WATKORN.ME (ภาษาไทย) https://watkorn.me/th/ writeup CTF บันทึกสาย security และเครื่องมือโดย watkorn th Writeup: mini CTF ของ watkorn.me https://watkorn.me/th/blogs/mini-ctf-writeup/ https://watkorn.me/th/blogs/mini-ctf-writeup/ Sat, 26 Sep 2026 00:00:00 GMT เฉลยซีซัน 1 ของ mini CTF ในเว็บนี้: dotfile, view-source, robots.txt และเยติที่มีความลับ สปอยล์แน่นอนอยู่แล้ว ctf writeup beginner

เตือนสปอยล์ โพสต์นี้เฉลยทุกด่านของ mini CTF ในเว็บนี้ ถ้ายังไม่ได้ลองเล่น ไปที่หน้าแรก พิมพ์ ls แล้วค่อยกลับมาตอนติด คำใบ้ดูฟรีได้ที่หน้าความสำเร็จ ส่วนตัว flag พับซ่อนไว้ใต้แต่ละด่าน อ่านวิธีคิดได้โดยไม่เห็นคำตอบ โพสต์นี้เฉลยแค่ซีซัน 1 (ด่าน 1–5) ซีซัน 2 (ด่าน 6–8) ยังเปิดเล่นอยู่ เลยยังไม่มีเฉลยตรงนี้

ซีซัน 1 มี 5 ด่าน ด่านละ 10 ถึง 50 แต้ม (รวม 150 จากทั้งหมด 360) terminal ตรวจคำตอบด้วยคำสั่ง submit <flag> และมันรู้แค่ SHA-256 hash ของ flag เท่านั้น คำตอบจึงไม่ได้วางเป็น plain text อยู่ใน JavaScript ก็... ส่วนใหญ่อ่ะนะ ไปกันเลย

ด่าน 1: วอร์มอัพ (10 แต้ม)

"มีไฟล์วางทิ้งไว้ในโฟลเดอร์ home"

ท่าแรกสุดคลาสสิกของทุก shell คือมองไปรอบๆ:

watkorn@me:~$ ls
flag.txt  README.md
watkorn@me:~$ cat flag.txt

จบ ด่านวอร์มอัพคือไฟล์ชื่อ flag.txt ตรงตัวเลย แถมยังมีทางลับอีกทาง: echo ข้อความที่มีคำว่า "flag" ก็พิมพ์ flag ออกมาเหมือนกัน

ดู flag

my_w3b_is_c00ler_th4n_u_th1nk

บทเรียน: สำรวจให้ครบก่อนจะทำอะไรเท่ๆ เสมอ ls, cat, file, strings

ด่าน 2: ซ่อนไว้ต่อหน้าต่อตา (20 แต้ม)

"ls แสดงไฟล์ แต่ ls -la แสดงทุกไฟล์"

บน Linux ไฟล์ที่ขึ้นต้นด้วยจุดจะไม่โผล่ตอนสั่ง ls เฉยๆ ต้องเติม -a (all) และ -l (long):

watkorn@me:~$ ls -la
drwxr-xr-x 3 watkorn users 4096 Oct 8 2025 .
drwxr-xr-x 3 watkorn users 4096 Oct 8 2025 ..
drwx------ 2 watkorn users 4096 Oct 8 2025 .secret
-rw-r--r-- 1 watkorn users   67 Oct 8 2025 flag.txt
-rw-r--r-- 1 watkorn users  123 Oct 8 2025 README.md
watkorn@me:~$ cd .secret
watkorn@me:~/.secret$ cat note.b64
d2F0a29ybntkMHRmMWwzc180cjNfbjB0X3MzY3IzdHN9

นามสกุล .b64 ฟ้องชัด: มีแต่ตัวอักษรกับตัวเลข และความยาวหารด้วย 4 ลงตัว ร้องตะโกนว่า Base64 เอาไป decode ที่ไหนก็ได้ยกเว้น terminal ของเว็บนี้:

echo 'd2F0a29ybntkMHRmMWwzc180cjNfbjB0X3MzY3IzdHN9' | base64 -d

หรือใช้ CyberChef กับ operation "From Base64"

