挑战一览
数字取证难度 5★★★★★重建 APT 攻击的全部阶段
四个日志 `/challenge/edr_process.log`、`proxy_http.log`、`dns_queries.log` 和 `dlp_transfer.log` 中，APT 攻击混杂在大量正常记录里。…
数字取证难度 5★★★★★破解 BitLocker 加密驱动器
用安全的元数据 fixture 学习 BitLocker 恢复密钥的验证。bitlocker.img 不是真实卷。请将候选密钥的 SHA-256 与记录的摘要比对以确定恢复密钥，再用该密钥解密受保护的载荷。
数字取证难度 5★★★★★提取 Bitcoin 交易中隐藏的消息
受害者把赎金支付到了比特币地址 `bc1qr4nsmw4r3pay7hzfx0d9cq3vkt8e6m5ljgs2ua`。`/home/ctfuser/evidence/transactions.json`…
数字取证难度 5★★★★★从 IoT 设备固件提取秘密密钥
分析网络摄像头 KNC-CAM-2000 的更新文件 `/home/ctfuser/evidence/firmware.bin`（不要连接真实设备）。厂商把 rootfs 加密后分发，解密由引导程序在启动时完成。头部与分区表的格式见…
Linux难度 5★★★★★Linux-eBPF Rootkit：揭开隐藏进程的真相
本题将 eBPF rootkit 调查安全地模拟为离线证据分析：不加载 eBPF，请从提供的 bpftool 快照中分辨出植入程序及其映射，复原隐藏文件路径，并用植入程序自身的密钥解密保存在该文件中的加密载荷。
Linux难度 5★★★★★Linux-内核利用：安全的 Dirty COW 模拟
本题以安全、确定性的用户空间模拟介绍 Dirty COW（CVE-2016-5195）涉及的 `mmap`、`MAP_PRIVATE` 与 `madvise`；请编译并运行提供的程序，检查生成结果。
数字取证难度 5★★★★★从虚拟机监控器内存提取 VM 信息
分析 KVM 主机的内存转储 `/home/ctfuser/evidence/kvm_host.dump`。来宾被配置成类似 AMD SEV 的方式，内存按每个 VM 用各自的密钥加密，但这台主机运行的是 KVM…
数字取证难度 5★★★★★检测进程镂空攻击
从 Windows 主机内存中恢复出了进程列表 `process_list.txt`（PEB 视角）、VAD 列表 `vad_regions.txt` 以及私有可执行区域的转储 `malfind/`。请找出被镂空（process…
数字取证难度 5★★★★★检测被篡改的时间戳
`/challenge/mft_timeline.csv` 是从 NTFS 的 `$MFT` 导出的时间线，包含每个文件的 `$STANDARD_INFORMATION`（SI）与…
数字取证难度 5★★★★★解密加密的 iOS 备份
用安全的 iTunes 元数据 fixture 验证加密 iOS 备份的密码。不使用真实 iPhone 或真实备份。请将候选密码与 Manifest.plist 中的摘要比对以确定密码，再解密加密的消息数据库并找出 flag。
密码学难度 5★★★★★密码分析：RSA e=3 广播攻击
`broadcast.json` 含有同一明文使用未填充 RSA、`e=3` 加密到三个两两互素 modulus 的结果。请使用中国剩余定理和整数立方根恢复明文。
数字取证难度 5★★★★★为未知 Linux 内核版本创建内存配置文件
分析 `/home/ctfuser/evidence/custom_kernel.dump`，这是一台运行内部启用 `CONFIG_RANDSTRUCT` 编译的内核的服务器的部分物理内存。…
数字取证难度 5★★★★★解读自定义协议的 C&C 通信
出口代理记录了被入侵终端 10.20.4.88 的通信。`/challenge/beacon.log` 中每行是一次收发，`data=` 是所收发字节的 Base64。…