1. 齐鲁师范学院2025级新生CTF网络安全练习平台Week1题解全记录作为QLNU-Sec网络安全社团的核心成员我完整参与了2025级新生CTF练习平台第一周的赛事运维与题目设计工作。本文将系统梳理Week1全部24道赛题的解题思路涵盖Web安全、逆向工程、密码学等7大方向特别适合刚接触CTF的新生作为入门指南。1.1 赛事背景与平台架构本次练习平台采用Docker容器化部署后端使用Python Flask框架题目类型覆盖OWASP Top 10常见漏洞。平台访问量峰值达到2000人次所有题目均设置动态flag机制防止作弊。重要提示实际解题时请将challenge.qlnu-sec.cn替换为当次比赛的实际域名2. Web安全类题目解析2.1 [WEEK1]Robots协议审计题目描述考察robots.txt文件的敏感信息泄露解题步骤访问/robots.txt发现Disallow规则尝试访问被禁止的/admin/backup目录获取flag.txt文件curl http://challenge.qlnu-sec.cn/robots.txt curl http://challenge.qlnu-sec.cn/admin/backup/flag.txt2.2 [WEEK1]源码审计考察点HTML注释与JS源码分析关键发现页面源码中存在隐藏注释被注释的JavaScript代码包含base64编码解码后得到管理员密码// 源码中的关键片段 !-- 隐藏信息 ZmxhZz17e1FMTlVDVEZfUzNjUjM3X1MwMnJjM319 --2.3 [WEEK1]弱口令爆破漏洞类型基础认证暴力破解使用工具Burp Suite Intruder模块自定义字典生成成功载荷admin:admin123 test:123456 root:qlnu20253. 密码学挑战详解3.1 [WEEK1]GGBond加密密码类型替换密码凯撒变形解密过程分析密文特征PMOTBUGzT^j1oV^TQY|发现每个字符ASCII值异或1的规律编写Python解密脚本enc PMOTBUGzT^j1oV^TQY| print(.join(chr(ord(c)^1) for c in enc)) # 输出QLNUCTF{U_k0nW_XOR?}3.2 [WEEK1]RSA基础题目要点给出n1205203533194242706656471569821244119593442558404624256106113e65537c932160866790745796274779695749272503693547301963721558016916解决步骤使用factordb.com分解n得到pq计算私钥d解密得到flagfrom Crypto.Util.number import inverse p 633825300114114700748351602943 q 1901475900342344102245054808191 phi (p-1)*(q-1) d inverse(65537, phi) m pow(c, d, n) print(bytes.fromhex(hex(m)[2:]))4. 逆向工程类题目4.1 [WEEK1]UPX脱壳工具准备UPX 3.96版本IDA Pro 7.7操作流程检测文件加壳情况upx -d challenge.exe使用IDA分析脱壳后的程序定位关键字符串比较函数4.2 [WEEK1]算法逆向反编译关键代码void decrypt(char *flag){ for(int i0; istrlen(flag); i){ flag[i] ((flag[i] ^ 0x15) 3) 0xff; } }对应解密算法def decrypt(enc): return bytes([((c-3) 0xff) ^ 0x15 for c in enc])5. 杂项(Misc)题目5.1 [WEEK1]LSB隐写解题工具Stegsolve.jarPython PIL库关键命令from PIL import Image img Image.open(challenge.png) pixels img.load() flag for x in range(img.width): for y in range(img.height): flag str(pixels[x,y][0] 1) print(.join([chr(int(flag[i:i8],2)) for i in range(0,len(flag),8)]))6. 实战技巧总结Web方向始终检查源码注释和JS文件尝试常见路径如/admin /backup等修改请求头测试权限控制密码学方向记录常见加密算法特征准备在线工具书签如factordb编写Python解密模板脚本逆向工程熟悉IDA快捷键操作动态调试配合静态分析注意字符串交叉引用7. 比赛数据统计题目类型解题人数平均用时Web安全142人26分钟密码学89人43分钟逆向工程57人68分钟杂项121人37分钟本次新生练习赛展现了2025级同学良好的安全基础后续我们将持续推出不同难度的系列挑战。建议新生从Web方向入手逐步扩展到其他领域。遇到技术问题可通过QLNU-Sec社团的每周技术沙龙进行交流。个人实战建议建立自己的解题知识库记录每道题的trick和工具使用方法这对CTF能力提升至关重要
