BUUCTF(Misc)——揭秘伪加密的ZIP与VMDK中的flag

1. 从一道BUUCTF Misc题说起：当ZIP遇上VMDK

最近在带一些刚入门CTF（Capture The Flag）的朋友刷题，发现很多新手卡在Misc（杂项）题目上，尤其是那些看起来是压缩包，打开又要密码，里面还套着奇怪文件的题目。这不，前几天就遇到一道BUUCTF上的经典题，题目给了一个看起来平平无奇的ZIP文件，解压却提示需要密码。很多人的第一反应就是“爆破密码”，但题目没有任何提示，字典爆破无异于大海捞针，费时费力还不一定有结果。这道题的精妙之处就在于，它用了一个在CTF中非常经典的“障眼法”——ZIP伪加密，并且最终隐藏flag的地方，竟然在一个虚拟机磁盘镜像（VMDK）文件里。今天，我就结合自己踩过的坑和实战经验，把这道题从头到尾拆解一遍，不仅告诉你“怎么做”，更让你明白“为什么这么做”。你会发现，破解这类题目，需要的不是多么高深的黑客技术，而是对文件格式的深入理解和一些巧妙的工具使用思路。

这道题的核心流程可以概括为：拿到一个ZIP文件 -> 发现需要密码 -> 怀疑并验证是否为伪加密 -> 修复伪加密后成功解压 -> 得到一个VMDK文件 -> 从VMDK中提取出隐藏文件 -> 对隐藏文件进行编码分析得到flag。整个过程就像侦探破案，每一步都需要仔细观察和逻辑推理。我们首先需要了解ZIP文件的基本结构，知道加密标志位藏在哪里；然后要掌握处理VMDK这种特殊镜像文件的方法；最后还要能识别并解码一些冷门的编程语言或编码。听起来有点复杂？别担心，我会用最直白的方式，带你一步步走完整个流程。相信我，当你亲手拿到flag的那一刻，那种成就感绝对值得你花时间研究这些细节。

2. 第一层迷雾：深入理解ZIP伪加密

2.1 ZIP文件结构：三个关键部分

要识破伪加密，你得先知道一个正常的ZIP文件是怎么“组装”起来的。你可以把一个ZIP文件想象成一本书。这本书有三个主要部分：

1. 压缩源文件数据区：这就像是书里每一章的具体内容。它存储了文件压缩后的实际数据。每个被压缩的文件在这里都有一个对应的“局部文件头”，后面跟着压缩数据。
2. 压缩源文件目录区：这相当于书的目录。它记录了这本书里有哪些章节（文件），以及每个章节（文件）的详细信息，比如名字、大小、在书中的起始位置（偏移量）等等。这个“目录”放在文件的靠后位置。
3. 压缩源文件目录结束标志：这就是目录的结束标记，告诉你“目录到此为止”。它包含了整个目录的大小、位置等总结性信息。

伪加密的“魔术”就发生在第二个部分——压缩源文件目录区。在这个区域的“全局方式位标记”字段上动一点手脚，就能让解压软件误以为这个文件被加密了，从而向你索要密码。而实际上，文件数据本身（第一部分）根本没有被加密过。

2.2 实战分析：用WinHex/010 Editor定位加密位

理论说再多，不如动手看一眼。我们拿到题目给的ZIP文件，第一步不是急着去破解，而是先“望闻问切”。这里强力推荐两个十六进制编辑器：WinHex和010 Editor。它们就像CTF Misc方向的“听诊器”和“X光机”。

我习惯先用WinHex快速扫一眼文件头尾。把ZIP文件拖进WinHex，你会在文件开头看到经典的PK文件头（十六进制是50 4B），这是ZIP格式的标志。继续往下翻，你可能会在文件中部或靠后的位置发现一些有趣的字符串，比如这道题里，我就看到了flag.vmdk的字样。这立刻给了我两个重要信息：第一，压缩包里很可能藏着一个VMDK文件；第二，这个文件名直接叫“flag”，目标非常明确。

但光知道里面有VMDK没用，压缩包还锁着呢。这时就需要用010 Editor进行更精细的结构化分析了。010 Editor的强大之处在于它支持“模板”，你可以加载一个ZIP格式的模板文件，它会自动帮你解析出ZIP文件的三个部分，并把各个字段的名称、偏移量、值都清晰地标注出来，比肉眼在十六进制海里捞针要高效得多。

