挑战一览
Linux难度 2★★☆☆☆Linux-符号链接迷宫：穿过分岔路径
多个目录由符号链接交错相连。请不要被诱饵提示文件误导，逐一跟随链接到真正的旗标文件。
Linux难度 2★★☆☆☆Linux-脚本调试：修复损坏的 Bash 脚本
脚本内有多个故意设置的拼写和语法错误，无法运行到最后。请用 Bash 调试功能逐一修复。
Linux难度 2★★☆☆☆Linux-网络基础：连接监听端口
后台服务正在某个端口监听。请用 `ss` 或 `netstat` 找到端口，并以 `nc` 连接来接收旗标。
Linux难度 2★★☆☆☆Linux-备份查找：辨认真正的临时文件
项目目录有多个以 `.bak`、`.tmp` 或 `~` 结尾的诱饵备份和临时文件；真正的旗标位于隐藏文件中。
Linux难度 2★★☆☆☆Linux-管道：用 grep 和 awk 筛选日志
访问日志包含大量记录。某个 IP 在短时间内产生了大量 404，将它这一连串请求的路径拼接起来即为旗标。请用管道组合 grep、awk、sort、uniq 等命令来拼出答案。
Linux难度 2★★☆☆☆Linux-软件包信息：检查已安装软件包详情
系统安装了一个自制 deb 软件包。请用 `dpkg` 或 `apt` 查看其详情，并在描述中寻找隐藏信息。
Linux难度 2★★☆☆☆Linux-进程追踪：找出运行中的目标进程
多个后台进程中有一个把旗标放在命令行参数里。请用 `ps` 列出并找出它。
Linux难度 2★★☆☆☆Linux-用户调查：用 awk 筛选目标用户
系统中注册了多个用户。请用 `awk` 解析 `/etc/passwd` 找到满足条件的用户，再检查其主目录中的隐藏文件。
Linux难度 2★★☆☆☆Linux-日志轮转：搜索压缩的旧日志
部分旧日志已被 gzip 压缩；请在不解压文件的情况下搜索其中的旗标。
Linux难度 2★★☆☆☆Linux-日志探索：从多份日志中挖出旗标
应用与系统日志中只有一条 `DEBUG` 记录包含旗标。请用 `grep` 等工具筛选。
Linux难度 2★★☆☆☆Linux-环境变量秘密：寻找名为 FLAG 的变量
系统设置了多个环境变量，其中包括诱饵凭据。请列出变量并找出保存旗标的那一个。
数字取证难度 2★★☆☆☆PDF 中的隐藏流
该 PDF 文件包含压缩的对象流。 页面上不显示的内部备忘录就藏在其中。请从备忘录中找出 flag。 学习理解 PDF 的内部结构并提取隐藏数据。 提供文件：document.pdf
数字取证难度 2★★☆☆☆从 Windows 注册表查找 USB 历史
分析 SYSTEM 文件（用文本表示的注册表 hive 的 USBSTOR 部分），确定 2025-11-19 14:45（UTC）前后接入的 USB 设备，并从该设备记录的值中获取 flag。学习 Windows 取证的基础。…
数字取证难度 2★★☆☆☆从磁盘镜像中寻找秘密文件
检查 ext4 文件系统的磁盘镜像 `disk.img`，找出文件系统中隐藏的秘密备份并取得 flag。 容器内无法 mount，请用 debugfs 直接遍历文件系统。
数字取证难度 2★★☆☆☆从数据包捕获中寻找密码
分析 `traffic.pcap` 中的 HTTP 登录请求，找出管理员提交的密码。
数字取证难度 2★★☆☆☆根据文件时间戳确定入侵时刻
分析 evidence/ 中多个文件的修改时间，确定入侵发生的时间段以及与之相关的隐藏文件。隐藏文件的内容不一定能直接读懂。 学习时间线分析的基础。
数字取证难度 2★★☆☆☆从内存转储中查找进程
memory.dump 是将内存转储的分析结果（pslist / psscan / cmdline）排列在一起的简化文本。请找出在进程列表中被隐藏的可疑进程，并从它携带的配置值中读出 flag。学习内存取证的基础。…
数字取证难度 2★★☆☆☆恢复已删除文件
从磁盘镜像中恢复被删除的压缩文件（ZIP），并在其中的备忘录里找到 flag。 学习如何使用文件雕刻工具恢复已删除的文件。 提供文件：disk_image.dd
数字取证难度 2★★☆☆☆图像 LSB 中隐藏的消息
从 `image.png` 的最低有效位（LSB）隐写数据中恢复 flag。
数字取证难度 3★★★☆☆从 Chrome 浏览器提取会话 Cookie
给你从 Linux 版 Chrome 配置文件中取出的 `/challenge/Cookies` 和 `/challenge/History`（都是 SQLite）。 受害者点击内部邮件中的链接，经过一个伪造的 SSO…
数字取证难度 3★★★☆☆检测 DNS 隧道
从 `dns_queries.log` 中检测 DNS 隧道造成的数据外传，并恢复 flag。
Linux难度 3★★★☆☆Linux-Capabilities：不依赖 SUID 的提权
系统中特定二进制文件被授予 Linux capabilities。请研究不使用 SUID 位的 capabilities 提权方法。
Linux难度 3★★★☆☆Linux-SUID：通过 find 理解提权风险
系统有一份设置了 SUID 位的 `find` 副本。本题在隔离环境中演示此类危险配置为何可导致高权限 shell。
Linux难度 3★★★☆☆Linux-proc 内存：查看进程环境变量
持续运行的守护进程将旗标保存在环境变量中。请通过 `/proc` 文件系统检查该进程。