ดู flag

watkorn{d0tf1l3s_4r3_n0t_s3cr3ts}

บทเรียน: Base64 คือ encoding ไม่ใช่ encryption ใครก็ย้อนกลับได้ ไม่ต้องมีกุญแจ และ dotfile ที่ "ซ่อน" อยู่ก็ซ่อนอะไรไม่ได้เลยจากคนที่พิมพ์ -a เป็น

ด่าน 3: ดูซอร์สโค้ด (30 แต้ม)

"หน้าที่เห็นไม่ใช่ทั้งหมดของหน้าเว็บ"

สิ่งที่เบราว์เซอร์แสดงเป็นแค่ส่วนหนึ่งของสิ่งที่เซิร์ฟเวอร์ส่งมา เปิด HTML ดิบๆ ด้วย Ctrl+U (หรือ view-source:https://watkorn.me/) หรือดึงมาดูเลย:

curl -s https://watkorn.me/ | grep -i "note to self"

แถวๆ ต้น <body> มี HTML comment อยู่:

<!-- note to self (level 3): jngxbea{i13j_f0hep3_o3s0e3_l0h_u4px}  ·  rot13, obviously -->

มันบอกวิธีเข้ารหัสมาให้ด้วยซ้ำ ROT13 เลื่อนตัวอักษรแต่ละตัวไป 13 ตำแหน่ง ทำซ้ำสองรอบก็กลับมาที่เดิม:

echo 'jngxbea{i13j_f0hep3_o3s0e3_l0h_u4px}' | tr 'A-Za-z' 'N-ZA-Mn-za-m'

ตัวเลขกับสัญลักษณ์ไม่ถูกแตะเลย {, _ และตัวเลขแบบ leetspeak เลยรอดมาครบ

ดู flag

watkorn{v13w_s0urc3_b3f0r3_y0u_h4ck}

บทเรียน: comment หลุดขึ้น production บ่อยกว่าที่คิด ในโจทย์ web จริง (และ bug bounty จริง) ให้อ่าน source, JavaScript bundle และ HTML comment ก่อนเป็นอย่างแรก

ด่าน 4: สำหรับหุ่นยนต์เท่านั้น (40 แต้ม)

"crawler ที่มีมารยาทจะอ่านไฟล์หนึ่งก่อนเสมอ ลองทำตัวไม่มีมารยาทดู"

ไฟล์นั้นคือ /robots.txt คำขอร้องแบบสุภาพถึง search engine ว่าอย่าเก็บหน้าไหนเข้า index:

curl -s https://watkorn.me/robots.txt

User-agent: *
Disallow: /y3t1-l41r/

"ช่วยอย่าไปดู /y3t1-l41r/ นะ" ก็คือคำเชิญดีๆ นี่เอง เข้าไปที่ถ้ำของเยติ แล้วจะเจอกำแพง byte: 77 61 74 6b 6f 72 6e 7b … นั่นคือ hex ตัวอักษรทุกคู่คือหนึ่ง byte และ 77 61 74 ก็คือ wat แปลงกลับได้แบบนี้:

echo '77 61 74 6b 6f 72 6e 7b 72 30 62 30 74 73 5f 74 78 74 5f 31 73 5f 34 5f 74 72 33 34 73 75 72 33 5f 6d 34 70 7d' | xxd -r -p

ไม่มี xxd? ใช้ Python ได้ทุกที่ (หรือ "From Hex" ใน CyberChef ก็ได้):

python3 -c "print(bytes.fromhex('77 61 74 6b 6f 72 6e 7b 72 30 62 30 74 73 5f 74 78 74 5f 31 73 5f 34 5f 74 72 33 34 73 75 72 33 5f 6d 34 70 7d').decode())"
ดู flag

watkorn{r0b0ts_txt_1s_4_tr34sur3_m4p}

บทเรียน: robots.txt ไม่ใช่ access control มันคือรายชื่อ path ที่มีคนอยากซ่อนพอดี เลยเป็นหนึ่งในไฟล์แรกๆ ที่ต้องเช็กในทุกโจทย์ web และทุกการทำ recon

ด่าน 5: ความลับในพิกเซล (50 แต้ม)

"เยติคือไฟล์ SVG ลองเปิดไฟล์นั้นแยกออกมา แล้วมองให้ลึกกว่าพิกเซล"

