hint: ZmxhZ19pc19oZXJl。将ZmxhZ19pc19oZXJl进行Base64解码得到flag_is_here。这可能意味着Flag就在这个页面但需要特定条件。你尝试修改请求方法发现POST /s3cr3t/返回了数据。POST过去的数据需要什么呢查看页面源码虽然空白可能在某个script标签或注释里发现!-- need: keyvalue --。于是你使用Burp Suite向/s3cr3t/发送一个POST请求Body为keyvalue。服务器返回了一段密文或又一层编码的数据。你识别出这是ROT13编码解码后得到最终的Flagflag{w3lc0m3_t0_34rth_2020!}。关键点在于每一步操作都要观察服务器的全部反馈状态码、响应头、响应体包括肉眼不可见的空格、换行符。Burp Suite的Repeater和Logger模块是记录和对比这些响应的绝佳工具。6.2 面对“无果”时的思维调整有时按照常规流程走了一遍似乎一无所获。这时需要跳出框架思考路径遍历Path Traversal 如果题目有文件读取功能尝试../../../../etc/passwd读取系统文件。但CTF中更常见的是读取应用源码如?filephp://filter/convert.base64-encode/resourceindex.php利用PHP伪协议读取Base64编码后的源码。服务端请求伪造SSRF 如果发现一个能发起网络请求的功能如图片加载、网址预览尝试让其访问内网服务如http://127.0.0.1/flag或http://localhost:8080/admin。前端代码审计 如果页面有JavaScript仔细审计其逻辑。Flag可能被拼接在某个变量里或者需要满足复杂的JavaScript条件才会显示。在浏览器控制台Console中直接执行相关函数或修改变量值可能直接触发Flag显示。时间线回溯 重新梳理所有发现。是否漏掉了某个不起眼的图片是否某个请求的响应长度与其他404页面略有不同即使状态码都是404是否有一个Cookie设置了但从未被使用对于[b01lers2020]Welcome to Earth这道具体的题目其最终解法可能就是上述多个步骤的组合。例如先通过目录扫描发现/admin但访问返回403然后修改X-Forwarded-For头为127.0.0.1绕过IP限制进入一个页面后发现一段Base64编码解码后得到提示“check source”于是通过?pageindex.php之类的参数读取页面源码在源码注释中发现真正的Flag。7. 工具链与工作流高效信息收集的秘诀工欲善其事必先利其器。手动测试虽然细致但效率低下。建立一个高效的自动化与半自动化工作流能让你在CTF比赛或真实渗透测试中抢占先机。7.1 浏览器插件套装首先武装你的浏览器我推荐安装以下插件以Chrome为例Wappalyzer 自动识别网站使用的技术栈前端框架、后端语言、服务器、数据库等提供第一手情报。EditThisCookie 方便地查看、编辑、删除Cookie比开发者工具更直观。HTTP Header Live 实时监控浏览器发出的所有请求和响应的头部信息便于发现动态加载的请求和自定义头。Retire.js 检测前端使用的JavaScript库是否存在已知漏洞。这些插件能让你在浏览目标网站时被动地收集到大量信息。7.2 命令行利器与集成工具对于主动侦察我习惯使用Kali Linux或自己配置的渗透测试环境核心工具包括curl / wget 瑞士军刀。用于快速获取内容、测试HTTP方法、修改请求头。curl -v可以显示详细的通信过程。dirsearch / gobuster 如前所述目录扫描主力。nikto 更全面的Web服务器扫描器能检查大量已知的安全漏洞、危险文件、配置问题。命令如nikto -h http://靶场地址。它的输出信息量很大需要从中筛选有价值的线索。ffuf 一款用Go写的快速模糊测试工具不仅可以用于目录扫描还能用于参数Fuzz、子域名爆破等速度极快。例如参数Fuzzffuf -w /path/to/wordlist.txt -u http://靶场地址/?FUZZtest -fs 4242-fs过滤掉大小为4242的响应即错误的页面大小。sqlmap 当发现可能的SQL注入点时使用。但CTF中很多注入是故意留的用于教学真实比赛中也可能遇到。