简介面向CTF竞赛与AWD对抗场景的安全工具包适合参赛选手、渗透测试人员和安全运维新手快速搭建攻防环境。包内共16个文件整体约23.49MB以exe主程序与dll运行库为主同时包含Python辅助脚本、ini配置、dat和db数据文件以及PDF与Markdown格式的说明文档覆盖主要功能模块的安装、配置与运行需求。工具集成度较高既有MobaXterm这类远程终端管理组件也有Seay源代码审计系统和D盾网站安全防护工具分别用于代码漏洞挖掘与Webshell查杀配合自带脚本和备份文件可支撑AWD模式下环境监控、攻防对抗、权限维持与应急响应等完整流程。这套工具包将常用组件集中整理免去逐一搜集、安装与调试的麻烦读者拿到后即可按文档部署使用。已有1285人学习使用适合希望快速补齐AWD工具链并投入实战练习的CTF学习者参考。1. 拿到 AWD攻防工具.zip 之后真正的攻防才刚刚开始赛前 15 分钟队长在群里丢来一个名为“AWD攻防工具.zip”的文件。压缩包通常几十兆里面混着 Python 脚本、shell 命令、默认口令字典和几个连注释都不写的 README。AWD 攻防工具并不是某个具体软件而是以 Attack With Defense 为比赛模式时每个参赛队自己拼凑出来的工具箱.zip则是最常见分发格式因为它能把扫描器、WebShell 管理端、文件监控脚本、flag 批量提交器一次性打包传递。下面要讲清楚一件事拿到这个 zip 包后怎么在最短时间内完成校验、部署、监控和自动化提交同时躲开压缩包里可能埋下的坑。这篇文章适合准备参加线下赛的 CTF 选手、护网 AWD 对抗成员以及想把个人安全工具箱固化下来的从业者。2. 收到 AWD攻防工具.zip 之后先校验别急着解压2.1 为什么 zip 包可能是最大的安全隐患AWD 工具包的来源一般有三个队友整理、网上公开、自己积累。问题是你无法确定转发过程中有没有被人动过手脚。线下赛常见剧本是“某队从网盘下载了一个工具包解压后脚本自动执行把比赛环境搞崩”。这种行为不一定是恶意也可能是压缩包内自带了一个带参数的安装脚本执行之后会覆盖系统关键配置。安全从业者看到任何与 AWD 相关的 zip 包第一原则应该是“先看后动”看内容、看体积、看入口脚本不能直接双击运行。2.2 用 sha256 和 unzip -l 做静态检查# 计算并保存哈希方便和出处对比 sha256sum /path/to/AWD攻防工具.zip | tee awd.zip.sha256 # 仅列出压缩包内容不解压 unzip -l /path/to/AWD攻防工具.zip | head -80sha256sum输出哈希值如果队友或作者在公开渠道给出过原文件哈希先对比对不上就放弃。unzip -l的-l是 list 模式只列出条目不创建任何文件。观察输出时重点关注三个地方路径中是否出现../是否以绝对路径开头比如/etc/passwd文件大小是否异常比如单个文件超过 1GB或者总解压体积远大于 zip 体积。这些都是 zip 炸弹或路径穿越的典型特征尤其要警惕那种“几十 KB 压缩成几 GB”的工具包。2.3 在隔离目录解压并用 file/strings 二次确认mkdir -p /tmp/awd_lab cd /tmp/awd_lab # -O utf8 处理中文文件名避免从 Linux 打包后在 Windows 下乱码 unzip -O utf8 /path/to/AWD攻防工具.zip -d . # 遍历所有文件识别类型并搜索关键命令 for f in $(find . -type f); do echo $f file $f strings $f | grep -E curl|wget|/bin/sh|bash -i|python -c | head -5 done把解压目标放到/tmp/awd_lab这类临时目录就算脚本里有恶意逻辑也不能直接碰到家目录或 Web 目录。file命令判断文件类型你会发现有些.txt其实是 shell 脚本有些.py则是被压缩过的二进制。strings提取二进制中的可读字符串grep 关键字能发现curl、wget、bash -i这类“下载后执行”或反弹特征。如果某个文件同时出现bash -i和陌生域名那几乎可以断定是有问题的直接删除并告知队友。2.4 一个可复用的“解压前体检”脚本把上面的动作做成函数加入你自己的初始化脚本中inspect_zip() { file$1 echo [*] 哈希 sha256sum $file echo [*] 全部条目 unzip -l $file | tail -5 # 检测路径穿越和绝对路径 unzip -l $file | grep -E (\.\./|^/.*|^[A-Za-z]:) echo [-] 发现路径穿越/绝对路径 # 统计解压后总大小unzip -l 末尾汇总行的第一个字段是总字节数 total$(unzip -l $file | tail -1 | awk {print $1}) [ $total -gt 1000000 ] echo [-] 解压体积过大疑似 zip 炸弹 }这个脚本只做静态检查不保证绝对安全。tail -5是为了看末尾汇总行路径正则根据平台不同需要调整。真正的体检是把解压后的脚本逐个人工过一遍尤其是入口脚本如setup.sh和install.py。