Awesome CTF リソース

Capture The Flag (CTF) のフレームワーク、ライブラリ、リソース、ソフトウェアをまとめたリストです。初心者から経験者まで対応しています 🚩

どんな貢献も歓迎します。PRを送ってください！❤️

-収録されているソフトウェアやリソースは私の所有物ではなく、教育目的でのみまとめられています-

目次

• 作成

  • プラットフォーム
  • フォレンジック
  • ステガノグラフィ
  • Web

• 解答

  • 暗号
  • エクスプロイト / Pwn
  • フォレンジック
  • Misc
  • リバースエンジニアリング
  • ステガノグラフィ
  • Web

• リソース

  • オンラインプラットフォーム
  • コラボレーションツール
  • Writeupリポジトリ
  • コース

• 参考文献

0x00. 作成

CTFチャレンジ作成に使われるツール

プラットフォーム

CTFをホストするためのフレームワーク

• CTFd - Jeopardy形式のCTFをホストするプラットフォーム。
• FBCTF - FacebookのCTFプラットフォーム。Jeopardy形式と"King of the Hill"形式のCTF大会をホスト。
• HackTheArch - CTF大会の採点サーバー。
• kCTF - KubernetesベースのCTF大会インフラ。
• LibreCTF - EasyCTFによるCTFプラットフォーム。
• Mellivora - PHPで書かれたCTFエンジン。
• NightShade - シンプルなCTFフレームワーク。
• picoCTF - picoCTFの実行に使われるインフラ。
• rCTF - redpwn CTFチームが作成したCTFプラットフォーム。現在はOtterSecチームが開発・保守。
• RootTheBox - ウォーゲーム用のCTF採点エンジン。
• ImaginaryCTF - CTFをホストするプラットフォーム。

フォレンジック

フォレンジックチャレンジ作成に使われるツール

• Belkasoft RAM Capturer - 揮発性メモリ取得ツール。
• Dnscat2 - DNS経由で通信をホスト。
• Magnet AXIOM 2.0 - アーティファクト中心のDFIRツール。
• Registry Dumper - Windowsレジストリをダンプするツール。

ステガノグラフィ

ステガノグラフィチャレンジ作成に使われるツール

ステガノグラフィの解答セクションを参照してください。

Web

Webチャレンジ作成に使われるツール

• Metasploit JavaScript Obfuscator - MetasploitにおけるJavaScript難読化の方法。

0x01. 解答

暗号

暗号チャレンジの解答に使われるツール

• Bacon Cipher - ベーコン暗号のエンコーダー・デコーダー。
• Base65536 - Base64に対するUnicodeの回答。
• Braille Translator - 点字からテキストへの翻訳。
• Ciphey - キーや暗号を知らなくても自動で暗号を復号し、エンコーディングをデコードし、ハッシュをクラックするツール。
• Crib Drag - ワンタイムパッド (OTP) クラッキングツール。
• CyberChef - 暗号化、エンコーディング、圧縮、データ解析のためのWebアプリ。
• Cryptii - モジュール式の変換、エンコーディング、暗号化をオンラインで。
• dCode.fr - 暗号、数学、エンコーディングのソルバーをオンラインで。
• Decodify - エンコードされた文字列を検出し、再帰的にデコード。
• Enigma Machine - 万能エニグママシンシミュレーター。
• FeatherDuster - 自動化されたモジュール式暗号解読ツール。
• Morse Code Translator - モールス信号翻訳・デコーダー。
• Galois - 高速ガロア体演算ライブラリ/ツールキット。
• HashExtender - ハッシュ長拡張攻撃を行うツール。
• Hash-identifier - シンプルなハッシュアルゴリズム識別子。
• padding-oracle-attacker - パディングオラクル攻撃を簡単に実行するCLIツールおよびライブラリ。
• PadBuster - パディングオラクル攻撃を実行する自動化スクリプト。
• PEMCrack - 暗号化された秘密鍵を含むSSL PEMファイルをクラック。総当たりまたは辞書攻撃。
• PKCrack - PkZip暗号解読ツール。
• Polybius Square Cipher - 文字を数字に変換する表。

