2026-10-24 11:34:30 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

第三届腾讯云智能攻防挑战赛线上赛第一名：sapper-v2 的架构、角色分工与提示词

原创

喜吾安璇
喜吾安璇

攻防SRC

2026年10月19日 15:05
陕西

去阅读

被分析系统：sapper-v2

原作者 / 提交者：N1nEmAn（redbud）

赛事成绩：第三届腾讯云智能攻防挑战赛（原“腾讯云黑客松智能渗透挑战赛”）线上赛第一名

微信公众号（筹备中）：未知聚变 VarFusion

sapper-v2项目分析地址：https://github.com/inwpu/SapperLens

第三届比赛已经结束。我与作者 N1nEmAn 做了沟通交流；经他同意并授权，我基于他这次比赛的 v1 成绩会话日志，对 50 道题做了逐题复盘。

比赛时长 8 小时，题目 50 道，其中 10 道是 6-flag 题，合计 60 个 flag；40 道单 flag 题占 40%。最终成绩为 27100 点数、80.18 综合得分、85% 完成率、85/100 旗。以下内容来自会话日志、平台事件表和题目表；完整版、提示词原文和逐题数据放在 https://github.com/inwpu/SapperLens。

一、架构设计

运行载体与角色

这套系统的运行载体是 Claude Code CLI，会话版本 2.1.301。一个会话承担一层角色：Commander 负责调度，worker 负责单题执行，intent 负责单步拆解。

平台提供 3 个并行靶场实例，容器内提供 8 个 worker pane 的 tmux 会话池。同一道题的多个 pane 共享一个实例和一张事实图；worker.sh 在 w2 及后续 pane 的目录里挂 .sapper 软链接，把同一张图映射给第二个 pane。

Commander 循环

Commander 的职责边界写在 /opt/sapper/docker/commander/SKILL.md，全文 25,842 字符、427 行。主循环分为四步：

worker.sh board 读取战报；
按 HELP、recorded 状态 flag、15 分钟 fact 增量、可迁移技术、DONE、空闲槽的顺序判断；
每轮执行最多 2 个动作；
随后 sleep 60–120 秒。

指挥官的可用动作限定为 worker.sh、只读 sapper 命令、peek pane、编辑 /work/runs/commander-state.md 和 sleep；靶场侦察、利用和 flag 提交全部交给 worker。这个动作边界把指挥官上下文保持在调度层，靶场细节由 worker 的上下文承担。

上下文与 Commander 交接

经和作者沟通交流，作者说明了这套设计的目标：8 小时长时运行中，上下文容量是主要约束。系统设置了 90% 自动压缩；在 85% 时，指挥官会主动写一份交接文档 commander-state.md，记录当前分配、弃置列表、队列、情报和下一步。

这个交接发生在指挥官与指挥官之间：前一任会话写文件，后一任会话读文件，继续调度。本次运行有 2 个 Commander 会话：第一任 1148 步，第二任 1153 步，06:14 通过 commander-state.md 完成交接。

worker.sh

spawn 子命令的流程如下：

执行 arena start <code> 获取 container\_addr；
用 tmux 创建 pane；
把 mission 通过 send-keys -l 输入 Claude Code 会话；
--p 模式运行 sapper auto --minutes N；
--general 模式使用 glm-5.3[1m]，并允许雇 -p 小队；
--gw ds 切换到 deepseek 网关。

spawn 的退出码 3 对应平台 3 实例上限，退出码 4 对应 8 pane 上限。kill <code> --close 会先调用 finish_flags() 提交所有 recorded 状态的 flag，再关闭实例。

日志里 spawn 命令共 82 条（含重复调用 160 次），kill 命令 54 条，msg 19 条，board 读取 125 条唯一命令。

事实图

每道题一个 .sapper 目录，facts 以 JSON 文件保存，类型包括 host、service、cred、vuln、loot、flag，另有 intents、hints 和 doc 字段。worker 的命令对应如下：

sapper fact 写入事实；
sapper done 结束 intent；
sapper recall 召回相似节点；
sapper doc 读取长文档。

整场日志里 sapper fact 出现 255 次，sapper graph 198 次，sapper status 195 次，sapper kb 62 次，sapper done 43 次，sapper hint 28 次，sapper intent 19 次，sapper recall 12 次。

