チャレンジ一覧
プログラミングLevel 3★★★☆☆プログラミング - メモリダンプの解析
起動のたびに乱数で作られた合成メモリイメージ memory.img を解析します。先頭のヒープ管理表（先頭8バイト HEAPTBL + NUL・count（uint16）・エントリ（addr: uint32、size: uint16、flags: uint8、すべてリトルエンディアン））で live（flags=1）になっているアドレスの領域だけが現在の値で、解放済みの領域や管理表に載っていない残骸は古いデータです。各領域は `ALLOC:0x<4桁の小文字16進アドレス>:` + 長さ（uint16、リトルエンディアン）+ データで、データは MD5("heap-0x<4桁の小文字16進アドレス>") のダイジェストを繰り返し XOR すると `p<番号>=<4文字>` の断片に復号できます。live の断片を番号の昇順に4文字ずつつないだ40文字（小文字英数字）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - 既知平文攻撃
起動のたびに乱数で作られた証拠ファイル ciphertext.b64 と known.txt を解析します。ciphertext.b64 は観測所の報告書を、英小文字だけの短い鍵（長さは不明）で繰り返し XOR して Base64 にしたもので、known.txt は報告書の冒頭部分の平文です。報告書を復号すると `RESULT: unlock-code=...` という行があり、その unlock-code の値（16文字）が答えです。取り消された古いコードも書かれているので取り違えないでください。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - 独自プロトコルの解析
protocol.bin は起動のたびに作られるバイナリのキャプチャです（/challenge にあります）。KINO で始まる長さつきのフレームがいくつか並んでいます。フレームを先頭から順にたどり、type=3 のフレームの payload を 0x23 で XOR 復号するとフラグが現れます。フラグは平文では置かれていません。
プログラミングLevel 3★★★☆☆プログラミング - 画像ステガノグラフィ
image.pgm は起動のたびに作られるテキスト形式（P2）の PGM 画像です（/challenge にあります）。画素値の最下位ビット（LSB）を先頭から集め、8ビットずつ1バイトにまとめて読むと、NUL（0 のバイト）の手前までがフラグです。フラグは平文では置かれていません。
暗号Level 3★★★☆☆暗号解析 - RSA共通モジュラス攻撃
2つのシステムが同じRSAの法nを使い回し、公開指数だけを変えていました。同じメッセージを e1 と e2 で暗号化した暗号文 c1, c2 が漏れています（public_keys.txt、ciphertexts.txt）。nは素因数分解できませんが、秘密鍵なしでメッセージを取り戻し、フラグを提出してください。
暗号Level 3★★★☆☆暗号解析 - 小さい素数のDiffie-Hellman
古いIoT機器が36ビットしかない素数pでDiffie-Hellman鍵共有をしていました。handshake.txtには p, g, A = g^a mod p, B = g^b mod p と、共有鍵から作った鍵ストリームで暗号化された設定データがあります。離散対数を解いて共有鍵を求め、設定データに含まれるフラグを取り出してください。鍵ストリームの作り方はREADME.mdにあります。
基礎スキルLevel 3★★★☆☆正規表現エキスパート - データバリデーション
/challenge/data.txt には受付記録が400行あり、各行にメールアドレス・電話番号・IPアドレス・日付が行ごとに違う順番・ラベルで並び、最後に memo="..." があります。書式が壊れた項目や、項目が無い行もあります。 次の条件をすべて正しい書式で1行に含む行はただ1行で、その行の memo がフラグです。 1. メールアドレス（xxx@yyy.zzz） 2. 電話番号（xxx-xxxx-xxxx または xxx.xxxx.xxxx。数字の桁数はこのとおり） 3. IPアドレス（xxx.xxx.xxx.xxx。数字1〜3桁を4つ） 4. 日付（YYYY-MM-DD） memo に KINOCO{...} の形の値を持つ行はほかにもありますが、どれも1つの条件が欠けています。正規表現を組み合わせて絞り込んでください。
基礎スキルLevel 3★★★☆☆高度な自動化 - ディレクトリ監視スクリプト
`/challenge/logs/` に Web フロントエンド4台分のアクセスログ（combined log format、60ファイル・10万行超）があります。WAF は多数の送信元IPについて、それぞれ1行だけ `waf_rule=... note=...` を書き残しており、どの note もフラグの形をしています。フラグは、ステータスコード 404 のリクエスト数が最も多い送信元IPの行にある note です。404 が少し少ない別のスキャナー、総リクエスト数が最多のIP（ほとんど 200）、403 が最多のIP、通常の客のIPにも note があり、これらはおとりです。404 を IP ごとに集計して特定してください。
基礎スキルLevel 4★★★★☆AWS CLI - S3バケット調査