下表总结了常见风险点检查项特征处理方式路径穿越../或绝对路径直接丢弃或严格隔离运行解压体积异常几百 KB 压缩成几 GB用unzip -l先看体积汇总敏感命令bash -i、curl ... | sh确认是 POC 还是后门可执行权限脚本被直接赋予-rwxrwxrwx默认不给执行权限按需添加内嵌数据base64大段字符串用strings观察并解码验证3. 拆开 AWD 攻防工具包核心模块的可执行逻辑3.1 工具包里的五类常驻模块我接触过的 AWD 攻防工具 zip解压后通常不是单一大而全的平台而是按功能拆成多个目录。常见的有scan/存资产探测与指纹识别exploit/存 POC 和利用脚本webshell/存各种密码连接器monitor/存流量监控和文件监控flag/存提交脚本。很多新手第一次拿到包直接进exploit/找“进攻武器”结果丢分后才想起来monitor/里那个watch.sh能提前发现对手的扫描。所以拆包后先把 README 读一遍再按“防守→攻击→提交”的顺序把脚本跑通。3.2 流量监控tcpdump 配合 grep 抓攻击特征# 在比赛网卡上持续抓包写入 pcap 文件按大小轮转 tcpdump -i eth0 -s 0 -w /var/log/awd/$(hostname).pcap \ -C 100 -W 20 host 10.0.0.0/8 not port 22 -i eth0指定网卡-s 0抓取整个数据包-w写入文件。-C 100表示单个文件 100MB 轮转-W 20最多保留 20 个防止磁盘写满。host 10.0.0.0/8是常见的比赛网段需要根据实际分配地址修改not port 22排除自己的 SSH 流量减小噪音。抓包文件除了赛后复盘还能在比赛途中用tcpdump -r xxx.pcap tcp port 80 -A | grep -i select\|union\|eval快速回看 Web 攻击特征。3.3 批量提交 flag 的 Python 脚本模板#!/usr/bin/env python3 # 批量提交 flag支持并发与简单重试 import json, threading, queue, time import requests SUBMIT_URL http://10.0.0.10:8080/api/submit TOKEN c4a7d5f2-xxxx THREADS 8 MAX_RETRY 3 q queue.Queue() def worker(): while True: flag q.get() for attempt in range(MAX_RETRY): try: r requests.post(SUBMIT_URL, data{token: TOKEN, flag: flag}, timeout5) if r.status_code 200 and r.json().get(result) ok: print(f[] {flag}) break else: print(f[-] attempt {attempt1}: {r.text[:80]}) except requests.RequestException as e: print(f[!] {flag} error {e}) if attempt MAX_RETRY - 1: time.sleep(1) q.task_done() # 从 flags.txt 逐行读取 with open(flags.txt, r, encodingutf-8) as f: for line in f: q.put(line.strip()) for _ in range(THREADS): threading.Thread(targetworker, daemonTrue).start() q.join() print(all done)这个脚本解决“拿下一台靶机后在/root/flag和/var/www/html里翻出一串 flag手动提交太慢”的问题。SUBMIT_URL和TOKEN要在赛前填成平台给的接口。THREADS控制并发线上赛一般限制每秒提交次数4~8 足够MAX_RETRY设为 3配合time.sleep(1)避免连续失败。q.join()等待队列清空脚本退出前不会漏提交。注意flags.txt里的内容要去掉空格strip()已经在入队时做了。3.4 文件完整性监控用 inotifywait 防种 WebShell# 安装依赖Debian/Ubuntu apt-get update apt-get install -y inotify-tools # 递归监控 Web 目录记录新增、修改和删除事件 inotifywait -m -r -e modify -e create -e delete \ /var/www/html --format %w%f %e /var/log/awd/file_change.log 21 -m保持长驻-r递归目录-e指定事件。inotifywait 会在新文件写入时把路径写进日志等于给 Web 目录装了报警器。如果file_change.log里突然多出一个.php马上用第 4 章的备份恢复。这个工具的局限是只能监控单个主机AWD 环境中如果对手删掉 inotifywait 或直接清空日志目录还需要配合离线检测比如定时把当前文件列表和初始快照做 diff。4. 