具体节点包括：b-01 的 f011 记录 SSH 爆破进程、输出文件、auto-pivot 自动机和下一步计划；b-02 的 f037–f039 记录 file-server 与核心系统的最终链路；a-03 的 f016 记录登录 SQLi 的完整 payload；a-18 的 f007–f012 记录端口、FastCGI 和 metadata socket；f2-05 的 f004/f005 记录 VM 配方和 solver。这些 doc 字段让下一个 pane 直接读取运行时状态。

intent 层

executor 提示 19,668 字符，要求模型只输出一个 JSON 对象，字段包括 title、description、kind、data、doc、deviations。commander 提示 18,344 字符，要求模型根据 graph、hints 和时间预算提出最多 3 个 intent，或返回 complete。

日志里 executor 角色会话 6 个，commander 角色会话 2 个。a-03-w4 的 8 个小会话就是 intent 层的实际调用，每个会话处理一个 intent，输出一条 fact。

提示词四层

运行基座 6,021 字符：授权范围、外部输入的数据处理方式、工作目录、模型标识和记忆目录。
Commander 标准作业程序 25,842 字符：3 实例与 8 pane 上限、board 循环、升级阶梯、模型分层和 STATE 协议。
Worker 任务提示：172 次出现、81 条唯一、平均 954 字符，固定写入读图、即时提交、第二角度、HELP/REPORT、靶场保护和家族简报。
intent JSON 提示：要求结构化输出。

四层提示词对应四种角色，链路是 Commander 定方向、worker 执行、事实图记录、intent 执行器拆步。

模型与看门狗

worker 侧 94 个会话中，deepseek-flash 82 个，glm-5.3 9 个，deepseek-v4-pro 3 个。平台账本记录：

deepseek-flash：3,355 次调用、315.0M token；
glm-5.3：1,180 次调用、108.8M token；
deepseek-v4-pro：140 次调用、11.5M token。

环境变量为 SAPPER_MODEL=glm-5.3[1m]、SAPPER_MODEL_DS=deepseek-flash[1m]、SAPPER_MAX_WORKERS=8、SAPPER_TOTAL_MINUTES=475。watchdog 在 drive.log 里执行 key 族内轮换、跨族轮换、quota/auth 错误后的 --continue 重启和归档 mission 重发；a-03 的 glm pane 在 API 错误后由 deepseek-v4-pro 接管。

二、题目分析

（一）b-01：LFI、日志投毒与内网跳板

入口与 RCE

b-01 是 4 flag 题，4 个 pane，最终 1140 分，提示 3 次。w1 先做端口扫描和路径枚举，在 services.php?lang= 参数上发现本地文件读取：过滤逻辑对 ../ 做一次替换，使用 ....// 即可绕过，直接读到 /challenge/flag1.txt。

随后 w1 把 PHP 代码写入 nginx error.log，再通过 lang 参数包含该日志，获得 RCE，并在 web 目录落地 /p.php webshell。

内网与核心区

w1 在 web 目录和备份目录找到 backup/ssh_users.txt 与 backup/tunnel.php。ssh_users.txt 给出跳板机的真实用户列表。通过 tunnel.php 和 shell，w1 扫到 172.19.0.0/24 的 .2 跳板 SSH、.3 panel（gunicorn 8080）、.4 边缘 web。

panel 使用 operator:Password 登录成功，/api/config 返回数据库、Redis 和两个 API key，第二面旗位于 panel。核心区 192.168.20.0/24 的入口位于跳板 .2。w1 先用 9 个用户的列表做 SSH 爆破，前十几万次尝试集中在推测用户上；从 ssh_users.txt 取出真实用户 root、admin、devops、guest、monitor 后，两分钟命中 devops:Admin123。通过跳板进入核心区，在 192.168.20.30 拿到最后两面旗。

分工

w1 负责黑盒和 LFI，w2 与 general 负责 SSH 爆破和内网枚举，w3 接 w1 的 handoff。指挥官把 w1 的内网情报转给 general，并在 w1 扫描 172.19.0.1 时下达 SCOPE ORDER，将目标收敛到挑战容器。4 个 pane 共享同一张图，情报在 pane 之间直接传递，换人时接着图里的进度继续。

