チャレンジ一覧
基礎スキルLevel 3★★★☆☆高度な自動化 - ディレクトリ監視スクリプト
`/challenge/logs/` に Web フロントエンド4台分のアクセスログ（combined log format、60ファイル・10万行超）があります。WAF は多数の送信元IPについて、それぞれ1行だけ `waf_rule=... note=...` を書き残しており、どの note もフラグの形をしています。フラグは、ステータスコード 404 のリクエスト数が最も多い送信元IPの行にある note です。404 が少し少ない別のスキャナー、総リクエスト数が最多のIP（ほとんど 200）、403 が最多のIP、通常の客のIPにも note があり、これらはおとりです。404 を IP ごとに集計して特定してください。
基礎スキルLevel 4★★★★☆AWS CLI - S3バケット調査
S3 の設定をオフラインでエクスポートした監査記録が `/challenge/s3_audit/` にあります（`buckets.json` と、バケットごとの `*_publicaccessblock.json`・`*_policy.json`・`*_acl.json`・`*_objects.json`）。機密オブジェクト（`backups/prod.env` または `credentials/service-account.json`）を持つバケットは多数あり、どの `object_preview` にもフラグの形をした値があります。フラグは、本当に世界中に公開されているただ1つのバケットの機密オブジェクトにある値です。その条件は、(1) PublicAccessBlock の4設定がすべて false で、(2) ポリシーに `Effect: Allow`・`Principal: "*"`・`Action` に `s3:GetObject` を含み・`Resource` に `arn:aws:s3:::<バケット名>/*` を含み・`Condition` が無い statement があることです。ほかのバケットは、このどれか1つだけを外したおとりです。
基礎スキルLevel 4★★★★☆Ansible自動化 - サーバー構成管理
Ansibleや実サーバーを実行せず、生成済みの実行記録 artifacts/ansible/vault-export.yml を解析してください。記録には多数のタスク結果があり、そのうち多くに vault_payload_hex が付いています。本物は、host が web-03、task が deploy-index、status が changed の3つがすべて一致する1件だけです（名前の一部だけが一致する記録や、成功していない記録はおとりです）。値は Ansible vault の本体と同じく16進で書かれていて、16進を戻すと Base64 の文字列になります。それをさらに戻すとフラグです。
基礎スキルLevel 4★★★★☆CI/CDセキュリティ - GitHub Actions 脆弱性
`/challenge/repo/.github/workflows/` にある20個の GitHub Actions ワークフローを監査します。多くのステップに `# audit-ticket: KINOCO{...}` というコメントが付いています。次の3条件をすべて満たす「pwn request」脆弱性を持つワークフローは1つだけで、そのステップの audit-ticket がフラグです。(1) トリガーが `pull_request_target`。(2) あるジョブが、チェックアウトの `ref:` に `github.event.pull_request.head.sha` や `head.ref` を指定して PR の head を明示的にチェックアウトしている。(3) その同じジョブが `secrets.*` を参照している。どれか1つでも欠けるワークフローはおとりです。
基礎スキルLevel 4★★★★☆Infrastructure as Code - Terraform セキュリティ
Terraform providerを初期化せず、生成済みの terraform/terraform.tfstate を解析してください。outputs の recovery_secret_arn が、復旧用シークレットの ARN を指しています。resources の aws_secretsmanager_secret_version のうち、secret_id がその ARN と完全に一致し、version_stages に AWSCURRENT を含む版が現在の値です。その secret_string（JSON を文字列にしたもの）の recovery_token を Base64 デコードするとフラグになります。
基礎スキルLevel 4★★★★☆Kubernetes入門 - クラスター調査
実Kubernetesクラスターへ接続せず、artifacts/kubernetes/ の2つのスナップショット（pod-snapshot.yaml と secret-snapshot.yaml）を調べてください。namespace security-lab の Pod suspicious-audit-pod は、環境変数 AUDIT_TOKEN を Secret から読んでいます。その secretKeyRef が指す Secret（同じ namespace で同じ名前）の、指定されたキーの値を Base64 デコードするとフラグになります。別の namespace の同名の Pod や Secret、似た名前の Secret、同じ Secret の別のキーはおとりです。
WebセキュリティLevel 4★★★★☆Web-26. User Profile Managerのプロトタイプ汚染
このNode.js/Express製アプリではログイン中のユーザーが自分のプロフィールを更新できます。更新処理に使われている再帰的なマージ関数が特殊なキーをきちんと除外しているか確認してみましょう。