防守侧加固与监控让 zip 包里的脚本先护住自己4.1 开局前 10 分钟备份、改密、删危险文件# 备份 Web 根目录 cp -a /var/www/html /bak/html_$(date %s) # 修改 SSH 口令比赛环境初始密码通常是公开的 echo -e Team2024\nTeam2024 | passwd root # 删除无用的默认后台和安装脚本 find /var/www/html -name install.php -o -name phpinfo.php -deleteAWD 起始时每个队伍分到的靶机可能同源默认口令一致第一步就是修改 SSH 和数据库口令。cp -a保留权限和时间戳后续恢复时才能尽可能不影响业务。find -delete删除install.php这类公开入口但只删除你确认无用的文件别把站点的核心配置也当危险文件删掉。4.2 扣分点排查用 grep 找后门和敏感信息# 查找常见的命令执行函数 grep -rE eval\(|assert\(|base64_decode\(|shell_exec\(|system\( \ /var/www/html --include*.php --include*.jsp -l # 查找 Web 目录下的压缩包和备份文件 find /var/www/html -name *.zip -o -name *.bak -o -name *.sqlAWD 防守得分不只是“服务可用”还包括“没被找到后门”。grep -rE列出包含高风险函数的文件逐个确认。如果某个文件本身是编辑器生成的而你没有编辑过基本就是对手放进去的。find搜备份文件因为攻击者喜欢把数据库导出成site.sql放在 Web 目录里方便自己下载这种文件也会被裁判判为失分点。4.3 用 chattr 锁定关键文件# 给入口文件加不可修改位 chattr i /var/www/html/index.php chattr i /var/www/html/upload/index.php # 取消锁定时 chattr -i /var/www/html/index.phpchattr i让文件不能被修改、删除、重命名即使是 root 也不行。AWD 中这个命令特别适合保护已确认安全的入口脚本。代价是后续更新代码时得先执行-i所以最好把需要锁的文件写进一个lock.sh方便统一操作。注意不要对整个目录加i否则日志和临时文件无法创建站点直接 502。4.4 PHP 运行参数加固; php.ini 常见加固参数 disable_functions system,exec,passthru,shell_exec,proc_open open_basedir /var/www/html:/tmp allow_url_fopen Off max_execution_time 30disable_functions杀掉命令执行函数是防 WebShell 利用的第一道闸。open_basedir把 PHP 脚本的读写限制在/var/www/html和/tmp即使拿到 shell 也访问不了/etc/shadow。这两个参数生效需要重载 PHP-FPM如果平台不允许重启就用.user.ini配合 CGI/FPM 模式。allow_url_fopen Off可能影响某些正常功能要提前测试。4.5 把监控落地为 systemd 服务; /etc/systemd/system/awd-monitor.service [Unit] DescriptionAWD File Monitor Afternetwork.target [Service] ExecStart/usr/bin/inotifywait -m -r -e modify,create,delete /var/www/html --format %w%f %e StandardOutputappend:/var/log/awd/file_change.log Restarton-failure [Install] WantedBymulti-user.target把 inotifywait 纳入 systemd 管理后SSH 断开不会杀掉监控进程。StandardOutput指向日志文件Restarton-failure保证进程意外退出后自动拉起。启用命令systemctl daemon-reload systemctl enable --now awd-monitor。这样 zip 包里的监控脚本就变成一个稳定的系统服务而不是挂在前台的一个孤儿进程。5. 攻击侧自动化把 zip 包里的探测和利用脚本成体系跑起来5.1 目标信息收集先列网段再抓指纹# 扫描整个比赛网段的 80/8080 端口和 Web 服务版本 nmap -sV -p 80,8080 --open -oN web_scan.txt 10.0.0.0/24 # 快速探测存活主机并存成 IP 列表 nmap -sn 10.0.0.0/24 | grep Nmap scan | awk {print $5} targets.txtAWD 中攻击目标通常是同一网段的 10~30 台靶机。nmap -sV做服务版本识别--open只输出开放端口。-sn是 ping 扫描速度快但禁 ping 的主机会被漏掉建议改用 TCP 扫描nmap -PS22,80 -sn。targets.txt是后面批量脚本的输入提前清理空行和不合法 IP。5.2 弱口令检测的合规姿势# 仅限 AWD 比赛授权网段内使用 sshpass -p root123 ssh -o StrictHostKeyCheckingno root10.0.0.2 id很多初始靶机 SSH 口令就是root123或admin2024工具包里的字典能直接跑。