CodeShell.kr 解题交接

位置：/home/kita/code/blog/source/_drafts/CodeShell/

CTF workspace：/home/kita/ctf/workspace/challenges/codeshell/

最后更新：2026-09-21

站点

• 站点：https://codeshell.kr/
• 账号：已登录（进度 0 / 33）；登录名不写入本文件
• 题目列表：33 道（Stegano 9 / Crypto 8 / Reversing 8 / Misc 8）
• 题目页统一路径 /challenges/<slug>/，普通题表单字段 answer；Ten Gates 是分阶段 gate 表单
• 页面快照与附件 SHA-256 见 workspace 的 manifest.json

当前进度

• 已下载：33 个页面快照 + 40 个官方附件（全部核验签名与大小）
• 已提交到站点：无（所有答案都在本地验证）
• 本地已解出：28 道
• 未完成：5 道（其中 4 道已有部分结论）

文件布局（2026-09-22 拆分）

原合并稿 codeshell-writeup.md 已按题拆成 33 个单题文件，命名 <ctfname>-<challenge-slug>.md （slug 取站点 URL 的最后一段，如 codeshell-time3.md、codeshell-infinity-parallax.md）， 每篇自带 frontmatter（title: CodeShell.kr - <题名>、tags、categories: - ctf、 mathjax、date、spoiler.hover）、### Challenge（题面双语 blockquote + 题目 URL） 与 ### Solution，正文末尾贴出实际运行过的 solver 全文。

未有确定答案的 5 题（Fried Egg、Residual、Reversal、Sixteen Plates、Obsidian）不写 spoiler，正文只写 已确认的结构与已排除的假设；Fried Egg 的候选只在正文中明确标注，不把候选当作答案。

拆分由 solvers/build_blog_writeups.py 生成（可重跑）；合并稿备份在 /home/kita/ctf/workspace/challenges/codeshell/writeup-combined-backup.md。 QA 用技能自带脚本：

1
2

$ uv run python ~/.hermes/skills/security/ctf-challenge-solving/scripts/qa_writeups.py \
      ~/code/blog/source/_drafts/CodeShell

提交前审计（已做，未提交）

solvers/preflight_audit.py 把 28 个答案与题目页要求逐条对照，结论：

• 24 题的答案本身就是 CodeShell{...} 形式，格式无歧义。
• 4 题的记录值是裸词，页面未说明格式 —— 提交时按 CodeShell{...} 包裹： fold → FOLDED_MIRROR、keyring → AMBERMOONCIRCUIT、 misc-offset → AFTERHOURS、misc-relay → BACKTRACK。
• 全部 33 个题目页只有一句描述 + 通用 Submit answer 表单； 只有 phase-between-words 与 quiet-frame 在题面里明写 CodeShell{...}， 说明这是站点通行约定，裸词题按同样约定包裹。

提交字段为 answer；不触碰 hint / 评分 / gate 接口。提交会改变站点计分状态， 需用户明确授权后执行。28 题的提交串已由审计脚本输出，可直接逐行取用。

已解出答案表

未完成题目

• Stegano：Residual（400）、Sixteen Plates（800）、Fried Egg（6400，只有候选 GODS，未验证）
• Stegano（部分解出）：Reversal（1600，图标 LSB → Short 链已确认，播放区间已精确对齐，短语未读出）
• Crypto：Obsidian（800，需 Stern 级 ISD；已排除全部结构并降为 160 自由变量，SAT 在跑）
• Reversing：全部完成
• Misc：全部完成

Workspace 布局

1
2
3
4
5
6
7
8
9
10

/home/kita/ctf/workspace/challenges/codeshell/
├── BRIEF.md                 子代理共享简报（路径/环境/硬规则/报告格式）
├── README.md
├── manifest.json            题目、页面、附件映射与 SHA-256
├── pages/                   33 个题目页快照
├── assets/challenge-files/  官方附件
├── assets/challenge-images/ 页面配图（部分题目真正的数据在这里）
├── extracted/<slug>/        解压后的题目材料
├── findings/<slug>.md       逐题报告（证据 + 复现命令）
└── solvers/                 可复现解题脚本

工作规则

• 不保存 cookie、CSRF token、密码或浏览器导出的认证数据（本次会话用的 session 值不入库）。
• 只读勘测与附件下载可复现；提交答案属于有副作用操作，需用户明确进入提交阶段后再做。
• 提交通过题目原生表单（字段 answer），不调用 hint / gate 解锁接口。
• 每题记录：题面、附件 SHA-256、分析命令、可复现实验、答案验证响应。
• Blog 仓库的 commit/push/发布由用户统一处理。