切记在未经授权的真实网站上使用sqlmap是违法行为。工作流建议人工浏览 用插件收集基本信息手动查看所有可见内容和源码。轻量扫描 用dirsearch或gobuster进行初步目录扫描使用中等规模的字典。深度分析 对发现的每一个新路径、参数点用Burp Suite的Repeater进行手动测试尝试各种Payload和请求头。专项检查 对图片等文件进行隐写分析对可疑字符串进行编码识别。线索串联 在笔记软件如Obsidian、OneNote或思维导图中记录所有发现尝试建立联系。7.3 信息记录与思维导图好记性不如烂笔头。我强烈建议为每个目标建立一个笔记。记录以下内容目标URL和IP。发现的技术栈Wappalyzer结果。目录/文件列表扫描结果标注出有异常的。请求/响应样本Burp Suite可复制cURL命令粘贴进来。编码/加密的字符串及其解码尝试。假设和待验证点例如“/admin需要本地访问待测试X-Forwarded-For头”。用思维导图来可视化这些信息点之间的关系能帮助你更快地找到突破口。例如中心是“目标网站”分支有“前端线索”、“后端接口”、“敏感文件”、“编码信息”等每个分支下再细分。8. 从CTF到实战信息收集的核心心法解完[b01lers2020]Welcome to Earth这道题我们收获的不仅仅是一个Flag更是一套应对未知Web系统的侦察方法论。这套方法在真实世界的渗透测试和红队评估中同样至关重要甚至更为复杂。8.1 CTF与实战的异同相同点 核心思想一致——尽可能全面地收集信息寻找非常规的入口点理解应用程序的行为逻辑。工具链和工作流也高度相似。不同点复杂度 真实系统庞大得多可能有数百个端点涉及多个子域名、微服务。防护 真实系统通常有WAFWeb应用防火墙、IDS/IPS入侵检测/防御系统、速率限制、复杂的错误信息处理统一的404/500页面使得扫描和探测更困难需要更慢、更隐蔽。目标 CTF的目标是找到预设的Flag实战的目标是发现可能造成业务影响的安全漏洞如数据泄露、权限提升、远程代码执行。合法性CTF是在授权范围内测试而实战必须获得明确的书面授权。未经授权的测试是违法的。8.2 实战中的信息收集扩展在实战中信息收集的范围远不止于一个主域名子域名枚举 使用工具如subfinder,amass,assetfinder结合证书透明度日志、搜索引擎、DNS字典爆破找出所有关联子域名。每一个子域名都可能是一个独立的、安全性较弱的应用。端口扫描与服务识别 使用nmap对目标IP地址进行端口扫描-sV参数尝试识别服务版本。开放的22SSH、21FTP、3306MySQL、6379Redis等端口都可能成为突破口。关联信息搜索 在GitHub、GitLab上搜索公司名、项目名、邮箱可能意外发现泄露的源码、API密钥、配置文件。使用theHarvester等工具收集员工邮箱用于社会工程学或密码喷洒攻击。历史记录与快照 查看archive.orgWayback Machine上的网站历史快照可能发现被删除但仍有用的页面、接口或注释。8.3 培养“攻击者思维”无论是CTF还是实战最高阶的能力是培养“攻击者思维”。这要求你保持好奇与怀疑 不放过任何细微的异常。为什么这个Cookie叫session而另一个叫SESSION为什么这个请求返回的长度比另一个多2个字节理解业务逻辑 尝试理解这个网站是做什么的。一个博客站核心是文章和评论一个电商站核心是用户、订单、支付。从业务逻辑中寻找漏洞如订单金额篡改、积分无限兑换等这类逻辑漏洞在CTF和实战中都极为常见且危害巨大。层层递进持续验证 将大目标分解为小步骤。不是直接找RCE远程代码执行而是先找注入点通过注入点获取数据库信息在数据库中找后台密码登录后台后再找上传点。每一步都稳扎稳打并思考“如果我是开发者我可能在哪里犯错”回过头看Welcome to Earth它就像一场精心设计的入门教学。它没有复杂的漏洞而是引导你走完一个完整的信息收集闭环查看页面、检查源码、分析网络请求、探测敏感路径、处理编码信息。当你成功解出这道题意味着你已经掌握了Web安全探索中最基础、也最核心的那把钥匙。下次当你再遇到一个看似简单的“欢迎页面”时你不会再感到迷茫而是会兴奋地打开你的工具包因为你知道探索的旅程此刻才刚刚开始。真正的挑战和乐趣就在于从这片看似平静的“地球”表面发现通往地下宝藏的隐秘通道。 
长河君 · 2026/8/15 2:08:18 · 阅读 1.2k CTF Web入门实战：从信息收集到Flag获取的完整侦察方法论
