挑战一览

从 Apache 日志中发现攻击

分析 Apache access.log（common 格式），找出 SQL 注入攻击的痕迹。请分辨哪些攻击成功、哪些失败，并读出攻击者植入的内容。学习日志分析与模式匹配。提供文件：access.log

Excel 宏中的隐藏 flag

分析 Excel 工作簿中嵌入的宏代码，找出隐藏的认证码（flag）。学习如何分析 Office 文档中的宏。本题中，宏的源代码以文本形式存放在文件内。提供文件：spreadsheet.xlsm

PDF 中的隐藏流

该 PDF 文件包含压缩的对象流。页面上不显示的内部备忘录就藏在其中。请从备忘录中找出 flag。学习理解 PDF 的内部结构并提取隐藏数据。提供文件：document.pdf

从 Windows 注册表查找 USB 历史

分析 SYSTEM 文件（用文本表示的注册表 hive 的 USBSTOR 部分），确定 2025-11-19 14:45（UTC）前后接入的 USB 设备，并从该设备记录的值中获取 flag。学习 Windows 取证的基础。…

从磁盘镜像中寻找秘密文件

检查 ext4 文件系统的磁盘镜像 `disk.img`，找出文件系统中隐藏的秘密备份并取得 flag。容器内无法 mount，请用 debugfs 直接遍历文件系统。

网络分析：DNS 区域传送泄露

捕获到一次针对配置错误权威 DNS 服务器的未认证区域传送（AXFR）。请分析 `traffic.pcap` 中传输的内部区域 TXT 记录并恢复旗标。

网络分析：利用 ICMP 外泄数据

内部主机 10.20.0.15 伪装成 ping（ICMP 回显请求）向外部主机 203.0.113.66 外泄了数据。请从首页下载 `traffic.pcap`，按 ICMP 序列号顺序连接发往外部主机的回显请求的数据部分，恢复旗标。

网络分析：SMB 共享枚举泄露

捕获到攻击者枚举网络 SMB 共享的通信。请下载 `traffic.pcap`，跟踪 SMB（TCP/445）流量，并从泄露的文件列表或读取结果中提取旗标。

网络分析：Telnet 凭据

一台旧服务器通过 Telnet（明文）进行远程管理。请从 `traffic.pcap` 跟踪 Telnet 会话，提取登录时传输的密码；密码就是旗标。

网络分析：匿名 FTP 传输文件

捕获到一次匿名 FTP 明文传输。请从 `traffic.pcap` 跟踪 FTP 数据传输，并从下载文件内容中提取旗标。

网络分析：明文 HTTP 凭据

请分析在公共 Wi-Fi 上截获的通信：某人通过明文 HTTP 登录。下载 `traffic.pcap`，找到 HTTP POST 登录请求并提取密码；密码就是旗标。

网络分析：明文 SMTP 附件

内部主机 10.30.0.25 未加密地向邮件服务器 10.30.0.10 的 25 端口发送了一封邮件。请从首页下载 `traffic.pcap`，取出邮件附带的机密备忘录（`secret-memo.txt`），找到其中写着的令牌（旗标…

从数据包捕获中寻找密码

分析 `traffic.pcap` 中的 HTTP 登录请求，找出管理员提交的密码。

根据文件时间戳确定入侵时刻

分析 evidence/ 中多个文件的修改时间，确定入侵发生的时间段以及与之相关的隐藏文件。隐藏文件的内容不一定能直接读懂。学习时间线分析的基础。

从内存转储中查找进程

memory.dump 是将内存转储的分析结果（pslist / psscan / cmdline）排列在一起的简化文本。请找出在进程列表中被隐藏的可疑进程，并从它携带的配置值中读出 flag。学习内存取证的基础。…

恢复已删除文件

从磁盘镜像中恢复被删除的压缩文件（ZIP），并在其中的备忘录里找到 flag。学习如何使用文件雕刻工具恢复已删除的文件。提供文件：disk_image.dd

图像 LSB 中隐藏的消息

从 `image.png` 的最低有效位（LSB）隐写数据中恢复 flag。