「CTF上級編」全10話は、その先に進みます。ただしゴールは「もっと難しいCTF問題を解く」ことではありません。本シリーズが扱うのは、実際の大規模な侵害事例の調査報告書や、CVE（共通脆弱性識別子）の解説記事で繰り返し登場する「脆弱性クラス」そのものです。SSRF・SSTI・パディングオラクル攻撃・レースコンディション・クラウドIAMの権限昇格・OAuth&#xFF0FSSOの設計ミス・XXE――これら&#x306FCTFの世界だけの架空の概念ではなく、現役のペネトレーションテストーやセキュリティ診断員が実務で実際に向き合っている脆弱性です。

本シリーズの対象読者は、『CTF実践編』を読み終えた方、また&#x306FIDOR&#x30FBJWTの基本的な仕組みを知っている方です。実践編の知識を前提に話を進めるため、第2話以降も毎回「前提知識ボックス」で関連する話を案内します。

CTFの問題は、最終的に「1つの正解フラグ」を提出すれば終わりです。しかし実務のセキュリティ診断やバグバウンティでは、フラグの提出に相当する場面はほとんどありません。代わりに求められるのは、「この脆弱性がなぜ生まれたのか」「どこまでの被害につながるのか」「どう直せば再発しないのか」を、開発チームに伝わる言葉で説明することです。

本シリーズが扱𰑧つの脆弱性クラス（SSRF・SSTI・パディングオラクル攻撃・レースコンディション・クラウドIAM権限昇格&#x30FBOAuth&#xFF0FSSOの落とし穴&#x30FBXXE）は、いずれも「なぜ起きるか」という構造そのものに名前がついた攻撃手法です。たとえばSSRFは2019年に大手金融機関で発生した大規模な情報漏洩事件の起点として広く知られるようになりましたし、パディングオラクル攻撃&#x306FPOODLE&#x30FBLucky13といった名前のついた一連の攻撃手法群の基礎になっています。フラグを取って終わりにせず、「なぜこの種類の脆弱性が生まれるのか」という構造を持ち帰ることが、本シリーズで一番大事にしたいポイントです。

ウィジョットの仕組み（ステージ制のサブフラグ・常時クリック可能なヒント・ヒント1個につき-15点の減点・全ステージ解決時に1回だけ確定するスコア）は、実践編からまったく変更していません。すでに実践編で慣れている方は、そのままの感覚で進めて大丈夫です。

本シリーズではテーマの性質上、「脆弱なサーバーの振る舞いを、ページの中だけで安全に再現したミニチュア環境」を毎話用意します。実際のクラウドAPIや実際のファイルシステムには一切アクセスしません。すべて学習用に作られた、架空の会社・架空のサービスを舞台にしています。

架空の&#x300CCTF上級編 受講者ポージート」には、受講生IDで他の受講生のプロフィールを検索できる機能があります。本来は自分のプロフィールしか見られないはずですが、IDをそのまま変更するだけで他人のプロフィールが見えてしまいます（実践編第2話で学んだIDORと同じ発想です）。あなたのID&#x306F3001です。他&#x306EIDを試して、インストラクーのプロフィールを見つけてください。

IDORは「誰がどのデータにアクセスできるか」というアクセス制御の問題です。JWTは「このトークンは本当にサーバーが発行したものだと、どう証明するか」という信頼の証明の問題です。この2つは見た目も難易度も異なりますが、実は同じ問いに行き着きます――「サーバーは、クライアントが送ってきた情報をどこまで信じてよいのか」という問いです。本シリーズの②以降で扱うSSRF・SSTI・XXEも、根っこにあるのは同じ問いです。サーバーが外部からの入力（URLでも、テンプレート変数でも、XMLでも）をうのみにしてしまうと、思わぬ場所への到達を許してしまいます。

第1話では、新しい技術は教えずに、実践編で学んだIDORとJWT偽造を繁ぐ体験をしました。次回からはSSRFをはじめとした新しい脆弱性クラスが次々登場します。1話ずつ確実にクリアして、シリーズ合計スコアを伸ばしていきましょう。