1. 从一道“欢迎题”说起CTF Web入门与信息收集的实战演练最近在带新人入门CTFCapture The Flag网络安全竞赛发现很多朋友面对Web题目时尤其是那些看起来像“欢迎页面”的简单题目常常会感到无从下手。他们要么觉得太简单扫一眼就放弃要么用复杂的工具一顿乱扫结果一无所获。这让我想起了在BUUCTF平台上的一道经典入门题——[b01lers2020]Welcome to Earth。这道题本身并不复杂但它完美地诠释了CTF Web赛题尤其是信息收集类题目的核心解题思路将看似无用的“欢迎”转化为有价值的“入口”。这道题来自b01lers战队在2020年出的一道题标题直译就是“欢迎来到地球”。在CTF语境下这种标题往往带有双重含义一是字面上的欢迎二是暗示解题者需要“脚踏实地”地从最基础的地方开始探索。它考察的不是高深的漏洞利用而是作为一名安全研究员或渗透测试人员最基础、也最重要的素养——全面且细致的信息收集能力。很多人以为信息收集就是拿个扫描器跑一下其实远不止如此。它更像侦探办案需要你观察页面的每一个细节理解服务器返回的每一个信号并从这些看似平常的信息中拼凑出通往“Flag”解题目标的路径。接下来我将以这道题为引子拆解一个完整的CTF Web解题流程。我会假设你是一个刚接触CTF的新手手边只有浏览器和Burp Suite这类基础工具。我们将一起像侦探一样从访问这个“欢迎页面”开始一步步挖掘隐藏的线索最终拿到Flag。这个过程也正是你在真实安全评估中面对一个陌生Web应用时应该采取的标准化操作思路。2. 初探靶场环境搭建与第一印象在开始任何实战之前拥有一个可控、可反复测试的环境是至关重要的。对于CTF练习我强烈推荐使用像BUUCTF这样的在线靶场平台。它的优势在于环境是现成的、隔离的你无需在本地配置复杂的Docker或虚拟机只需一个浏览器就能开始。访问题目对应的地址通常平台会提供我们就进入了[b01lers2020]Welcome to Earth的挑战页面。首先映入眼帘的是一个极其简单的页面。根据这类题目的典型特征它可能只包含一段文本比如“Welcome to Earth! Nothing here.”或者一张图片。我们的第一个任务不是寻找复杂的注入点而是建立对目标最全面的“第一印象”。这个阶段我习惯用浏览器的开发者工具F12打开作为主要侦察工具。2.1 页面静态内容分析右键“检查”或按F12我们首先看Elements元素标签页。这里呈现的是HTML源码。新手常犯的错误是只看渲染出来的文字而忽略了HTML注释、隐藏的输入框、禁用的按钮或者奇怪的属性值。我们需要逐行阅读源码。有时Flag或提示就直接藏在注释里格式可能是!-- flag is not here, try /secret --或者!-- debug: admin:admin --。另一种常见套路是在某个div或span标签的style属性里设置display:none隐藏了一段关键文本。我们需要仔细查看所有元素的属性特别是那些看起来“没有用”的id、class或>curl -I “http://靶场地址/”这个-I参数表示只获取响应头。你可能会发现浏览器里没显示出来的X-开头的神秘头信息。3. 进阶侦察目录扫描与敏感文件发现当页面本身和响应头没有提供明显线索时我们就需要主动探索服务器上可能存在的其他路径和文件。这就是目录路径扫描。很多安全工具可以自动化这个过程但理解其原理同样重要。3.1 目录扫描的原理与工具选择目录扫描的本质是暴力猜解。它基于一个字典文件里面包含了成千上万条常见的目录和文件名如/admin,/backup,/config,/index.php.bak,/robots.txt等工具会依次拼接这些条目到目标URL后发送HTTP请求并根据响应码和响应内容长度等特征来判断该路径是否存在、是否可访问、是否与已知的404页面不同。对于CTF入门我推荐使用dirsearch或gobuster。它们轻量、高效。以dirsearch为例一个基础命令如下python3 dirsearch.py -u http://靶场地址/ -e php,html,js,bak,txt,zip-u: 指定目标URL。-e: 指定尝试的文件扩展名。在CTF中php,txt,bak,tar.gz,zip等都是高频出现项。但是直接运行扫描器然后等待结果是不够的。