เยติพิกเซลไม่ได้เป็นแท็กรูปภาพ มันวาดจาก SVG sprite ลองเปิด DevTools (F12 → Elements) แล้ว inspect ตัวเยติ จะเจอประมาณนี้:

<use href="/assets/yeti-XXXXXXXX.svg#yeti"></use>

(ส่วนหลัง yeti- คือ content hash ของคุณอาจไม่ตรงกับนี้) เปิดไฟล์ SVG นั้นในแท็บใหม่แล้วดู source SVG ก็คือ XML ธรรมดา และข้างๆ ภาพวาดมี element <metadata> ที่เบราว์เซอร์ไม่เคยแสดงผล:

<metadata>yeti-says: d2F0a29ybntwMXgzbHNfYzRuX2gxZDNfc3Q0ZmZfdDAwfQ==</metadata>

== ที่ต่อท้ายคือ padding ของ Base64 อีกแล้ว:

echo 'd2F0a29ybntwMXgzbHNfYzRuX2gxZDNfc3Q0ZmZfdDAwfQ==' | base64 -d

สายบรรทัดคำสั่ง ไม่ต้องเปิด DevTools:

js=$(curl -s https://watkorn.me/ | grep -o '/assets/index-[^"]*\.js')
svg=$(curl -s "https://watkorn.me$js" | grep -o '/assets/yeti-[^"`]*\.svg' | head -1)
curl -s "https://watkorn.me$svg" | grep -o 'yeti-says: [^<]*'
ดู flag

watkorn{p1x3ls_c4n_h1d3_st4ff_t00}

บทเรียน: รูปภาพพกข้อมูลได้ SVG เป็นไฟล์ข้อความที่ใส่ metadata, comment หรือแม้แต่ script ได้ เว็บจริงจึงต้อง sanitise SVG ที่ผู้ใช้อัปโหลด และโจทย์ steganography ก็ชอบไฟล์รูปด้วยเหตุผลนี้

ระบบตรวจทำงานยังไง (และข้อจำกัด)

  • terminal เอาสิ่งที่คุณ submit ไป hash ด้วย SHA-256 ในเบราว์เซอร์ของคุณเอง (crypto.subtle.digest) แล้วเทียบกับ hash ที่เก็บไว้ hash เปิดเผยได้ แต่ย้อนกลับเป็น flag ไม่ได้
  • ความคืบหน้าเก็บไว้ใน localStorage ของเบราว์เซอร์คุณ ไม่มีอะไรถูกส่งไปเซิร์ฟเวอร์ เพราะไม่มีเซิร์ฟเวอร์ให้ส่ง
  • ข้อจำกัดตรงๆ: flag ข้อ 1 และ 2 ต้องอยู่ใน JavaScript เพราะ terminal เป็นคนพิมพ์มันออกมา และทั้งเว็บเป็น open source การไปอ่าน repo เลยเป็นกลยุทธ์ที่ใช้ได้ แม้จะแอบขี้โกงนิดๆ สำหรับ CTF วอร์มอัพ นี่ถือเป็นฟีเจอร์

mini CTF นี้สอนอะไร

ด่าน เทคนิค ในโลกจริง
1 สำรวจก่อน ls, strings, อ่านทุกไฟล์ที่ได้มา
2 ไฟล์ซ่อน + Base64 dotfile, .git/, ค่า config ที่ถูก encode
3 view source + ROT13 comment ที่หลุด, secret ใน JS bundle
4 robots.txt + hex recon ที่ robots.txt, sitemap.xml, .well-known/
5 metadata ของไฟล์ ข้อมูล EXIF, metadata ใน SVG/Office, steganography

เจอครบทั้ง 5 แล้ว? ซีซัน 2 รออยู่ เป็นด่านที่ยากขึ้น 3 ด่าน เกี่ยวกับ cookie ตู้เซฟ และรูปภาพ คำใบ้อยู่ที่หน้าความสำเร็จ

