【picoCTF】Log Hunt - サーバーログをgrepして分割されたフラグを再構成

問題概要

picoCTFの「Log Hunt」という問題の解説記事です。

• カテゴリ: General Skills
• 難易度: Easy

問題文

解説

ステップ1: ログファイル形式の確認

$ file server.log
server.log: ASCII text

ステップ2: ログファイルの内容確認

$ head server.log
[1990-08-09 10:00:10] INFO FLAGPART: picoCTF{us3_
[1990-08-09 10:00:16] WARN Disk space low
[1990-08-09 10:00:19] DEBUG Cache cleared
[1990-08-09 10:00:23] WARN Disk space low
[1990-08-09 10:00:25] INFO Service restarted
[1990-08-09 10:00:33] WARN Disk space low
[1990-08-09 10:00:38] ERROR Connection lost
[1990-08-09 10:00:46] ERROR Failed login attempt
[1990-08-09 10:00:48] INFO User logged in
[1990-08-09 10:00:50] INFO User logged in

出力結果からログファイルには、様々なログレベル（INFO、WARN、DEBUG、ERROR、FLAGPART）が含まれていることがわかります。

ステップ3: フラグの抽出

$ grep "FLAGPART" server.log
[1990-08-09 10:00:10] INFO FLAGPART: picoCTF{us3_
[1990-08-09 10:02:55] INFO FLAGPART: y0urlinux_
[1990-08-09 10:05:54] INFO FLAGPART: sk1lls_
[1990-08-09 10:05:55] INFO FLAGPART: sk1lls_
[1990-08-09 10:10:54] INFO FLAGPART: cedfa5fb}
[1990-08-09 10:10:58] INFO FLAGPART: cedfa5fb}
[1990-08-09 10:11:06] INFO FLAGPART: cedfa5fb}
[1990-08-09 11:04:27] INFO FLAGPART: picoCTF{us3_
[1990-08-09 11:04:29] INFO FLAGPART: picoCTF{us3_
[1990-08-09 11:04:37] INFO FLAGPART: picoCTF{us3_
[1990-08-09 11:09:16] INFO FLAGPART: y0urlinux_
[1990-08-09 11:09:19] INFO FLAGPART: y0urlinux_
[1990-08-09 11:12:40] INFO FLAGPART: sk1lls_
[1990-08-09 11:12:45] INFO FLAGPART: sk1lls_
[1990-08-09 11:16:58] INFO FLAGPART: cedfa5fb}
[1990-08-09 11:16:59] INFO FLAGPART: cedfa5fb}
[1990-08-09 11:17:00] INFO FLAGPART: cedfa5fb}
[1990-08-09 12:19:23] INFO FLAGPART: picoCTF{us3_
[1990-08-09 12:19:29] INFO FLAGPART: picoCTF{us3_
[1990-08-09 12:19:32] INFO FLAGPART: picoCTF{us3_
[1990-08-09 12:23:43] INFO FLAGPART: y0urlinux_
[1990-08-09 12:23:45] INFO FLAGPART: y0urlinux_
[1990-08-09 12:23:53] INFO FLAGPART: y0urlinux_
[1990-08-09 12:25:32] INFO FLAGPART: sk1lls_
[1990-08-09 12:28:45] INFO FLAGPART: cedfa5fb}
[1990-08-09 12:28:49] INFO FLAGPART: cedfa5fb}
[1990-08-09 12:28:52] INFO FLAGPART: cedfa5fb}

$ grep "FLAGPART" server.log | awk '{print $NF}' | sort | uniq
cedfa5fb}
picoCTF{us3_
sk1lls_
y0urlinux_

使用したコマンドの軽い解説

file

file <ファイル名>

head

head <ファイル名>

headコマンドは指定したファイルの最初の数行(デフォルト10行)を表示します。 ログファイルの構造や内容を素早く把握するのに役立ちます。 いきなり全文を表示するのではなく、最初の部分を確認することで効率的に解析を進められます。

grep

grep '<検索文字列>' <ファイル名>

awk

awk '{print $NF}' <ファイル名>

awkコマンドは、1行のテキストを空白区切りの「フィールド（列）」として扱い、 必要な部分だけを取り出すことができるテキスト処理ツールです。

今回のログでは、FLAGPART を含む行の一番最後にフラグの断片が記録されています。 $NF は「その行に存在する最後のフィールド」を意味するため、 これを指定することで、ログ行の末尾にあるフラグ部分だけを抽出できます。

sort

sort

uniq

uniq

まとめ

▼ポイントは以下の通りです。

• まずは file コマンドでファイル形式を確認する。
• ログは head や less で構造を把握してから解析する。
• 怪しいキーワードは grep で絞り込む。
• awk・sort・uniq を組み合わせて情報を整理する。

閲覧ありがとうございました！