高明的出题人可能会设置一些障碍非标准响应码 存在的路径可能返回403禁止访问而非200不存在的路径也可能返回200但内容是一个统一的“错误页面”。这时需要对比响应内容长度-l或关键词-w。速率限制 过快请求会导致IP被临时封禁。需要添加延迟参数如--delay1每秒1个请求。自定义字典 通用字典可能找不到出题人精心设计的路径名。你需要结合题目标题、页面内容中的单词如“earth”, “welcome”, “b01lers”来构造一个自定义的小字典进行尝试。3.2 敏感文件与源码泄露在CTF中有几类文件是“敏感文件”的代名词几乎成了必查项robots.txt 本意是告诉搜索引擎哪些目录不要抓取。在CTF里它经常直接给出后台管理路径Disallow: /admin/或隐藏的入口Disallow: /s3cr3t_fl4g/。www.zip/website.tar.gz 网站源码打包文件。如果存在并能下载你就能在本地审计所有源码寻找数据库配置、硬编码密码、逻辑漏洞等。下载后第一件事是检查README.md、config.php、.env等配置文件。.git目录 如果网站目录存在.git文件夹且未做防护你可以利用git-dumper等工具还原整个版本库查看历史提交记录可能找到被删除的包含Flag的文件或硬编码的凭证。.DS_Store(Mac) /Thumbs.db(Windows) 这些是操作系统生成的隐藏文件有时会包含目录列表信息。index.php.bak,index.php~ 编辑器或备份工具生成的备份文件内容往往是源码。/phpinfo.php 如果存在会泄露大量服务器配置信息有时Flag会作为环境变量$_ENV或PHP变量被定义在其中。在[b01lers2020]Welcome to Earth这道题里解题的关键一步往往就是通过目录扫描或对已知敏感文件的直接访问发现了一个隐藏的路径。例如扫描可能发现一个/flag路径或者访问/robots.txt发现提示Disallow: /hidd3n_p4th/。4. 协议与参数不寻常的入口点当常规的HTTP GET请求浏览找不到突破口时我们需要拓宽思路检查其他HTTP方法和请求参数。这就像一扇门推不开试试拉、或者看看有没有窗户。4.1 HTTP方法测试除了最常见的GET和POSTHTTP协议还定义了其他方法如HEAD、PUT、DELETE、OPTIONS、TRACE等。服务器对它们的支持情况可能暴露信息或漏洞。OPTIONS方法 用于询问服务器对某个资源支持哪些方法。使用curl -X OPTIONS http://靶场地址/如果返回的Allow头里包含PUT或DELETE可能意味着存在文件上传或删除的风险点虽然CTF中直接利用较少但这是重要信息。HEAD方法 只获取响应头不下载正文。用于快速检查资源是否存在或获取头信息比GET更节省带宽。PUT/DELETE方法 如果服务器配置不当支持WebDAV可能允许通过PUT方法上传文件从而获取Webshell。测试命令如curl -X PUT -d “?php phpinfo();?” http://靶场地址/shell.php。在CTF中出题人有时会要求你用特定的HTTP方法访问某个路径才能得到响应。例如对/flag路径使用GET请求返回403但使用POST或PUT请求却可能成功。这种设计旨在考察选手对HTTP协议的理解。4.2 参数名与参数污染即使页面看起来没有表单也要尝试在URL中添加参数。参数名可以凭空猜测常见的有file,page,path,filename(文件包含)cmd,command,exec(命令执行)id,user,uid(SQL注入)debug,test,admin(调试开关或权限标识)例如访问http://靶场地址/?fileindex.php观察响应是否有变化。或者尝试http://靶场地址/?debug1这可能会开启一个调试模式输出更多内部信息。参数污染HPP也是一个考点。即传递多个同名参数如?id1id2。不同的后端语言PHP/Asp.net/JSP解析这类参数的方式不同可能导致逻辑判断绕过。在测试时可以简单尝试一下。4.3 请求头注入与修改我们之前关注的是响应头现在要主动操控请求头。Burp Suite的Repeater模块是完成这个任务的利器。捕获一个普通请求后在Repeater中你可以任意修改请求头字段X-Forwarded-For/X-Real-IP 常用于识别客户端真实IP。