WebセキュリティLevel 4★★★★☆Web-27. GraphQL APIのイントロスペクション漏洩
このGraphQL APIはUserオブジェクトのスキーマを公開しており、イントロスペクションが有効になっています。公式には案内されていないクエリやフィールドが存在しないか調べてみましょう。
WebセキュリティLevel 4★★★★☆Web-28. OAuth認可コードの横取り
このOAuth 2.0認可プロバイダーはログインフローを提供していますが、redirect_uriの検証が甘い可能性があります。認可コードを横取りして管理者権限のアクセストークンを得られないか確認してみましょう。
WebセキュリティLevel 4★★★★☆Web-29. MongoDBログインフォームのNoSQLインジェクション
このログインポータルはMongoDBを使っており、ユーザー名・パスワードをJSONとしてそのままクエリに組み込んでいます。パスワードを知らなくても管理者としてログインできないか確認してみましょう。
WebセキュリティLevel 4★★★★☆Web-30. KinoVaultの安全でないデシリアライズ
レガシーなバックアップシステム「KinoVault」は、ユーザーセッションをPythonのpickleでシリアライズしてCookieに保存していると噂されています。Cookieの形式を解析し、悪意あるpickleペイロードで権限を昇格できないか調べてみましょう。
基礎スキルLevel 4★★★★☆カスタムツール開発 - Webディレクトリスキャナー
ライブWebサイトを走査せず、ローカル生成された artifacts/scanner/directory-report.ndjson を解析してください。スキャナーは同じサイトを複数回（run）走査しています。最新の run で、path がちょうど /secret_admin/backup、status が 200 の記録だけが本物です。その body_b64 は gzip で圧縮した応答本文を Base64 にしたもので、戻すとフラグになります。
基礎スキルLevel 4★★★★☆ネットワークトンネリング - SSH ポートフォワーディング
単一コンテナ内でSSHローカルポートフォワーディングを練習します。SSHは127.0.0.1:22、内部サービスは/run/tunnel/database.sockにあります。内部ソケットはローカルのプレイヤーから直接アクセスできません。転送専用ユーザーtunnel（パスワードpassword123）でSSH認証し、127.0.0.1:8888へ転送して応答を取得してください。外部ホストや実データベースは使用しません。
基礎スキルLevel 4★★★★☆暗号化通信 - GPG公開鍵暗号
GnuPG の復号を練習します。`/challenge/keys/` にある秘密鍵をすべてインポートし、`/challenge/messages/` の各暗号文を復号してください。フラグを含む平文になるのは、本物の受信者鍵で暗号化された1通だけです。他は無害な業務連絡のおとりで、宛先鍵IDの突合でも一意に絞れます。本物の GnuPG が非特権環境で動作します。
基礎スキルLevel 4★★★★☆脆弱性スキャン - Nmap NSE 高度活用
社内サブネット `10.66.13.0/24` に `nmap -sV -sC --script vuln` を実行した結果が `/challenge/scan_results/nmap_scan.nmap`（通常形式）と `nmap_scan.gnmap`（grep 形式）にあります。ライブのターゲットは無く、レポートを読み解く問題です。NSE の vuln スクリプトの判定ブロックにはどれも `Finding ID: KINOCO{...}` が付いています。フラグは、`IDs:` が CVE-2020-1938（AJP の Ghostcat）で、かつ `State: VULNERABLE (Exploitable)` の判定ブロックの Finding ID です（1件だけ）。Ghostcat の LIKELY VULNERABLE / NOT VULNERABLE や、ほかの CVE の VULNERABLE (Exploitable) はおとりです。
基礎スキルLevel 4★★★★☆静的解析 - コード脆弱性スキャン
社内メモアプリのPythonソースコードが `/challenge/src/` にあります。前回の静的解析で指摘された9行には、行末に `# finding: KINOCO{...}` という指摘IDが付いていますが、ほとんどは偽陽性です。次の3条件をすべて満たす1行だけが本物のOSコマンドインジェクションで、その行の指摘IDがフラグです。(1) シェル経由で実行している（`subprocess.run(..., shell=True)` か `os.system(...)`）。(2) コマンド文字列に、HTTPリクエストから取った値（`request.args` / `form` / `json` / `values`）が入っている。(3) その値が途中で無害化・検証されていない（`shlex.quote`、許可リストでの確認、`int()` 変換などが無い）。指摘IDはどれも同じ形なので、grep で拾うだけでは決まりません。
基礎スキルLevel 5★★★★★APTシミュレーション - 完全侵入シナリオ
これは攻撃を実行する問題ではなく、発生済みインシデントのログを読むブルーチーム演習です。EDR・認証・ネットワーク機器から集約した統合タイムライン `/challenge/timeline.log` から、通常業務に紛れたAPTの各段階（初期侵入→権限昇格→横展開→データ持ち出し）を再構築してください。`tag=` は SIEM のルールに当たった印で、業務の操作にも付いています。大容量の外部送信（`event=OUTBOUND-TRANSFER`）にはすべて DLP の案件ID `dlp_case=KINOCO{...}` が付いており、フラグは次の2条件を両方満たす1件の案件IDです。(1) 送信先が、初期侵入で PowerShell が接続した外部アドレス（C2）である。(2) 送信元が、攻撃者が横展開で最後に到達したホストである。
