チャレンジ一覧
基礎スキルLevel 3★★★☆☆Docker フォレンジック - コンテナ調査
Docker デーモンの無い環境で、イメージ `registry.internal/kinoco-billing-api:2.4.1` のメタデータを調べます。`/challenge/image_history.txt`（`docker history --no-trunc` 相当、新しいレイヤーが上）と `/challenge/image_config.json`（最終的な `Config.Env` と、古い順の `History[].created_by`）があります。この Dockerfile は `DB_ADMIN_PASSWORD` を `ENV` で何度も設定し直し、途中で一度だけ `python3 scripts/bootstrap_admin.py`（環境変数 `DB_ADMIN_PASSWORD` を読む）を実行し、最後に空で上書きしました。履歴にはフラグの形をした値がいくつもあります。フラグは、bootstrap_admin.py を実行した時点で有効だった `DB_ADMIN_PASSWORD` の値、つまりビルド順でそのRUNより前にある最後の `ENV DB_ADMIN_PASSWORD=...` の値です。それより前に上書きされた値、後に設定された値、別の変数の値、別のスクリプトにだけインラインで渡した値はおとりです。
基礎スキルLevel 3★★★☆☆Git履歴から削除されたAPIキーを探せ
/app/repo はGitリポジトリです。開発者がAPI_KEYを誤ってコミットし、後続コミットで削除しました。 通常のGit履歴から削除前の config.py を確認し、APIキーに含まれるフラグを見つけてください。
LinuxLevel 3★★★☆☆Linux-Capabilities. SUIDに頼らない権限昇格
このシステムでは特定のバイナリにLinux capabilitiesが付与されています。SUIDビットではなくcapabilitiesを使った権限昇格の手法を探してみましょう。
LinuxLevel 3★★★☆☆Linux-SUID悪用. findバイナリで権限昇格せよ
このシステムにはSUIDビットが付与された find コマンドのコピーがあります。GTFOBinsで知られる手法を使い、root権限のシェルを取得してください。
LinuxLevel 3★★★☆☆Linux-procメモリ. プロセスの環境変数を覗き見よ
バックグラウンドで動き続けるデーモンプロセスがあり、その環境変数の1つにフラグが設定されています。/procファイルシステムを使ってプロセスの情報を調べてください。
LinuxLevel 3★★★☆☆Linux-strace. システムコールを追ってファイルを暴け
標準出力にもファイルにも何も残さないバイナリが用意されています。このプログラムは隠しファイルから鍵を読み、メモリ上でフラグを復元して /dev/null へ書き込みます。straceでシステムコールを追跡し、どの引数にフラグが現れるかを突き止めてください。
LinuxLevel 3★★★☆☆Linux-競合状態. TOCTOUの隙を突いてroot権限のファイルを奪え
rootが定期的に実行するクリーンアップスクリプトには、チェックと処理の間に隙（TOCTOU）があります。シンボリックリンクをうまく使ってこの隙を悪用してみてください。
基礎スキルLevel 3★★★☆☆Python自動化 - REST API データ収集
コンテナ内で `http://127.0.0.1:8000/api/records?page=N` というページ送りのローカルAPIが動いています。`next` が `null` になるまで全ページを巡回し、`tag == "flag"` のレコードだけを集めてください。各レコードは `{"seq": <int>, "part": "<断片>"}` の形式で、`seq` の昇順に `part` を連結するとフラグになります。1ページ目だけではフラグは揃わず、`login`/`metric`/`order` などのレコードはおとりです。
プログラミングLevel 3★★★☆☆Python自動化 - SQLiteデータベース解析
起動のたびに作られる data.db（SQLite。users / orders / audit_log）を調べます。orders を user_id ごとに SUM(amount) で集計し、合計額が大きい社員の上位3人を求めてください（注文件数が最も多い社員や、1回の注文額が最も大きい社員はおとりで、上位3人には入りません）。audit_log には、全社員に1件ずつ action = 'security_note' の行 "Confidential clearance credential issued to this employee: <16桁16進>" があります。上位3人の credential を、合計額の大きい順に '-' でつないだものが答えです。python3 challenge.py '<答え>' に渡すと、フラグが表示されます。
プログラミングLevel 3★★★☆☆Python自動化 - カスタム暗号の復号
