Zhao

CTFの検証環境でログや通信記録などの証拠を突き合わせ、攻撃者の行動順序を、確認済みの事実と推測を分けた時系列にまとめるスキル。

• ログと通信記録を時系列にまとめたいとき
• 侵入から継続アクセスまでを追いたいとき
• 確認済みの順序と推測を分けたいとき

CTFの隔離環境でパケット記録から通信の流れを復元し、プロトコルの内容や転送ファイルを読み解いて、端末やマルウェアの挙動との対応を調べるスキル。

• TCPやUDPの通信を復元したいとき
• HTTPやDNS、独自プロトコルの解読
• 通信で転送されたファイルの抽出

CTFの隔離環境でWindowsの認証情報やKerberosチケットを調べ、抽出した情報が実際に使えるかを検証。取得元から認証成功までの証拠を整理します。

• LSASS内の情報とログオン状態の調査
• 回収したKerberosチケットの利用可否確認
• DPAPIやSSPの認証情報の追跡

CTFの検証環境で独自の通信形式とセッションの状態変化を解析し、メッセージの順序やチェックサムを再現して、受理される最小のやり取りを確かめるスキル。

• 未知の通信形式を読み解きたいとき
• 接続手順と状態変化の復元
• 取得した通信の再送プログラム作成

CTFの隔離環境で、アップロードしたファイルが展開・変換・解析される経路を追うスキル。画面上の検証とバックエンド処理の違いを整理し、結果に至る最小の再現手順をまとめます。

• アップロードから内部処理の結果を追跡
• アーカイブ展開やプレビュー生成を調査
• 画面の検証と内部のファイル処理を比較

CTFの隔離環境でWindowsのDPAPIで保護された認証情報を調べ、復号に必要な鍵や実行条件から、取り出した情報が実際に受け入れられる接続先までを追うスキル。

