チャレンジ一覧
基礎スキルLevel 1★☆☆☆☆01. はじめの一歩 - 2進数と16進数
セキュリティの世界では、2進数や16進数をよく使います。 このチャレンジでは、16進数をASCII文字に変換してフラグを見つけましょう。 次の16進数をASCII文字に変換してください: 46 4c 41 47 7b 68 65 78 5f 74 6f 5f 61 73 63 69 69 7d
WebセキュリティLevel 1★☆☆☆☆05. HTMLソースコードの秘密
Webページには、見た目には表示されない情報がたくさん含まれています。 HTMLソースコードを見ると、開発者向けのメモ（コメント）が見つかることがあります。 このページのソースコードを確認してフラグを見つけましょう！ ヒント: ブラウザで右クリック→「ページのソースを表示」 または、F12キーで開発者ツールを開く
WebセキュリティLevel 1★☆☆☆☆06. JavaScriptのパスワードチェック
このページにはパスワードで保護されたエリアがあります。 しかし、JavaScriptでパスワードをチェックしているため、 ソースコードを見れば正しいパスワードが分かってしまいます！ 開発者ツールでJavaScriptを確認して、正しいパスワードを見つけましょう。
WebセキュリティLevel 1★☆☆☆☆07. Cookieを覗いてみよう
Webサイトは、Cookieという仕組みでブラウザに情報を保存します。 ログイン状態の管理などに使われますが、時には重要な情報が Cookieに保存されていることもあります。 このサイトのCookieを確認してフラグを見つけましょう！
プログラミングLevel 1★☆☆☆☆09. Pythonで自動化 - ファイル読み込み
セキュリティ業務では、大量のデータを処理するためにプログラミングが必須です。 このチャレンジでは、Pythonでファイルを読み込んでフラグを見つけます。 「data.txt」というファイルに100行のテキストがあり、 その中にフラグが1つ含まれています。 以下のPythonコードを完成させて実行してください： ```python # data.txtを開いて、各行を読み込む with open('data.txt', 'r') as file: for line in file: # 各行に「FLAG{」が含まれているかチェック if '____' in line: # ここを埋める print(line.strip()) ```
基礎スキルLevel 1★☆☆☆☆10. セキュリティの基本 - 倫理とルール
ホワイトハッカーになるには、技術だけでなく倫理と法律の知識も重要です。 このチャレンジでは、エシカルハッキングの基本ルールを学びます。 以下のシナリオを読んで、適切な行動を選択してください： 【シナリオ】 あなたは友人のWebサイトに脆弱性を発見しました。 どうすべきでしょうか？ A) 他の人に見せびらかすためにSNSで公開する B) その脆弱性を悪用して遊ぶ C) 友人に連絡して、脆弱性の内容を報告する D) 黙って放置する 適切な行動はどれか、考えてみましょう。 このように、発見した脆弱性をまず所有者に報告する行動は「責任ある情報開示（responsible disclosure）」と呼ばれます。 シナリオと選択肢を確認したら、フラグ FLAG{responsible_disclosure} を提出してください。
WebセキュリティLevel 1★☆☆☆☆SQL Injection 101
このログインフォームにはSQL Injection脆弱性があります。 適切な認証情報なしで admin としてログインし、フラグを取得してください。
WebセキュリティLevel 1★☆☆☆☆Web-04. robots.txtの落とし穴
Webサイトにはクローラー向けに robots.txt が置かれていることがあります。この問題では、robots.txt がクロール除外を指定しているファイルに実際にアクセスできるかどうかを確認します。
WebセキュリティLevel 1★☆☆☆☆Web-05. ディレクトリリスティングの罠
Nginxサーバーであるディレクトリのインデックス表示（autoindex）が有効になっている場合、本来隠しておきたいファイル一覧が誰でも見えてしまいます。公開されているディレクトリを調べてみましょう。
WebセキュリティLevel 1★☆☆☆☆Web-06. HTTPヘッダーの偽装
このアプリケーションは特定のHTTPヘッダーの値をもとにアクセスを許可しています。ブラウザの通常操作では送られない値でも、リクエストを作り直せば自由に変更できます。
WebセキュリティLevel 1★☆☆☆☆Web-07. URLパラメータの改ざん
このWebアプリケーションは、URLのGETパラメータ key の値をサーバー側でチェックします。必要なパラメータ名と値はページの説明やヒントから分かります。正しい key を指定すると、サーバーがフラグを返します。
WebセキュリティLevel 1★☆☆☆☆Web-08. POSTデータの改ざん
ログインフォームには見た目には分からない隠しフィールド（hidden input）が含まれています。開発者ツールで確認し、送信データを書き換えられないか試してみましょう。
WebセキュリティLevel 1★☆☆☆☆Web-09. Basic認証の甘い罠
保護されたエリアにはHTTP Basic認証がかかっていますが、開発者が誤って認証情報をページのHTMLコメントに残してしまっています。ページのソースを確認してみましょう。
WebセキュリティLevel 1★☆☆☆☆Web-10. リダイレクトの裏側を見る
あるページにアクセスすると即座に別ページへリダイレクトされてしまいます。ブラウザは自動でリダイレクトに従いますが、その前のレスポンス本文を確認する方法を考えてみましょう。
WebセキュリティLevel 1★☆☆☆☆XSS基礎 - ゲストブック
このWebアプリケーションには基本的なXSS脆弱性があります。ゲストブックの表示に入力がそのまま反映される箇所を探しましょう。フラグは、管理者のブラウザだけが読める内部エンドポイントにあります。ページの「管理者に確認してもらう」を押すと、管理者があなたの message を開きます。