チャレンジ一覧
WebセキュリティLevel 2★★☆☆☆Web-12. BlogSearchの反射型XSS
BlogSearchはブログ記事を検索できる簡単な検索エンジンです。検索クエリが結果ページにそのまま（エスケープされずに）埋め込まれます。フラグは、サイト管理者のブラウザだけが持つセッションCookie（session_flag）に入っています。反射型XSSのURLを作り、ページ下の「管理者に報告」から管理者に開かせて、管理者のCookieを /report?c=... に送らせてください。送られた値は /loot で読めます。
WebセキュリティLevel 2★★☆☆☆Web-13. ImageVaultのファイルアップロード回避
ImageVaultはJPG・PNG・GIF画像をアップロードできる画像ホスティングサービスです。ファイルの検証がファイル名の末尾だけを見ているとしたら、どんな不正なファイルが通ってしまうでしょうか。
WebセキュリティLevel 2★★☆☆☆Web-14. ネットワーク診断ツールのコマンドインジェクション
このアプリはホスト名を入力するとpingを実行してくれる診断ツールです。入力したホスト名がそのままシェルコマンドに渡されているとしたら、何が起きるでしょうか。
WebセキュリティLevel 2★★☆☆☆Web-15. UserProfile ServiceのIDOR
UserProfile ServiceはユーザーIDを指定してプロフィール情報を取得できるAPIを提供しています。自分のID以外を指定した場合にアクセス権のチェックが行われているか確認してみましょう。
WebセキュリティLevel 2★★☆☆☆Web-16. CHIMERA研究ラボの弱いJWT秘密鍵
社員ポータルへの侵入で見つけた手がかりから、隔離された研究ラボシステム「CHIMERA」の存在が判明しました。このシステムはJWTで認証しており、開発者が推測しやすい秘密鍵で署名している疑いがあります。
WebセキュリティLevel 2★★☆☆☆Web-17. FileShareのパストラバーサル
FileShareは共有フォルダ内のファイルを一覧・ダウンロードできるアプリです。ダウンロードエンドポイントに渡すファイル名パラメータが検証されているか確認してみましょう。
WebセキュリティLevel 2★★☆☆☆Web-18. コンタクトフォームのXXE攻撃
このコンタクトフォームは入力内容をXMLに変換してサーバーへ送信し、サーバー側でパースした結果を表示します。XMLパーサーの設定次第では思わぬファイルが読めてしまうかもしれません。
WebセキュリティLevel 2★★☆☆☆Web-19. 銀行アプリのCSRF送金
このバンキングアプリではログイン中のユーザーが送金操作を行えます。別サイトから送金リクエストを送らせることができないか、CSRF対策の有無を確認してみましょう。
WebセキュリティLevel 2★★☆☆☆Web-20. URL FetcherからのSSRF
このURL Fetcherサービスはユーザーが指定したURLの内容を取得して表示します。サーバーが到達できる内部専用サービスにまでリクエストを送らせることができないか確認しましょう。
プログラミングLevel 2★★☆☆☆プログラミング - Bashジョブログの解析
/challenge/jobs.log は、コンテナの起動のたびに乱数で作り直される夜間バッチの実行ログです。1行が1回のジョブ実行で、key=value の欄が空白で区切られています。job が archive で status が ok の行だけを選び、part の番号順に value（16進文字列を逆順にしたもの）を元に戻してつなぎ、16進デコードしてアーカイブトークン（英小文字と数字）を求めてください。そのトークンを python3 challenge.py '<トークン>' に渡すと、正しいときだけフラグが表示されます。
プログラミングLevel 2★★☆☆☆プログラミング - PINの総当たり
/challenge/vault.json は、コンテナの起動のたびに乱数で作り直される金庫の記録です。salt（16進文字列）と、pin_hash = sha256(salt + pin)（salt と6桁の pin を文字列のまま連結して UTF-8 にしたもののハッシュ）が入っています。000000 から 999999 までを総当たりして pin_hash に一致する6桁の PIN（先頭の 0 も含む）を見つけ、python3 challenge.py '<PIN>' に渡してください。正しいときだけフラグが表示されます。
プログラミングLevel 2★★☆☆☆プログラミング - ハッシュ検証と復号
起動のたびに乱数で作られた証拠ファイル artifact-manifest.json を解析します。artifact（artifact_00 から artifact_09）ごとに複数のレコード（name・sha256・data）があり、正しいのは data を Base64 デコードした SHA-256 が sha256 欄と一致する1件だけです。正しいレコードの中身を SHA-256(name) のダイジェストで XOR 復号し、artifact 番号の順につないだ40文字（小文字英数字）が答えです。答えを `python3 challenge.py '<答え>'` に渡すと、正解のときだけフラグが表示されます。
プログラミングLevel 2★★☆☆☆プログラミング - バイナリTLVの解析
