CTF Flag 验证方法论

核心原则

LLM 无法可靠地数 hex 字符或拼接长字符串。 所有 flag 的提取、拼接、验证必须用程序（Python）完成，绝不手动拼接。

强制验证流程

1.1 提取 flag 时优先使用程序化方法

SQL 注入（EXTRACTVALUE/UPDATEXML 分段提取）：

• ❌ 不要手动复制各段然后在思考中拼接
• ✅ 写 Python 脚本自动发请求、自动分段、自动拼接（参考 sql-injection-methodology 中的 Python 模板）
• ✅ 优先用 UNION SELECT（无截断限制，一次拿完整 flag）

命令执行（RCE / 命令注入）：

• ⚠️ cat /flag.txt 输出可能含 trailing newline → 用 flag.strip() 去除
• ⚠️ 命令输出可能被 HTML 编码（< → <）→ 用 Python html.unescape() 解码
• ⚠️ 如果回显被截断，改用 base64 /flag.txt 再解码