基礎スキルLevel 5★★★★★Bug Bounty実践 - 脆弱性発見マスター
ライブアプリケーションを診断せず、固定の artifacts/bug-bounty/triage-report.json を解析してください。連鎖した脆弱性の報告は status が validated-chain で、chain に構成する finding の id が順番に並んでいます。構成する finding がすべて validated の連鎖だけが、認められた本物です。その chain の順に各 finding の proof_fragment をつなぎ、Base64 デコードするとフラグになります。
基礎スキルLevel 5★★★★★Red Teaming - カスタムC2フレームワーク
C2サーバー、agent、socket通信、コマンド実行は起動しません。ローカルの artifacts/c2/beacon-transcript.log を解析してください。beacon は1つのメッセージを複数の断片（frag=i/n）に分け、順不同で送っています。beacon=alpha かつ type=analysis-result のメッセージの断片を集め、frag の番号順に data をつないで Base64 デコードするとフラグになります。名前が似た beacon や type のメッセージはおとりです。
基礎スキルLevel 5★★★★★アンチフォレンジック - 痕跡消去
攻撃者は侵入後に証拠隠滅を試み、`/challenge/auth_syslog.log`（`kinoco-bastion01` の 2026-07-04 夜の一次ログ）のある時間帯を切り取り、シェル履歴を消しました。`rsyslogd` の行に、切り取られた gap の開始・終了時刻が残っています。未割当領域から復元した `/challenge/journal_recovered.txt` には、複数のホスト・複数の夜の記録が順不同で混ざり、audit の EXECVE 記録ごとにフラグの形をした `evidence-tag` が付いています。フラグは、一次ログと同じホスト・同じ日付で、gap の時間帯（開始以上・終了未満）に収まるただ1つの audit 記録の `evidence-tag` です。gap の直前・直後、別の夜の同じ時刻、別ホストの記録はおとりです。`/challenge/shell_history.txt` には証拠隠滅のコマンドが残っています。
基礎スキルLevel 5★★★★★カスタムマルウェア - ステルス技術
実行可能なマルウェア、注入、回避機能は含みません。不活性な設定サンプル artifacts/malware/sample-config.txt を解析してください。[loader] の active_campaign と campaign が一致し、build が release の [config] ブロックが、実際に使われる設定です。その blob_b64 を Base64 デコードし、各バイトを同じブロックの xor_key（1バイト）と XOR すると難読化が外れ、フラグになります。
基礎スキルLevel 5★★★★★クラウドペンテスト - AWS 多段攻撃
AWS資格情報、metadata endpoint、Lambdaは使いません。ローカルの artifacts/aws/cloudtrail-chain.jsonl（模擬 CloudTrail、1行1イベント）を解析してください。攻撃者は SSRF で web-ec2-role のセッションを得て、そこから AssumeRole でロールを乗り継ぎました。成功した（errorCode の無い）AssumeRole をたどって最後に到達したセッションが成功させた GetSecretValue の、responseElements.secretBinary を Base64 デコードするとフラグになります。途中のセッション、同じロールの別のセッション、無関係なロールの読み出しはおとりです。
基礎スキルLevel 5★★★★★コンテナエスケープ - Kubernetes特権昇格
Kubernetes API、host mount、特権コンテナ、escapeは利用しません。静的な artifacts/k8s/privileged-mount-audit.txt を読んでください。mounts の部分で、privileged=true、hostPath=/（ホストのルートそのもの）、readOnly=false の3つがそろった Pod が、ホストへ抜け出せる唯一の経路です。その Pod の evidence 行にある payload_b32 を Base32 デコードするとフラグになります。
基礎スキルLevel 5★★★★★サプライチェーン攻撃 - 依存関係の悪用
Node.js アプリ `kinoco-webapp` の依存関係の記録を監査します。`/challenge/dependencies.txt`（package.json の dependencies 部分）と `/challenge/install.log`（npm install の出力）があります。install.log では postinstall を実行したパッケージごとにブロックがあり、末尾の `ci-lifecycle-tracer: ... trace=KINOCO{...}` 行に CI のトレーサーが付けた trace があります。次の2条件を両方満たすパッケージは1つだけで、その trace がフラグです。(1) 名前が dependencies.txt にある別のパッケージ名と1文字だけ違う（1文字の追加・削除・置き換え、または隣り合う2文字の入れ替え）タイポスクワッティング。(2) postinstall が `registry.npmjs.org` 以外のホストと通信する、または base64 で隠したコードを実行する。片方だけを満たすパッケージはおとりです。ファイルはすべて静的なテキストで、実際のインストールや攻撃は不要です。