ctf-web-recon

---
name: ctf-web-recon
description: "CTF Web 挑战专用侦察方法。当面对 CTF 靶场目标需要快速发现攻击入口时使用。与真实渗透的 recon 不同——CTF 是单个应用、有意留线索、侦察应在 2-3 轮内完成。覆盖源码泄露、备份文件、隐藏路径、页面线索提取"
metadata:
  tags: "ctf,recon,侦察,源码泄露,备份文件,robots,git,web,enumeration"
  category: "ctf"
---

# CTF Web 侦察方法论

CTF 侦察和真实渗透的侦察本质不同：
- 真实渗透：大量资产，需要枚举子域名、扫端口、做指纹
- CTF：**单个 Web 应用，出题者故意留了线索**，侦察的目标是找到这些线索

核心原则：**2-3 轮内完成侦察**，不要在侦察上花太多 rounds。

## Phase 1: 侦察流程

### 1.1 首页分析

用 `http_request` GET 首页，仔细检查响应：

### HTTP 响应头
- `Server` — 服务器类型和版本（Apache/Nginx/Express）
- `X-Powered-By` — 后端语言（PHP/Express/ASP.NET）
- `Set-Cookie` — Cookie 格式（PHPSESSID=PHP, connect.sid=Node, JSESSIONID=Java）
- 非标准 Header — 出题者可能通过自定义 Header 给提示

### HTML 内容
- `<!-- 注释 -->` — CTF 出题者常在注释里留提示（密码、路径、漏洞类型）
- `<input type="hidden">` — 隐藏字段可能可以篡改
- `<form action="...">` — 表单提交地址暴露后端接口
- `<script src="...">` — JS 文件路径暴露项目结构
- 页面文字 — 有时提示就在页面内容里（"Try harder", "Look deeper"）

### 1.2 关键路径检查

按优先级依次检查（有发现就分析，不要机械地全部检查）：

### 信息泄露路径
```
/robots.txt          — 最常见的提示位置，Disallow 的路径往往是关键
/.git/HEAD           — Git 源码泄露（存在则用 githacker --brute 恢复完整仓库，含 stash/所有分支）
/.svn/entries        — SVN 泄露
/.DS_Store           — macOS 目录文件泄露
/crossdomain.xml     — Flash 跨域策略（可能暴露内部域名）
/.env                — 环境变量文件（数据库密码、API 密钥）
/composer.json       — PHP 依赖（暴露框架版本）
/package.json        — Node.js 依赖
```

### 备份文件
```
/www.zip, /www.tar.gz, /backup.zip     — 整站打包
/index.php.bak, /index.php~, /index.php.swp  — 编辑器备份
/flag.txt, /flag, /flag.php             — 直接读 flag（有时就这么简单）
/.index.php.swp                         — Vim swap 文件
```

### 管理入口
```
/admin, /admin.php, /login, /login.php
/console, /dashboard, /phpmyadmin
/api, /api/v1, /graphql
```

### 1.3 JavaScript 分析

如果首页引用了 JS 文件，用 `http_request` 获取它们，搜索：

- API 端点路径（`/api/`, `fetch(`, `axios.`）
- 硬编码凭据（`password`, `token`, `secret`, `key`）
- 隐藏功能（`admin`, `debug`, `test`）
- 注释中的提示

**技巧**：压缩/混淆的 JS 不需要完全理解，搜索关键字符串即可。

### 1.4 技术栈确认

通过前面的信息确认技术栈，这决定了后续的漏洞利用方向：

| 线索 | 技术栈 | 常见漏洞 |
|------|--------|----------|
| `.php` 后缀, PHPSESSID | PHP | LFI, 反序列化, 文件上传 |
| `express`, connect.sid | Node.js | 原型链污染, SSTI(EJS) |
| JSESSIONID, `.jsp` | Java | 反序列化, JNDI, SpEL |
| `_csrf_token`, `csrfmiddlewaretoken` | Python Django | SSTI(Jinja2) |
| `session=eyJ` | Python Flask | Flask session 伪造 |

## Phase 2: 侦察补充

### 2.1 不要做的事
- ❌ 不要对 CTF 目标做子域名枚举（只有一个应用）
- ❌ 不要做大规模端口扫描（通常只有一个端口）
- ❌ 不要花超过 3 轮在侦察上（线索不在侦察里就在功能点里）

### 2.2 技术指纹判断
- NoSQL/MongoDB 特征：尝试 `$gt`、`$ne` 等 NoSQL 注入操作符

### 2.3 CTF 效率
- CTF 单应用：不做子域名枚举、不做大规模端口扫描