1. 项目概述当AI模型成为“藏宝图”最近在整理一个CTFCapture The Flag比赛的复盘资料遇到了一个非常有意思的挑战。主办方没有提供任何源代码只给了一个孤零零的.pth文件。对于不熟悉深度学习的朋友来说这只是一个普通的PyTorch模型权重文件但在我们这些“寻宝者”眼里它可能是一张通往Flag的加密藏宝图。这个挑战的核心就是如何在不依赖原始模型定义的情况下逆向解析这个权重文件从中挖掘出隐藏的信息。这不仅仅是文件格式解析更是一次对深度学习模型内部结构、数据存储逻辑以及信息隐藏手法的深度探索。整个过程融合了二进制分析、数据结构理解和一些巧妙的脑洞非常考验逆向工程的基本功和对PyTorch框架的熟悉程度。如果你对AI安全、模型分析或者CTF逆向感兴趣这次实战经历或许能给你带来一些启发。2. 核心思路与技术选型面对一个未知的.pth文件直接上手是盲目的。我的整体思路遵循了从外到内、从结构到内容的分析路径。2.1 逆向分析的基本路径我的分析路径可以概括为以下几步文件格式识别与初步探查首先确定.pth文件的本质它并不是一个自定义的二进制格式而是Python的序列化文件。这决定了我们后续使用的工具和方法。安全加载与结构探查由于文件来源未知直接使用torch.load()存在安全风险。我们需要在受控环境或使用更安全的方式探查其内部数据结构。数据提取与可视化将加载后的复杂嵌套数据结构字典、列表、张量进行扁平化提取重点关注张量Tensor数据因为Flag信息最有可能编码在数值中。信息解码与脑洞挖掘将提取出的数值数据尝试转换为字符、图像或其他可理解的格式结合CTF常见的信息隐藏手法如LSB隐写、数据段拼接、特定编码进行破解。这个路径的优势在于逻辑清晰层层递进。它避免了直接陷入海量数据的困惑而是先搭建一个理解文件内容的框架。2.2 为什么选择Python和PyTorch作为主要工具虽然最终目标是逆向但我们的主要工具恰恰是PyTorch本身。这是最合理的选择原生支持.pth是PyTorch默认的权重保存格式使用torch.load()是读取它的最直接、最可靠方式。试图用二进制编辑器手动解析其复杂的序列化结构可能涉及pickle协议效率极低且容易出错。数据结构保持PyTorch在保存时不仅保存了张量的数值还保留了其结构形状、数据类型以及模型的状态字典state_dict的键名。这些键名如conv1.weight,fc.bias是理解模型层级的宝贵线索。丰富的张量操作PyTorch提供了完备的张量操作API如重塑view()/reshape()、切片、数学运算便于我们对提取出的数据进行各种转换和尝试。简而言之用PyTorch来“打开”PyTorch的文件是最对症下药的方法。我们的逆向工作实际上是站在PyTorch的肩膀上去窥探它自己保存的秘密。3. 实操环境准备与安全警告在开始之前必须搭建一个隔离、安全的分析环境。这是整个过程中至关重要却容易被忽视的一步。3.1 创建隔离的Python环境我强烈建议使用虚拟环境避免污染系统级的Python包。使用venv或conda都可以。# 使用 venv python -m venv ctf_pytorch_env source ctf_pytorch_env/bin/activate # Linux/macOS # 或 ctf_pytorch_env\Scripts\activate # Windows # 使用 conda conda create -n ctf_pytorch_env python3.8 conda activate ctf_pytorch_env3.2 安装核心依赖在激活的虚拟环境中安装必要的包pip install torch torchvision numpy matplotlib pillowtorch: 核心用于加载.pth文件。numpy: 用于辅助数值计算和数组操作与PyTorch张量可以方便转换。matplotlibpillow (PIL): 如果怀疑Flag被隐藏在图像数据中这两个库用于数据可视化和图像处理。3.3 至关重要的安全加载实践这是本次实战中最需要警惕的一点.pth文件通常通过Python的pickle模块序列化。反序列化一个不受信任的pickle文件等同于执行其中可能包含的任意代码极有可能导致远程命令执行RCE。PyTorch官方文档也对此给出了明确警告。我们不能在生产环境或重要主机上直接加载未知的.pth文件。我的安全做法是在隔离的虚拟机或容器中操作这是最安全的方式即使文件恶意也影响不到宿主机。使用pickletools进行静态分析可选对于高级分析可以先使用Python自带的pickletools模块反汇编pickle流观察是否有可疑的REDUCE或GLOBAL指令加载危险模块。但这需要较深的pickle协议知识。审慎使用torch.load()的weights_only参数从PyTorch 1.10 开始torch.load()提供了一个weights_onlyTrue参数。当设置为True时加载器会限制反序列化的对象类型只允许包含张量、数字、字符串、列表、字典等基本类型从而阻止任意代码执行。这是我们的第一道安全防线。