S3 の設定をオフラインでエクスポートした監査記録が `/challenge/s3_audit/` にあります（`buckets.json` と、バケットごとの `*_publicaccessblock.json`・`*_policy.json`・`*_acl.json`・`*_objects.json`）。機密オブジェクト（`backups/prod.env` または `credentials/service-account.json`）を持つバケットは多数あり、どの `object_preview` にもフラグの形をした値があります。フラグは、本当に世界中に公開されているただ1つのバケットの機密オブジェクトにある値です。その条件は、(1) PublicAccessBlock の4設定がすべて false で、(2) ポリシーに `Effect: Allow`・`Principal: "*"`・`Action` に `s3:GetObject` を含み・`Resource` に `arn:aws:s3:::<バケット名>/*` を含み・`Condition` が無い statement があることです。ほかのバケットは、このどれか1つだけを外したおとりです。
基礎スキルLevel 4★★★★☆Ansible自動化 - サーバー構成管理
Ansibleや実サーバーを実行せず、生成済みの実行記録 artifacts/ansible/vault-export.yml を解析してください。記録には多数のタスク結果があり、そのうち多くに vault_payload_hex が付いています。本物は、host が web-03、task が deploy-index、status が changed の3つがすべて一致する1件だけです（名前の一部だけが一致する記録や、成功していない記録はおとりです）。値は Ansible vault の本体と同じく16進で書かれていて、16進を戻すと Base64 の文字列になります。それをさらに戻すとフラグです。
基礎スキルLevel 4★★★★☆CI/CDセキュリティ - GitHub Actions 脆弱性
`/challenge/repo/.github/workflows/` にある20個の GitHub Actions ワークフローを監査します。多くのステップに `# audit-ticket: KINOCO{...}` というコメントが付いています。次の3条件をすべて満たす「pwn request」脆弱性を持つワークフローは1つだけで、そのステップの audit-ticket がフラグです。(1) トリガーが `pull_request_target`。(2) あるジョブが、チェックアウトの `ref:` に `github.event.pull_request.head.sha` や `head.ref` を指定して PR の head を明示的にチェックアウトしている。(3) その同じジョブが `secrets.*` を参照している。どれか1つでも欠けるワークフローはおとりです。
基礎スキルLevel 4★★★★☆Infrastructure as Code - Terraform セキュリティ
Terraform providerを初期化せず、生成済みの terraform/terraform.tfstate を解析してください。outputs の recovery_secret_arn が、復旧用シークレットの ARN を指しています。resources の aws_secretsmanager_secret_version のうち、secret_id がその ARN と完全に一致し、version_stages に AWSCURRENT を含む版が現在の値です。その secret_string（JSON を文字列にしたもの）の recovery_token を Base64 デコードするとフラグになります。
基礎スキルLevel 4★★★★☆Kubernetes入門 - クラスター調査
実Kubernetesクラスターへ接続せず、artifacts/kubernetes/ の2つのスナップショット（pod-snapshot.yaml と secret-snapshot.yaml）を調べてください。namespace security-lab の Pod suspicious-audit-pod は、環境変数 AUDIT_TOKEN を Secret から読んでいます。その secretKeyRef が指す Secret（同じ namespace で同じ名前）の、指定されたキーの値を Base64 デコードするとフラグになります。別の namespace の同名の Pod や Secret、似た名前の Secret、同じ Secret の別のキーはおとりです。
プログラミングLevel 4★★★★☆Python上級 - カスタムVMバイトコードの実行
program.kvmは独自の4レジスタVM用バイトコードです。READMEの命令仕様を基にPythonでインタプリタを実装し、VMの出力を復元してください。
基礎スキルLevel 4★★★★☆カスタムツール開発 - Webディレクトリスキャナー
ライブWebサイトを走査せず、ローカル生成された artifacts/scanner/directory-report.ndjson を解析してください。スキャナーは同じサイトを複数回（run）走査しています。最新の run で、path がちょうど /secret_admin/backup、status が 200 の記録だけが本物です。その body_b64 は gzip で圧縮した応答本文を Base64 にしたもので、戻すとフラグになります。
基礎スキルLevel 4★★★★☆ネットワークトンネリング - SSH ポートフォワーディング
単一コンテナ内でSSHローカルポートフォワーディングを練習します。SSHは127.0.0.1:22、内部サービスは/run/tunnel/database.sockにあります。内部ソケットはローカルのプレイヤーから直接アクセスできません。転送専用ユーザーtunnel（パスワードpassword123）でSSH認証し、127.0.0.1:8888へ転送して応答を取得してください。外部ホストや実データベースは使用しません。
ネットワークLevel 4★★★★☆ネットワーク解析 - HTTPのchunkedとgzipをTCPから復元
