PicoCTF 2026 on picoCTF Writeup

Password Profiler

Wed, 06 May 2026 23:45:00 +0800

題目連結

https://learn.cylabacademy.org/library/712

題目解法

這題題目提示中有提到 CUPP 這個 python 工具，這是一個可以根據使用者提供的資訊生成密碼字典的工具。
從 github 將 CUPP clone 下來並執行。

git clone https://github.com/Mebus/cupp.git
cd cupp
python cupp.py -i

跟著指示一步一步輸入資料，即可生成密碼字典。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


$ python .\cupp.py -i
 ___________
 cupp.py! # Common
 \  # User
 \  ,__, # Passwords
 \  (oo)____ # Profiler
 (__) )\
 ||--|| * [ Muris Kurgas | j0rgan@remote-exploit.org ]
 [ Mebus | https://github.com/Mebus/]


[+] Insert the information about the victim to make a dictionary
[+] If you don't know all the info, just hit enter when asked! ;)

> First Name: Alice
> Surname: Johnson
> Nickname: AJ
> Birthdate (DDMMYYYY): 15071990


> Partners) name: Bob
> Partners) nickname:
> Partners) birthdate (DDMMYYYY):


> Child's name: Charlie
> Child's nickname:
> Child's birthdate (DDMMYYYY):


> Pet's name:
> Company name:


> Do you want to add some key words about the victim? Y/[N]:
> Do you want to add special chars at the end of words? Y/[N]:
> Do you want to add some random numbers at the end of words? Y/[N]:
> Leet mode? (i.e. leet = 1337) Y/[N]:

[+] Now making a dictionary...
[+] Sorting list and removing duplicates...
[+] Saving dictionary to alice.txt, counting 10359 words.
> Hyperspeed Print? (Y/n) :
[+] Now load your pistolero with alice.txt and shoot! Good luck!

以下是生成的密碼字典
passwords.txt

Quizploit

Mon, 04 May 2026 00:30:00 +0800

題目連結

https://learn.cylabacademy.org/library/727

題目解法

使用 nc 連線後開始回答問題。

第 1 - 3 題：使用 file 指令查看執行檔詳細資料

webshell:~$ file vuln
vuln: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, BuildID[sha1]=19251d430d5dd4b44a3e8489a8c76f1894676f7d, for GNU/Linux 3.2.0, not stripped

[*] Question number 0x1:
Is this a '32-bit' or '64-bit' ELF? (e.g. 100-bit)
💡 Hint: Check if the system is x86_64 or x86. No compilation flag specified means default.
>> 64-bit

[*] Question number 0x2:
What's the linking of the binary? (e.g. static, dynamic)
💡 Hint: The program uses standard library functions like fprintf, fgets, and system.
>> dynamic

[*] Question number 0x3:
Is the binary 'stripped' or 'not stripped'?
💡 Hint: By default, binaries compiled without the -s flag contain debugging symbols.
>> not stripped

第 4 - 10 題查看並分析原始碼

Printer Shares

Mon, 04 May 2026 00:15:00 +0800

題目連結

https://learn.cylabacademy.org/library/759

題目解法

列出共享目錄 (Enumeration)
首先我們使用 smbclient，嘗試匿名登入查看伺服器上有那些共享資料夾，輸入密碼處直接按 enter。

smbclient -L <host> -p <port> -U ""
smbclient -L mysterious-sea.picoctf.net -p 53486 -U ""

-L: 列出（List）所有的共享資源。
-p 53486: 指定題目給的連接埠。
-U "": 使用空用戶名（匿名）。

webshell:~$ smbclient -L mysterious-sea.picoctf.net -p 53486 -U ""
Password for [WORKGROUP\]:
Sharename Type Comment
--------- ---- -------
shares Disk Public Share With Guests
IPC$ IPC IPC Service (Samba 4.19.5-Ubuntu)
SMB1 disabled -- no workgroup available

根據上方輸出內容，看到一個名為 shares 的共享資料夾，使用以下指令進入：
```
smbclient //mysterious-sea.picoctf.net/shares -p 53486 -U ""
```
看到 smb: \> 代表成功進入