cipher.txt には独自の暗号でエンコードされたフラグが16進で入っています。暗号化は各バイトに add(鍵加算) -> xor(位置依存) -> rotl(巡回シフト) を適用したものです。この逆変換を Python で実装してフラグを復元してください（仕様は python3 challenge.py で表示）。
プログラミングLevel 3★★★☆☆Python自動化 - 暗号化ZIPのパスワードクラック
起動のたびに /challenge/secret.zip が作られます。中には flag.txt と readme.txt が入っていて、ZipCrypto で暗号化されています。パスワードは /challenge/wordlist.txt の1語のうしろに2桁の数字（00〜99）を付けたもの（例: sunshine07）で、起動のたびに選び直されます。Python 標準ライブラリの zipfile で候補を総当たりしてパスワードを見つけ、flag.txt を取り出してください。
基礎スキルLevel 3★★★☆☆SQLクエリマスター - 複雑な結合
SQLite データベース `/challenge/company.db` には3つのテーブルがあります。 - employees (id, name, department_id, salary, email, note) - departments (id, name, manager_id) - projects (id, name, department_id, budget) 次の条件で従業員を1人選んでください。 1. budget が 100000 以上のプロジェクトを1つ以上持つ部署（小さいプロジェクトの合計が 100000 を超えても対象外） 2. それらの部署に所属する従業員の中で salary が最も高い人 その人の note 列がフラグです。各部署の最高給の従業員の note にはどれも KINOCO{...} の形の値が入っているので、条件を1つでも外すと別の人が選ばれます。
プログラミングLevel 3★★★☆☆アルゴリズム - 迷路のBFS最短経路
data.txt の S から E までの最短経路を BFS で求め、UDLR の移動列を challenge.py に入力してください。正しい経路で起動時注入 FLAG が表示されます。
基礎スキルLevel 3★★★☆☆システムコール追跡 - strace デバッグ
ソースコードのないプログラム `/app/mystery_program` を strace でトレースした記録 `/challenge/strace.log` を解析します。プログラムはトークンらしい中身（`KINOCO{...}` の形）のファイルをいくつも読み込みますが、(1) 隠しディレクトリ（名前が `.` で始まるディレクトリ）の中のファイルであり、かつ (2) `read` したその中身をあとで標準出力（fd 1）に `write` している、という2条件を両方満たすものはただ1つです。その中身がフラグです。普通のディレクトリにあるドットファイルは (1) を満たしません。fd 番号は `close` の後に使い回されます。
基礎スキルLevel 3★★★☆☆システムログ解析 - journalctl マスター
systemd ジャーナルを `journalctl -o short` 風に書き出したログ `/challenge/system.log` を解析します。各行は「日時 ホスト ユニット[PID]: 優先度: メッセージ」の形です。ユニットの欄が `authd` で、優先度の欄が `ERR` の行はただ1行で、その行のメッセージにフラグが含まれます。`KINOCO{...}` の形の文字列はほかの行にもありますが、ユニットが `authd-proxy` など別物だったり、本文に authd や ERR という文字が出てくるだけだったりします。コンテナに journalctl は無いので、`grep`/`awk` で欄の位置を見て絞り込んでください。
基礎スキルLevel 3★★★☆☆ネットワークマスター - Netcat リバースシェル
外部ホストへ接続せず、記録済みの artifacts/netcat/callback-transcript.log を解析してください。リスナーやシェルは起動されません。侵害されたホスト 10.0.5.23 から remote.target.com の 4444 番ポートへつながったコールバックを接続一覧から探し、その conn ID で「captured first bytes」の16進データを引き当て、文字列に戻すとフラグになります。送信元・宛先ホスト・宛先ポートのどれかが違う接続はおとりです。
基礎スキルLevel 3★★★☆☆パフォーマンス解析 - リソースホッグを見つけろ
サーバーのスナップショット `/challenge/metrics.log` を解析します。前半は top 風のプロセス一覧（%CPU は9列目、%MEM は10列目）、後半は ps -ef 風のフルコマンドライン一覧です。%CPU が 50.0 以上かつ %MEM が 20.0 以上のプロセスはただ1つで、その PID の ps -ef 行の `--token=` 引数がフラグです。`--token=KINOCO{...}` を持つプロセスはほかにもあり、%CPU 最大・%MEM 最大のプロセスはどちらも条件を両方は満たしません。
プログラミングLevel 3★★★☆☆プログラミング - SQLite証拠データベースの解析
