2026-06

Webの安全な通信を支える公開鍵暗号RSA。その安全性は「大きな数の素因数分解は時間がかかる」という前提に支えられています。今回は、鍵の数字が小さすぎる場合に、ブラウザだけで素因数分解して秘密鍵を復元する体験をします

JavaScriptのオブジェクトが互いにプロパティを継承する「プロトタイプチェーン」という仕組みそのものに潜む脆弱性です。設定保存機能に渡すJSONひとつで、無関係な他のユーザーまで含めて権限を書き換えてしまいます。

多くのサービスでログイン状態を表すために使われているJWT（JSON Web Token）。その構造をデコードし、署名検証の2つの弱点（alg:noneと弱いシークレット）を突いて「自分は管理者だ」と主張するトークンを偽造します。

URLやAPIに渡すID番号を1つ変えるだけで、本来は見えないはずの他人の情報が見えてしまう「IDOR」を体験します。一般社員のIDから手がかりを掴み、管理者のIDへとたどり着く2段階のチェーンに挑戦しましょう。

「はじめてのCTF」全20話を完走したあなたへ。ここから始まる「CTF実践編」全10話は、1つの問題の中で複数の技術を繋いで解く、本格的なCTFに近い構成に挑戦します。第1話は、前作で学んだ2つの技術を繋ぐウォームアップ問題です。

ブラウザの開発者ツールから、暗号・OSINT・デジタルフォレンジックまで。CTF（Capture The Flag）の基礎を、5分で1テクニックずつ、すべて手を動かして体験できる全20話の連載です。このページが全話の目次・進捗トラッカーです。

「はじめてのCTF」シリーズ、いよいよ最終回です。新しい技術は教えません。19話で学んだCookie操作・エンコード解読・ハッシュ照合を3つのステージでつなぎ、最後のフラグを掴み取ってください。

フォレンジック編の最終回。第18話で学んだ1つのパケットの構造を踏まえ、今回は複数のパケットに分断された1つの会話を「Follow TCP Stream」で再構築し、隠されたフラグの全貌を暴きます。