入門セキュリティコンテストーー CTF を解きながら学ぶ実戦技術

セキュリティコンテスト「CTF (Capture The Flag)」についての入門書です。CTF は情報セキュリティ技術を競う競技で、本書で扱う「クイズ形式」の CTF では、情報セキュリティに関係するさまざまな分野の問題が与えられ、参加者は多様な技術 (解析技術や攻撃技術) を駆使し、問題の答えとなる「flag」と呼ばれる文字列を見つけ出します。
本書では SECCON などの CTF の過去問を解きながら、CTF の流れや定石を学びつつ、問題を解くのに使う「暗号」「脆弱性」「リバースエンジニアリング」といった、セキュリティに関する実践的な知識についても解説します。各章では次の勉強につながるよう参考文献も紹介。CTF への参加を考えている方にも、実践的なセキュリティ技術を身につけたい方にもお勧めできる 1 冊です。

問題の中に隠された「flag」と呼ばれる文字列を、解析や攻撃の技術を使って見つけ出す競技が CTF (Capture The Flag) です。『入門セキュリティコンテスト』 (中島 明日香 著、技術評論社、2022 年 11 月 26 日発売) は、副題に「CTF を解きながら学ぶ実戦技術」と掲げる CTF の入門書で、本書が扱うのは情報セキュリティのさまざまな分野の問題が出されるクイズ形式の CTF です。版元の概要によれば、SECCON などの CTF の過去問を解きながら CTF の流れや定石を学び、問題を解くのに使う「暗号」「脆弱性」「リバースエンジニアリング」といった実践的な知識も解説します。各章には次の勉強につながる参考文献も紹介されています。

Chapter 0 と、ジャンル別の過去問を解く 8 章の構成

目次は Chapter 0「CTF 超入門」から始まり、CTF の種類、国内外の CTF、参加の方法、問題の Writeup を書くこと、本書の内容についての注意を扱います。続く 8 章は 1 章に 1 問ずつで、Chapter 1 はリバースエンジニアリング問題「runme.exe」、Chapter 2 は暗号問題「Unzip the file」、Chapter 3 はフォレンジック問題「History」、Chapter 4 は Web セキュリティ問題「reiwaVote」、Chapter 5 はネットワーク問題「Find the key!」、Chapter 6 は Pwnable 問題「baby_stack」、Chapter 7 と Chapter 8 は Misc 問題の「Sandstorm」と「Mail Address Validator」です。8 章とも、問題ファイルの初期調査の節と、解法と解答の節を持つ並びです。巻末の Appendix は IDA Freeware と Wireshark のインストールを扱います。

解いたあとに仕組みへ戻る、章ごとの掘り下げ

多くの章では、解答のあとに「なぜ」を掘り下げる節が続きます。Chapter 2 は 2.4「なぜ暗号化が解けたのか?」で ZIP の暗号化方式の概要と Traditional PKWARE Encryption に戻り、Chapter 3 は NTFS とジャーナリング機能を含むファイルシステムの節、Chapter 5 は 5.4「ping の中になぜ HTTP 通信が紛れ込んでいたのか?」、Chapter 7 は PNG のインターレースと Adam7 アルゴリズム、Chapter 8 は 8.4「なぜ flag が返ってきたのか?」で ReDoS と有限オートマトン、バックトラッキングを扱います。Chapter 6 は脆弱性緩和技術やシステムコールの節を含み、Chapter 1 はアセンブリの基本、関数の呼び出し、レジスターの節を置いています。解答と仕組みの説明が組になっているので、同じ型の別の問題に出会ったときの手がかりとして残しやすくなります。

正解が一つに決まる競技が、技術の地図になる理由

旗取り型の競技 の問題は、正解の文字列が一つに決まっているため、自分の理解が足りているかどうかを曖昧にせずに確かめられます。分野の分け方も実務とつながっています。実行ファイルの中身を読み解く技術はマルウェア解析に、ディスクや通信の記録から出来事を復元する技術はインシデント対応に、Web アプリケーションの弱点を突く技術は開発時のセキュリティ確認に、それぞれ地続きです。たとえば、利用者の入力の形式を確かめる パターン記述 の書き方一つで、悪意ある短い文字列にサーバーの処理を長時間占有されることがあります。こうした「仕様どおりに動いているのに危ない」箇所に気づく目は、攻撃の側から一度なぞってみることで養われやすいものです。そのうえで、ここで身につける技法は、CTF の問題や自分が管理する検証環境の中でだけ使うものです。許可を得ていないシステムに向ければ法に触れます。

CTF を始めたい人から勝ち進みたい人まで、前提と選び方

版元は、セキュリティコンテストに興味のある方、セキュリティコンテストで勝ち進みたい方、実践的なセキュリティ技術を身につけたい方に勧めています。目次から見る限り、アセンブリの基本は Chapter 1 の中で扱われますが、hexdump コマンドを使う節や、問題を解くワンライナーや抽出スクリプトを書く節があるため、コマンドラインで何かを動かした経験があると進めやすい構成です。2022 年 11 月の発売なので、ツールの導入手順は刊行時点の環境が前提です。版元のサポートページには正誤表やダウンロードの案内があります。版元ページのプロフィール (2026 年 10 月の閲覧時点) では、著者はサイバーセキュリティ研究者で、2014 年から SECCON の実行委員を務め、女性セキュリティコミュニティ「CTF for GIRLS」を発起人として設立 / 運営したと紹介されています。同じプロフィールに著書として挙がる『サイバー攻撃』 (講談社、2018 年) は、脆弱性の原理を読み物として押さえる新書です。手を動かす前に背景を知りたい場合はそちらと組み合わせるのも一つの選び方で、分野別に本を選び分けたい場合は セキュリティ本の選び方 も参考になります。

CTF に出てみたいけれど何から手を付ければよいか分からない人、あるいは攻撃の名前は知っていても実際の問題でどう現れるのかを確かめたい人にとって、ジャンルごとの過去問を一問ずつ解き、そのつど仕組みまで戻る本書は、最初の大会に向けた準備として元が取りやすい一冊です。