尝试将其改为127.0.0.1或localhost有时可以绕过IP限制访问本地才能访问的接口。Referer 表示请求来源。某些页面可能校验Referer是否来自本站点你可以尝试修改或删除它。User-Agent 浏览器标识。有些功能如某些API接口可能只对特定的User-Agent如curl或某个移动端标识开放。尝试将其改为Googlebot谷歌爬虫有时也会有奇效。Cookie 除了修改值还可以尝试完全删除Cookie或者添加一个名为admin、值为true的Cookie测试权限校验逻辑。自定义请求头 模仿响应头尝试添加一些可能的自定义请求头如X-API-Key: test,Authorization: Basic YWRtaW46YWRtaW4(admin:admin的Base64编码)。在“Welcome to Earth”这类题目中Flag的获取条件可能就隐藏在某个特殊的请求头里。比如你需要添加一个X-CTF: b01lers的请求头服务器才会在响应中返回Flag。5. 数据编码与转换发现隐藏的信息信息并非总是以明文形式呈现。出题人热衷于使用各种编码、哈希或转换来隐藏信息。这就要求我们具备“解码眼”能识别出数据可能经过的处理并熟练使用工具进行反向操作。5.1 常见编码识别与解码当你在页面源码、注释、Cookie、响应头甚至图片的元数据中发现一段乱码或看似随机的字符串时首先考虑以下几种最常见的编码Base64 字符集包含A-Z, a-z, 0-9, , /末尾常用填充。例如ZmxhZ3t3ZWxjb21lX3RvX2VhcnRofQ。在线工具或命令行echo “字符串” | base64 -d即可解码。注意Base64编码后的数据长度通常是4的倍数这是一个快速识别特征。URL编码百分号编码 形式为%XX其中XX是十六进制数。常见于URL参数中如flag%7Bhello%7D解码后是flag{hello}%7B和%7D分别是{和}。HTML实体编码 用于在HTML中显示特殊字符。如#102;#108;#97;#103;十进制或#x66;#x6c;#x61;#x67;十六进制都表示flag。浏览器会自动渲染但查看源码时能看到编码形式。十六进制Hex 直接由0-9, a-f组成的字符串可能成对出现。如666c6167解码后是flag。工具如xxd或在线转换器可以处理。ROT13 一种简单的字母替换密码将字母按字母表顺序移动13位。synt{欢迎}经过ROT13就是flag{欢迎}。命令行可用echo “synt” | tr ‘A-Za-z’ ‘N-ZA-Mn-za-m’解码。实战技巧遇到一串可疑字符串我习惯用一个叫CyberChef的在线“数字厨房”工具。它集成了上百种编码、加密、哈希操作并且可以像搭积木一样将多个操作“配方”组合起来。你可以先把字符串丢进去尝试“Magic”功能它会自动猜测可能的编码组合非常高效。5.2 隐藏在图片与文件中的信息信息也可以藏在二进制文件里。这就是所谓的“隐写术”Steganography。图片隐写 下载页面上的图片如果有。首先用file命令查看实际文件类型有时.jpg文件可能实际上是.png。然后使用strings 图片名 | grep -i flag查看文件中可打印的字符串。使用binwalk 图片名检查文件中是否嵌入了其他文件如zip、另一个图片。使用exiftool 图片名查看图片的元数据EXIF出题人可能把Flag写在注释Comment、作者Artist等字段里。使用Stegsolve.jar等工具分析图片的各个颜色通道RGB查看最低有效位LSB是否藏有信息。文件末尾追加 有时Flag直接以文本形式追加在图片或PDF等文件的末尾。用hexdump -C 文件名 | tail -20查看文件末尾的十六进制和ASCII表示或者用文本编辑器打开文件直接滚动到最后查看。在“Welcome to Earth”的语境下如果页面上有一张地球的图片那么这张图就极有可能是隐写载体。你需要用上述方法对其进行彻底检查。6. 组合拳与思维跃迁从线索到Flag经过前面几个步骤的系统性信息收集你应该已经积累了一些线索可能是一个隐藏路径、一个特殊的请求头要求、一段编码后的字符串或者图片中隐藏的数据。现在需要将这些线索串联起来形成完整的解题链条。6.1 线索的逻辑串联解题过程就像玩解谜游戏上一步的答案往往是下一步的输入。例如你在robots.txt中发现Disallow: /s3cr3t/。