Shared Secrets

Sun, 03 May 2026 03:20:00 +0800

題目連結

https://learn.cylabacademy.org/library/715

加密方式

這題是迪菲-赫爾曼密鑰交換 (Diffie-Hellman Key Exchange) 演算法。
加密邏輯如下：\

建立兩個公開參數，可以被任何人知道。
- 大質數 $p$
- 原根 $g$
產生私鑰與公鑰雙方各自產生自己的私鑰，並計算出對應的公鑰：
- Alice：
  - 選擇一個私鑰 $a$（隨機整數）。
  - 計算公鑰 $A = g^a \pmod p$。
  - 將 $A$ 傳送給 Bob。
- Bob：
  - 選擇一個私鑰 $b$（隨機整數）。
  - 計算公鑰 $B = g^b \pmod p$。
  - 將 $B$ 傳送給 Alice。
計算共享密鑰
雙方收到對方的公鑰後，利用自己的私鑰計算出相同的共享密鑰 $s$：
- Alice 計算：$s = B^a \pmod p$
- Bob 計算：$s = A^b \pmod p$
$s = B^a \pmod p = A^b \pmod p = g^{ab} \pmod p$

題目解法

這題的重點在於，雖然伺服器的私鑰 $a$ 是未知的，但題目已經直接給了所需的所有關鍵數值：$A$（伺服器公鑰）、$b$（客戶端私鑰）以及 $p$（大質數）。
使用以下 python 腳本可以解密得到 flag。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# 從 message.txt 複製過來的數值
g = 2
p = 1653798930689987750372209240014380521131540183716217687164747711336243702962818359267822691525697642105558753651223568056089606926425342081267821725904109431430327153613733358950243154522848602494020618427146508586350079988809469424456886589329449769221123659126892760967096413248127035734431548987006011015808526671
A = 771122236020803078829911570090382183223626843114693013412703353349864301811612864849857638111588507084769437566078749825291937213523446695097948166153379036322108656350710200734137906115055446496743841090323252143278700024424965369059879247648625799137192258413471893876530475007392243768366999108564494255853654467
b = 502087552249276796768894199149546386713173741864561762918671131549146319658647813949433247424965048798816294966029262647803764533595143429273283374211302160540685383641060542870573303301014875733971557824236009184578986290165659257363419797500816452080900496604781986251988455903195756181696996025184087945715324970
enc_hex = "cfd6dcd0fcebf9c4dbd7e0cc8cdccd8ccbe0dddb8c87d98c8889c2"

# 1. 計算共享密鑰 (Shared secret)
shared = pow(A, b, p)

# 2. 取得 XOR 的金鑰
key = shared % 256

# 3. 將 hex 轉回 bytes 並進行解密
enc_bytes = bytes.fromhex(enc_hex)
flag = bytes([x ^ key for x in enc_bytes])

print(key)
print(flag.decode())

不過這題的 key 很小，只有 256，所以直接暴力測試所有可能也可以。

StegoRSA

Sun, 03 May 2026 02:40:00 +0800

題目連結

https://learn.cylabacademy.org/library/719

題目解法

下載後得到兩個檔案，image.jpg 和 flag.enc 兩個檔案，其中 flag.enc 是加密後的結果，將其解密即可得到 flag。

根據提示知道私鑰藏在 image.jpg 的 metadata 中，使用 exiftool 查看發現 Comment 是一段使用 hex 編碼的內容，解碼後得到完整私鑰。

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

首先先將私鑰存到 private.pem（檔名隨意），使用 nano 或習慣的文字編輯器。
```
nano private.pem
```
這個私鑰屬於 PEM 格式的私鑰，可以使用 openssl 指令來進行解密。
```
openssl pkeyutl -decrypt -inkey private.pem -in flag.enc -out flag.txt
```
指令詳細內容：

Binary Digits

Sat, 02 May 2026 04:15:00 +0800

題目連結

https://learn.cylabacademy.org/library/698

題目解法

下載 digits.bin，內容都是由 0 和 1 組成，使用 cyberchef 的 From Binary 解碼後，會得到一串亂碼。
下載解碼露的檔案並放入 16 進位編輯器（如 HxD）中，會發現檔案開頭有 JFIF，因此可以猜測是 .jpg 的圖片檔。
將副檔名改為 .jpg 或是直接在 cyberchef 選擇 Render image 就能得到有 flag 的圖片。
```
picoCTF{h1d-----------------------b0a}
```