sshpass从命令行指定密码StrictHostKeyCheckingno跳过公钥确认适合批量尝试。更常用的是用 Python 的 paramiko 对一批目标循环执行命令但请把targets.txt严格控制在比赛分配的地址段。任何弱口令检测都可能触发平台防爆破机制速度调慢一点比如每个目标间隔 2 秒。5.3 批量利用 POC 的执行框架# 先单条验证确认成功后批量执行 curl -s -m 3 http://10.0.0.2/index.php?cmdid # 批量跑 POC for ip in $(cat targets.txt); do curl -s -m 3 http://$ip/index.php?cmdid | head -1 done-m 3限制单次请求 3 秒超时避免某个无响应目标拖慢整个循环。先单条验证是因为很多 POC 写的 URL 路径不匹配比如工具包里默认是/upload/shell.php但目标站被改到了/images/shell.php。批量跑之前确认 POC 的路径和参数否则循环几百次全是 404浪费了宝贵时间。实际比赛中真正高效的 POC 往往来自工具包里exploit/下已适配好的脚本先读它的 README不要重复造轮子。5.4 flag 提交与重试策略结合第 3 章的 Python 提交脚本可以做一个改进提交失败的任务不要直接丢弃而是写入failed_flags.txt比赛结束前再跑一次。用tee把输出同时写到终端和文件python3 submit_flags.py --file flags.txt 21 | tee submit.logAWD 提交平台偶尔会抖动一条 flag 提交超时并不代表失效。重试时把MAX_RETRY降低到 2避免全量重放导致平台限流。submit.log记录了成功和失败的时间点赛后复盘用得上。5.5 比赛结束前的证据整理mkdir -p /root/evidence cp /var/log/awd/*.pcap /root/evidence/ cp submit.log /root/evidence/ tar czf evidence_$(date %s).tar.gz /root/evidenceAWD 比赛不只看最终 flag 数量裁判组也会关注攻击过程是否合规。保存抓包、提交记录和脚本输出既能证明得分有效也能在仲裁时提供依据。tar czf打包后存放在非 Web 目录避免被当成后门文件扣分。6. 把 zip 包变成自己的 AWD 武器库二次开发与排错技巧6.1 用 Git 管理脚本版本cd AWD攻防工具 git init git add -A git commit -m import from teammate # 每次改动后提交 git diff直接在 zip 包内改脚本很容易忘记改了什么。Git 记录每次调整赛后git log --oneline能看清哪次改动导致监控失效。这也回答了“GitHub 上下载的 zip 包怎样安装”的基础疑问解压后先git init再改不要直接丢进生产目录。6.2 Windows 下解压中文乱码和长路径# 使用 7-Zip强制 UTF-8避免中文文件名乱码 7z x AWD攻防工具.zip -oAWD工具包 -aoa很多 zip 是在 Linux 下用zip命令打包的文件名编码是 UTF-8Windows 资源管理器默认按 GBK 解压就会乱码。7-Zip 的-aoa表示覆盖已存在文件。解压后目录层级太深导致“路径太长”错误把压缩包放到C:\temp这种短路径下再解压。6.3 error read zip archive 怎么解决# 先测试压缩包完整性 unzip -t AWD攻防工具.zip # 尝试修复 zip 索引 zip -F AWD攻防工具.zip --out AWD_fixed.zipunzip -t测试所有条目输出中如果出现bad CRC或error说明文件损坏。常见原因是下载过程中被中断或传输工具改写了二进制。zip -F可以尝试重建中心目录但不保证恢复全部内容。最实用的做法是重新下载并比对第 2 章的哈希。6.4 用 Makefile 统一启动命令monitor: bash scripts/start_monitor.sh submit: python3 scripts/submit_flags.py --file flags.txt deploy: rsync -av web/ root10.0.0.2:/var/www/html/ clean: make -C monitor cleanMakefile 让后续操作不用背命令。执行make monitor启动文件监控make submit提交 flagmake deploy同步 Web 文件。rsync -av的-a是归档模式-v显示详细输出用它之前先确认目标目录路径避免把错误数据覆盖到靶机。6.5 自己打包发布一个干净的工具包zip -r AWD攻防工具_$(date %Y%m%d).zip . -x *.log -x .git/* -x *__pycache__*比赛结束后把修改过的脚本重新打 zip-x排除日志、git 目录和 Python 缓存避免带入环境信息和临时文件。打包后顺手执行一遍第 2 章的体检流程确保没有引入新的问题下次比赛就能直接用这个干净版本。本文还有配套的精品资源点击获取
AWD攻防工具.zip到手后：先校验再部署，构建攻防监控闭环