访问/s3cr3t/得到一个空白页面或一句提示。查看响应头发现X-Hint: ZmxhZ19pc19oZXJl。将ZmxhZ19pc19oZXJl进行Base64解码得到flag_is_here。这可能意味着Flag就在这个页面但需要特定条件。你尝试修改请求方法发现POST /s3cr3t/返回了数据。POST过去的数据需要什么呢查看页面源码虽然空白可能在某个script标签或注释里发现!-- need: keyvalue --。于是你使用Burp Suite向/s3cr3t/发送一个POST请求Body为keyvalue。服务器返回了一段密文或又一层编码的数据。你识别出这是ROT13编码解码后得到最终的Flagflag{w3lc0m3_t0_34rth_2020!}。关键点在于每一步操作都要观察服务器的全部反馈状态码、响应头、响应体包括肉眼不可见的空格、换行符。Burp Suite的Repeater和Logger模块是记录和对比这些响应的绝佳工具。6.2 面对“无果”时的思维调整有时按照常规流程走了一遍似乎一无所获。这时需要跳出框架思考路径遍历Path Traversal 如果题目有文件读取功能尝试../../../../etc/passwd读取系统文件。但CTF中更常见的是读取应用源码如?filephp://filter/convert.base64-encode/resourceindex.php利用PHP伪协议读取Base64编码后的源码。服务端请求伪造SSRF 如果发现一个能发起网络请求的功能如图片加载、网址预览尝试让其访问内网服务如http://127.0.0.1/flag或http://localhost:8080/admin。前端代码审计 如果页面有JavaScript仔细审计其逻辑。Flag可能被拼接在某个变量里或者需要满足复杂的JavaScript条件才会显示。在浏览器控制台Console中直接执行相关函数或修改变量值可能直接触发Flag显示。时间线回溯 重新梳理所有发现。是否漏掉了某个不起眼的图片是否某个请求的响应长度与其他404页面略有不同即使状态码都是404是否有一个Cookie设置了但从未被使用对于[b01lers2020]Welcome to Earth这道具体的题目其最终解法可能就是上述多个步骤的组合。例如先通过目录扫描发现/admin但访问返回403然后修改X-Forwarded-For头为127.0.0.1绕过IP限制进入一个页面后发现一段Base64编码解码后得到提示“check source”于是通过?pageindex.php之类的参数读取页面源码在源码注释中发现真正的Flag。7. 工具链与工作流高效信息收集的秘诀工欲善其事必先利其器。手动测试虽然细致但效率低下。建立一个高效的自动化与半自动化工作流能让你在CTF比赛或真实渗透测试中抢占先机。7.1 浏览器插件套装首先武装你的浏览器我推荐安装以下插件以Chrome为例Wappalyzer 自动识别网站使用的技术栈前端框架、后端语言、服务器、数据库等提供第一手情报。EditThisCookie 方便地查看、编辑、删除Cookie比开发者工具更直观。HTTP Header Live 实时监控浏览器发出的所有请求和响应的头部信息便于发现动态加载的请求和自定义头。Retire.js 检测前端使用的JavaScript库是否存在已知漏洞。这些插件能让你在浏览目标网站时被动地收集到大量信息。7.2 命令行利器与集成工具对于主动侦察我习惯使用Kali Linux或自己配置的渗透测试环境核心工具包括curl / wget 瑞士军刀。用于快速获取内容、测试HTTP方法、修改请求头。curl -v可以显示详细的通信过程。dirsearch / gobuster 如前所述目录扫描主力。nikto 更全面的Web服务器扫描器能检查大量已知的安全漏洞、危险文件、配置问题。命令如nikto -h http://靶场地址。它的输出信息量很大需要从中筛选有价值的线索。ffuf 一款用Go写的快速模糊测试工具不仅可以用于目录扫描还能用于参数Fuzz、子域名爆破等速度极快。例如参数Fuzzffuf -w /path/to/wordlist.txt -u http://靶场地址/?FUZZtest -fs 4242-fs过滤掉大小为4242的响应即错误的页面大小。sqlmap 当发现可能的SQL注入点时使用。