]]> เตรียมตัวลง CTF ครั้งแรก https://watkorn.me/th/blogs/preparing-for-ctf/ https://watkorn.me/th/blogs/preparing-for-ctf/ Wed, 08 Oct 2025 00:00:00 GMT ชุดเริ่มต้นแบบไม่อ้อมค้อมสำหรับ Capture The Flag ครั้งแรก: เลือกสายที่ถนัด เซ็ตเครื่องมือ ซ้อมมือ แล้วเอาตัวรอดให้ได้ตลอดสุดสัปดาห์ ctf beginner การแข่ง Capture The Flag (CTF) คือวิธีเรียน security ที่สนุกที่สุดแล้ว ผู้จัดจะซ่อนข้อความหน้าตาแบบ flag{...} ไว้หลังเว็บแอปพังๆ ไบนารีแปลกๆ หรือไฟล์ PCAP ที่ดูมีพิรุธ หน้าที่ของเราคือรื้อมันให้พัง (แบบถูกกฎหมาย) จนกว่า flag จะหล่นออกมา ช่วงแรกจะแพ้บ่อยมาก และนั่นแหละคือประเด็น

นี่คือไกด์ที่ผมอยากให้มีคนยื่นให้ก่อนลงแข่งครั้งแรก

CTFtime เว็บสำหรับหา CTF ที่กำลังจะจัด

ก่อนอื่น CTF นี้เป็นแบบไหน?

  • Jeopardy กระดานโจทย์แบ่งตามหมวดและคะแนน จะแก้ข้อไหนก่อนก็ได้ CTF ราว 90% เป็นแบบนี้ และเป็นจุดที่ควรเริ่ม
  • Attack–Defense ทุกทีมได้ service ที่มีช่องโหว่ชุดเดียวกัน ต้อง patch ของตัวเองแล้วไปเจาะของทีมอื่น วุ่นวายแต่มันส์มาก ยังไม่ใช่ของสัปดาห์แรก
  • King of the Hill ยึดเครื่องให้ได้แล้วรักษาไว้ให้นานที่สุด ลองเล่นใน TryHackMe ได้เมื่อเริ่มคล่องแล้ว

หางานแข่งได้ที่ CTFtime มองหางานที่ติดป้าย beginner หรือมีค่า "weight" ต่ำๆ

เลือกสายก่อน (แล้วค่อยขยาย)

ไม่มีใครเก่งทุกอย่าง เริ่มจากสักหนึ่งหรือสองหมวด แล้วค่อยขยายออกไป

หมวด คืออะไร ควรเรียนอะไรก่อน
web เจาะเว็บแอป HTTP, cookie, SQLi, XSS, SSTI, IDOR, อ่าน JS
pwn เจาะไบนารีจนได้ shell ภาษา C, โครงสร้าง stack, buffer overflow, ROP, checksec
rev แกะว่าโปรแกรมทำอะไร พื้นฐาน x86-64, Ghidra, strace/ltrace, การ patch
crypto เจาะการเข้ารหัสที่ทำพลาด XOR, จุดพลาดของ RSA, padding, ความต่างระหว่าง encoding กับ encryption
forensics ขุดไฟล์ หน่วยความจำ และทราฟฟิก รูปแบบไฟล์, Wireshark, Volatility, steganography
misc / OSINT ที่เหลือทั้งหมด ทักษะ Linux, เขียนสคริปต์, ทักษะการค้นหา

ถ้าไม่รู้จะเริ่มตรงไหน: web หรือ forensics ได้ผลเร็ว ไม่ต้องรู้ assembly ก่อน

เซ็ตเครื่องมือ

ใช้ Linux VM (Kali, Parrot หรือ Ubuntu ธรรมดา) จะรวมทุกอย่างไว้ที่เดียวและไม่ทำให้เครื่องหลักรก เครื่องมือหลัก:

  • ใช้ทุกหมวด: Python 3, CyberChef, file, strings, text editor ดีๆ สักตัว
  • Web: Burp Suite Community, DevTools ของเบราว์เซอร์, ffuf, curl
  • Pwn / rev: pwntools, GDB + pwndbg หรือ GEF, Ghidra, checksec
  • Forensics: Wireshark, binwalk, exiftool, Volatility 3
  • Crypto / แคร็กรหัส: hashcat, John the Ripper, SageMath หรือ Python เปล่าๆ
sudo apt install -y python3-pip gdb binwalk exiftool wireshark john hashcat
pip install pwntools
git clone https://github.com/pwndbg/pwndbg && cd pwndbg && ./setup.sh