简介面向CTF竞赛与AWD对抗场景的安全工具包适合参赛选手、渗透测试人员和安全运维新手快速搭建攻防环境。包内共16个文件整体约23.49MB以exe主程序与dll运行库为主同时包含Python辅助脚本、ini配置、dat和db数据文件以及PDF与Markdown格式的说明文档覆盖主要功能模块的安装、配置与运行需求。工具集成度较高既有MobaXterm这类远程终端管理组件也有Seay源代码审计系统和D盾网站安全防护工具分别用于代码漏洞挖掘与Webshell查杀配合自带脚本和备份文件可支撑AWD模式下环境监控、攻防对抗、权限维持与应急响应等完整流程。这套工具包将常用组件集中整理免去逐一搜集、安装与调试的麻烦读者拿到后即可按文档部署使用。已有1285人学习使用适合希望快速补齐AWD工具链并投入实战练习的CTF学习者参考。1. 拿到 AWD攻防工具.zip 之后真正的攻防才刚刚开始赛前 15 分钟队长在群里丢来一个名为“AWD攻防工具.zip”的文件。压缩包通常几十兆里面混着 Python 脚本、shell 命令、默认口令字典和几个连注释都不写的 README。AWD 攻防工具并不是某个具体软件而是以 Attack With Defense 为比赛模式时每个参赛队自己拼凑出来的工具箱.zip则是最常见分发格式因为它能把扫描器、WebShell 管理端、文件监控脚本、flag 批量提交器一次性打包传递。下面要讲清楚一件事拿到这个 zip 包后怎么在最短时间内完成校验、部署、监控和自动化提交同时躲开压缩包里可能埋下的坑。这篇文章适合准备参加线下赛的 CTF 选手、护网 AWD 对抗成员以及想把个人安全工具箱固化下来的从业者。2. 收到 AWD攻防工具.zip 之后先校验别急着解压2.1 为什么 zip 包可能是最大的安全隐患AWD 工具包的来源一般有三个队友整理、网上公开、自己积累。问题是你无法确定转发过程中有没有被人动过手脚。线下赛常见剧本是“某队从网盘下载了一个工具包解压后脚本自动执行把比赛环境搞崩”。这种行为不一定是恶意也可能是压缩包内自带了一个带参数的安装脚本执行之后会覆盖系统关键配置。安全从业者看到任何与 AWD 相关的 zip 包第一原则应该是“先看后动”看内容、看体积、看入口脚本不能直接双击运行。2.2 用 sha256 和 unzip -l 做静态检查# 计算并保存哈希方便和出处对比 sha256sum /path/to/AWD攻防工具.zip | tee awd.zip.sha256 # 仅列出压缩包内容不解压 unzip -l /path/to/AWD攻防工具.zip | head -80sha256sum输出哈希值如果队友或作者在公开渠道给出过原文件哈希先对比对不上就放弃。unzip -l的-l是 list 模式只列出条目不创建任何文件。观察输出时重点关注三个地方路径中是否出现../是否以绝对路径开头比如/etc/passwd文件大小是否异常比如单个文件超过 1GB或者总解压体积远大于 zip 体积。这些都是 zip 炸弹或路径穿越的典型特征尤其要警惕那种“几十 KB 压缩成几 GB”的工具包。2.3 在隔离目录解压并用 file/strings 二次确认mkdir -p /tmp/awd_lab cd /tmp/awd_lab # -O utf8 处理中文文件名避免从 Linux 打包后在 Windows 下乱码 unzip -O utf8 /path/to/AWD攻防工具.zip -d . # 遍历所有文件识别类型并搜索关键命令 for f in $(find . -type f); do echo $f file $f strings $f | grep -E curl|wget|/bin/sh|bash -i|python -c | head -5 done把解压目标放到/tmp/awd_lab这类临时目录就算脚本里有恶意逻辑也不能直接碰到家目录或 Web 目录。file命令判断文件类型你会发现有些.txt其实是 shell 脚本有些.py则是被压缩过的二进制。strings提取二进制中的可读字符串grep 关键字能发现curl、wget、bash -i这类“下载后执行”或反弹特征。如果某个文件同时出现bash -i和陌生域名那几乎可以断定是有问题的直接删除并告知队友。2.4 一个可复用的“解压前体检”脚本把上面的动作做成函数加入你自己的初始化脚本中inspect_zip() { file$1 echo [*] 哈希 sha256sum $file echo [*] 全部条目 unzip -l $file | tail -5 # 检测路径穿越和绝对路径 unzip -l $file | grep -E (\.\./|^/.*|^[A-Za-z]:) echo [-] 发现路径穿越/绝对路径 # 统计解压后总大小unzip -l 末尾汇总行的第一个字段是总字节数 total$(unzip -l $file | tail -1 | awk {print $1}) [ $total -gt 1000000 ] echo [-] 解压体积过大疑似 zip 炸弹 }这个脚本只做静态检查不保证绝对安全。tail -5是为了看末尾汇总行路径正则根据平台不同需要调整。真正的体检是把解压后的脚本逐个人工过一遍尤其是入口脚本如setup.sh和install.py。