别再只盯着Base64了！复盘BUUCTF摩斯题，聊聊CTF中那些容易被忽略的‘二次编码’套路

CTF编码套路解密：从摩斯电码到多层编码的思维跃迁

当你盯着屏幕上一串摩斯电码，熟练地将其转换为字母后，却发现得到的字符串用Base64解码无效——这种挫败感每个CTF玩家都经历过。2018年AFCTF那道著名的摩斯题正是利用了这种思维定势，在看似简单的表面下隐藏着编码的"俄罗斯套娃"。

1. 从AFCTF2018摩斯题看编码分层陷阱

那道让无数人栽跟头的题目，密文是这样的：

-..../.----/-..../-..../-..../...--/--.../....-/-..../-..../--.../-.../...--/.----/--.../...--/..---/--.../--.../....-/...../..-./--.../...--/...--/-----/...../..-./...--/...--/...--/....-/...--/...../--.../----./--.../-..

第一步解码：任何熟悉摩斯电码的人都会立即识别这些/.组合。转换后得到：

6 1 6 6 6 3 7 4 6 6 7 B 3 1 7 3 2 7 7 4 5 F 7 3 3 0 5 F 3 3 3 4 3 5 7 9 7 D

此时大多数人的反应链是这样的：

1. 去除空格得到连续字符串
2. 尝试Base64解码 → 失败
3. 尝试Base32解码 → 失败
4. 开始怀疑人生

关键突破点在于观察字符集：0-9和A-F的组合，这正是十六进制(Hex)的特征。用Hex解码后，我们终于看到了曙光：

afctf{1s't_s0_345y}

这个案例揭示了一个重要原则：当解码后的字符串包含0-9A-F且长度为偶数时，Hex编码应该是首要怀疑对象。

2. CTF中常见的编码组合模式

通过分析近五年主流CTF赛事题目，我们发现编码类题目存在几种经典"套路"：

最容易被忽略的组合当属那些看似"不自然"的转换路径。比如去年De1CTF中出现的一道题：

1. 初始数据是QR码图片
2. 扫码得到Base85编码
3. 解码后得到Brainfuck代码
4. 执行后输出Flag

这种"视觉→文本→代码"的多模态转换，正成为出题人的新宠。

3. 编码特征识别方法论

建立系统的识别流程比记忆具体编码更重要。以下是经过实战检验的排查步骤：

1. 长度分析：

   def analyze_length(s): print(f"原始长度: {len(s)}") if len(s) % 4 == 0: print("可能是Base64") if len(s) % 8 == 0: print("可能是Base32") if len(s) % 2 == 0 and all(c in '0123456789ABCDEF' for c in s): print("极可能是Hex")

2. 字符集检测：

   • 仅A-Za-z0-9+/=→ Base64
   • 出现大量=填充 → 可能Base家族
   • 01交替 → 二进制或ASCII码
   • A-F与数字混合 → Hex或ADFGVX密码

3. 统计特性：

   # 使用ent工具分析熵值 echo "密文" | ent -t # 低熵值通常意味着需要进一步解码

特别提醒：当遇到看似随机但包含大量=、+、/字符时，很可能是多层编码的中间状态，不要轻易放弃。

4. 构建自动化解码工作流

现代CTF解题已经离不开工具链的高效组合。推荐以下实战配置：

CyberChef配方示例：

Morse Code → Remove Whitespace → From Hex → Rot13 → Base58

Python自动化脚本框架：

import base64 from Crypto.Util import asn1 def decode_cascade(data): for decoder in [morse.decode, base64.b64decode, hex_decode]: try: result = decoder(data) if is_encoded(result): # 启发式判断 return decode_cascade(result) return result except: continue return data

命令行组合技：

# 一键尝试多种解码方式 cat cipher.txt | base64 -d 2>/dev/null || \ base32 -d 2>/dev/null || \ xxd -r -p 2>/dev/null || \ cat

实际解题时，我习惯先运行自动化尝试，当所有常规方法失效时，再回到人工分析。这种"机器筛检+人工突破"的模式，在最近的HackTheBox比赛中帮我节省了至少40%的时间。

5. 出题人视角：如何设计编码题目

与几位CTF出题人交流后，我总结出他们设计编码题的典型思路：

1. 选择冷门编码组合：

   • 避开Base64+Hex这种常见套路
   • 尝试如Base92 → Uuencode → URL编码的嵌套

2. 设置思维跳跃点：

   # 示例：在Hex解码后插入不可见字符 flag = "flag{real_flag}" hex_flag = flag.encode().hex() hidden = hex_flag[:10] + "\u200b" + hex_flag[10:] # 零宽空格

3. 添加干扰项：

   • 在摩斯电码中混入无效./-序列
   • Base64编码后故意损坏部分字符

一位资深出题人告诉我："好的编码题应该像洋葱，每一层都让解题者想哭，但剥开后又有成就感。"

在最近的实战中，我遇到一道将Flag藏在PNG图片的IHDR块CRC校验码中的题目。常规编码识别完全失效，最终是通过分析CRC值与文件内容的矛盾点才突破。这提醒我们：编码类题目的边界正在不断扩展，从纯文本向二进制文件、网络协议等多元领域延伸。