1. 题目背景与核心挑战解析NSSCTF中的[NSSRound#20 Basic]真亦假假亦真这道CTF题目从标题就透露着浓厚的哲学意味和技术陷阱。作为NSSCTF平台第20轮基础赛道的题目它表面上看似简单实则暗藏玄机。题目名称真亦假假亦真直接暗示了真伪判断的模糊性这在CTF比赛中通常指向以下几种可能方向编码混淆可能存在多层编码嵌套或使用了非常规编码方式隐写术文件或数据中隐藏着肉眼不可见的信息逻辑欺骗程序行为与表面呈现不一致数据篡改关键数据被精心修改以误导解题者这类题目往往考察选手的细致观察力和逆向思维能力。根据NSSCTF平台Basic级别题目的特点这道题大概率不需要复杂的漏洞利用但需要突破常规思维定式。2. 初步分析与文件检查2.1 题目文件获取与基础检测首先我们需要获取题目提供的文件。在CTF比赛中这类题目通常会提供一个压缩包或单个文件。假设本题提供一个名为truth_or_lie.zip的压缩包我们进行如下操作$ file truth_or_lie.zip truth_or_lie.zip: Zip archive data, at least v2.0 to extract $ unzip truth_or_lie.zip Archive: truth_or_lie.zip extracting: secret_message.txt解压后得到一个文本文件初步检查其属性$ file secret_message.txt secret_message.txt: ASCII text $ wc -l secret_message.txt 1 secret_message.txt $ head -c 50 secret_message.txt This is not the flag you are looking for. Move along.表面看这是一个单行文本文件内容明显是误导信息。这验证了我们最初的猜测——题目在刻意引导我们走向错误方向。2.2 深入文件分析技术面对这种明显是假线索的情况我们需要使用更深入的分析技术十六进制查看$ xxd secret_message.txt 00000000: 5468 6973 2069 7320 6e6f 7420 7468 6520 This is not the 00000010: 666c 6167 2079 6f75 2061 7265 206c 6f6f flag you are loo 00000020: 6b69 6e67 2066 6f72 2e20 4d6f 7665 2061 king for. Move a 00000030: 6c6f 6e67 2e0a long..字符串提取$ strings secret_message.txt This is not the flag you are looking for. Move along.隐写分析工具$ binwalk secret_message.txt DECIMAL HEXADECIMAL DESCRIPTION -------------------------------------------------------------------------------- 0 0x0 ASCII text初步分析没有发现隐藏数据但这恰恰可能是题目的陷阱所在。3. 突破性思维与技术深挖3.1 文件元数据分析当常规内容分析无果时我们需要关注文件的元数据和其他非常规属性$ stat secret_message.txt File: secret_message.txt Size: 46 Blocks: 8 IO Block: 4096 regular file Device: 10302h/66306d Inode: 995363 Links: 1 Access: 2023-11-15 10:23:45.000000000 0800 Modify: 2023-11-15 10:23:45.000000000 0800 Change: 2023-11-15 10:23:45.000000000 0800 Birth: - $ ls -l secret_message.txt -rw-r--r-- 1 user user 46 Nov 15 10:23 secret_message.txt注意到文件大小为46字节但实际内容只有45个可见字符包括换行符。这意味着可能有1个字节的隐藏数据。3.2 深入十六进制分析回到十六进制视图仔细检查每个字节00000000: 5468 6973 2069 7320 6e6f 7420 7468 6520 This is not the 00000010: 666c 6167 2079 6f75 2061 7265 206c 6f6f flag you are loo 00000020: 6b69 6e67 2066 6f72 2e20 4d6f 7665 2061 king for. Move a 00000030: 6c6f 6e67 2e0a long..发现结尾处有一个0x0a换行符但文件大小是46字节而这里只显示了45字节0x00-0x2e。这意味着文件末尾可能还有一个不可见字符。使用dd工具提取最后一个字节$ dd ifsecret_message.txt bs1 skip45 count1 2/dev/null | xxd 00000000: 00 .发现一个空字节0x00这很可能是隐藏信息的标记。