下表总结了常见风险点检查项特征处理方式路径穿越../或绝对路径直接丢弃或严格隔离运行解压体积异常几百 KB 压缩成几 GB用unzip -l先看体积汇总敏感命令bash -i、curl ... | sh确认是 POC 还是后门可执行权限脚本被直接赋予-rwxrwxrwx默认不给执行权限按需添加内嵌数据base64大段字符串用strings观察并解码验证3. 拆开 AWD 攻防工具包核心模块的可执行逻辑3.1 工具包里的五类常驻模块我接触过的 AWD 攻防工具 zip解压后通常不是单一大而全的平台而是按功能拆成多个目录。常见的有scan/存资产探测与指纹识别exploit/存 POC 和利用脚本webshell/存各种密码连接器monitor/存流量监控和文件监控flag/存提交脚本。很多新手第一次拿到包直接进exploit/找“进攻武器”结果丢分后才想起来monitor/里那个watch.sh能提前发现对手的扫描。所以拆包后先把 README 读一遍再按“防守→攻击→提交”的顺序把脚本跑通。3.2 流量监控tcpdump 配合 grep 抓攻击特征# 在比赛网卡上持续抓包写入 pcap 文件按大小轮转 tcpdump -i eth0 -s 0 -w /var/log/awd/$(hostname).pcap \ -C 100 -W 20 host 10.0.0.0/8 not port 22 -i eth0指定网卡-s 0抓取整个数据包-w写入文件。-C 100表示单个文件 100MB 轮转-W 20最多保留 20 个防止磁盘写满。host 10.0.0.0/8是常见的比赛网段需要根据实际分配地址修改not port 22排除自己的 SSH 流量减小噪音。抓包文件除了赛后复盘还能在比赛途中用tcpdump -r xxx.pcap tcp port 80 -A | grep -i select\|union\|eval快速回看 Web 攻击特征。3.3 批量提交 flag 的 Python 脚本模板#!/usr/bin/env python3 # 批量提交 flag支持并发与简单重试 import json, threading, queue, time import requests SUBMIT_URL http://10.0.0.10:8080/api/submit TOKEN c4a7d5f2-xxxx THREADS 8 MAX_RETRY 3 q queue.Queue() def worker(): while True: flag q.get() for attempt in range(MAX_RETRY): try: r requests.post(SUBMIT_URL, data{token: TOKEN, flag: flag}, timeout5) if r.status_code 200 and r.json().get(result) ok: print(f[] {flag}) break else: print(f[-] attempt {attempt1}: {r.text[:80]}) except requests.RequestException as e: print(f[!] {flag} error {e}) if attempt MAX_RETRY - 1: time.sleep(1) q.task_done() # 从 flags.txt 逐行读取 with open(flags.txt, r, encodingutf-8) as f: for line in f: q.put(line.strip()) for _ in range(THREADS): threading.Thread(targetworker, daemonTrue).start() q.join() print(all done)这个脚本解决“拿下一台靶机后在/root/flag和/var/www/html里翻出一串 flag手动提交太慢”的问题。SUBMIT_URL和TOKEN要在赛前填成平台给的接口。THREADS控制并发线上赛一般限制每秒提交次数4~8 足够MAX_RETRY设为 3配合time.sleep(1)避免连续失败。q.join()等待队列清空脚本退出前不会漏提交。注意flags.txt里的内容要去掉空格strip()已经在入队时做了。3.4 文件完整性监控用 inotifywait 防种 WebShell# 安装依赖Debian/Ubuntu apt-get update apt-get install -y inotify-tools # 递归监控 Web 目录记录新增、修改和删除事件 inotifywait -m -r -e modify -e create -e delete \ /var/www/html --format %w%f %e /var/log/awd/file_change.log 21 -m保持长驻-r递归目录-e指定事件。inotifywait 会在新文件写入时把路径写进日志等于给 Web 目录装了报警器。如果file_change.log里突然多出一个.php马上用第 4 章的备份恢复。这个工具的局限是只能监控单个主机AWD 环境中如果对手删掉 inotifywait 或直接清空日志目录还需要配合离线检测比如定时把当前文件列表和初始快照做 diff。4. 