import torch try: # 首先尝试安全加载 data torch.load(suspicious_model.pth, weights_onlyTrue) print(安全加载成功) except Exception as e: print(f安全加载失败: {e}) # 如果失败且你确信文件来源如CTF题目可以在隔离环境中冒险尝试 # data torch.load(suspicious_model.pth, map_locationcpu)在CTF场景中题目通常不会包含真正的恶意代码但养成这个习惯对未来的真实工作至关重要。注意即使使用了weights_onlyTrue在极端情况下也可能存在漏洞。最安全的做法永远是在隔离的沙箱环境中进行分析。4. 模型权重文件的深度解析成功安全加载文件后我们面对的是一个Python对象通常是collections.OrderedDict。现在开始真正的“拆解”工作。4.1 探索加载后的数据结构第一步是看清我们拿到了什么。import torch data torch.load(challenge.pth, weights_onlyTrue, map_locationcpu) # 指定map_location确保即使在无GPU环境下也能加载 print(f加载对象的类型: {type(data)}) print(f对象的长度如果是字典: {len(data) if isinstance(data, dict) else N/A}) # 如果是状态字典最常见情况 if isinstance(data, dict): print(\n模型参数键名列表前10个:) for i, key in enumerate(list(data.keys())[:10]): value data[key] print(f {key}: 类型{type(value)}, 形状{value.shape if hasattr(value, shape) else N/A}, 数据类型{value.dtype if hasattr(value, dtype) else N/A})这段代码会告诉我们加载的是否是一个状态字典以及里面包含了哪些层key每个参数是权重weight还是偏置bias以及它的形状和数据类型。形状信息尤其重要例如(64, 3, 7, 7)可能代表一个卷积层的权重输出通道64输入通道3卷积核7x7。4.2 提取与扁平化张量数据Flag信息不太可能规整地存放在某个特定形状的张量里。更常见的做法是出题人将信息编码后打散或附加在某个张量中。因此我们需要将所有张量数据“拉平”成一维数组以便于整体分析。def extract_and_flatten_tensors(state_dict): 提取并扁平化状态字典中的所有张量 all_values [] for key, tensor in state_dict.items(): if torch.is_tensor(tensor): # 将张量转换为NumPy数组并扁平化 flattened tensor.cpu().numpy().flatten() all_values.append(flattened) print(f[提取] {key}: 原始形状 {tensor.shape}, 扁平后长度 {len(flattened)}) else: print(f[跳过] {key}: 非张量类型 ({type(tensor)})) # 将所有扁平数组合并成一个一维大数组 combined_array np.concatenate(all_values) if all_values else np.array([]) print(f\n总计提取了 {len(all_values)} 个张量合并后总数据点: {len(combined_array)}) return combined_array flattened_data extract_and_flatten_tensors(data)这个函数遍历所有键值对识别出张量将它们转移到CPU确保兼容性转换成NumPy数组然后压平flatten()。最后把所有压平后的数组合并成一个一维数组flattened_data。现在我们所有的“矿石”都堆在这里了接下来就是“炼金”过程。4.3 初步的数据探查与清洗在尝试解码前先看看数据的“长相”。import numpy as np print(f数据总量: {len(flattened_data)}) print(f数据类型: {flattened_data.dtype}) print(f数值范围: [{flattened_data.min():.6f}, {flattened_data.max():.6f}]) print(f平均值: {flattened_data.mean():.6f}, 标准差: {flattened_data.std():.6f}) # 查看前50个数据点 print(\n前50个数据点:) print(flattened_data[:50]) # 检查数据中是否有明显的异常值或特殊值如整数、ASCII范围值 # 将数据转换为整数如果原本是浮点数 int_data flattened_data.astype(np.int32) unique_ints np.unique(int_data) print(f\n唯一整数值的数量: {len(unique_ints)}) print(出现频率最高的一些整数值:) values, counts np.unique(int_data, return_countsTrue) top_indices np.argsort(-counts)[:10] # 取频率最高的前10个 for idx in top_indices: print(f 值 {values[idx]}: 出现 {counts[idx]} 次)这些信息能给我们提示数据类型如果是float32可能代表正常的模型权重如果出现int8或uint8则强烈暗示其中可能直接存储了字节/字符数据。