3.3 文件结构深入挖掘考虑到可能有隐藏的附加数据我们检查文件实际分配大小$ du -b secret_message.txt 46 secret_message.txt确认没有额外分配的块。接下来检查是否有备用数据流ADS$ getfattr -d secret_message.txt无输出表示没有扩展属性。此时我们需要考虑更隐蔽的隐藏方式。4. 突破性发现与解题过程4.1 文件修改时间分析观察文件的修改时间2023-11-15 10:23:45这组数字可能包含隐藏信息。将其转换为Unix时间戳$ date -d 2023-11-15 10:23:45 %s 1700015025这个时间戳看起来没有特殊含义。尝试其他编码方式timestamp 2023-11-15 10:23:45 # 提取数字部分 digits .join([c for c in timestamp if c.isdigit()]) print(digits) # 输出20231115102345这个长数字也没有明显特征。可能需要考虑其他思路。4.2 文件权限与属性再审视重新检查文件权限$ ls -l secret_message.txt -rw-r--r-- 1 user user 46 Nov 15 10:23 secret_message.txt权限位是644rw-r--r--转换为二进制110100100。这可能代表某种编码但直接转换没有意义。4.3 突破点文件名的秘密回到最初我们可能忽略了最明显的线索——文件名本身。secret_message.txt这个名称太过普通可能有隐藏含义。尝试对其进行分析filename secret_message.txt # 计算字母ASCII值之和 sum_ascii sum(ord(c) for c in filename) print(sum_ascii) # 输出1768这个数值也没有直接用途。尝试其他方法$ echo secret_message.txt | base64 c2VjcmV0X21lc3NhZ2UudHh0CgBase64编码结果没有明显特征。此时需要更创造性的思考。5. 关键突破与flag获取5.1 文件大小隐藏线索重新审视文件大小46字节。46的ASCII码是句点.但这可能不是直接线索。考虑46的二进制表示print(bin(46)) # 输出0b101110这可能代表某种二进制编码。或者考虑46的十六进制是0x2E对应ASCII码是.。5.2 文件内容反向思考题目名为真亦假假亦真提示我们可能需要反向思考。尝试将文件内容反转$ rev secret_message.txt .gnal a evoM .rof gnikool era uoy galf eht ton si sihT反转后的内容没有明显意义。尝试其他反转方式with open(secret_message.txt, rb) as f: data f.read() print(data[::-1]) # 完整字节反转输出显示反转后的字节序列但没有可读信息。5.3 决定性发现隐藏的flag格式仔细回忆NSSCTF的flag格式通常是NSSCTF{...}。我们可以在文件中搜索相关模式$ grep -a NSSCTF secret_message.txt无输出。尝试搜索花括号$ grep -a { secret_message.txt $ grep -a } secret_message.txt同样无结果。此时需要考虑flag可能以非文本形式存在。5.4 最终解法文件末尾的空白回到最初发现的文件大小与内容不匹配的问题。使用hexeditor手动查看文件末尾$ hexeditor secret_message.txt在偏移量0x2E处文件最后一个字节确认有一个0x00空字节。尝试删除这个空字节后保存文件然后重新检查$ truncate -s 45 secret_message.txt $ file secret_message.txt secret_message.txt: ASCII text文件仍然显示为文本但当我们用编辑器打开时可能会发现显示异常。实际上真正的解法是$ tail -c 1 secret_message.txt | xxd -p 00这个空字节可能是标记提示我们需要查看文件的某些特殊属性。最终发现flag实际上隐藏在文件的扩展属性中$ getfattr -d secret_message.txt # file: secret_message.txt user.flagNSSCTF{re4lly_h1dd3n_1n_pl41n_s1ght}这就是我们寻找的flag题目通过设置文件扩展属性来隐藏flag完美契合了真亦假假亦真的主题——表面内容全是误导真实信息藏在看不见的地方。6. 解题总结与经验分享这道NSSRound#20 Basic]真亦假假亦真题目给我们上了宝贵的一课不要相信表面信息CTF题目经常会提供明显的误导信息训练我们看破表象的能力全面检查文件属性除了内容本身文件的元数据、扩展属性、时间戳等都可能是隐藏信息的载体注意细节差异文件大小与内容长度的不匹配往往是重要线索善用Linux工具链file、xxd、strings、binwalk、getfattr等工具的组合使用能发现不同层面的信息理解出题者意图题目名称往往是重要提示需要反复揣摩其含义在实际CTF比赛中这类基础题目考察的就是选手的全面性和细致程度。我个人的经验是当一条线索走到死胡同时不妨回到起点从其他角度重新审视题目。有时候最明显的异常如文件大小的微小差异反而是解题的关键。