エクスプロイト / Pwn

Pwnチャレンジの解答に使われるツール

• afl - セキュリティ指向のファザー。
• honggfuzz - セキュリティ指向のソフトウェアファザー。コードカバレッジに基づく進化的・フィードバック駆動型ファジングをサポート。
• libformatstr - フォーマット文字列攻撃を簡略化。
• One_gadget - One Gadget RCEを見つけるツール。
• Pwntools - エクスプロイト作成のためのCTFフレームワーク。
• ROPgadget - ROP攻撃のためのフレームワーク。
• Ropper - 異なるファイル形式の情報を表示し、異なるアーキテクチャ向けのROPチェーンを構築するためのガジェットを検索。
• Shellcodes Database - 大規模なシェルコードデータベース。

フォレンジック

フォレンジックチャレンジの解答に使われるツール

• A-Packets - ブラウザで簡単にPCAPファイルを解析。
• Autopsy - エンドツーエンドのオープンソースデジタルフォレンジックスプラットフォーム。
• Binwalk - ファームウェア解析ツール。
• Bulk-extractor - 高性能デジタルフォレンジックス解析ツール。
• Bkhive & samdump2 - SYSTEMファイルとSAMファイルをダンプ。
• ChromeCacheView - Google Chrome Webブラウザのキャッシュフォルダを読み取り、現在キャッシュに保存されているすべてのファイルのリストを表示する小さなユーティリティ。
• Creddump - Windows資格情報をダンプ。
• Exiftool - ファイルのメタデータを読み取り、書き込み、編集。
• Extundelete - ext3またはext4パーティションから削除されたファイルを復元できるユーティリティ。
• firmware-mod-kit - 再コンパイルせずにファームウェアイメージを修正。
• Foremost - ファイルのヘッダ、フッタ、内部データ構造に基づいてファイルを復元するコンソールプログラム。
• Forensic Toolkit - ハードドライブをスキャンして様々な情報を検索。削除された電子メールを見つけたり、ディスク上のテキスト文字列をスキャンしてパスワード辞書として使い暗号を解読する可能性がある。
• Forensically - 画像解析のための無料オンラインツール。多くの機能を備えている。
• MZCacheView - Firefox/Mozilla/Netscape Webブラウザのキャッシュフォルダを読み取り、現在キャッシュに保存されているすべてのファイルのリストを表示する小さなユーティリティ。
• NetworkMiner - ネットワークフォレンジック解析ツール (NFAT)。
• OfflineRegistryView - 外部ドライブからオフラインのレジストリファイルを読み取ることができるWindows用のシンプルなツール。
• photorec - ハードディスク、CD-ROM、デジタルカメラメモリからビデオ、ドキュメント、アーカイブ、失われた写真（Photo Recoveryという名前に由来）など、失われたファイルを復元するためのファイルデータ復元ソフトウェア。
• Registry Viewer - Windowsレジストリを表示するツール。

Misc

Miscチャレンジの解答に使われるツール

• boofuzz - 人間のためのネットワークプロトコルファジング。
• Veles - バイナリデータ解析・可視化ツール。

ブルートフォーサー:

• changeme - デフォルト認証情報スキャナー。
• Hashcat - 高度なパスワード復元。
• Hydra - 多数のプロトコルをサポートする並列化されたログインクラッカー。
• John the Ripper - オープンソースのパスワードセキュリティ監査・パスワード復元。
• jwt_tool - JSON Webトークンのテスト、調整、クラッキングのためのツールキット。
• Nozzlr - モジュール式でスクリプトフレンドリーなブルートフォースフレームワーク。
• Ophcrack - レインボーテーブルベースの無料Windowsパスワードクラッカー。
• Patator - モジュール設計で柔軟な使い方が可能な多目的ブルートフォーサー。
• Turbo Intruder - 大量のHTTPリクエストを送信し結果を分析するBurp Suite拡張機能。

難解言語:

• Brainfuck - Brainfuck難解プログラミング言語IDE。
• COW - 牛に着想を得たユーモラスなBrainfuck派生言語。
• Malbolge - Malbolge難解プログラミング言語ソルバー。
• Ook! - Ook! のデコード/エンコードツール。
• Piet - Pietプログラミング言語コンパイラ。
• Rockstar - 歌詞のように見えることを意図した言語。
• Try It Online - 多数の難解言語インタプリタを備えたオンラインツール。

サンドボックス:

• Any.run - インタラクティブなマルウェア調査サービス。
• Intezer Analyze - マルウェア解析プラットフォーム。
• Triage - クロスプラットフォーム対応の最先端マルウェア解析サンドボックス。