数值范围权重通常是小数字如-1到1之间经过标准化。如果数据范围集中在0-255那很可能就是图像像素值或ASCII码。特殊值频繁出现的某个特定整数值如0, 255, 32空格可能具有分隔符或填充的含义。5. 从数据到Flag多种解码策略实战这是最考验脑洞和经验的环节。我们需要根据数据的特点尝试不同的解码路径。下面我结合实例分享几种最有效的策略。5.1 策略一直接字节流转换这是最简单粗暴的方法。如果出题人直接将Flag的ASCII或UTF-8字节序列存入了张量我们只需要将其视为字节流即可。# 假设我们怀疑数据是uint8类型的字节 if flattened_data.dtype ! np.uint8: # 尝试将数据缩放并转换为uint8。注意这是一个有损转换仅作尝试。 # 更合理的做法是检查数据是否原本就在0-255的整数范围内。 scaled_data (flattened_data - flattened_data.min()) / (flattened_data.max() - flattened_data.min()) * 255 byte_data scaled_data.astype(np.uint8) else: byte_data flattened_data.astype(np.uint8) # 将字节数据转换为字符串 try: # 尝试直接解码为ASCII或UTF-8 text byte_data.tobytes().decode(utf-8, errorsignore) # 忽略错误 # 或者更激进地只保留可打印字符 printable_bytes bytes([b for b in byte_data if 32 b 126 or b in (9, 10, 13)]) # 包含空格、换行等 text_printable printable_bytes.decode(ascii, errorsignore) print(尝试解码为文本原始:) print(text[:500]) # 打印前500字符看看 print(\n尝试解码为文本仅可打印字符:) print(text_printable[:500]) except Exception as e: print(f字节解码失败: {e})实操心得直接解码成功的情况在简单题目中可能出现。更多时候你会看到一堆乱码但其中可能夹杂着像flag{,CTF{这样的标志性片段。用errorsignore可以避免解码失败导致程序中断方便我们快速浏览。5.2 策略二数值到字符的映射如果数据是整数但范围可能不是0-255或者经过了简单偏移。int_data flattened_data.astype(np.int32) # 尝试常见的偏移比如数值直接对应ASCII码65-A或者数值减去一个偏移量 for offset in [0, 0x20, 0x30, -100]: # 尝试几种常见偏移 potential_chars [] for val in int_data[:100]: # 先试前100个 try: char_val val - offset if 32 char_val 126: # 可打印ASCII范围 potential_chars.append(chr(char_val)) else: potential_chars.append(?) except: potential_chars.append(?) candidate_string .join(potential_chars) if any(keyword in candidate_string for keyword in [flag, CTF, {, }]): print(f发现线索偏移量 {offset} 下前100个字符为: {candidate_string})注意事项不要无脑遍历所有可能的偏移量数据量大的时候会非常慢。先观察数据的大致范围估算一个偏移量。例如如果数据集中在97-122减去32‘a’到‘A’的偏移可能就是大写字母。5.3 策略三图像化与视觉分析深度学习模型与图像处理紧密相关将数据重塑reshape成图像矩阵是CTF中的经典手段。Flag可能以文字、二维码、像素画的形式藏在图片里。