（二）b-02：SSRF、OA 与 file-server

入口与 SSRF

b-02 是 6 flag 题，5 个 pane，最终 1740 分，提示 2 次。入口是 proxy.php 的 url 参数：SSRF 可用，file:// 协议可读本地文件，w1 直接读到 /challenge/flag1.txt 和 /challenge/flag2.txt，并读取 proxy.php、init.sql、entrypoint.sh 等源码和配置。

内网拓扑由此明确：OA 位于 172.20.0.4，file-server 位于 172.20.0.2，核心系统位于 172.20.0.3:8080。

OA 登录使用 admin:P@ssword 成功。tools.php 的 ping 功能把 host 参数拼入 shell，$() 命令替换可执行，w1 获得 OA 的 RCE。

OA 上存在 SUID 的 python3.9，os.setuid(0) 可提权到 root，第三、第四面旗到手。w1 在 OA 落地 webshell，并用 socat 将内网 21、22、8080 映射到边缘盒子的 4444–4448，后续 pane 通过隧道访问内网。

file-server 与核心系统

file-server 的 SSH 使用弱口令。官方提示指向泛微 OA 文件服务器，w5 依次尝试 Weaver@2020、Weaver@2021、Weaver@2022，最终 Weaver@2023 命中。

登录后在 /home/admin/backup/flag5.txt 拿到第五面旗，并找到 credentials.zip；zip 密码来自 /entrypoint.sh，值为 123456，解出核心系统账号。核心系统使用 sysadmin:Pr0d#Secure!2023 登录成功，/dashboard 返回第六面旗。

分工

w1 负责 SSRF 和边缘，w2 是 general，w3、w4、w5 分别负责核心系统、file-server 和 OA 分支。b-01 的 SSH 爆破 playbook 由 w5 复用，参数、用户表思路和爆破流程保持一致。

（三）b-03：弱口令、上传与内网数据库

入口与上传

b-03 是 4 flag 题，2 个 pane，最终 1200 分，提示 0 次。边缘为 PHP 站点，后台位于 /admin/login.php，admin:Admin@123 登录成功。

后台上传功能的扩展名黑名单覆盖 .phtml、.php3 等，.php 位于允许范围；MIME 校验采用客户端声明，将 .php 文件标记为 image/jpeg 即可通过。访问 /uploads/shell.php 获得 RCE，第一面旗位于 /challenge/flag1.txt。

内网数据库

内网 172.18.0.0/24：.2 为 Flask OA（8080），.3 为 MariaDB（3306）和 Redis（6379）。MariaDB 账号为 root:root，corporate 库的 corporate.secrets 给出第四面旗。Redis 口令为 12345678，其中保存 corporate_secret 副本、数据库和 OA 配置。

OA 登录页带验证码。w2 将 captcha 字段整体省略，验证码检查通过；用户名密码继续校验，admin:1qaz@WSX 登录成功。

OA 为 gunicorn 多 worker，约一半 worker 配置了 SECRET_KEY，登录请求在两类 worker 间随机返回 500，w2 通过重试拿到稳定会话。后台 secret-box 提供一面旗，OA 容器 /challenge/flag3.txt 提供另一面。

分工

w1 负责边缘、上传和内网 DB，w2 负责内网 sweep 和 OA；MariaDB 与 Redis 凭据由 w1 写入事实图，w2 接着完成 OA。全程提示 0 次，用时 26 分钟。

（四）a-03：登录接口与四个半小时的排查

起点

a-03 是 1 flag 题，16 个会话，最多 3 个 pane 并行，最终 270 分，提示 5 次，用时 4.5 小时。所有 pane 的起点是 /login：GET 与 POST 均返回 500，响应时间稳定在 0–2 毫秒，输入变化时保持恒定；POST 多出十几毫秒，呈现 PBKDF2 特征。

早期 worker 将这一现象写入事实图，判断为“设计性损坏”，后续 pane 沿认证绕过方向推进。

认证绕过方向

这条线有事实依据：/api/search 与 /report/export 两个隐藏路由已确认，官方提示指出漏洞位于报表生成和资产搜索，属于认证后 SQLi/SSTI。认证成为前置条件，多个 pane 分头处理：Flask session 伪造工具链、多线程 secret key cracker（累计 89 万候选，后续 gen7 增加 100 多万候选）、凭据爆破、时序预言机、源码与备份扫描。

