mcpField
C
ctf-forensics

ctf-forensics

github.com/wgpsec安全1.8k51 次安装5 天前更新
代码仓库

关于 ctf-forensics

ctf-forensics 是面向 CTF 数字取证题的参考技能，供参赛者按证据类型查找分析路径、工具和命令，涵盖磁盘、网络、日志与隐写。

主要功能

  1. 01按需加载专题参考
  2. 02磁盘与内存镜像分析
  3. 03Windows 与 Linux 取证
  4. 04网络流量分析
  5. 05图像、音频和视频隐写分析

适用场景

  1. 01检查磁盘或内存镜像
  2. 02分析 Windows 事件日志
  3. 03从媒体文件中寻找隐藏数据

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/wgpsec/aboutsecurity --skill ctf-forensics

安装后在 Claude Code 中输入/ctf-forensics确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

evals/
evals.json
recall.json
references/
3d-printing.md
disk-advanced.md
disk-and-memory.md
disk-recovery.md
linux-forensics.md
network-advanced.md
network.md
peripheral-capture.md
signals-and-hardware.md
steganography.md
stego-advanced-2.md
stego-advanced.md
stego-image.md
windows.md

详细介绍

来自项目 README

CTF 数字取证

深入参考

以下参考资料按需加载，根据识别出的具体方向选择对应文件：

分类决策树

拿到取证题？
├─ 文件分析
│  ├─ file/exiftool/binwalk → 识别格式与嵌入文件
│  ├─ 图片 → steghide/zsteg/stegsolve → [references/stego-image.md](references/stego-image.md)
│  ├─ 音频 → 频谱图/DTMF/SSTV → [references/stego-advanced.md](references/stego-advanced.md)
│  └─ PDF → 元数据/隐藏文本/多层 → [references/steganography.md](references/steganography.md)
├─ 磁盘/内存镜像
│  ├─ .dd/.img → mount -o loop,ro → fls/photorec
│  ├─ .ova/.vmdk → tar xf → 7z 提取
│  ├─ 内存 → Volatility3 (pslist/filescan/dumpfiles)
│  └─ RAID/ZFS/BTRFS → [references/disk-recovery.md](references/disk-recovery.md)
├─ 网络流量 (.pcap)
│  ├─ HTTP → tshark --export-objects
│  ├─ TLS → SSLKEYLOGFILE / 弱RSA密钥
│  ├─ SMB → 密钥解密 / NTLMv2 提取
│  └─ DNS → 隐蔽通道 / 尾字节编码
├─ Windows 事件日志 → [references/windows.md](references/windows.md)
├─ 硬件信号 → [references/signals-and-hardware.md](references/signals-and-hardware.md)
└─ 区块链 → mempool.space API / 剥离链追踪

快速启动命令

# 文件分析
file suspicious && exiftool suspicious && binwalk suspicious
strings -n 8 suspicious | grep -iE "flag|ctf"

# 磁盘取证
sudo mount -o loop,ro image.dd /mnt/evidence
fls -r image.dd && photorec image.dd

# 内存取证 (Volatility 3)
vol3 -f memory.dmp windows.pslist
vol3 -f memory.dmp windows.filescan
vol3 -f memory.dmp windows.dumpfiles --physaddr ADDR

# 网络流量
tshark -r capture.pcap -Y "http" --export-objects http,/tmp/out

隐写速查

格式工具说明
JPEGsteghide / F5 检测DQT表/DCT系数比
PNG/BMPzsteg / stegsolve位平面/调色板/LSB
音频multimon-ng / soxDTMF/频谱/反转
视频帧累积/逐帧差分闪烁隐藏QR
PDFexiftool + binwalk元数据/注释/EOF后数据

Windows 关键事件 ID

ID含义
1102审计日志清除
4720用户创建
4781账户重命名
21 (TSLocal)RDP 登录成功

Windows 事件日志

  • EVTX 分析关注时间戳（TimeCreated / SystemTime）排序关键事件

评论

支持 Markdown