但CTF中很多注入是故意留的用于教学真实比赛中也可能遇到。切记在未经授权的真实网站上使用sqlmap是违法行为。工作流建议人工浏览 用插件收集基本信息手动查看所有可见内容和源码。轻量扫描 用dirsearch或gobuster进行初步目录扫描使用中等规模的字典。深度分析 对发现的每一个新路径、参数点用Burp Suite的Repeater进行手动测试尝试各种Payload和请求头。专项检查 对图片等文件进行隐写分析对可疑字符串进行编码识别。线索串联 在笔记软件如Obsidian、OneNote或思维导图中记录所有发现尝试建立联系。7.3 信息记录与思维导图好记性不如烂笔头。我强烈建议为每个目标建立一个笔记。记录以下内容目标URL和IP。发现的技术栈Wappalyzer结果。目录/文件列表扫描结果标注出有异常的。请求/响应样本Burp Suite可复制cURL命令粘贴进来。编码/加密的字符串及其解码尝试。假设和待验证点例如“/admin需要本地访问待测试X-Forwarded-For头”。用思维导图来可视化这些信息点之间的关系能帮助你更快地找到突破口。例如中心是“目标网站”分支有“前端线索”、“后端接口”、“敏感文件”、“编码信息”等每个分支下再细分。8. 从CTF到实战信息收集的核心心法解完[b01lers2020]Welcome to Earth这道题我们收获的不仅仅是一个Flag更是一套应对未知Web系统的侦察方法论。这套方法在真实世界的渗透测试和红队评估中同样至关重要甚至更为复杂。8.1 CTF与实战的异同相同点 核心思想一致——尽可能全面地收集信息寻找非常规的入口点理解应用程序的行为逻辑。工具链和工作流也高度相似。不同点复杂度 真实系统庞大得多可能有数百个端点涉及多个子域名、微服务。防护 真实系统通常有WAFWeb应用防火墙、IDS/IPS入侵检测/防御系统、速率限制、复杂的错误信息处理统一的404/500页面使得扫描和探测更困难需要更慢、更隐蔽。目标 CTF的目标是找到预设的Flag实战的目标是发现可能造成业务影响的安全漏洞如数据泄露、权限提升、远程代码执行。合法性CTF是在授权范围内测试而实战必须获得明确的书面授权。未经授权的测试是违法的。8.2 实战中的信息收集扩展在实战中信息收集的范围远不止于一个主域名子域名枚举 使用工具如subfinder,amass,assetfinder结合证书透明度日志、搜索引擎、DNS字典爆破找出所有关联子域名。每一个子域名都可能是一个独立的、安全性较弱的应用。端口扫描与服务识别 使用nmap对目标IP地址进行端口扫描-sV参数尝试识别服务版本。开放的22SSH、21FTP、3306MySQL、6379Redis等端口都可能成为突破口。关联信息搜索 在GitHub、GitLab上搜索公司名、项目名、邮箱可能意外发现泄露的源码、API密钥、配置文件。使用theHarvester等工具收集员工邮箱用于社会工程学或密码喷洒攻击。历史记录与快照 查看archive.orgWayback Machine上的网站历史快照可能发现被删除但仍有用的页面、接口或注释。8.3 培养“攻击者思维”无论是CTF还是实战最高阶的能力是培养“攻击者思维”。这要求你保持好奇与怀疑 不放过任何细微的异常。为什么这个Cookie叫session而另一个叫SESSION为什么这个请求返回的长度比另一个多2个字节理解业务逻辑 尝试理解这个网站是做什么的。一个博客站核心是文章和评论一个电商站核心是用户、订单、支付。从业务逻辑中寻找漏洞如订单金额篡改、积分无限兑换等这类逻辑漏洞在CTF和实战中都极为常见且危害巨大。层层递进持续验证 将大目标分解为小步骤。不是直接找RCE远程代码执行而是先找注入点通过注入点获取数据库信息在数据库中找后台密码登录后台后再找上传点。每一步都稳扎稳打并思考“如果我是开发者我可能在哪里犯错”回过头看Welcome to Earth它就像一场精心设计的入门教学。它没有复杂的漏洞而是引导你走完一个完整的信息收集闭环查看页面、检查源码、分析网络请求、探测敏感路径、处理编码信息。当你成功解出这道题意味着你已经掌握了Web安全探索中最基础、也最核心的那把钥匙。下次当你再遇到一个看似简单的“欢迎页面”时你不会再感到迷茫而是会兴奋地打开你的工具包因为你知道探索的旅程此刻才刚刚开始。真正的挑战和乐趣就在于从这片看似平静的“地球”表面发现通往地下宝藏的隐秘通道。