CTFd导入PWN题时，如何正确配置Docker环境与端口映射？

Question

在CTFd中导入PWN题时，常见问题：**Docker服务无法被选手远程连接，导致nc连接超时或拒绝（Connection refused）**。根本原因常为——容器未正确暴露并映射目标端口（如`pwn_binary:2333`），或CTFd插件（如`ctfd-jeopardy-plugin`）调用`docker run`时遗漏`-p`参数、使用了`--network=host`却忽略宿主机防火墙/SELinux限制；亦或容器内服务绑定`127.0.0.1:2333`而非`0.0.0.0:2333`，导致端口映射失效。此外，若启用Docker桥接网络但未配置`--publish-all`或显式端口绑定，且CTFd动态分配端口逻辑缺失（如未集成`docker-compose.yml`或端口管理插件），将造成端口不可达。需严格校验：① `docker run`命令含`-p ${HOST_PORT}:${CONTAINER_PORT}`；②容器内服务监听`0.0.0.0`；③宿主机iptables/firewalld放行对应端口；④CTFd题目配置中`Connection Info`字段准确填写`:`。

Answer 1

```html

一、现象层：连接失败的表征与日志线索

选手执行 nc 10.10.10.10 2333 时出现 Connection refused 或超时（Operation timed out），而非服务响应或崩溃。CTFd 后台日志中无容器启动异常，但 docker ps 显示容器处于 Up X seconds 状态却无端口映射列（PORTS 字段为空）。此时应立即检查：docker port <container_id> 返回空，即暴露失效的首层信号。

二、配置层：Docker 运行时参数的四大陷阱

• 遗漏 -p 显式绑定：插件调用 docker run pwn_image 而非 docker run -p 32768:2333 pwn_image；
• 误用 --network=host：容器共享宿主机网络栈，但宿主机 firewalld 默认拒绝外部对 2333 的访问；
• 桥接网络未启用端口发布：未设 -P（publish-all）且无 -p，Docker 不自动分配端口；
• 动态端口管理缺失：CTFd 未集成端口池（如 port-manager 插件）或 docker-compose.yml 中未定义 ports 与 environment 协同逻辑。

三、服务层：容器内监听地址的致命偏差

使用 netstat -tlnp | grep :2333 进入容器后，常见输出为 tcp 0 0 127.0.0.1:2333 0.0.0.0:* LISTEN —— 此即根本症结。PWN 二进制若通过 bind(sockfd, (struct sockaddr*)&addr, sizeof(addr)) 绑定 INADDR_LOOPBACK，则仅响应 localhost 请求，Docker 端口映射无法穿透。正确做法是绑定 INADDR_ANY（即 0.0.0.0），确保监听所有接口。

四、系统层：宿主机安全策略的隐性拦截

组件	检测命令	修复操作
firewalld	sudo firewall-cmd --list-ports	sudo firewall-cmd --add-port=2333/tcp --permanent && sudo firewall-cmd --reload
SELinux	sudo ausearch -m avc -ts recent | grep docker	sudo setsebool -P container_manage_cgroup on + 自定义端口类型：sudo semanage port -a -t container_port_t -p tcp 2333

五、集成层：CTFd 插件与题目标配的协同校验

以 ctfd-jeopardy-plugin 为例，其 challenge.py 中 start_container() 方法必须包含端口映射逻辑：

client.containers.run(
    image=image_name,
    ports={'2333/tcp': str(host_port)},  # 关键：dict 格式映射
    detach=True,
    network='ctfd_default',  # 非 host 模式下需显式指定自定义 bridge
    name=f'pwn_{challenge_id}_{team_id}'
)

同时，CTFd 题目编辑页的 Connection Info 字段必须严格填写为 10.10.10.10:32768（含冒号），不可省略端口或写成 nc 10.10.10.10 32768 —— 前端解析器仅提取 : 后内容作为端口。

六、验证层：端到端连通性诊断流程图

graph TD
    A[选手 nc IP:PORT] --> B{是否收到 SYN-ACK？}
    B -- 否 --> C[检查宿主机防火墙/SELinux]
    B -- 是 --> D[进入容器执行 netstat -tlnp]
    D -- 监听 0.0.0.0:PORT? --> E{是}
    E -- 否 --> F[修改二进制 bind 地址为 INADDR_ANY]
    D --> G[检查 docker port CONTAINER_ID]
    G -- 输出 PORT→HOST_PORT? --> H{是}
    H -- 否 --> I[修正 docker run -p 参数或插件映射逻辑]
    C --> J[放行端口并重试]
    F --> K[重新编译并构建镜像]
    I --> L[重启容器并验证]

```