挑战一览
基础技能难度 3★★★☆☆journalctl：分析 systemd 日志
分析以 `journalctl -o short` 格式导出的 systemd 日志 `/challenge/system.log`。每行格式为“时间 主机 单元[PID]: 优先级: 消息”。单元字段为 `authd` 且优先级字段为…
基础技能难度 3★★★☆☆Netcat：离线回调记录分析
无需连接任何外部主机，请分析预先记录的 `artifacts/netcat/callback-transcript.log`，不会启动 listener 或 shell。在连接列表中找到从被攻陷主机 `10.0.5.23` 连到…
基础技能难度 3★★★☆☆性能分析：定位资源瓶颈
分析服务器快照 `/challenge/metrics.log`。前半部分是 top 风格的进程表（%CPU 在第 9 列，%MEM 在第 10 列），后半部分是 ps -ef 风格的完整命令行列表。%CPU 不低于 50.0 且…
数字取证难度 3★★★☆☆从内存发现可疑网络连接
从被入侵主机 `kinoco-app03` 的内存镜像中，恢复出了套接字列表 `/challenge/netstat_dump.txt`，以及每个拥有 ESTABLISHED 套接字的进程的堆区域…
数字取证难度 3★★★☆☆从内存恢复执行过的命令
从内存字符串记录 `memdump.txt` 中提取命令历史，找出可疑命令及其中的 flag。
数字取证难度 3★★★☆☆恢复已删除的 SQLite 记录
给你内部聊天工具 "kinoco-msg" 的 SQLite 数据库 `/challenge/app.db`。作为 "机密消息" 发送的正文，按下面的形式保存： body = "enc:v1:" + hex(明文 XOR 密钥流)…
数字取证难度 3★★★☆☆解开多重压缩文件
`/challenge/artifact.xz` 是攻击者试图带出的文件，被 gzip、bzip2、xz、zip、tar 层层嵌套包裹。请逐层辨认格式并剥开，从最深处的 `flag.txt` 中取得 flag。…
数字取证难度 3★★★☆☆解密加密磁盘
`/challenge/secret_disk.img` 是真实的 LUKS2 容器，数据区里放着一份备份（tar 归档）。口令很弱，是 `/challenge/wordlist.txt` 中的某一项。 这个终端无法使用…
密码学难度 3★★★☆☆密码分析：RSA 共模攻击
两个系统共用同一个 RSA 模数 n，只改变了公开指数。同一条消息分别用 e1 和 e2 加密得到的密文 c1、c2 已经泄露（`public_keys.txt`、`ciphertexts.txt`）。n…
密码学难度 3★★★☆☆密码分析：小素数 Diffie-Hellman
一台旧 IoT 设备使用只有 36 位的素数 p 进行 Diffie-Hellman 密钥交换。`handshake.txt` 中有 p、g、`A = g^a mod p`、`B = g^b mod…
基础技能难度 3★★★☆☆高级正则表达式：复杂模式匹配
/challenge/data.txt 有 400 行联系记录，每行以不同顺序和标签包含邮箱、电话号码、IP 地址和日期，最后是 memo="..."。有些字段格式损坏，有些行缺少字段。 同时以正确格式包含以下全部内容的行只有一行，其…
数字取证难度 3★★★☆☆音频文件中的隐藏数据
`hidden.wav` 中隐藏着用通断键控（OOK）编码的消息。把音调的开/关转换为比特并解码，即可得到 flag。 不提供参考解码器。请自己读取并解析信号，例如使用标准库的 `wave` 模块。 提供文件：hidden.wav
基础技能难度 3★★★☆☆高级 Bash：复杂脚本处理
`/challenge/logs/` 中有 4 台 Web 前端的访问日志（combined log format，60 个文件，超过 10 万行）。WAF 为许多来源 IP 各留下了一行 `waf_rule=...…
基础技能难度 4★★★★☆AWS CLI：云资源枚举
`/challenge/s3_audit/` 中是离线导出的 S3 配置审计记录（`buckets.json` 以及每个 bucket 的 `*_publicaccessblock.json`、`*_policy.json`、`*_acl…
数字取证难度 4★★★★☆从 Android 应用提取秘密密钥
解压安全的 ZIP 格式 APK fixture（evidence/app.apk），分析 Android 资源中记录的已加密 API secret。开发者在构建中误带了多把私钥，请判断哪一把对应该 secret 并解密。…
基础技能难度 4★★★★☆Ansible：Vault 导出审计
无需运行 Ansible 或接触服务器，请分析生成的运行记录 `artifacts/ansible/vault-export.yml`。其中有大量任务结果，其中多数带有 `vault_payload_hex`。只有 `host` 为…
基础技能难度 4★★★★☆CI/CD 安全：工作流泄露审计
审计 `/challenge/repo/.github/workflows/` 下的 20 个 GitHub Actions 工作流。许多步骤带有 `# audit-ticket: KINOCO{...}` 注释。…
数字取证难度 4★★★★☆从 CloudTrail 日志检测未授权访问
分析 CloudTrail 导出文件 `/challenge/cloudtrail.json`，追踪被盗访问密钥的未授权使用以及机密数据的外传。 攻击者在侦察、提权并创建新的访问密钥之后，用这个新密钥把读到的机密以多次 S3…
数字取证难度 4★★★★☆从 Docker 镜像层提取秘密
`/challenge/image/` 是展开后的 `docker save` 导出（OCI 布局）。各层以摘要命名，作为 gzip 压缩的 tar 存放在 `blobs/sha256/` 中，层的顺序要从…
基础技能难度 4★★★★☆Terraform：tfstate 工件审计
无需初始化 Terraform provider，请分析生成的 `terraform/terraform.tfstate`。outputs 中的 `recovery_secret_arn` 指向恢复用密钥的 ARN。在…
基础技能难度 4★★★★☆Kubernetes：Pod 快照调查
无需连接 Kubernetes 集群，请调查 `artifacts/kubernetes/` 中的两个快照（`pod-snapshot.yaml` 和 `secret-snapshot.yaml`）。命名空间…
数字取证难度 4★★★★☆解密 TLS 加密的 HTTPS 通信
`~/evidence/` 中有记录某台客户端 PC 的 HTTPS 通信的抓包文件 `traffic.pcap`（libpcap 格式），以及浏览器写出的 TLS 密钥日志 `sslkeylog.txt`（NSS 格式）。…
基础技能难度 4★★★★☆自定义工具：目录扫描报告分析
请分析本地生成的 `artifacts/scanner/directory-report.ndjson`，而不是扫描真实网站。扫描器对同一站点扫描了多次（`run`）。只有最新一次 run 中 `path` 恰好为…
基础技能难度 4★★★★☆SSH 隧道：访问回环内部服务
在单个容器内练习SSH本地端口转发。SSH监听127.0.0.1:22，内部服务使用/run/tunnel/database.sock，本地玩家无法直接访问该套接字。…