import matplotlib.pyplot as plt from PIL import Image length len(flattened_data) print(f总数据点: {length}) # 寻找可能的图像尺寸长度应该是高度*宽度*通道数 # 我们可以尝试因式分解寻找接近正方形的尺寸 factors [] for i in range(1, int(np.sqrt(length)) 1): if length % i 0: factors.append((i, length // i)) print(f可能的二维形状 (高, 宽): {factors[-10:]}) # 显示最后10组通常是更接近正方形的 # 尝试几组看起来合理的形状例如 (H, W) 或 (H, W, 1) 灰度图 candidate_shapes [] for h, w in factors[-10:]: # 取后10组 if 100 h 2000 and 100 w 2000: # 设定一个合理的图像尺寸范围 candidate_shapes.append((h, w)) for shape in candidate_shapes[:5]: # 尝试前5个候选形状 try: h, w shape # 重塑为二维数组灰度图 img_array flattened_data[:h*w].reshape((h, w)) # 归一化到0-1范围以便显示 img_normalized (img_array - img_array.min()) / (img_array.max() - img_array.min()) plt.figure(figsize(10, 6)) plt.imshow(img_normalized, cmapgray, interpolationnearest) plt.title(f尝试形状: {shape}) plt.colorbar() plt.show() # 也可以尝试保存为图片文件用其他工具查看 # img_pil Image.fromarray((img_normalized * 255).astype(np.uint8)) # img_pil.save(ftry_shape_{h}x{w}.png) except Exception as e: print(f尝试形状 {shape} 失败: {e}) continue踩坑记录一次比赛中我将数据重塑成(512, 512)的图片后只看到一片灰色噪点以为思路错了。后来尝试了(256, 1024)发现Flag以横向文字的形式出现在图片顶部。原因是数据的总长度是262144它既是512*512也是256*1024。出题人利用了前者制造视觉干扰真正的信息藏在后者里。所以多尝试几种因式分解的组合非常重要。5.4 策略四关注元数据与异常结构有时Flag不在张量的数据里而在“夹缝”中。键名Key Names仔细检查state_dict的键。出题人可能把Flag的每个字符作为键名的一部分例如layer1.flag_f_weight,layer2.flag_l_bias... 将所有键连接起来可能就能得到Flag。all_keys .join(data.keys()) # 或者寻找键名中的特殊模式 for key in data.keys(): if flag in key.lower() or ctf in key.lower(): print(f可疑键名: {key})张量形状Tensor Shape张量的形状shape是一个元组例如(102, 108, 97, 103, 123, ...)。这些数字如果都在ASCII可打印范围内直接转换可能就是Flag。for key, tensor in data.items(): shape tensor.shape # 如果形状是一维的且长度合适尝试转换 if len(shape) 1 and shape[0] 100: # 假设Flag长度小于100 try: potential_flag .join([chr(int(dim)) for dim in shape if 32 int(dim) 126]) if potential_flag: print(f键名 {key} 的形状 {shape} 可能包含信息: {potential_flag}) except: pass数据类型或设备信息虽然不常见但极端情况下信息可能藏在张量的dtype属性或存储设备里。不过这种情况极少。6. 进阶技巧与自动化探索脚本当常规方法失效时或者面对大量数据需要快速筛查时一个自动化的探索脚本能极大提升效率。6.1 构建一个综合探查脚本下面这个脚本整合了上述多种策略可以快速对一个.pth文件进行多角度扫描。import torch import numpy as np import struct import math from pathlib import Path def analyze_pth_file(file_path): 综合逆向分析 .pth 文件 print(f分析文件: {Path(file_path).name}) print(*50) # 1. 安全加载 try: data torch.load(file_path, weights_onlyTrue, map_locationcpu) except Exception as e: print(f安全加载失败: {e}) return # 2. 基础信息 print(f1. 加载对象类型: {type(data)}) if isinstance(data, dict): print(f 字典键数量: {len(data)}) print( 前5个键:) for i, key in enumerate(list(data.keys())[:5]): print(f {i1}. {key}) # 3. 