下次继续顺序

1. Fried Egg：只有候选 GODS（footer 第 3 个按钮 → YouTube 标题，yt-dlp + oEmbed 双源核验）。未提交、未写 spoiler；内嵌韩文封面疑为第二个“太阳”（诱饵），已排除。
2. Obsidian：GF(2) 上 160×320 的 syndrome decoding，权重 35。结构已全部实测排除（rank 160、无重复列、非 LDPC、非拟循环）→ 真随机实例。复杂度经三次修正后实测：14286 info-set/秒 → p=1 需 1.0e12 候选 ≈ 124 小时，p=2 ≈ 480 小时；Bcol[] 增量维护再优化可到约 40 小时。Stern 已验算无效（2l+p=w=35 两种取法总代价都超 2^67）。已交付两个正确的 C 实现（solvers/obsidian_isd.c 全量消元、solvers/obsidian_inc.c 增量），都在合成实例上精确恢复真值 + H·e==s 通过。结论：需要 40–124 小时算力，或 MMT/BJMM 级实现 —— 属资源决策，等用户定。踩过的坑见 findings/obsidian.md（行变换必须同步变换 RHS 等 4 条）。
3. Parallax：已解出（见答案表与 writeup）。
4. Reversal：机制与区间已精确确认（图标 LSB → Short → 互相关对齐得出 Short 先正放再倒放 song[71.4..90.4]，见 findings/reversal.md 与 writeup Step 2-4）。卡在短语读出：whisper 对倒放音乐只产幻觉（失败模式已记录：时间戳超长、退化成 ,, 重复、短句循环、通顺的通用英文句）。下一步：细分辨率包络找 0.3-1.5s 孤立强瞬态、只倒放那一小段；或先做人声分离（Demucs）再转写；或换官方音源（本次用的是 알파 频道歌词视频）。不要再整段转写。
5. Residual：载体结构已完全解出（见 writeup 与 findings/residual.md）：蓝通道几乎恒为偶数（B bit0 只有 0.0038），995 个奇数-B 像素精确构成旋转半色调网点阵（32 条带 × 16 网点位，网点列 (5−b+32p) mod 512，每条带 5 行）。四轮验证全部否定：① 995 个点全部精确落在格点上（位置偏差 {0:995}）→ 位置不承载数据；② 5 行窗口只有 24/32 种掩码（bit4 置位则 bit0 必不置位）→ offsets 0-3 是干净的 4-bit 字段、offset 4 是独立的 144-bit 通道，但四种窗口宽度 × 5 种读取顺序全部 0 命中；③ filter 序列与网点值统计独立（一致率 112/512）；④ present 平面占 94.5%，阈值变体均非文字。下一步：把 offsets 0-3 与 offset 4 分开处理；按有序抖动矩阵反解 5 级灰度；或把 5 个行偏移当同一数据的 5 份渲染两两求差。
6. Sixteen Plates：结构已完全测量（2 光照 × 4 机位，90° 步进）；下一步用 8 张不同外观做非朗伯光度立体（奇异值谱秩约 8，说明有镜面分量）。
7. 用户确认后，逐题通过站点表单提交并在 writeup 里更新回执。

