やさい

URLやAPIに渡すID番号を1つ変えるだけで、本来は見えないはずの他人の情報が見えてしまう「IDOR」を体験します。一般社員のIDから手がかりを掴み、管理者のIDへとたどり着く2段階のチェーンに挑戦しましょう。

「はじめてのCTF」全20話を完走したあなたへ。ここから始まる「CTF実践編」全10話は、1つの問題の中で複数の技術を繋いで解く、本格的なCTFに近い構成に挑戦します。第1話は、前作で学んだ2つの技術を繋ぐウォームアップ問題です。

ブラウザの開発者ツールから、暗号・OSINT・デジタルフォレンジックまで。CTF（Capture The Flag）の基礎を、5分で1テクニックずつ、すべて手を動かして体験できる全20話の連載です。このページが全話の目次・進捗トラッカーです。

「はじめてのCTF」シリーズ、いよいよ最終回です。新しい技術は教えません。19話で学んだCookie操作・エンコード解読・ハッシュ照合を3つのステージでつなぎ、最後のフラグを掴み取ってください。

フォレンジック編の最終回。第18話で学んだ1つのパケットの構造を踏まえ、今回は複数のパケットに分断された1つの会話を「Follow TCP Stream」で再構築し、隠されたフラグの全貌を暴きます。

フォレンジック編の第4回。第6話のNetworkタブは「1つのタブのHTTP通信」しか見えませんでしたが、今回はその下にある「通信そのもの」の構造を学びます。次回のWireshark実践への準備です。

フォレンジック編の第3回。サーバーが記録する「すべての足跡」であるログを読み解き、ブルートフォース攻撃から侵入・情報持ち出しまでの一連の流れをテキストから再構築する技術を体験します。

フォレンジック編の第2回。暗号は「読めなくする」技術ですが、ステガノグラフィーは「存在自体を隠す」技術です。画像のピクセルに紛れ込んだデータを、ブラウザのCanvas APIを使って本当に抜き出してみましょう。

OSINT編はここまで。今回から「フォレンジック編」がスタートです。「削除」の本当の意味、ファイルの正体を見抜くマジックバイト、そしてバイナリの中に隠れた文字列を見つけ出すテクニックを体験します。

OSINT編の第2回。1つの手がかりだけでは何も分かりません。複数のプロフィールに散らばった断片的な情報をつなぎ合わせ、1つの結論にたどり着く「相関分析」の考え方を体験します。