MultiCode

Sat, 02 May 2026 03:25:00 +0800

題目連結

https://learn.cylabacademy.org/library/710

題目解法

下載 message.txt，內容如下。

1

NjM3NjcwNjI1MDQ3NTMyNTM3NDI2MTcyNjY2NzcyNzE1ZjcyNjE3MDMwNzE3NjYxNzQ1ZjczNzM2ZjZmNmY3MzM1MzcyNTM3NDQ=

目前字串由大小寫字母及數字組成，且結尾是 =，可推測是使用 base64 編碼，解碼後如下。
```
637670625047532537426172666772715f72617030717661745f73736f6f6f733537253744
```
接著字串由多個數字以及 a 到 f 字母組成，可推測是使用 hex 編碼，解碼後如下。
```
cvpbPGS%7Barfgrq_rap0qvat_ssooos57%7D
```
字串中有 % 符號，且後面跟著兩個十六進位數字，這是 URL encoding 的特徵，解碼後如下。
```
cvpbPGS{arfgrq_rap0qvat_ssooos57}
```
字串開頭應該是 picoCTF，但是目前字串開頭是 cvpbPGS，使用 ROT13 進行解密，得到 flag。
```
picoCTF{nes-----------------b57}
```

提示

建議可以使用 cyberchef 這個線上工具來進行解碼，以下是解碼的步驟：

Piece by Piece

Fri, 01 May 2026 18:15:00 +0800

題目連結

https://learn.cylabacademy.org/library/740

題目解法

使用題目提供的 ssh 連線進去後，可以看到 instructions.txt。根據提示內容可以知道要將所有部分接在一起後解壓縮，才能獲得 flag。

1
2
3
4
5
6


Hint:

- The flag is split into multiple parts as a zipped file.
- Use Linux commands to combine the parts into one file.
- The zip file is password protected. Use this "supersecret" password to extract the zip file.
- After unzipping, check the extracted text file for the flag.

SUDO MAKE ME A SANDWICH

Fri, 01 May 2026 17:40:00 +0800

題目連結

https://learn.cylabacademy.org/library/735

題目解法

使用題目提供的 ssh 連線進去後，可以看到家目錄中有 flag.txt，但沒有權限讀取。

ctf-player@challenge:~$ ls
flag.txt
ctf-player@challenge:~$ cat flag.txt
cat: flag.txt: Permission denied
ctf-player@challenge:~$ sudo cat flag.txt
[sudo] password for ctf-player:
Sorry, user ctf-player is not allowed to execute '/usr/bin/cat flag.txt' as root on challenge.

使用 sudo 加上 -l 參數可以查看當前使用者使用 sudo 的權限，發現可以使用 sudo 執行 emacs 指令。

ctf-player@challenge:~$ sudo -l
Matching Defaults entries for ctf-player on challenge:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User ctf-player may run the following commands on challenge:
(ALL) NOPASSWD: /bin/emacs

emacs 是一個文字編輯器，可以使用 emacs 開啟 flag.txt，就可以看到裡面的內容了。

Old Sessions

Fri, 24 Apr 2026 23:35:00 +0800

題目連結

https://learn.cylabacademy.org/library/739

題目解法

進入網頁後，先隨便建立一組帳密並登入。登入後再主頁面可以看到多人的留言，其中 “mary_jones_8992” 留言 “Hey I found a strange page at /sessions”，如圖片所示。
前往 /sessions 頁面後，可以看到此頁面存了個使用者的 session data，包含 admin 的。
開啟瀏覽器的開發者工具，將 admin 的 session data 複製下來，點選 Application （有些瀏覽器叫做 storage），找到 Cookies，將 session 換成 /sessions 頁面中 admin 的 session data。
重新整理頁面後，就會變成 admin 身分，畫面上就出現 flag 了。

通靈解法

我解 CTF 題目時習慣性會直接在登入頁面輸入帳號 admin 密碼 password 來登入看看，結果第一次解這題時，這題 admin 的帳密剛好就是這組，害我第一次就直接就登進去看到 flag。