capture.pcapには、1本のTCP接続で2回行われたHTTPのやり取りが記録されています。サーバーからのセグメントは順番が入れ替わり、一部は再送で重複しています。2回目の応答（GET /api/export）はchunkedとgzipが重なっています。TCPストリームを組み立て直して応答を取り出し、管理者のAPIキー（フラグ）を見つけてください。
ネットワークLevel 4★★★★☆ネットワーク解析 - TCP再送差分の隠れチャネル
capture.pcapには同一TCPシーケンス番号を持つ再送パケットがあります。ペイロードが変化した再送だけを抽出し、同じシーケンス番号の2つの1バイトペイロードをXORして、シーケンス番号順にフラグを復元してください。
プログラミングLevel 4★★★★☆バイナリ修復 - ファームウェアヘッダーとCRC32
firmware.bin の先頭4バイトを KINO に修復し、byte 12以降の CRC32 をリトルエンディアンで byte 8-11 に書き戻してください。修正ファイルを challenge.py に渡すと起動時注入 FLAG が表示されます。
プログラミングLevel 4★★★★☆プログラミング - C2通信の解析
起動のたびに乱数で作られた合成ログ beacon.log を解析します（ネットワーク接続は不要です）。複数の端末（セッション）の通信が時刻順に混ざっています。各セッションは最初の hello で nonce を送り、そのセッションの鍵は SHA-256(b"beacon-v1" + bytes.fromhex(nonce)) の先頭8バイトです。pulse の payload を seq の順につなぐと Base64 になり、それを復号して鍵で繰り返し XOR すると `task=... code=...` のような `キー=値` の平文になります（通信が途切れると同じ seq が再送されます）。task がちょうど `exfil` のセッションの code の値（16文字）が答えです。似た名前のタスクと取り違えないでください。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 4★★★★☆プログラミング - バッファオーバーフロー・クラッシュ解析
起動のたびに乱数で作られたクラッシュ報告 crash_01.txt から crash_06.txt を解析します（実行可能なコードは含まれません）。各報告には、送った入力そのもの（input:）とクラッシュ時の命令ポインタ（32ビットは eip、64ビットは rip）が書かれています。入力には同じ4文字が2度現れない巡回パターン（英小文字）が使われ、先頭にコマンド名などの前置きが付くことがあります。signal が SIGSEGV で、かつ命令ポインタの値が送った入力のバイト列で上書きされている報告だけを対象に、その値（メモリ上ではリトルエンディアン）をバイト列に直し、入力の先頭を 0 としたとき何バイト目から始まるかを求めます。対象の報告のオフセットを報告番号の順に `-` でつないだもの（例: `52-140-88-203`）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 4★★★★☆プログラミング - ファジング結果の解析
起動のたびに乱数で作られたファジング結果のログ fuzz-results.log を解析します（入力は保存されているだけで、何も実行されません）。1行が1ケースで、`case=<6桁16進> result=<OK|TIMEOUT|CRASH> signal=<SIGSEGV|SIGABRT|-> stack=<8桁16進|-> input=<16進>` の形です。`signal=SIGSEGV` のクラッシュだけを対象に、stack（同じ stack は同じバグ）ごとにまとめ、入力（input の16進をバイトに直した長さ）が最も短いケースを選びます（同じ長さなら case の値が小さい方）。選んだケースの case を stack の値の昇順に `-` でつないだもの（例: `1a2b3c-4d5e6f-...`）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 4★★★★☆プログラミング - ブロックチェーンイベントの再構築
/challenge/blocks.json は、コンテナの起動のたびに乱数で作り直される、オフラインの開発用チェーンのブロック一覧です（順不同。フォークでできた、正規チェーンに入らない孤立ブロックを含みます）。height が最も大きいブロックから parent_hash をたどった正規チェーンのブロックにある、status が 1 の取引の Fragment イベントを (height, log_index) の順に並べ、data（0x の後ろ）をつないで16進デコードしたトークン（英小文字と数字）を求め、python3 challenge.py '<トークン>' に渡してください。正しいときだけフラグが表示されます。
プログラミングLevel 4★★★★☆プログラミング - ルートキットのビュー差分
proc_ps.txt（ユーザー空間の ps の結果）と proc_kernel.txt（カーネルのタスクリストを直接たどった結果）は、起動のたびに乱数で作られます（/challenge にあります）。どちらも先頭行に取得時刻 snapshot_time（UNIX 秒）があり、2つは同時には取られていません。ps から隠されていたプロセスは、カーネル側にだけあり、かつ start_time が ps の取得時刻以前のものです（ps の後に起動したプロセスや、終了したプロセスは隠しプロセスではありません）。隠しプロセスの cookie（6桁の16進）を pid の小さい順（数値として）に - でつないだ文字列を求め、python3 challenge.py '<答え>' に渡すとフラグが表示されます。