evidence.db は起動のたびに乱数で作られる SQLite データベースです（/challenge にあります。users / sessions / access_log の3表）。trust_score が 80 以上のユーザーのセッションについて、ts がそのセッションの started 〜 ended の範囲内にある event = 'vault' の行を集め、note（6桁の16進）を ts の古い順に - でつないだ文字列を求めてください。その文字列を python3 challenge.py '<答え>' に渡すとフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - Webスクレイピングとグラフ探索
site.json は起動のたびに乱数で作られるクロール結果です（/challenge にあります）。start と target の URL、各ページの url / links / fragment（Base64 の断片）が入っています。start から links をたどって target へ行く最短経路（一つに決まります）を求め、経路上のページ（start と target を含む）の fragment を経路の順に Base64 デコードして区切りなしでつないだ文字列を求めてください。その文字列を python3 challenge.py '<答え>' に渡すとフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - ZIPパスワードの復元
secret.zip は起動のたびに作られる、ZipCrypto（従来の PKWARE 暗号）で暗号化された ZIP です（/challenge にあります。同じ場所に wordlist.txt もあります）。パスワードは wordlist.txt のどれか1語の後ろに、2桁の数字（00〜99）を付けたものです。パスワードを見つけて中の note.txt を取り出すと、フラグが書かれています。Python の zipfile は pwd= にパスワードを渡すと ZipCrypto の ZIP を読めます。
プログラミングLevel 3★★★☆☆プログラミング - パケットログの解析
capture.txt は起動のたびに作られるパケットログです（/challenge にあります）。1行が1つのフローで、flow=<名前> payload_hex=<16進> の形をしています。payload_hex を 0x5A で XOR 復号し、flow=exfil の行を復元するとフラグが現れます。フラグは平文では置かれていません。
プログラミングLevel 3★★★☆☆プログラミング - マルチスレッド結果の再構築
起動のたびに乱数で作られた並列ジョブの結果ログ worker-results.jsonl を解析します。各 slot は何度も試行されていて、途中で時間切れ（timeout）になったり後の試行に置き換えられたり（superseded）した結果も残っています。最終結果は、slot ごとに status が done のレコードのうち attempt が最大の1件だけです。その result を Base64 デコードし、レコードの worker 番号 N に対する SHA-1(worker-N の文字列) のダイジェストを先頭から繰り返し XOR して復号します。最終結果を slot の昇順につないだ40文字（小文字英数字）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - メモリダンプの解析
起動のたびに乱数で作られた合成メモリイメージ memory.img を解析します。先頭のヒープ管理表（先頭8バイト HEAPTBL + NUL・count（uint16）・エントリ（addr: uint32、size: uint16、flags: uint8、すべてリトルエンディアン））で live（flags=1）になっているアドレスの領域だけが現在の値で、解放済みの領域や管理表に載っていない残骸は古いデータです。各領域は `ALLOC:0x<4桁の小文字16進アドレス>:` + 長さ（uint16、リトルエンディアン）+ データで、データは MD5("heap-0x<4桁の小文字16進アドレス>") のダイジェストを繰り返し XOR すると `p<番号>=<4文字>` の断片に復号できます。live の断片を番号の昇順に4文字ずつつないだ40文字（小文字英数字）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 3★★★☆☆プログラミング - 既知平文攻撃
起動のたびに乱数で作られた証拠ファイル ciphertext.b64 と known.txt を解析します。ciphertext.b64 は観測所の報告書を、英小文字だけの短い鍵（長さは不明）で繰り返し XOR して Base64 にしたもので、known.txt は報告書の冒頭部分の平文です。報告書を復号すると `RESULT: unlock-code=...` という行があり、その unlock-code の値（16文字）が答えです。取り消された古いコードも書かれているので取り違えないでください。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。