チャレンジ一覧
プログラミングLevel 2★★☆☆☆プログラミング - ハッシュ検証と復号
起動のたびに乱数で作られた証拠ファイル artifact-manifest.json を解析します。artifact（artifact_00 から artifact_09）ごとに複数のレコード（name・sha256・data）があり、正しいのは data を Base64 デコードした SHA-256 が sha256 欄と一致する1件だけです。正しいレコードの中身を SHA-256(name) のダイジェストで XOR 復号し、artifact 番号の順につないだ40文字（小文字英数字）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 2★★☆☆☆プログラミング - バイナリTLVの解析
/challenge/capture.bin は、コンテナの起動のたびに乱数で作り直される独自形式のバイナリです。先頭4バイトは KBIN、続いて TLV レコード（type 1バイト、length 2バイト（ビッグエンディアン）、value）が並び、type 0x7F（長さ 0）が終端です。type 0x10 と 0x20 の value はそのまま、それ以外の value は各バイトを 0x5A で XOR して格納されています。type が 0x42 のレコードの value を、ファイルの中の順番どおりに取り出して 0x5A で XOR し、つないだトークン（英小文字と数字）を python3 challenge.py '<トークン>' に渡してください。正しいときだけフラグが表示されます。
基礎スキルLevel 2★★☆☆☆プロセスハンター - 隠されたプロセス
バックグラウンドで "secret_service" という名前のプロセスが動作しています。 このプロセスを見つけて以下の情報を取得してください: 1. プロセスID (PID) 2. 実行ユーザー 3. コマンドライン引数 コマンドライン引数にフラグが含まれています。 ヒント: ps, pgrep, top などのコマンドを使用
基礎スキルLevel 2★★☆☆☆ログ解析 - 侵入者を見つけろ
/app/auth.log には認証ログが記録されています。 不審なアクティビティを検出してください: - 1時間以内に10回以上ログイン失敗しているIPアドレスを特定 - そのIPアドレスからの最初の失敗ログインのタイムスタンプを取得 ログフォーマット: [YYYY-MM-DD HH:MM:SS] Failed login from IP_ADDRESS フラグの形式: そのタイムスタンプの日付と時刻を _ でつなぎ、KINOCO{} で囲みます（例: [2025-01-02 03:04:05] → KINOCO{2025-01-02_03:04:05}）。
基礎スキルLevel 2★★☆☆☆圧縮の迷宮 - 多重圧縮ファイル
/app/flag.tar.gz は多重に圧縮されたファイルです。 解凍していくと、次の圧縮ファイルが出てきます: flag.tar.gz → flag.tar → flag.zip.bz2.gz → flag.zip.bz2 → flag.zip → flag.txt すべて解凍してflag.txtの内容を取得してください。 ヒント: file コマンドで圧縮形式を確認できます
プログラミングLevel 2★★☆☆☆正規表現 - 一度だけ出現する黄金の記号
data.txt から KINO-数字4桁-英大文字4文字の記号をすべて抽出し、一度だけ出現する値を challenge.py に入力してください。正解時に起動時注入 FLAG が表示されます。
基礎スキルLevel 2★★☆☆☆正規表現マスター - ログファイル解析
/app/access.log には数千件のアクセスログが記録されています。 この中から、IPアドレスが「192.168.1.」で始まり、かつステータスコードが404のエントリをすべて抽出してください。 条件: - IPアドレス: 192.168.1.xxx - ステータスコード: 404 - 該当する行数がフラグになります ヒント: grep と正規表現を使用してください
基礎スキルLevel 2★★☆☆☆環境変数マスター - PATH Hijacking
/app/secret_bin ディレクトリに隠されたコマンド "getflag" があります。 しかし、このディレクトリはPATHに含まれていないため、直接実行できません。 2つの方法でこのコマンドを実行してください: 1. 絶対パスで実行 2. PATHに追加して実行 コマンドを実行するとフラグが表示されます。
基礎スキルLevel 3★★★☆☆Docker フォレンジック - コンテナ調査
Docker デーモンの無い環境で、イメージ `registry.internal/kinoco-billing-api:2.4.1` のメタデータを調べます。`/challenge/image_history.txt`（`docker history --no-trunc` 相当、新しいレイヤーが上）と `/challenge/image_config.json`（最終的な `Config.Env` と、古い順の `History[].created_by`）があります。この Dockerfile は `DB_ADMIN_PASSWORD` を `ENV` で何度も設定し直し、途中で一度だけ `python3 scripts/bootstrap_admin.py`（環境変数 `DB_ADMIN_PASSWORD` を読む）を実行し、最後に空で上書きしました。履歴にはフラグの形をした値がいくつもあります。フラグは、bootstrap_admin.py を実行した時点で有効だった `DB_ADMIN_PASSWORD` の値、つまりビルド順でそのRUNより前にある最後の `ENV DB_ADMIN_PASSWORD=...` の値です。それより前に上書きされた値、後に設定された値、別の変数の値、別のスクリプトにだけインラインで渡した値はおとりです。
基礎スキルLevel 3★★★☆☆Git履歴から削除されたAPIキーを探せ
/app/repo はGitリポジトリです。開発者がAPI_KEYを誤ってコミットし、後続コミットで削除しました。 通常のGit履歴から削除前の config.py を確認し、APIキーに含まれるフラグを見つけてください。
LinuxLevel 3★★★☆☆Linux-Capabilities. SUIDに頼らない権限昇格
このシステムでは特定のバイナリにLinux capabilitiesが付与されています。SUIDビットではなくcapabilitiesを使った権限昇格の手法を探してみましょう。