我们重点关注两个地方的“全局方式位标记”：

• 在“压缩源文件数据区”（对应每个文件的局部文件头），这个标记通常位于文件头标记50 4B 03 04之后的第6和第7个字节（注意十六进制编辑器中是低字节序，看到的顺序可能是反的）。
• 在“压缩源文件目录区”（中央目录记录），这个标记位于目录头标记50 4B 01 02之后的第8和第9个字节。

如何判断加密真伪？记住这个简单的“三态定律”：

在这道题里，我用010 Editor打开，一眼就看到在“压缩源文件目录区”里，那个关键的全局方式位标记的值是09 00，而前面的“压缩源文件数据区”里对应的值是00 00。这完美符合“伪加密”的特征。所以，这个压缩包其实是个“纸老虎”，它并没有真正的密码保护。

2.3 修复伪加密：一键解锁

识别出来之后，修复就非常简单了。我们的目标就是把那个错误的09 00改回00 00。在010 Editor里，直接找到那个位置，将字节09和00修改为00和00（实际上只需要把第一个字节09改成00即可），然后保存文件。

现在，你再双击这个修改后的ZIP文件，或者用WinRAR、7-Zip打开它，就会发现密码提示消失了！你可以直接把它里面的flag.vmdk文件解压出来。这一步操作，本质上就是告诉解压软件：“嘿，别看了，这个文件没加密，直接放行吧。” 很多CTF新手卡在这里，就是因为不知道去检查这个小小的标志位，从而在爆破密码的死胡同里浪费了大量时间。

3. 第二层挑战：解剖VMDK虚拟磁盘镜像

3.1 VMDK是什么？为什么是它？

成功解压后，我们得到了一个flag.vmdk文件。对于不熟悉虚拟化的朋友来说，这个后缀可能有点陌生。VMDK是VMware Virtual Machine Disk的缩写，它是VMware虚拟机使用的虚拟硬盘文件。你可以把它理解为一个完整的、封装好的“硬盘”，里面包含了分区表、文件系统（如NTFS、FAT32、EXT4）以及存储的所有文件。

出题人为什么喜欢用VMDK（或类似的IMG、ISO镜像）？因为它是一个完美的“容器”。它可以把flag分割成多个部分，隐藏在不同的文件里；可以设置奇怪的文件系统；甚至可以模拟一个微型的操作系统环境。直接双击VMDK文件，你的Windows可能无法识别，但这正是题目的意图——引导你使用更专业的工具。

3.2 工具选择：为什么是7-Zip而非WinRAR？

面对VMDK，很多人的第一反应可能是用VMware或VirtualBox挂载它。这当然是一种方法，但不够“极客”，也稍显笨重。在CTF这种讲究效率的场合，我们有更轻量、更直接的工具。

这里就引出一个关键点：7-Zip和WinRAR在处理磁盘镜像上的能力差异。WinRAR是一个强大的压缩文件管理器，但它主要专注于压缩格式。而7-Zip的内核设计更加模块化，它包含了一个强大的“文件系统插件”体系，其中就包含了对多种磁盘镜像格式（如VMDK, VHD, ISO, IMG等）的解析支持。

当你用7-Zip打开一个VMDK文件时，它做的不是简单的“解压”，而是像操作系统一样，去解析这个虚拟硬盘的分区表和文件系统，然后以文件夹树的形式，展示出硬盘里存储的文件。你可以直接浏览、提取里面的文件，就像访问一个普通的U盘一样。这道题里，我们只需要在命令行执行一条简单的命令：

7z x flag.vmdk

这条命令会让7-Zip自动解析flag.vmdk镜像，并将其中的所有文件提取到当前目录。实测下来，你会得到几个文件，比如key_part_one和key_part_two。这一步非常顺利，但如果换用WinRAR，它很可能只会把VMDK当作一个未知的二进制文件，无法进一步操作。所以，在你的CTF工具包里，7-Zip绝对是一个不可或缺的瑞士军刀。