/challenge/capture.bin は、コンテナの起動のたびに乱数で作り直される独自形式のバイナリです。先頭4バイトは KBIN、続いて TLV レコード（type 1バイト、length 2バイト（ビッグエンディアン）、value）が並び、type 0x7F（長さ 0）が終端です。type 0x10 と 0x20 の value はそのまま、それ以外の value は各バイトを 0x5A で XOR して格納されています。type が 0x42 のレコードの value を、ファイルの中の順番どおりに取り出して 0x5A で XOR し、つないだトークン（英小文字と数字）を python3 challenge.py '<トークン>' に渡してください。正しいときだけフラグが表示されます。
プログラミングLevel 2★★☆☆☆正規表現 - 一度だけ出現する黄金の記号
data.txt から KINO-数字4桁-英大文字4文字の記号をすべて抽出し、一度だけ出現する値を challenge.py に入力してください。正解時に起動時注入 FLAG が表示されます。
プログラミングLevel 3★★★☆☆Python自動化 - SQLiteデータベース解析
起動のたびに作られる data.db（SQLite。users / orders / audit_log）を調べます。orders を user_id ごとに SUM(amount) で集計し、合計額が大きい社員の上位3人を求めてください（注文件数が最も多い社員や、1回の注文額が最も大きい社員はおとりで、上位3人には入りません）。audit_log には、全社員に1件ずつ action = 'security_note' の行 "Confidential clearance credential issued to this employee: <16桁16進>" があります。上位3人の credential を、合計額の大きい順に '-' でつないだものが答えです。python3 challenge.py '<答え>' に渡すと、フラグが表示されます。
プログラミングLevel 3★★★☆☆Python自動化 - カスタム暗号の復号
cipher.txt には独自の暗号でエンコードされたフラグが16進で入っています。暗号化は各バイトに add(鍵加算) -> xor(位置依存) -> rotl(巡回シフト) を適用したものです。この逆変換を Python で実装してフラグを復元してください（仕様は python3 challenge.py で表示）。
プログラミングLevel 3★★★☆☆Python自動化 - 暗号化ZIPのパスワードクラック
起動のたびに /challenge/secret.zip が作られます。中には flag.txt と readme.txt が入っていて、ZipCrypto で暗号化されています。パスワードは /challenge/wordlist.txt の1語のうしろに2桁の数字（00〜99）を付けたもの（例: sunshine07）で、起動のたびに選び直されます。Python 標準ライブラリの zipfile で候補を総当たりしてパスワードを見つけ、flag.txt を取り出してください。
WebセキュリティLevel 3★★★☆☆Web-21. Secure User Searchのブラインドインジェクション
このユーザー検索アプリはユーザー名の存在有無だけを返しますが、直接的な検索結果は表示しません。エラーの発生有無やレスポンスの違いを手がかりに、隠された情報を推測できないか確認してみましょう。
WebセキュリティLevel 3★★★☆☆Web-22. Secure Comment BoardのCSPバイパス
このコメント掲示板はContent Security Policy（CSP）で保護されており、スクリプトの実行元を自サイトと信頼済みCDNのみに制限しています。信頼されたCDNの中身まで安全とは限らない点に注目してみましょう。
WebセキュリティLevel 3★★★☆☆Web-23. Secure Authentication Systemの型変換の罠
このログインポータルはフォームログイン・JSON API ログイン・検証コードチェックを備えています。管理者アカウントの本当のパスワードは分かりませんが、比較処理の実装次第では回避できるかもしれません。
WebセキュリティLevel 3★★★☆☆Web-24. Secure Bankの競合状態を突く
Secure Bankではコイン残高を使ってショップで景品を購入できます。残高チェックと引き落とし処理が別々のステップで行われている場合、その間隙をどう突けるか考えてみましょう。
WebセキュリティLevel 3★★★☆☆Web-25. Greeting Card GeneratorのSSTI
このグリーティングカード作成アプリはFlask/Jinja2で作られており、入力したメッセージをそのままテンプレートエンジンでレンダリングしています。テンプレート構文がどこまで実行されてしまうか調べてみましょう。
プログラミングLevel 3★★★☆☆アルゴリズム - 迷路のBFS最短経路
data.txt の S から E までの最短経路を BFS で求め、UDLR の移動列を challenge.py に入力してください。正しい経路で起動時注入 FLAG が表示されます。
プログラミングLevel 3★★★☆☆プログラミング - SQLite証拠データベースの解析
evidence.db は起動のたびに乱数で作られる SQLite データベースです（/challenge にあります。users / sessions / access_log の3表）。trust_score が 80 以上のユーザーのセッションについて、ts がそのセッションの started 〜 ended の範囲内にある event = 'vault' の行を集め、note（6桁の16進）を ts の古い順に - でつないだ文字列を求めてください。その文字列を python3 challenge.py '<答え>' に渡すとフラグが表示されます。