LinuxLevel 3★★★☆☆Linux-SUID悪用. findバイナリで権限昇格せよ
このシステムにはSUIDビットが付与された find コマンドのコピーがあります。GTFOBinsで知られる手法を使い、root権限のシェルを取得してください。
LinuxLevel 3★★★☆☆Linux-procメモリ. プロセスの環境変数を覗き見よ
バックグラウンドで動き続けるデーモンプロセスがあり、その環境変数の1つにフラグが設定されています。/procファイルシステムを使ってプロセスの情報を調べてください。
LinuxLevel 3★★★☆☆Linux-strace. システムコールを追ってファイルを暴け
標準出力にもファイルにも何も残さないバイナリが用意されています。このプログラムは隠しファイルから鍵を読み、メモリ上でフラグを復元して /dev/null へ書き込みます。straceでシステムコールを追跡し、どの引数にフラグが現れるかを突き止めてください。
LinuxLevel 3★★★☆☆Linux-競合状態. TOCTOUの隙を突いてroot権限のファイルを奪え
rootが定期的に実行するクリーンアップスクリプトには、チェックと処理の間に隙（TOCTOU）があります。シンボリックリンクをうまく使ってこの隙を悪用してみてください。
基礎スキルLevel 3★★★☆☆Python自動化 - REST API データ収集
コンテナ内で `http://127.0.0.1:8000/api/records?page=N` というページ送りのローカルAPIが動いています。`next` が `null` になるまで全ページを巡回し、`tag == "flag"` のレコードだけを集めてください。各レコードは `{"seq": <int>, "part": "<断片>"}` の形式で、`seq` の昇順に `part` を連結するとフラグになります。1ページ目だけではフラグは揃わず、`login`/`metric`/`order` などのレコードはおとりです。
プログラミングLevel 3★★★☆☆Python自動化 - SQLiteデータベース解析
起動のたびに作られる data.db（SQLite。users / orders / audit_log）を調べます。orders を user_id ごとに SUM(amount) で集計し、合計額が大きい社員の上位3人を求めてください（注文件数が最も多い社員や、1回の注文額が最も大きい社員はおとりで、上位3人には入りません）。audit_log には、全社員に1件ずつ action = 'security_note' の行 "Confidential clearance credential issued to this employee: <16桁16進>" があります。上位3人の credential を、合計額の大きい順に '-' でつないだものが答えです。python3 challenge.py '<答え>' に渡すと、フラグが表示されます。
プログラミングLevel 3★★★☆☆Python自動化 - カスタム暗号の復号
cipher.txt には独自の暗号でエンコードされたフラグが16進で入っています。暗号化は各バイトに add(鍵加算) -> xor(位置依存) -> rotl(巡回シフト) を適用したものです。この逆変換を Python で実装してフラグを復元してください（仕様は python3 challenge.py で表示）。
プログラミングLevel 3★★★☆☆Python自動化 - 暗号化ZIPのパスワードクラック
起動のたびに /challenge/secret.zip が作られます。中には flag.txt と readme.txt が入っていて、ZipCrypto で暗号化されています。パスワードは /challenge/wordlist.txt の1語のうしろに2桁の数字（00〜99）を付けたもの（例: sunshine07）で、起動のたびに選び直されます。Python 標準ライブラリの zipfile で候補を総当たりしてパスワードを見つけ、flag.txt を取り出してください。
基礎スキルLevel 3★★★☆☆SQLクエリマスター - 複雑な結合
SQLite データベース `/challenge/company.db` には3つのテーブルがあります。 - employees (id, name, department_id, salary, email, note) - departments (id, name, manager_id) - projects (id, name, department_id, budget) 次の条件で従業員を1人選んでください。 1. budget が 100000 以上のプロジェクトを1つ以上持つ部署（小さいプロジェクトの合計が 100000 を超えても対象外） 2. それらの部署に所属する従業員の中で salary が最も高い人 その人の note 列がフラグです。各部署の最高給の従業員の note にはどれも KINOCO{...} の形の値が入っているので、条件を1つでも外すと別の人が選ばれます。
WebセキュリティLevel 3★★★☆☆Web-21. Secure User Searchのブラインドインジェクション
このユーザー検索アプリはユーザー名の存在有無だけを返しますが、直接的な検索結果は表示しません。エラーの発生有無やレスポンスの違いを手がかりに、隠された情報を推測できないか確認してみましょう。
WebセキュリティLevel 3★★★☆☆Web-22. Secure Comment BoardのCSPバイパス
このコメント掲示板はContent Security Policy（CSP）で保護されており、スクリプトの実行元を自サイトと信頼済みCDNのみに制限しています。信頼されたCDNの中身まで安全とは限らない点に注目してみましょう。
WebセキュリティLevel 3★★★☆☆Web-23. Secure Authentication Systemの型変換の罠
このログインポータルはフォームログイン・JSON API ログイン・検証コードチェックを備えています。管理者アカウントの本当のパスワードは分かりませんが、比較処理の実装次第では回避できるかもしれません。
WebセキュリティLevel 3★★★☆☆Web-24. Secure Bankの競合状態を突く
Secure Bankではコイン残高を使ってショップで景品を購入できます。残高チェックと引き落とし処理が別々のステップで行われている場合、その間隙をどう突けるか考えてみましょう。