ซ้อมก่อนถึงวันแข่ง

  • picoCTF: ที่ที่ดีที่สุดสำหรับเริ่มต้น โจทย์มีตั้งแต่ง่ายๆ ไปจนถึงยากของจริง
  • OverTheWire: Bandit: พื้นฐาน Linux ทีละด่าน
  • TryHackMe: ห้องแบบมีไกด์และเส้นทางการเรียน
  • Hack The Box: เครื่องที่สมจริง และมีส่วน "Challenges" สไตล์ CTF
  • pwn.college: คอร์สมหาวิทยาลัยฟรีสำหรับสาย pwn และ rev
  • CryptoHack: เรียน crypto ผ่านปริศนา

ทำทีละนิดทุกวันดีกว่าอัดทีเดียวทั้งสุดสัปดาห์ แก้โจทย์ง่ายได้สิบข้อ ดีกว่าโจทย์ยากข้อเดียวที่ถอดใจกลางทาง

10 นาทีแรกของทุกโจทย์

ก่อนจะทำอะไรเท่ๆ ให้รันของน่าเบื่อก่อน มันแก้โจทย์ได้มากกว่าที่คิด

file chall                      # ตกลงไฟล์นี้คืออะไรกันแน่?
strings -n 8 chall | less       # ข้อความที่อ่านออก บางทีก็คือ flag เลย
exiftool image.png              # metadata
binwalk -e firmware.bin         # ไฟล์ที่ซ่อนอยู่ในไฟล์
checksec --file=./chall         # ไบนารีนี้เปิดระบบป้องกันอะไรไว้บ้าง?

โจทย์ web: อ่าน source ของหน้า เปิด DevTools ดู /robots.txt เช็ก cookie และส่องทุก request ใน Burp

ระหว่างแข่ง

  • อ่านโจทย์ทุกข้อก่อน เรียงตามจำนวนคนที่แก้ได้ ข้อที่คนแก้ได้เยอะที่สุดมักจะง่ายที่สุด
  • จับเวลา ถ้า 45–60 นาทีแล้วยังไม่คืบ ให้เปลี่ยนข้อแล้วค่อยกลับมาทีหลัง
  • จดทุกอย่าง ลองอะไรไปแล้ว อะไรไม่ได้ผล และทุกความแปลกที่สังเกตเห็น ตัวเราในอนาคตจะขอบคุณ
  • อ่านกติกา ห้ามโจมตีโครงสร้างระบบของงาน ห้าม brute-force การส่ง flag ห้ามแชร์ flag
  • นอนกับกินข้าว จริงจังนะ สมองที่ล้าหาบั๊ก off-by-one ไม่เจอหรอก

เล่นเป็นทีม

  • หนึ่ง channel หรือ thread ต่อหนึ่งโจทย์ โพสต์ว่าลองอะไรไปแล้วบ้าง
  • "จอง" โจทย์ก่อนลงมือ จะได้ไม่มีสองคนทำเรื่องเดียวกันเงียบๆ
  • รวมโน้ตไว้ที่เดียว (Obsidian, HedgeDoc หรือ Notion) อย่าให้อะไรอยู่แค่ในหัวใครคนเดียว
  • จับคู่กัน: คนเก่ง rev คู่กับคนเก่ง pwn คือคอมโบที่ดีมาก

หลังแข่งจบ (ส่วนที่ทุกคนชอบข้าม)

การเรียนรู้จริงๆ เกิดขึ้นตรงนี้:

  1. อ่าน writeup ของทีมอื่น สำหรับข้อที่เราแก้ไม่ได้ CTFtime จะรวมลิงก์ไว้ในหน้าของแต่ละงาน
  2. เขียน writeup ของตัวเอง ต่อให้เป็นข้อง่ายก็เขียน การอธิบายวิธีแก้คือสิ่งที่ทำให้มันติดหัว (บนเว็บนี้ใช้คำสั่ง npm run new-post -- --writeup "Challenge name")
  3. เปลี่ยนทริกที่ใช้ซ้ำๆ ให้เป็น cheat sheet ทั้ง payload, one-liner และ snippet Python

เช็กลิสต์สั้นๆ

อยากวอร์มอัพตอนนี้เลย? terminal ในหน้าแรก มี flag ซ่อนอยู่ทั่วเว็บนี้ 8 อัน เช็กความคืบหน้าได้ที่หน้าความสำเร็จ ขอให้โชคดี และสนุกกับการรื้อของให้พังนะ

]]>