防守侧加固与监控让 zip 包里的脚本先护住自己4.1 开局前 10 分钟备份、改密、删危险文件# 备份 Web 根目录 cp -a /var/www/html /bak/html_$(date %s) # 修改 SSH 口令比赛环境初始密码通常是公开的 echo -e Team2024\nTeam2024 | passwd root # 删除无用的默认后台和安装脚本 find /var/www/html -name install.php -o -name phpinfo.php -deleteAWD 起始时每个队伍分到的靶机可能同源默认口令一致第一步就是修改 SSH 和数据库口令。cp -a保留权限和时间戳后续恢复时才能尽可能不影响业务。find -delete删除install.php这类公开入口但只删除你确认无用的文件别把站点的核心配置也当危险文件删掉。4.2 扣分点排查用 grep 找后门和敏感信息# 查找常见的命令执行函数 grep -rE eval\(|assert\(|base64_decode\(|shell_exec\(|system\( \ /var/www/html --include*.php --include*.jsp -l # 查找 Web 目录下的压缩包和备份文件 find /var/www/html -name *.zip -o -name *.bak -o -name *.sqlAWD 防守得分不只是“服务可用”还包括“没被找到后门”。grep -rE列出包含高风险函数的文件逐个确认。如果某个文件本身是编辑器生成的而你没有编辑过基本就是对手放进去的。find搜备份文件因为攻击者喜欢把数据库导出成site.sql放在 Web 目录里方便自己下载这种文件也会被裁判判为失分点。4.3 用 chattr 锁定关键文件# 给入口文件加不可修改位 chattr i /var/www/html/index.php chattr i /var/www/html/upload/index.php # 取消锁定时 chattr -i /var/www/html/index.phpchattr i让文件不能被修改、删除、重命名即使是 root 也不行。AWD 中这个命令特别适合保护已确认安全的入口脚本。代价是后续更新代码时得先执行-i所以最好把需要锁的文件写进一个lock.sh方便统一操作。注意不要对整个目录加i否则日志和临时文件无法创建站点直接 502。4.4 PHP 运行参数加固; php.ini 常见加固参数 disable_functions system,exec,passthru,shell_exec,proc_open open_basedir /var/www/html:/tmp allow_url_fopen Off max_execution_time 30disable_functions杀掉命令执行函数是防 WebShell 利用的第一道闸。open_basedir把 PHP 脚本的读写限制在/var/www/html和/tmp即使拿到 shell 也访问不了/etc/shadow。这两个参数生效需要重载 PHP-FPM如果平台不允许重启就用.user.ini配合 CGI/FPM 模式。allow_url_fopen Off可能影响某些正常功能要提前测试。4.5 把监控落地为 systemd 服务; /etc/systemd/system/awd-monitor.service [Unit] DescriptionAWD File Monitor Afternetwork.target [Service] ExecStart/usr/bin/inotifywait -m -r -e modify,create,delete /var/www/html --format %w%f %e StandardOutputappend:/var/log/awd/file_change.log Restarton-failure [Install] WantedBymulti-user.target把 inotifywait 纳入 systemd 管理后SSH 断开不会杀掉监控进程。StandardOutput指向日志文件Restarton-failure保证进程意外退出后自动拉起。启用命令systemctl daemon-reload systemctl enable --now awd-monitor。这样 zip 包里的监控脚本就变成一个稳定的系统服务而不是挂在前台的一个孤儿进程。5. 攻击侧自动化把 zip 包里的探测和利用脚本成体系跑起来5.1 目标信息收集先列网段再抓指纹# 扫描整个比赛网段的 80/8080 端口和 Web 服务版本 nmap -sV -p 80,8080 --open -oN web_scan.txt 10.0.0.0/24 # 快速探测存活主机并存成 IP 列表 nmap -sn 10.0.0.0/24 | grep Nmap scan | awk {print $5} targets.txtAWD 中攻击目标通常是同一网段的 10~30 台靶机。nmap -sV做服务版本识别--open只输出开放端口。-sn是 ping 扫描速度快但禁 ping 的主机会被漏掉建议改用 TCP 扫描nmap -PS22,80 -sn。targets.txt是后面批量脚本的输入提前清理空行和不合法 IP。5.2 弱口令检测的合规姿势# 仅限 AWD 比赛授权网段内使用 sshpass -p root123 ssh -o StrictHostKeyCheckingno root10.0.0.2 id很多初始靶机 SSH 口令就是root123或admin2024工具包里的字典能直接跑。