1. 项目背景与核心挑战
"designEachStep"是2021年鹤城杯网络安全竞赛中的一道典型题目，考察选手对数据压缩算法和加密算法的综合应用能力。这道题目的特殊之处在于将DES加密与多种压缩算法（GZIP/ZLIB/LZ4）进行组合使用，需要参赛者通过流量分析、算法逆向和数据处理等多步骤操作才能完成解题。
在实际操作中，我注意到这道题目主要设置了三个技术关卡：
- 网络流量中识别加密压缩数据包
- 逆向分析使用的压缩算法类型
- 实现对应算法的解压流程
2. 流量分析与数据提取
2.1 Wireshark抓包技巧
使用Wireshark捕获网络流量时，需要特别注意HTTP协议中的Content-Encoding头部。这道题目中的数据包通常具有以下特征：
- 使用POST方法传输数据
- Content-Type为application/octet-stream
- 存在Content-Encoding头部，值为gzip/zlib/lz4等
关键技巧：在Wireshark显示过滤器中可以使用
http.content_encoding快速定位目标数据包
2.2 数据提取方法
提取压缩数据的两种实用方法：
- 直接右键数据包 → Follow → HTTP Stream → 保存原始数据
- 使用tshark命令行工具：
tshark -r capture.pcap -Y "http.content_encoding" -T fields -e http.file_data > output.dat3. 压缩算法识别与处理
3.1 常见压缩算法特征
通过分析数据头部可以初步判断压缩算法类型：
| 算法 | 魔数(Magic Number) | 特征 |
|---|---|---|
| GZIP | 0x1F 0x8B | 以这两个字节开头 |
| ZLIB | 0x78 0x9C | 常见压缩字典值 |
| LZ4 | 0x04 0x22 0x4D 0x18 | Frame格式标识 |
3.2 解压工具使用
针对不同算法的解压方法：
- GZIP解压
import gzip with gzip.open('compressed.gz', 'rb') as f: data = f.read()- ZLIB解压
import zlib with open('compressed.z', 'rb') as f: data = zlib.decompress(f.read())- LZ4解压需要安装lz4工具包：
pip install lz4Python解压代码：
import lz4.frame with open('compressed.lz4', 'rb') as f: data = lz4.frame.decompress(f.read())4. DES解密流程
4.1 密钥获取提示
在CTF比赛中，DES密钥通常通过以下方式隐藏：
- 隐藏在HTTP请求头/响应头中
- 使用弱密钥(如全0/全1)
- 通过题目描述中的提示生成
4.2 Python实现DES解密
from Crypto.Cipher import DES import base64 key = b'secretkey' # 需要根据题目实际情况获取 cipher = DES.new(key, DES.MODE_ECB) with open('encrypted.dat', 'rb') as f: encrypted = f.read() decrypted = cipher.decrypt(encrypted) print(decrypted)5. 完整解题流程示例
5.1 实战步骤
- 使用Wireshark分析pcap文件，过滤出包含压缩数据的HTTP请求
- 提取原始数据并识别压缩算法类型
- 使用对应算法解压数据
- 分析解压后的数据，获取DES加密提示
- 构造DES密钥进行解密
- 获取最终flag
5.2 典型问题排查
问题1：解压时出现"incorrect header check"错误
- 检查数据是否完整提取
- 确认是否识别错了压缩算法类型
问题2：DES解密后得到乱码
- 检查密钥是否正确
- 尝试不同的加密模式(ECB/CBC等)
- 确认是否需要先进行base64解码
6. 进阶技巧与优化
6.1 自动化脚本开发
对于需要反复尝试的场景，可以编写自动化处理脚本：
import os from subprocess import run def auto_solve(pcap_file): # 提取数据 run(f"tshark -r {pcap_file} -Y 'http.content_encoding' ...", shell=True) # 尝试各种解压算法 for algo in ['gzip', 'zlib', 'lz4']: try: # 调用对应解压函数 decompress(algo, 'output.dat') break except: continue # 后续解密处理...6.2 性能优化建议
- 使用lz4的块压缩模式处理大文件
- 对DES解密使用多线程尝试不同密钥
- 预处理常见压缩文件头信息，建立特征数据库
在实际比赛中，这类题目的关键在于快速识别数据特征并建立正确的处理流程。建议平时多积累各种压缩算法和加密算法的识别特征，整理成自己的工具库。我在处理这类题目时通常会先准备一个包含各种解压工具的Docker镜像，里面预装好所有可能用到的工具，这样能大大节省比赛时的环境配置时间。