リバースエンジニアリング

リバースエンジニアリングチャレンジの解答に使われるツール

• Androguard - Androidファイルを扱うためのフルPythonツール。
• Angr - 強力でユーザーフレンドリーなバイナリ解析プラットフォーム。
• Apk2gold - AndroidアプリをJavaに逆コンパイルするCLIツール。
• ApkTool - サードパーティ製のクローズドなバイナリAndroidアプリをリバースエンジニアリングするツール。
• Binary Ninja - バイナリ解析フレームワーク。
• BinUtils - バイナリツールのコレクション。
• CTF_import - クロスプラットフォームでストリップされたバイナリから基本関数を実行。
• Compiler Explorer - オンラインコンパイラツール。
• CWE_checker - バイナリ実行ファイル内の脆弱なパターンを検出。
• Demovfuscator - movfuscatedバイナリ用の進行中のデオブフスケーター。
• Disassembler.io - オンデマンドで逆アセンブル。より重い代替手段を使う時間やリソース、要件がない場合の軽量なオンラインサービス。
• dnSpy - .NETデバッガー兼アセンブリエディタ。
• EasyPythonDecompiler - Pythonバイトコード（.pyc拡張子でよく見られる）を"逆コンパイル"する小さな.exe GUIアプリケーション。
• Frida - 開発者、リバースエンジニア、セキュリティ研究者のための動的インストルメンテーションツールキット。
• GDB - GNUプロジェクトデバッガー。
• GEF - エクスプロイト開発者・リバースエンジニア向けの高度なデバッグ機能を備えたGDBのモダンな体験。
• Ghidra - NSAが開発したソフトウェアリバースエンジニアリング (SRE) スイート。
• Hopper - OSXおよびLinux向けリバースエンジニアリングツール（逆アセンブラ）。
• IDA Pro - 最も使用されているリバースエンジニアリングソフトウェア。
• Jadx - AndroidのDexおよびApkファイルからJavaソースコードを生成するコマンドラインおよびGUIツール。
• - JavaおよびAndroid APK用のオンライン逆コンパイラ。

ステガノグラフィ

ステガノグラフィチャレンジの解答に使われるツール- AperiSolve - 画像のレイヤー解析を行うプラットフォーム。

• BPStegano - Python3ベースのLSBステガノグラフィ。
• DeepSound - 秘密データを音声ファイルに隠すフリーウェアのステガノグラフィツールおよび音声変換。
• DTMF Detection - 電話ボタンに共通する音声周波数。
• DTMF Tones - 電話ボタンに共通する音声周波数。
• Exif - JPEGファイルのEXIF情報を表示。
• Exiv2 - 画像メタデータ操作ツール。
• FotoForensics - 初心者研究者やプロの調査員にデジタル写真フォレンジックの最先端ツールへのアクセスを提供。
• hipshot - 動画ファイルや一連の写真を、長時間露光写真を模した単一の画像に変換するツール。
• Image Error Level Analyzer - デジタル画像を解析するツール。無料でウェブベース。エラーレベル分析、クローン検出などが可能。
• Image Steganography - クライアントサイドJavaScriptツールで、他の画像の下位ビットに画像をステガノグラフィ的に隠したり表示したりする。
• ImageMagick - 画像操作ツール。
• jsteg - JPEG画像に使用するコマンドラインツール。
• Magic Eye Solver - 画像から隠された情報を取得。
• Outguess - 汎用ステガノグラフィツール。
• Pngcheck - PNGの整合性を検証し、すべてのチャンクレベルの情報を人間が読める形式でダンプ。
• Pngtools - PNGに関連する様々な解析用。
• sigBits - ステガノグラフィ有意ビット画像デコーダ。
• SmartDeblur - 焦点が合っていない・ぼやけた写真/画像の復元。
• Snow - 空白ステガノグラフィツール
• Sonic Visualizer - 音声ファイルの可視化。

