用途：在 CTF 挑战中，当已通过 RCE、LFI、SQLi 或 webshell 等方式获得目标访问权限，但用常规 ls/cat 命令找不到 flag 时，按成功率排序的优先级进行系统化搜索。
主要能力：按权限类型分流搜索策略。RCE 场景下依次尝试标准 flag 路径（如 cat /flag.txt、/flag、/root/flag.txt、/home//flag.txt）、非标准路径（/var/www/html、/tmp、/opt、/app 等）、全盘搜索（find / -name "flag" 2>/dev/null、grep -r "flag{"）、环境变量与进程（env | grep -i flag、/proc/self/environ、/proc/self/cmdline）、数据库配置与查询、进程与网络（ps aux、netstat、lsof）。LFI 场景下对每个遍历深度同时尝试 flag、flag.txt、.flag、flag.md 等变体，并优先读取配置文件、源码与日志。SQLi 场景下枚举数据库、表，查询 flag/flags/secret 表，或用 information_schema 搜索含 flag 的列名，必要时用 LOAD_FILE 读文件。Web 后台场景下翻查非标准页面、用户字段、系统配置页、文件管理与源码注释。
使用方式：按 Phase 1 判断自身权限类型，进入对应阶段执行命令；标准路径失败后再扩大搜索范围。搜不到时可切换提取方式（盲注、竞争条件、session 包含）、扩大数据库搜索、查看历史命令、寻找其他入口或利用题目名称与描述暗示。
限制与注意：LFI 只能读文件不能执行命令；LOAD_FILE 需要 FILE 权限；假 flag（如 flag{test}）需甄别，拿到后建议用 ctf-flag-verification 验证格式与长度；LFI 优先读配置获取数据库凭据，RCE 优先查库，因为很多 flag 存于数据库而非文件系统。完整搜索路径与命令见 references/flag-search-paths.md。