中途发现 /download/<filename> 和 /asset/<id> 两个路由，两者都要求认证。整条线沿错误前提持续推进。

转机

转机来自最后一个 pane：在 gen7 运行期间，它对登录表单尝试 SQLi，payload 为 username=' OR '1'='1' LIMIT 1 --（末尾带空格），服务器返回 302 和 Set-Cookie，会话内容为 {\"is_admin\":true,\"user_id\":1,\"username\":\"sysadmin\"}。使用该会话访问 /admin/flag，取得 flag。

此前的尝试集中在 ' OR '1'='1' 这一形式：该查询返回多行，后端取单行时抛出异常，响应为 500。加上 LIMIT 1 后查询返回一行，成功分支出现。这一细节解释了前面数小时的 500 现象。

代价

a-03 的代价以事实呈现：事实图中的“设计性损坏”判断在多个 pane 间传播，认证绕过方向持续 4.5 小时；最后一个 pane 的低成本 SQLi 尝试完成了突破。

（五）a-18：php-fpm 9000 与 JWT kid

初始阶段

a-18 是 1 flag 题，500 分，2 个 pane，18 分钟。w1 前 17 分钟完成了路径扫描、JS 检查、JWT 尝试、登录 SQLi、源码泄漏和参数 fuzz，事实图处于初始状态。指挥官发出消息，要求先落指纹、已核实结论和最佳假设；此后 w1 开始写入事实。

FastCGI 路径

w1 的突破点在 9000 端口：php-fpm 直接暴露。w1 编写 FastCGI 客户端，构造 SCRIPT_FILENAME=/var/www/html/index.php，并使用 PHP_VALUE: allow_url_include=1 与 auto_prepend_file=php://input 执行 stdin 中的 PHP 代码，获得 www-data 的 RCE。

/challenge/flag.txt 的权限为 root 专属，w1 转向 /hint.txt 指向的 metadata agent，socket 路径为 /run/cloudfunc/metadata.sock，权限 0777，使用 curl --unix-socket 取得 flag。

JWT 路径

w2 走另一条路径：JWT 的 kid 参数支持路径穿越，kid=../js/login.js 使服务端以 login.js 内容作为 HMAC 密钥，w2 伪造管理员 token 进入 admin 控制台。

控制台的“单行规则引擎”只允许符号字符，w2 在构造仅用符号字符的 PHP eval payload；w1 在该阶段提交了 flag。两条路径都成立，w1 先完成。

分工

w1 负责黑盒、端口和 FastCGI，w2 负责源码、JWT 和规则引擎。指挥官的干预点是事实图的初始状态，干预方式是要求立即写入事实。

（六）f2-05：VM 字节码与 flag 构造

静态分析

f2-05 是 1 flag 题，450 分，5 个会话，最多 3 个 pane 并行，提示 1 次。题目提供 stripped PIE ELF，通过 /download 下发。w1 的静态分析找到 8 字节 access code 校验：0x6d6a031f1105170c 异或 0x5a 得到 VM_KEY07；校验通过后执行 10 字节 bytecode，循环 31 次，每次输出一个点；.data 中有一段 31 字节 blob。

假设验证

w1 先按“VM 是解密引擎”的假设验证 XOR、仿射、多项式、xorshift、RC4、TEA 和各哈希，结果与明文约束偏离。w2 采用动态路线：本地运行二进制、gdb 抓 write、尝试 2^32 xorshift seed，结果同样偏离。

20 多分钟后，官方提示给出“这台小机器的字节码本身就是 flag 的构造过程”，w1 转向 bytecode 语义。

bytecode 配方

VM 的 load 指令全部写入死寄存器，程序的实际输出是 31 个点；解密配方位于 opcode 序列。w1 将 opcode 翻译为变换：acc = blob[i] ^ key4[i % 4]，rol8(acc, 5)，再减 0x11。

31 字节计算得到 FLAG{by73c0d3_vm_r3v3rs3d_0x5A}。w2 独立复现该配方，结果一致。w3 是后续派出的 general，到达时 w1 已完成提交。

分工

w1 负责静态分析，w2 负责动态与 brute force，general 作为升级手段。破局点是 w1 将假设从“VM 是解密器”切换为“bytecode 是配方”。