提取并扁平化所有张量数据 all_flattened [] tensor_details [] if isinstance(data, dict): for key, value in data.items(): if torch.is_tensor(value): flat_arr value.cpu().numpy().flatten() all_flattened.append(flat_arr) tensor_details.append({ key: key, shape: value.shape, dtype: value.dtype, size: flat_arr.size }) elif torch.is_tensor(data): flat_arr data.cpu().numpy().flatten() all_flattened.append(flat_arr) tensor_details.append({ key: root_tensor, shape: data.shape, dtype: data.dtype, size: flat_arr.size }) if not all_flattened: print(未发现张量数据。) return combined_data np.concatenate(all_flattened) print(f\n2. 数据总览:) print(f 合并后数据总量: {combined_data.size}) print(f 数据类型: {combined_data.dtype}) print(f 数值范围: [{combined_data.min():.6f}, {combined_data.max():.6f}]) # 4. 尝试直接文本解码 (策略一) print(f\n3. 直接文本解码尝试:) for encoding in [utf-8, ascii, latin-1]: try: # 先转换为字节 if combined_data.dtype.kind in iu: # 整数类型 if combined_data.dtype.itemsize 1: byte_stream combined_data.tobytes() else: # 如果是大整数尝试取低8位 byte_stream (combined_data 0xFF).astype(np.uint8).tobytes() else: # 浮点类型先缩放量化 norm_data (combined_data - combined_data.min()) / (combined_data.ptp() 1e-8) byte_stream (norm_data * 255).astype(np.uint8).tobytes() # 解码 text byte_stream.decode(encoding, errorsignore) # 搜索标志性模式 import re patterns [rflag{.*?}, rFLAG{.*?}, rctf{.*?}, rCTF{.*?}] for pattern in patterns: matches re.findall(pattern, text, re.DOTALL) if matches: print(f [{encoding}] 发现匹配! - {matches[0]}) return matches[0] # 找到就提前返回 # 如果没有找到完整flag看看有没有片段 if flag in text.lower() or ctf in text.lower(): print(f [{encoding}] 发现相关关键字请手动检查文本片段。) # 打印文本片段 idx text.lower().find(flag) if idx -1: idx text.lower().find(ctf) if idx ! -1: snippet text[max(0, idx-50):min(len(text), idx100)] print(f 片段: ...{snippet}...) except Exception as e: continue # 5. 尝试数值映射 (策略二) print(f\n4. 数值映射分析 (前100个数据点):) int_samples combined_data[:100].astype(np.int64) for base in [0, 32, 48, 65, 97]: # 常见ASCII起始点原始、空格、0、A、a candidate_chars [] for val in int_samples: mapped val - base if 32 mapped 126: candidate_chars.append(chr(mapped)) else: candidate_chars.append(.) candidate_str .join(candidate_chars) if any(x in candidate_str for x in [flag, FLAG, ctf, CTF]): print(f 偏移量 base{base}: {candidate_str}) # 6. 尝试图像化 (策略三) print(f\n5. 