Web

Webチャレンジを解くためのツール

• Arachni - Webアプリケーションセキュリティスキャナフレームワーク。
• Beautifier.io - オンラインJavaScriptビューティファイア。
• BurpSuite - Webサイトのセキュリティをテストするグラフィカルツール。
• Commix - 自動化されたオールインワンのOSコマンドインジェクションエクスプロイトツール。
• debugHunter - 隠されたデバッグパラメータを発見し、Webアプリケーションの秘密を暴く。
• Dirhunt - ブルートフォースなしでWebディレクトリを見つける。
• dirsearch - Webパススキャナ。
• nomore403 - 40xエラーをバイパスするツール。
• ffuf - Goで書かれた高速Webファザー。
• git-dumper - Webサイトからgitリポジトリをダンプするツール。
• Gopherus - SSRFの悪用や様々なサーバでのRCE取得のためのgopherリンクを生成するツール。
• Hookbin - HTTPリクエストを収集、解析、表示できる無料サービス。
• JSFiddle - JSFiddleコードエディタでJavaScript、CSS、HTML、CoffeeScriptをオンラインでテスト。
• ngrok - localhostへの安全なイントロスペクト可能なトンネル。
• OWASP Zap - HTTPリクエストとレスポンスを再生、デバッグ、ファズするためのインターセプトプロキシ。
• PHPGGC - PHPのunserialize()ペイロードのライブラリと、コマンドラインまたはプログラムでそれらを生成するツール。
• Postman - ネットワークリクエストをデバッグするためのChromeアドオン。
• REQBIN - オンラインREST＆SOAP APIテストツール。
• Request Bin - Pipedreamによるイベントを検査するためのモダンなリクエストビン。
• Revelo - 難読化されたJavaScriptコードを解析。
• Smuggler - Python3で書かれたHTTPリクエストスマグリング/デシンクテストツール。

0x02. Resources

Online Platforms

常時オンラインのCTF

• 0x0539 - オンラインCTFチャレンジ。
• 247CTF - 無料のCapture The Flagハッキング環境。
• Archive.ooo - DEF CON CTFチャレンジのライブでプレイ可能なアーカイブ。
• Atenea - スペインのCCN-CERT CTFプラットフォーム。
• Break The Prompt - LLMのガードレールをバイパスし、プロンプトを脱獄することに焦点を当てたAIプロンプトインジェクションCTF。
• CTFlearn - 倫理的なハッカーが学習、練習、競技するために構築されたオンラインプラットフォーム。
• CTF365 - セキュリティトレーニングプラットフォーム。
• Crackmes.One - リバースエンジニアリングチャレンジ。
• CryptoHack - 暗号学チャレンジ。
• Cryptopals - 暗号学チャレンジ。
• Defend the Web - インタラクティブなサイバーセキュリティプラットフォーム。
• Dreamhack.io - オンラインウォーゲーム。
• echoCTF.RED - オンラインハッキングラボ。
• Flagyard - 実践的なサイバーセキュリティチャレンジのオンラインプレイグラウンド。
• HackBBS - オンラインウォーゲーム。
• Hacker101 - HackerOneによるCTFプラットフォーム。
• Hackropole - このプラットフォームでは、France Cybersecurity Challengeのチャレンジを再現することができます。
• HackTheBox - 大規模なハッキングプレイグラウンド。
• ParrotCTFs - ジェオパディスタイルのハッキングプレイグラウンド。
• HackThisSite - ハッカーのための無料で安全かつ合法的なトレーニング場。
• HBH - 悪意のあるハッカーがシステムや機密情報にアクセスするための方法や戦術を教えるために設計されたコミュニティ。
• Komodo - アプリケーションハッキングスキルに挑戦するために設計されたゲーム。

自己ホスト型CTF

• AWSGoat - 脆弱だらけのAWSインフラストラクチャ。
• CICD-goat - 意図的に脆弱にしたCI/CD環境。複数のチャレンジを通じてCI/CDセキュリティを学ぶ。
• Damn Vulnerable Web Application - 脆弱だらけのPHP/MySQL Webアプリケーション。
• GCPGoat - 脆弱だらけのGCPインフラストラクチャ。
• Juice Shop - OWASP Juice ShopのためのCapture-the-Flag (CTF)環境セットアップツール。

Collaborative Tools

• CTFNote - CTFチームが作業を整理するのを支援するコラボレーションツール。

Writeups Repositories

CTF Writeupsのリポジトリ

• Courgettes.Club - CTF Writeupファインダー。
• CTFtime - CTFtimeのWriteupsコレクション。
• Github.com/CTFs - CTF Writeupsのコレクション。

Courses

• Roppers Bootcamp - CTFブートキャンプ。

0x03. Bibliography

ここで紹介されているリソースは多数のソースから収集されています。ただし、最も重要なものは以下の通りです:

• apsdehal_awesome-ctf
• vavkamil_awesome-bugbounty-tools
• zardus_ctf-tools