三、分工与协作

角色与权限

指挥官与 worker 的分工由工具权限固定。指挥官只运行 worker.sh、只读 sapper、peek、编辑 STATE 和 sleep；靶场命令由 worker 执行。

日志里指挥官 338 条唯一命令中，board 125 条、spawn 82 条、kill 54 条、msg 19 条，靶场侦察和利用命令全部出现在 worker 会话里。经和作者沟通交流，指挥官与指挥官之间的 STATE 交接用于处理长时运行的上下文容量约束：85% 时写交接文档，90% 时由 harness 自动压缩。

worker 分为 w1、w2、general 和 -p 小队：w1 负责主线，w2 负责第二角度，general 使用 glm-5.3[1m] 处理硬题，-p 小队执行有界任务。日志中 11 条 mission 显式写入“DIFFERENT ANGLE”，对应 b-02、a-03、a-18、f2-05 等题的第二 pane。

w1 与 w2 的角度分配

a-03：w1 做登录爆破和 secret key 爆破，w2 做源码与端点审计，w3 做 session 伪造与 key cracker。
a-18：w1 做端口扫描和 FastCGI，w2 做 JWT kid 路径穿越和规则引擎。
f2-05：w1 做静态反汇编，w2 做动态执行和 xorshift seed 爆破。

general 出现在 b-01、b-02、a-03、f2-05、a-17；b-01 的 general 负责 SSH 爆破，b-02 的 w2 general 负责核心系统，f2-05 的 w3 general 在 w1 提交后到达。

事实图作为协作中介

w2 挂载 .sapper 软链接，读取 w1 的 facts。具体分工如下：

b-01：w1 把内网 .1/.2/.3/.4 端口、operator:Password、API key 写入图，general 读取后把 SSH 爆破目标收敛到 .2。
b-02：w1 把 SSRF 源码、OA 凭据和 socat 隧道写入图，w3/w4/w5 直接复用。
b-03：w1 把 MariaDB root:root 和 Redis 12345678 写入图，w2 接着打 OA。
a-03：f001/f002 记录 /login 500、隐藏路由和 key cracker 状态，后续 pane 直接读取这些事实。

指挥官消息

b-01：指挥官在 21:22 下达 SCOPE ORDER，把 172.19.0.1 标为平台基础设施，要求 worker 停止探测。
b-02：STATE 把 172.20.0.1:8080 标为 range-runner。
a-03：指挥官向 w1/w2/w3 发送 10 条消息，内容包括 a-01 的 secret key 约定、a-02 的凭据回放、/login 500 的 Vary: Cookie 证据和 gen7 爆破进度。
a-18：指挥官在 17 分钟时要求 w1 把指纹、已核实结论和最佳假设写入事实图。

家族简报

b-01 的 SSH 爆破 playbook 包含 12 个 paramiko worker、24,225 个口令、用户表来源和 auto_pivot 自动机，b-02 的 w5 直接复用这套流程；b-02 的 SSRF 源码读取和 socat 隧道方法进入 b-03 的内网阶段。

提示词里 135 次出现家族情报，45 条唯一 mission 带有家族情报；e1 家族第一题 1.7 分钟，后 5 题平均 0.86 分钟；a 家族多数题在 1–4 分钟完成。

并发与资源

3 个平台实例对应 3 条流水线，槽位利用率 96.4%。同一道题最多挂 5 个 pane：

b-02：5 个 pane；
b-01：4 个 pane；
a-03：最多 3 个 pane 并行；
f2-05：最多 3 个 pane 并行；
a-18：2 个 pane。

同时运行的 worker 会话峰值为 6 个。后台进程承担 b-01 的 12 线程 SSH 爆破、a-03 的 8 进程 secret key cracker、b-02 的 socat 隧道、f2-05 的 gdb 和 C brute force。日志里 82 条 spawn 中 55 道题各 1 次，a-03 7 次、b-02 5 次、f2-05 4 次、b-01 3 次。

协作代价

a-03：16 个会话、147.9 slot-min、32.9M token，围绕“设计性损坏”前提推进，最终由 SQLi 突破。
b-02：5 个 pane 消耗 163.2M token，占全部 435M token 的 37%。
TCH3：3 道单 flag 题占用 168.6 slot-min；5 道 6-flag 题分别收 2/6、2/6、5/6、4/6、5/6；尾段重开部分 6-flag 题新增 3 个 flag。