4. 最终解码：Brainfuck与Ook!的趣味挑战

4.1 破解Brainfuck：极简语言中的秘密

提取出的key_part_one文件，用文本编辑器打开，你可能会看到一堆像这样的字符：+++++[->++<]>...。初次见到的人肯定会一头雾水。这其实是著名的Brainfuck语言。它是一种极小化的编程语言，总共只有8个有效命令字符（> < + - [ ] . ,），设计初衷是为了挑战编程语言设计的极限。

虽然看起来像天书，但Brainfuck是一种图灵完备的语言，理论上可以完成任何计算。在CTF中，它常被用作一种“编码”或“混淆”手段来隐藏信息。我们不需要去理解它如何运行，只需要知道如何“解码”它。原理很简单：Brainfuck程序运行后，通常会通过.命令输出字符（将当前内存单元的值作为ASCII码输出）。

因此，我们只需要找一个在线的Brainfuck解释器（Interpreter）。把key_part_one文件里的全部字符复制粘贴进去，点击运行或解码，它就会模拟执行这段“程序”，并将输出的字符显示出来。在这道题里，执行后我们得到了前半段flag：flag{N7F5_AD5。看，秘密就藏在那些看似混乱的加减号和括号里。

4.2 破解Ook!：Brainfuck的“猩猩语”变种

接下来看key_part_two文件。打开后内容可能是这样的：Ook. Ook? Ook! Ook. ...。这又是啥？这其实是Brainfuck的一个趣味变种，叫做Ook!。它把Brainfuck的8个命令，用“Ook.”、“Ook?”、“Ook!”三者的不同组合来替换。比如，“Ook. Ook?”可能对应“>”，“Ook! Ook?”可能对应“<”。

设计Ook!语言的人大概觉得这样看起来更像猩猩的对话，更有趣。对于解题者来说，我们同样不需要手动转换。网络上有许多在线的Brainfuck/Ook!解码器，它们通常支持这两种格式。我们找到这样一个网站（例如splitbrain.org上的那个经典工具），将key_part_two的全部Ook!代码粘贴进去，选择解码，就能得到后半段flag：_i5_funny!}。

4.3 合二为一：收获完整的Flag

将两部分拼接起来，最终的flag就浮出水面：flag{N7F5_AD5_i5_funny!}。回顾整个流程，从遇到一个加密的ZIP，到怀疑并证实是伪加密，再到修复后提取VMDK，最后解码两种奇怪的编程语言，每一步都环环相扣。这道题非常经典地融合了Misc方向的多个常见考点：文件格式分析、磁盘镜像处理、编码识别与解码。

5. 总结与进阶：构建你的Misc解题工具箱

通过这道BUUCTF题目的详细拆解，我希望你收获的不仅仅是一个flag的答案，更是一套应对类似Misc题目的思维方法和工具链。当你再遇到“加密的”压缩包时，伪加密应该成为你的首要排查点。记住那个“三态定律”，用WinHex或010 Editor快速验证，这能为你节省大量无谓的爆破时间。

对于VMDK、IMG、ISO这类磁盘镜像文件，7-Zip是你的首选利器。它的命令行模式（7z x）在自动化脚本中尤其好用。此外，像binwalk、foremost这类工具也能用于从二进制文件中分离、识别内嵌的文件，在更复杂的题目中可能会用到。

在编码方面，Brainfuck和Ook!只是冰山一角。CTF中常见的还有Base64/32/16、URL编码、HTML实体编码、莫尔斯电码、猪圈密码、栅栏密码等等。培养对异常字符模式的敏感度很重要。看到一个全是A-Za-z0-9+/并以=结尾的字符串，要想到Base64；看到%20%3A这类组合，要想到URL编码。平时可以多积累一些在线的编解码工具网站，或者使用像CyberChef这样的全能型离线工具。

最后，也是最重要的，是养成耐心分析文件本身的习惯。不要一上来就盲目尝试各种工具。先用十六进制编辑器看看文件头尾，用file命令（Linux/Mac）或通过扩展名判断文件类型，用strings命令提取所有可打印字符串寻找线索。很多题目的关键提示，就藏在文件的某个角落。这道题从伪加密到VMDK再到Brainfuck，每一步都要求我们静下心来，读懂文件格式告诉我们的“语言”。掌握了这些，你就能揭开更多“面具下的flag”。