01 · 基础底座：环境、Python、编码与数制

覆盖 W1–W2。目标不是「学会编程」，而是建立一套够用的最小工具箱：能判断一串怪字符是什么、能量出文件里藏了什么、能写 20 行脚本把重复劳动包掉。 之后遇到 Python 不够用，再回来查，不要提前系统学。

1. 本模块目标

• 能在 WSL2 里自如地看文件、搜内容、跑脚本
• 能对任意一串字符串，在 3 分钟内判断它属于哪种编码并还原
• 能读懂并修改 6 段固定脚本
• 知道「不会就查」的边界在哪：能用工具代替的，绝不自己硬推

2. 环境与工具链

2.1 W1 只做三件事（别一开始就装一堆）

1. 确认 WSL2 可用：wsl -l -v
2. 建好工作区：mkdir -p ~/ctf/{notes,writeups,work,tools}
3. 跑通「网页版 CyberChef + ssh 打 Bandit」

本地工具安装推迟到 W3（见 总览里的分批安装表）。能用网页版就别装本地，CyberChef 网页版能替代一半工具。

2.2 命令行最小集（20 个就够撑到 W6）

练习：在 ~/ctf/work 里创建一个文件，把上面每条命令至少用一次，记进 notes/w1.md。

2.3 W3 起才装的本地工具（现在只做到"知道有它"）

# W3 隐写/文件分析
sudo apt install -y file xxd binutils exiftool pngcheck binwalk
# W5 取证
sudo apt install -y foremost tshark tcpdump p7zip-full
# W10 跨媒介
sudo apt install -y ffmpeg imagemagick zbar-tools qrencode
# Python 环境（W2 就装）
sudo apt install -y python3-venv
python3 -m venv ~/ctf/venv && source ~/ctf/venv/bin/activate
pip install requests pillow pycryptodome

若 apt 下载慢：先换镜像源（sudo sed -i 's@//.*archive.ubuntu.com@//mirrors.tuna.tsinghua.edu.cn@g' /etc/apt/sources.list，再 apt update）。若某个包不存在，用 apt-cache search <关键词> 找替代，不要死磕。

3. Python 够用版：只学 8 件事

3.1 八个概念（学会就能改脚本）

不学：类、装饰器、异步、类型标注、数据库。等真的需要再说。

3.2 六段直接能改的脚本

① 看文件头与长度

data = open('challenge.bin', 'rb').read()
print(data[:16].hex())   # 前 16 字节的十六进制
print(len(data))         # 总长度

② 单字节 XOR 爆破

data = open('cipher.bin', 'rb').read()
for k in range(256):
    out = bytes(b ^ k for b in data)
    if b'flag' in out:
        print(k, out)

③ 常见编码互转

import base64
print(base64.b64decode('aGVsbG8='))      # b'hello'
print(bytes.fromhex('68656c6c6f'))       # b'hello'
print(base64.b32decode('NBSWY3DP'))      # b'hello'
print('flag'.encode().hex())             # 666c6167

④ 全目录搜 flag

import os, re
for root, _, files in os.walk('.'):
    for f in files:
        p = os.path.join(root, f)
        try:
            t = open(p, 'rb').read().decode('utf-8', 'ignore')
        except Exception:
            continue
        if re.search(r'(flag|CTF)\{', t, re.I):
            print('HIT:', p)

⑤ 抓网页

import requests
r = requests.get('https://example.com', timeout=10)
print(r.status_code, r.headers.get('content-type'))
print(r.text[:500])

⑥ 图片像素 / LSB 读取（W3 用）

from PIL import Image
im = Image.open('x.png').convert('RGB')
px = list(im.getdata())
bits = ''.join(str(p[2] & 1) for p in px[:800])   # 取蓝通道最低位
print(bits[:64])

练习：把 ② 改成「自动猜 key：找可打印字符占比最高的结果」，输出候选明文。

4. 编码与数制（本模块的重头）

4.1 拿到怪字符串的五步开场

1. file / 看长度            → 先确定它是文本还是二进制
2. 看字符集                 → 全是 0-9a-f？全是 A-Z2-7？全是 0/1？
3. 套 §4.2 判断表           → 选出 1–2 个最可能的编码
4. CyberChef 的 Magic 一键猜 → 别自己手算，让它猜
5. 还不行 → 看结尾是否有多余数据（附加数据、第二层编码）

4.2 判断表（贴在这里，随时回查）

4.3 逐个编码，各记一句话

Base 家族差异（考过就懂）

• Base64：A-Za-z0-9+/，= 补位。变体：URL-safe 把 +/ 换成 -_，可能要补 =。
• Base32：A-Z2-7，长度总是 8 的倍数。
• Base58：去掉了 0OIl 等易混字符，比特币用。
• Base85：Ascii85，4 字节 → 5 字符，常用于 PDF。
• Base91：更紧凑，题目里出现频率低，但 CyberChef 有。

4.4 位运算（3 个性质撑起半个 misc）

关键技巧：把密文和它自身移位后异或比较，若在某个位移上出现大量 0，说明密钥长度 = 该位移 → 这是发现 Vigenère/重复密钥的第一步。

c = open('cipher.bin','rb').read()
for shift in range(1, 41):
    same = sum(1 for i in range(len(c)-shift) if c[i] == c[i+shift])
    if same / (len(c)-shift) > 0.05:
        print('疑似密钥长度', shift, round(same/(len(c)-shift), 3))

4.5 自测 10 题（先自己试，再看答案）

建议全部用 CyberChef / 手写 Python 完成，不要搜在线工具。

1. 666c61677b6865787d
2. ZmxhZ3tiNjR9
3. synt{ebg13}
4. 01100110 01101100 01100001 01100111
5. ..-. .-.. .- --.
6. aabab ababb aaaaa aabba
7. %66%6c%61%67%7b%75%72%6c%7d
8. uozt{zgyzhs}
9. 密文 EOBD，已知用单字节 XOR 加密，求明文
10. 01100111 01100001 01101100 01100110，先转 ASCII 再反转字符串

5. 古典密码最小集（W5 主学，这里先埋点）

工具优先级：CyberChef（有现成操作） > dCode（参数齐全） > 自己写脚本。 不要背词频表，用 quipqiup 类自动求解器，再用常识校验结果。

6. 数学工具箱（够用版）

够用判据：能在 3 分钟内估算「这个爆破空间有多大、值不值得写脚本」。 例：单字节 XOR 是 256 次 → 值得；3 字节密钥是 1600 万次 → 先想别的路。

7. 练习阶梯（W1–W2 全部题目）

平台题名会随改版变化。认准分类（General Skills / Misc / 入门），不要死记题名。

8. 验收标准（W2 结束时自测）

• 给一段陌生字符串，能在 3 分钟内判断出编码类型并还原（限时 5 题，对 4 题及格）
• 能不看笔记写出「单字节 XOR 爆破」的 6 行脚本
• Bandit 过到第 10 关
• ~/ctf/tools/ 下至少有 2 个自写脚本
• notes/w1.md、notes/w2.md 各有一页，含本周卡点
• 错题本里至少 3 条，每条都有「下次的检查动作」

9. 常见卡点（提前知道能省 2 小时）

10. 本模块结束时的能力自检（一句话版）

「给我一个文件或一串字符，我知道先跑哪三个命令，并且能写 10 行脚本把重复部分包掉。」

做不到 → 回去把 §4.5 和 §7 的第 5、6 项重做一遍，不要进入 W3。