CTF敏感信息搜集：从基础到实战的完整指南

1. CTF敏感信息搜集的核心价值

在网络安全竞赛和实际渗透测试中，敏感信息搜集往往是最容易被忽视却至关重要的第一步。我参加过的三十多场CTF比赛中，至少有40%的Web类赛题可以通过系统的信息搜集直接拿到flag或突破点。不同于爆破和注入这些"硬技术"，信息搜集更像侦探工作，需要耐心和方法论。

2. 敏感信息搜集的完整流程

2.1 目标环境分析

首先要明确目标类型：

• Web应用（PHP/Java/Python等）
• 网络服务（开放端口、服务指纹）
• 二进制文件（字符串、函数调用）
• 存储介质（磁盘镜像、内存dump）

以Web应用为例，我通常会先做这三件事：

1. 检查robots.txt和sitemap.xml
2. 扫描常见备份文件后缀（.bak/.swp/.git等）
3. 查看页面源码和注释

实战经验：某次比赛首页注释里直接写着"flag在/secret_area目录下"，但90%的选手都忽略了这点。

2.2 自动化扫描工具链

我的常用工具组合：

# 目录扫描 dirsearch -u http://target.com -e php,html,bak # 敏感文件检测 ffuf -w sensitive_files.txt -u http://target.com/FUZZ # 版本信息泄露 whatweb -v http://target.com

参数选择技巧：

• 线程数控制在20-30之间（避免被封IP）
• 设置适当的延时（--delay=500ms）
• 使用代理池轮询（重要比赛必备）

2.3 手动验证技巧

自动化工具会有误报，必须人工验证：

1. 检查HTTP状态码（200/403/500的真实含义）
2. 观察响应时间差异（可能存在隐藏验证）
3. 测试大小写变体（Admin vs admin）

3. 敏感文件终极清单

3.1 通用型敏感文件

/.git/HEAD /.svn/entries /web.config.bak /phpinfo.php /env.php /dump.sql

3.2 框架特定文件

3.3 开发环境痕迹

开发者常遗留的"彩蛋"：

• IDE配置文件（.idea/.vscode）
• 测试接口（/test/api）
• 临时上传目录（/uploads）
• 控制台日志（/console/log）

4. 高阶信息挖掘技巧

4.1 版本控制利用

Git泄露的完整利用流程：

# 下载整个.git目录 wget -r http://target.com/.git/ # 重建项目历史 git checkout -f # 查看历史提交 git log -p

4.2 非常规文件发现

1. 尝试非常规后缀：

   • /phpmyadmin/scripts/setup.php
   • /admin/data/backup.mdb

2. 测试参数化路径：

   • /download?file=../../etc/passwd
   • /export?format=sql

4.3 社会工程学应用

通过搜集的信息构造攻击：

• 从代码注释找到开发者邮箱
• 通过commit记录分析团队结构
• 利用暴露的API文档构造请求

5. 防御视角的思考

作为防守方应该：

1. 定期扫描自身敏感文件
2. 配置严格的访问控制
3. 建立完善的清理流程

我在实际项目中总结的清理清单：

• 删除所有.*swp文件
• 清理IDE配置文件
• 禁用目录列表功能
• 设置.git目录403状态码

6. 实战案例复盘

某次比赛发现：

1. 扫描到/.DS_Store文件
2. 解析出隐藏目录/_secret
3. 目录下有login.php.bak
4. 备份文件中找到硬编码密码
5. 登录后直接获取flag

关键教训：永远不要相信"临时文件会自动删除"这种假设。