chainreactors CTF 运维指南
一、网络与外带策略
回连地址必须由当前授权环境提供，不要依赖固定公网 IP。
推荐约定：
AIDE_CALLBACK_HOST：外带接收主机或域名。AIDE_CALLBACK_PORT：默认外带端口。AIDE_CALLBACK_URL：完整回连 URL，优先级最高。
首次需要回连前，先探测并写入共享状态：
fs.shell(command="CALLBACK_HOST=${AIDE_CALLBACK_HOST:-$(hostname -I | awk '{print $1}')} && CALLBACK_URL=${AIDE_CALLBACK_URL:-http://$CALLBACK_HOST:${AIDE_CALLBACK_PORT:-9999}} && echo CALLBACK_URL=$CALLBACK_URL")
fs.shell(command="timeout 3 bash -c 'nc -lvnp ${AIDE_CALLBACK_PORT:-9999} >/tmp/callback-test.log 2>&1 &'")
memory_write("network:callback", "<实际验证通过的 URL 或 host:port> [1.0]")
如果目标没有出站能力，立即切换到无需回连的方案，不要反复尝试反弹 shell。
无回连替代方案
| 优先级 | 方案 | 适用场景 |
|---|---|---|
| 1 | 直接回显 | SSTI、表达式注入、UNION SELECT、命令执行回显 |
| 2 | 写文件后读取 | RCE + webroot 可写、LFI、日志读取 |
| 3 | 利用题目自身存储 | 数据库、用户资料、工单、构建日志、文件上传 |
| 4 | DNS 外带 | 有 DNS 出站但无 TCP |
| 5 | 时间/布尔盲注 | 完全无出站 |
| 6 | SSRF 中转 | 目标能访问内部服务且响应可回显 |
二、POC 与模板
搜索方法
# 搜索 nuclei 模板
nuclei_templates.search("<产品名或CVE>")
nuclei_templates.read("<模板路径>")
# 如果 MCP 工具不可用，回退到 shell
fs.shell(command="rg -li '<关键词>' /root/nuclei-templates ~/.aide-corpora/nuclei-templates 2>/dev/null")
# 直接执行模板
fs.shell(command="nuclei -u <target> -t <template_path> -timeout 30 -nc")
识别出具体产品/中间件后，先查 nuclei 模板再盲打：
nuclei_templates.search("<产品名>")
三、运行前检查
# ripgrep 是 nuclei 模板搜索的基础依赖
fs.shell(command="which rg && rg --version")
# 模板目录
fs.shell(command="ls /root/nuclei-templates/http 2>/dev/null || ls ~/.aide-corpora/nuclei-templates/http 2>/dev/null || true")
# 常用安全工具
fs.shell(command="which nmap sqlmap gobuster ffuf nuclei hydra curl whatweb")
四、共享状态协议
所有 worker 通过 memory 共享事实，使用统一 key 前缀：
target:* 目标信息
port:* 开放端口和服务
surface:* 暴露面和高价值端点
vuln:* 已确认漏洞
cred:* 发现的凭据
access:* 已获取的访问层级
constraint:* 环境限制、WAF、网络隔离
dead:* 已证实死路
flag:* 已捕获 flag
technique:* 已验证有效技术
bypass:* 已验证绕过方法
blocker:* 当前阻塞点
network:* 网络拓扑和回连测试结果
权重约定：
[1.0]已确认事实[0.5]待验证推测[0.0]或[dead]死路
五、工具速查
fs.shell(command="nmap -sV -sC -p- --min-rate 3000 <target>")
fs.shell(command="sqlmap -u '<url>?id=1' --batch --level 3")
fs.shell(command="gobuster dir -u <target> -w /usr/share/seclists/Discovery/Web-Content/common.txt -k")
fs.shell(command="ffuf -u <target>/FUZZ -w /usr/share/seclists/Discovery/Web-Content/common.txt")
fs.shell(command="nuclei -u <target> -t <template_path> -timeout 30 -nc")
fs.shell(command="whatweb -a 3 <target>")
找到 flag 后立即提交，不要等到 session 结束：
submit_flag(code="<challenge_code>", flag="flag{...}")
memory_write("flag:<name>", "flag{...} — submitted, correct [1.0]")