sshpass从命令行指定密码StrictHostKeyCheckingno跳过公钥确认适合批量尝试。更常用的是用 Python 的 paramiko 对一批目标循环执行命令但请把targets.txt严格控制在比赛分配的地址段。任何弱口令检测都可能触发平台防爆破机制速度调慢一点比如每个目标间隔 2 秒。5.3 批量利用 POC 的执行框架# 先单条验证确认成功后批量执行 curl -s -m 3 http://10.0.0.2/index.php?cmdid # 批量跑 POC for ip in $(cat targets.txt); do curl -s -m 3 http://$ip/index.php?cmdid | head -1 done-m 3限制单次请求 3 秒超时避免某个无响应目标拖慢整个循环。先单条验证是因为很多 POC 写的 URL 路径不匹配比如工具包里默认是/upload/shell.php但目标站被改到了/images/shell.php。批量跑之前确认 POC 的路径和参数否则循环几百次全是 404浪费了宝贵时间。实际比赛中真正高效的 POC 往往来自工具包里exploit/下已适配好的脚本先读它的 README不要重复造轮子。5.4 flag 提交与重试策略结合第 3 章的 Python 提交脚本可以做一个改进提交失败的任务不要直接丢弃而是写入failed_flags.txt比赛结束前再跑一次。用tee把输出同时写到终端和文件python3 submit_flags.py --file flags.txt 21 | tee submit.logAWD 提交平台偶尔会抖动一条 flag 提交超时并不代表失效。重试时把MAX_RETRY降低到 2避免全量重放导致平台限流。submit.log记录了成功和失败的时间点赛后复盘用得上。5.5 比赛结束前的证据整理mkdir -p /root/evidence cp /var/log/awd/*.pcap /root/evidence/ cp submit.log /root/evidence/ tar czf evidence_$(date %s).tar.gz /root/evidenceAWD 比赛不只看最终 flag 数量裁判组也会关注攻击过程是否合规。保存抓包、提交记录和脚本输出既能证明得分有效也能在仲裁时提供依据。tar czf打包后存放在非 Web 目录避免被当成后门文件扣分。6. 把 zip 包变成自己的 AWD 武器库二次开发与排错技巧6.1 用 Git 管理脚本版本cd AWD攻防工具 git init git add -A git commit -m import from teammate # 每次改动后提交 git diff直接在 zip 包内改脚本很容易忘记改了什么。Git 记录每次调整赛后git log --oneline能看清哪次改动导致监控失效。这也回答了“GitHub 上下载的 zip 包怎样安装”的基础疑问解压后先git init再改不要直接丢进生产目录。6.2 Windows 下解压中文乱码和长路径# 使用 7-Zip强制 UTF-8避免中文文件名乱码 7z x AWD攻防工具.zip -oAWD工具包 -aoa很多 zip 是在 Linux 下用zip命令打包的文件名编码是 UTF-8Windows 资源管理器默认按 GBK 解压就会乱码。7-Zip 的-aoa表示覆盖已存在文件。解压后目录层级太深导致“路径太长”错误把压缩包放到C:\temp这种短路径下再解压。6.3 error read zip archive 怎么解决# 先测试压缩包完整性 unzip -t AWD攻防工具.zip # 尝试修复 zip 索引 zip -F AWD攻防工具.zip --out AWD_fixed.zipunzip -t测试所有条目输出中如果出现bad CRC或error说明文件损坏。常见原因是下载过程中被中断或传输工具改写了二进制。zip -F可以尝试重建中心目录但不保证恢复全部内容。最实用的做法是重新下载并比对第 2 章的哈希。6.4 用 Makefile 统一启动命令monitor: bash scripts/start_monitor.sh submit: python3 scripts/submit_flags.py --file flags.txt deploy: rsync -av web/ root10.0.0.2:/var/www/html/ clean: make -C monitor cleanMakefile 让后续操作不用背命令。执行make monitor启动文件监控make submit提交 flagmake deploy同步 Web 文件。rsync -av的-a是归档模式-v显示详细输出用它之前先确认目标目录路径避免把错误数据覆盖到靶机。6.5 自己打包发布一个干净的工具包zip -r AWD攻防工具_$(date %Y%m%d).zip . -x *.log -x .git/* -x *__pycache__*比赛结束后把修改过的脚本重新打 zip-x排除日志、git 目录和 Python 缓存避免带入环境信息和临时文件。打包后顺手执行一遍第 2 章的体检流程确保没有引入新的问题下次比赛就能直接用这个干净版本。本文还有配套的精品资源点击获取
：矩阵运算原理与NIPALS算法详解)