• DPAPIの保護データと鍵を調べたいとき
• ブラウザやVaultの認証情報を追いたいとき
• 復号に必要なアカウント条件を調べたいとき

CTFのLinux環境で、SSH鍵やトークンの保存場所と利用先を調べ、認証情報の取得から権限獲得、別ホストへの移動までを証拠付きで整理するスキル。

• SSH鍵やトークンの利用先を調べたいとき
• ソケットやsudoによる権限獲得の整理
• Linux課題ホスト間の移動を説明したいとき

CTFの隔離環境でブラウザーからAPIやバックグラウンド処理まで実際の通信を追い、認証状態や経路設定を照合して、画面とサーバーの挙動の違いを調べるスキル。

• 認証やセッションの流れを追いたいとき
• ブラウザーの状態とサーバー挙動の照合
• アップロードやバックグラウンド処理の追跡

CTFの隔離環境で、サーバー側のリクエスト機能から内部サービスや認証情報への経路を調べ、取得したトークンが実際のアクセスに使えるかを証拠とともに整理するスキル。

• 内部サービスへの到達経路を調べたいとき
• メタデータへの接続と権限範囲の確認
• トークン取得とアクセス成立の切り分け

CTFの問題や解析対象から調査の入口を整理し、適した専門スキルへ振り分けます。最小の経路を検証し、実行時の挙動と再現可能な証拠に沿って結果をまとめます。

• CTFの調査方針を決めたいとき
• 競技環境の処理経路を追いたいとき
• 解法の再現手順と証拠の整理

CTFの検証環境でOAuth・OIDCのリダイレクトとトークン交換を追い、ログイン情報や権限がアプリに受け入れられるまでの最小の認証経路を再現するスキル。

• 認証リダイレクトと戻り値の追跡
• state・nonce・PKCEの検証確認
• トークンから利用者・権限への対応確認

配信中のJavaScriptやソースマップを読み解き、画面・API・読み込み処理のつながりを復元するスキル。ビルド済みファイルを根拠に実際の動作を説明します。

• 配信中のJavaScriptの構造復元
• ビルド済み資産から画面やAPIを調べたいとき
• 分割コードと難読化ローダーの追跡

CTFの隔離環境で、依存パッケージの取得からビルド、公開、実行までを追い、意図した成果物と実際に使われる成果物が食い違い始める箇所を特定するスキル。

• 依存関係の宣言・解決・配布版の比較
• CI/CDでのパッケージやビルド改変の追跡
• 実行時に使われる成果物を特定したいとき

CTFの隔離環境で、KubernetesのAPI権限や制御処理を調べ、設定ファイルと実際の稼働状態の差、シークレットが露出する経路を整理するスキル。

• サービスアカウントのAPI権限確認
• ワークロード変更による秘密情報の露出調査
• YAMLと稼働中の状態を比較したいとき

CTFの画像・音声・動画・文書に隠されたデータを、メタデータや色・音の特徴、ファイル構造から調べ、抽出過程を記録しながら復元するスキル。

• メタデータや末尾の追加データの調査
• 画像の透明度や色に隠された情報の探索
• 音声の周波数分布や動画の差分の調査

不審なプログラムを静的解析と隔離環境での動作観察で調べ、通信先やファイル操作などの痕跡を抽出し、YARA・Sigmaの検知ルール作成につなげるスキル。

• 不審な実行ファイルやスクリプトの調査
• 悪性ドメインやファイルパスなどの痕跡抽出
• YARA・Sigmaの検知ルール作成

実行ファイルの形式・文字列・外部関数を調べ、radare2のコマンドラインで処理の流れを追います。関数の逆アセンブル、バイナリ比較、明示した箇所の修正にも対応します。

• 未知の実行ファイルを調べたいとき
• エラー文字列の参照元を探したいとき
• バイナリのバージョン間比較

工場やプラントの制御システムを対象に、設備構成やネットワークの区分、外部から接触できる箇所を整理し、通信の観察と読み取りを優先して安全性を評価するスキル。

• 制御設備とネットワーク区分の整理
• 産業用通信の記録を解析したいとき
• 制御システムの設定をオフライン監査

通信記録やバイナリデータから独自プロトコルの構造を調べ、メッセージの種類・項目・状態遷移を整理し、再現可能なデコード手順をまとめるスキルです。

• 通信記録からメッセージ項目を復元したいとき
• 未知のProtobuf構造を調べたいとき
• 接続・認証・心拍の流れを整理したいとき

CTFの隔離環境で、AD CSの証明書設定や登録権限を調べるスキル。証明書の発行から認証先での受け入れ、権限獲得までを追い、根拠と最小の再現手順を整理します。

• 証明書テンプレートと登録権限を調査
• 証明書発行から認証成立までを追跡
• 権限付与につながる設定上の弱点を特定

AndroidのAPKを展開して処理や権限を調べ、コードの修正・再構築・動作観察まで進めるスキル。Javaからネイティブコードまで、解析箇所に応じてツールを使い分けます。

• APKの入口・コンポーネント・権限確認
• ログイン・署名・証明書確認の処理調査
• smaliの修正とAPKの再構築

SAML・OIDC・OAuth2を使うシングルサインオンの認証経路を整理し、署名やリダイレクト、トークンの取り違えなどの設定不備を許可範囲内で検証します。

• SSOのリダイレクトとトークン検証の点検
• SAML署名と認証情報の扱いの評価
• テナント混同やログアウト不備の調査

書面で許可された侵入テストで、情報収集から侵入、権限拡大、他システムへの移動、影響評価までの道筋を計画し、専門スキルの実行と証拠の記録をまとめるスキル。

• 複数段階の侵入テストを計画したいとき
• 脆弱性が及ぼす影響範囲の評価
• 既存のアクセス地点からの再計画

公開情報から不審なドメインや詐欺・なりすましの手がかりを集め、独立した情報源で裏付けを確認し、出典と確度を添えた脅威調査の引き継ぎ資料にまとめます。

• 不審なドメインの公開報告を調べたいとき
• 詐欺やなりすましの手がかりの調査
• セキュリティ調査向けの証拠整理