图像化可能性分析:) L combined_data.size # 寻找可能的二维形状 factors [] for i in range(1, int(math.sqrt(L)) 1): if L % i 0: factors.append((i, L // i)) # 筛选出长宽比不太极端的形状 reasonable_shapes [(h, w) for h, w in factors if 0.2 h/w 5 and h 10 and w 10] if reasonable_shapes: print(f 发现 {len(reasonable_shapes)} 个合理的二维形状。) print(f 推荐尝试的形状 (接近正方形): {reasonable_shapes[-5:]}) else: print(f 数据长度 {L} 为质数或无明显二维因子。) # 7. 检查键名和形状 (策略四) print(f\n6. 元数据检查:) for detail in tensor_details[:10]: # 检查前10个张量 key, shape detail[key], detail[shape] # 检查键名 if any(word in key.lower() for word in [flag, ctf, secret, key]): print(f 可疑键名: {key}) # 检查形状元组 if len(shape) 1: try: shape_str .join([chr(int(d)) for d in shape if 32 int(d) 126]) if shape_str: print(f 张量 {key} 的形状 {shape} 可读: {shape_str}) except: pass print(\n *50) print(基础分析完成。如果未发现明显Flag请尝试更特定的解码方法或检查数据子集。) return None # 使用脚本 if __name__ __main__: flag analyze_pth_file(your_model.pth) if flag: print(f\n 发现Flag: {flag})这个脚本提供了一个系统化的起点。它依次尝试了直接解码、数值映射、图像化建议和元数据检查并会在发现疑似Flag时提前终止。6.2 针对性的脑洞与外部工具结合如果自动化脚本没有收获就需要结合题目描述、文件名等其他信息开脑洞了。差分分析如果提供了多个.pth文件可以尝试比较它们的差异。Flag可能藏在两个模型权重的差值里。特定数据段Flag可能只藏在某个特定层或特定类型的参数里。例如只关注所有.bias参数或者形状为(1, N)的参数。非视觉图像编码数据可能不是直接表示像素亮度而是表示其他通道如RGB分别存储在不同张量、频率域系数需要逆傅里叶变换等。结合其他文件有时.pth文件需要和另一个提示文件如加密密钥、网络结构定义脚本片段结合才能解密。使用二进制编辑器辅助虽然不推荐手动解析整个文件但用hexdump或xxd命令快速查看文件头尾有时能发现附加在序列化数据后面的明文信息。xxd challenge.pth | tail -20 strings challenge.pth | grep -i flag7. 实战案例复盘与经验总结回顾我遇到的那个挑战最终Flag的发现过程颇具代表性它没有采用单一策略而是组合拳。文件加载后显示是一个包含约20个键的状态字典。初步的键名没有异常。将所有张量扁平化合并后得到约100万个float32数据点范围在[-0.5, 0.5]看起来就是普通的模型权重。直接字节解码和数值映射偏移0只得到乱码。尝试了几个偏移量也无果。图像化分析时因为数据量很大有多个可能的形状。我首先尝试了(1024, 1024)这个看起来最“规整”的形状生成的图像是一片均匀的灰色噪点毫无特征。我几乎要放弃图像化思路时决定再看看其他形状因子。数据总长度是1048576它等于1024*1024也等于512*2048。我尝试了(512, 2048)这个非常“扁”的形状。当图像显示出来时在顶部约50像素高的区域出现了明显的、与下方噪点不同的横向条纹纹理。我将这个区域单独提取出来放大查看。发现这些条纹的灰度值变化虽然微弱但存在规律。我将这512*50个数据点单独取出将其数值范围从[-0.5, 0.5]线性映射到[0, 255]的整数然后重塑为(50, 512)的灰度图。这次清晰的ASCII艺术文字浮现出来正是Flagflag{Neural_Networks_Are_Just_Fancy_Arrays}。核心教训不要被“最规整”的形状迷惑出题人往往会利用这一点设置思维陷阱。关注数据中的“异常”区域在整体看似随机的数据中局部的一致性或不一致性可能就是突破口。在图像化后如果大部分区域是噪点但有某个小区域呈现出不同的纹理或规律一定要重点检查。数值范围映射是关键模型权重通常范围很小直接视为0-255的像素值会丢失几乎所有对比度。必须进行归一化和缩放(data - min) / (max - min) * 255。耐心与系统化尝试逆向工程很少能一击即中。按照从简单到复杂、从整体到局部的策略系统化地尝试每一种可能性并做好记录避免重复劳动。这次从.pth文件到CTF Flag的逆向之旅本质上是一次对数据多重表示形式的探索。它提醒我们在任何二进制或序列化数据面前保持开放的心态和系统化的分析方法是解开谜题的关键。无论是AI模型权重还是其他任何格式的数据其底层都是字节和数值而信息就巧妙地隐藏在这些数值的关系与变换之中。