CTF 暑期加令营·Mi 方向进阶课程笔记

N Q 2025 暑期加令营

CTF Mi 方向 · 进阶课程笔记

从 Linux 基础到内存取证、流量分析，夯实基础，直击实战。

板块 01

Linux 使用基础

从 Windows 命令行引入，到 Ubuntu 安装与常用命令，再到 Linux 权限管理，一步步夯实基础。

1Windows CMD 操作入门

▸打开终端：右键 Windows 徽标 → 终端 / 按 Win + X；Win + R 后输 cmd

▸常用命令：

·echo 内容 → 打印输出

·dir → 查看当前目录文件

·cd 路径 → 切换目录

·md / mkdir → 新建文件夹；rd / rmdir → 删除文件夹

·Tab 自动补全 · ↑↓ 方向键历史命令 · cls 清屏

▸输出重定向：> 清空并写入；>> 追加内容

▸type 文件 → 查看文件内容

2Ubuntu 安装与选择

▸选择使用最广泛的 Ubuntu 桌面版（Desktop）

▸建议选择 LTS（长期支持版），例如 22.04，软件兼容性好且网上资料充足

▸下载 .iso 镜像后，在 VMware Workstation 中新建虚拟机，选择镜像并配置用户名和密码

▸日常使用建议将虚拟磁盘存放到非 C 盘位置，磁盘容量可设 40-60 GB

▸也可使用 WSL（Windows Subsystem for Linux）在 Windows 上运行 Linux，方便演示和操作

3Linux 提示符与基础目录操作

kali@kali:~$ # 用户名@主机名:当前目录权限符号
普通用户以 $ 结尾；root 用户以 # 结尾

▸cd 切换目录（cd / 进入根目录，cd ~ 回家目录，cd .. 上级目录）

▸pwd → 打印当前工作目录

▸ls / ll → 查看文件（ls -al 显示隐藏文件及详细信息）

▸touch 文件 → 新建空文件

▸cat 文件 → 查看文件内容

▸mkdir → 新建目录；cp → 复制；rm -rf → 强制递归删除

▸mv → 移动或重命名；echo abc > file 写入文件；>> 追加

4系统操作与实用命令

▸uname -a → 查看内核版本、系统架构

▸top → 监控系统进程（Ctrl + C 退出）

▸whoami → 当前用户身份

▸wget URL → 从网络下载文件

▸管道符 | + grep 关键词 → 从长内容中快速过滤所需字符串

▸vi/vim 文本编辑器：i 进入交互模式 → 编辑 → Esc → 输入 :wq 保存退出

5tar 打包与压缩

▸压缩：tar -cf 包名.tar 文件列表

▸解压：tar -xf 包名.tar

▸gz 格式：压缩加 -z，如 tar -czf；解压用 tar -xzf

▸v 参数可显示详细文件列表，便于观察操作过程

6根目录常见文件夹的作用

/bin二进制可执行

/boot启动必要文件

/etc配置文件

/home用户家目录

/mnt磁盘挂载

/opt可选软件

/proc进程相关

/rootroot 家目录

/tmp临时文件

▸/var 通常存放 Web 应用数据和源码

7Linux 权限管理（核心重点）

▸文件权限共 10 位：第 1 位类型 + 后 9 位权限位

▸类型：- 普通文件、d 目录、l 软链接

▸三组权限：所有者(前3位) | 所属组(中间3位) | 其他用户(末3位)

·r（读）= 4，w（写）= 2，x（执行）= 1

·常见值：7=rwx、6=rw-、5=r-x、4=r--、0=---

▸chmod 权限值文件名 → 修改权限，例如：chmod 755 file

无法写入文件时先检查文件权限 —— echo 提示 "权限不足" 往往就是因为缺少 w 权限

板块 02

内存取证

通过 Volatility 工具分析内存镜像，提取系统中的明文密码与敏感信息。

1Kali Linux 环境准备

▸Kali Linux 官网下载 VM 镜像（VMware 虚拟机文件）

▸默认账号：用户名 kali，密码 kali（小写）

▸拍摄快照：进入系统后立刻创建快照，系统崩坏时快速恢复

▸界面字体较小，可通过 HighDPI mode 调整显示比例

2Volatility 安装流程

更换软件源为清华镜像源，提升下载速度

执行 pip 安装脚本，安装 pip2 与 setuptools

下载并安装 Volatility 2（Python 2 版本）

安装 Python 2 编译依赖库（如 pycrypto 等）

下载源码并编译安装依赖的 distorm3、construct 等模块

安装 mimikatz 插件 → 用于提取 Windows 明文密码

▸验证：python2 vol.py -f 镜像文件 imageinfo

3CM 内存取证实战核心流程

▸第一步：查看镜像类型 → 使用 imageinfo 扫描

python2 vol.py -f memory.raw imageinfo
查看 Suggested Profiles，如 Win7SP1x86

▸指定 Profile 分析进程和文件 → --profile=Win7SP1x86

▸pslist 查看进程列表；filescan 扫描内存中的文件

▸留意打开的记事本等程序，常包含文档线索

▸dumpfiles -Q 地址 -D 路径 → 提取文件

▸mimikatz 插件可直接提取 Windows 明文密码

核心思路：内存中大量敏感数据以明文形式存储，找到进程、文件、密码就能还原案件关键信息

板块 03

流量分析

使用 WireShark / TShark 从流量包中还原访问记录、提取被传输的文件内容，发现 Flag 与敏感数据。

1WireShark 核心操作

▸CTF 解题中重点查看 HTTP 流量，过滤输入 http

▸关注 POST 请求：登录、文件上传是追踪敏感行为的主要途径

▸GET 返回包中的 file data 可直接右键复制、还原

2实用技巧：导出HTTP对象

文件 → 导出对象 → HTTP
快速查看并导出所有 HTTP 传输的文件

▸也可以直接使用编辑器打开流量包，搜索关键字 flag 定位明文数据

3TShark 命令行处理

▸TShark 是 WireShark 的命令行版本，可在终端环境操作

tshark -r 流量包 -Y "过滤器" -T json # json 输出
tshark -r 流量包 -Y "frame.number == 151" -T fields -e data.data # 提取字段

▸重定向保存：将提取的数据输出到指定 txt 文件

▸配合默认的 data.data 字段可提取文件十六进制数据，组合还原图片附件

4分块传输还原思路

▸服务器可能将文件分割为多块（如 61 个 trunk）上传

▸用 TShark 过滤全部上传请求，排除非目标文件的第一个请求

▸将每块 data.data 提取并拼接到同一文件（注意转义引号）

▸通过 VS Code 正则表达、删掉多余的序列号字段

▸最终将完整十六进制还原为图片或文件，提取 Flag

关键心得：流量分析需要 HTP 与 Web 基础配合，理解登录、上传、响应等常见交互逻辑，能更快定位关键流量。

📌 课程总结

▸Linux 基础：熟练使用命令行、权限管理与文件操作是 CTF 一切工具的前提

▸内存取证：Volatility 分析内存镜像 + mimikatz 提取明文密码；从进程和文件中找答案

▸流量分析：过滤 HTTP、追踪 POST 请求、导出对象，结合 TShark 处理分块传输和十六进制数据还原

▸CTF 知识面极广，课堂教学远不够，更需要自己打比赛、多查资料、持续积累

💡 学习建议

▸多搜索、多整理、多实践，在赛题中慢慢完善知识体系

▸对每一个报错和失败的操作，都试着弄懂原理

▸有问题及时交流，积累自己的速查笔记和方法库

N Q CA 2025 Mi 方向·进阶

由 CuteNote.app 颜值笔记生成