Bytemancy 0

Wed, 22 Apr 2026 02:46:08 +0800

題目連結

https://learn.cylabacademy.org/library/742

題目解法

下載題目提供的原始碼後，，可以看到第11行顯示當使用者輸入 3 個連續 e 時，就會印出 flag。
app.py

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


while(True):
 try:
 print('⊹──────[ BYTEMANCY-0 ]──────⊹')
 print("☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐")
 print()
 print('Send me ASCII DECIMAL 101, 101, 101, side-by-side, no space.')
 print()
 print("☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐")
 print('⊹─────────────⟡─────────────⊹')
 user_input = input('==> ')
 if user_input == "\x65\x65\x65":
 print(open("./flag.txt", "r").read())
 break
 else:
 print("That wasn't it. I got: " + str(user_input))
 print()
 print()
 print()
 except Exception as e:
 print(e)
 break

ping-cmd

Wed, 22 Apr 2026 01:55:48 +0800

題目連結

https://learn.cylabacademy.org/library/757

題目解法

啟動後透過 nc 指令連線，連線後內容大致如下，可以輸入一個 IP 位址（題目為了安全性只允許8.8.8.8）。

$ nc mysterious-sea.picoctf.net 54500
Enter an IP address to ping! (We have tight security because we only allow '8.8.8.8'): 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=115 time=8.44 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=115 time=8.43 ms
--- 8.8.8.8 ping statistics ---
2 packets transmitted, 2 received, 0% packet loss, time 1002ms
rtt min/avg/max/mdev = 8.433/8.438/8.444/0.005 m

根據提示及猜測，題目極有可能是使用 ping 指令後面加上使用者輸入的內容，因此可能存在指令注入（Command Injection）。因此可以嘗試在 IP 位址後面加上 ; 再加上其他指令來執行，以下為嘗試的指令。可以看到執行後列出當前目錄下有兩個檔案，分別是 flag.txt 和 script.sh。

Bytemancy 1

Fri, 17 Apr 2026 22:43:28 +0800

題目連結

https://learn.cylabacademy.org/library/762

題目解法

將題目提供的原始碼下載後，可以看到第11行顯示當使用者輸入 1751 個 e 時，就會印出 flag。
app.py

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


while(True):
 try:
 print('⊹──────[ BYTEMANCY-1 ]──────⊹')
 print("☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐")
 print()
 print('Send me ASCII DECIMAL 101 1751 times, side-by-side, no space.')
 print()
 print("☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐☉⟊☽☈⟁⧋⟡☍⟐")
 print('⊹─────────────⟡─────────────⊹')
 user_input = input('==> ')
 if user_input == "\x65"*1751:
 print(open("./flag.txt", "r").read())
 break
 else:
 print("That wasn't it. I got: " + str(user_input))
 print()
 print()
 print()
 except Exception as e:
 print(e)
 break

My Git

Fri, 17 Apr 2026 21:18:48 +0800

題目連結

https://learn.cylabacademy.org/library/764

題目解法

輸入 ssh 指令以及密碼來 clone 下專案到本地。

查看 README.md 內容，得知要使用使用者名稱 root、電子郵件 root@picoctf 來推送 flag.txt 到遠端。

1
2
3
4
5
6
7
8


$ cat README.md
# MyGit

### If you want the flag, make sure to push the flag!

Only flag.txt pushed by ```root:root@picoctf``` will be updated with the flag.

GOOD LUCK!

使用 git config 來設定使用者名稱和電子郵件

Undo

Thu, 16 Apr 2026 22:00:24 +0800

題目連結

https://learn.cylabacademy.org/library/766

題目解法

透過 nc 指令連線

步驟一：

--- Step 1 ---
Current flag: KTBxcDI0bnIwLWZhMDFnQHplMHNmYTRlRy1nazNnLXRhMWZlcmlyRShTR1BicHZj
Hint: Base64 encoded the string.
Enter the Linux command to reverse it:

要求使用 base64 解密，使用以下指令來解密

base64 -d

步驟二：

--- Step 2 ---
Current flag: )0qp24nr0-fa01g@ze0sfa4eG-gk3g-ta1ferirE(SGPbpvc
Hint: Reversed the text.
Enter the Linux command to reverse it:

要求使用將字串反轉，使用以下指令來反轉

rev

步驟三：

--- Step 3 ---
Current flag: cvpbPGS(Eriref1at-g3kg-Ge4afs0ez@g10af-0rn42pq0)
Hint: Replaced underscores with dashes.
Enter the Linux command to reverse it:

要求將字串的 ‘-’ 換成 ‘_’, 使用以下指令來替換