关键经验

• Reversing 系列：纯静态读汇编容易错，必须用 GDB 单步把寄存器模型逐轮对齐；glass-register 还有一条反相的最终判据（je rejected），只匹配期望表会误判。
• 同模板批量解：6 个 opcode-picnic 系二进制（01–06）只差长度/种子/轮数，写一个通用求解器一次全解，并用已知答案回验模板。逐题重写求解器是浪费。
• "全零终态"是陷阱：involution 的接受条件不是全零而是 .rodata 里的常量，且 yes/no 字符串顺序与 cmovne 的方向相反 —— 必须先读实际字符串内容再判断哪个分支是成功。
• 可逆 VM 题不要搜索：involution（4096 条）与 fractured-loom（8192 条）的每个 op 都是双射，从终态反向执行即得输入。搜索空间是 2^256，反推是 O(n)。
• 逐指令对齐是唯一可靠的验证：fractured-loom 的 op5 移位量写错（(Q1>>3)&0x38 vs ((Q1>>3)&7)*8），只有把 GDB 的连续 59 条指令状态与 Python 逐一比对才定位到第 5 条。只比对最终结果会得到一个"看起来合理但错误"的输入。
• 附件无执行位：cp 到 /tmp 后 chmod +x，或用 /lib64/ld-linux-x86-64.so.2 <bin> <args>。
• 拼图（Mosaic）：自由前沿贪心会把种子钉在角落、生长方向被截断；必须允许无边界生长并保持 bbox 紧凑，否则结果会散开。合成真值自测是发现这类 bug 的最快手段。
• 子代理并行：每题一个子代理、报告写盘到 findings/<slug>.md，主代理汇总复核，效率最高；但子代理有 600s 超时，重计算任务要先拆小。
• 音频（Phase Between Words）：块级 FFT 会把音段边界量化到块栅格，必须用过零率取样本级边界才能算准符号时长；相位解调时参考量的预期推进要按 2π·f·hop/fr 精确扣除，否则残差呈斜率会被误判成调制。
• 子代理超时是常态：多批共 21 个任务里 16 个超时（600s 上限）。派任务时要把「已确认的结论 + 可直接复用的脚本路径」写进 context，避免子代理从零探索；重计算题（拼图、64 板组装、多阶段规格、格归约）宁可主代理自己做 —— Ten Gates、Marginalia、Involution、Fractured Loom、Parallax 组装都是主代理自己做完的。
• 「完整规格 + 全部输入」的题先列校验清单：Ten Gates 这类题的 bundle 里藏着期望值（expected_candidate_count、book_plaintext_sha256、各段 plaintext_length）。先把它们列出来，每跑通一个再往下走。关键教训：长度校验挡不住内容错误 —— Bifid 反解写错时输出长度依然正确，只有手册 SHA-256 抓到了它。遇到「长度对但内容不对」，要去找一个能覆盖内容的校验值。
• 多表密码的定长：整体 IC 平坦（Marginalia 是 0.0380，几乎等于随机）不代表无解。按候选密钥长度分组算平均 IC，L=22 处升到 0.0689（高于英语本身）即为答案；定长后逐列卡方取最优位移，再用词表做逐列局部搜索补掉「每列样本太少导致统计量不足」的错位。
• PNG 过滤器序列是一条 5 符号通道：题面出现「五种方式」「residual」这类词时，先读每行的 filter 字节（PNG 恰好 5 种过滤，residual 就是过滤后的扫描线）。自适应编码器会挑残差最小的过滤器、产生长同值段；若直方图近乎均匀且频繁切换，说明它被当数据通道用了。
• 扫描类脚本不要打印全部匹配：扫 bit 平面时把每个可打印串都打出来会瞬间淹没上下文（实测一次 14713 条）。改成每个平面只报「最长可打印串长度」并排序，先看排名再决定要不要细看。
• 等长子代理任务要防「全部超时」：同一批里如果每题都要重计算，容易一起撞 600s 上限、一条 summary 都拿不到。把重活留给主代理、子代理只做「读文件 + 单一计算 + 写报告」的小任务，命中率明显更高。
• 格归约先看条目量级：Afterglow 的朴素 HNP 格条目是 2^306，BKZ(40) 跑 20 分钟零进展；换成消去私钥的构造后条目 2^160，LLL 亚秒级完成。慢归约的第一反应应该是「能不能把某个未知量消掉」，而不是加大 BKZ 块。
• 离群点容忍度必须实测标定：同一个格在 0 个坏行时 80/80 正确、1 个时 79/80、3 个时直接失败。这个边界不是能从公式看出来的，要用真实的 p/q/g 与真实 h 造合成实例逐个污染去测。没标定就会把「采样次数不够」误判成「模型写错」。
• sage <file> [args] 可能静默无输出（exit 0、stdout 空、stderr 空）。用 sage -c "exec(open(path).read())" 才可靠；把「无输出」当成「已失败」会浪费整轮排查。
• RANSAC 的判据要用强 oracle：Afterglow 用公钥 g^x mod p == y 逐个验候选，而不是靠「吻合行数」打分（打分在 19/80 这种噪声水平上完全不可靠）。有强 oracle 时一定要用它。
• 边界算术能白捡一批坏数据：k < q 且 q/2^153 = 73.31 ⇒ top7 > 73 必然被污染，80 行里直接抓出 5 行。污染率还能从这 5 行反推：128 个取值里只有 74 个合法，随机坏值约 42% 落在非法区，5/0.42 ≈ 12 与实测的 12 行完全一致。
• 「数据位写成奇数」是最隐蔽的一类 LSB 编码：Parallax 的 plate 背景渐变全为偶数，数据位写成奇数值。所以直接读 LSB 会得到全 0（看起来"没有数据"），必须逐像素扫全图看哪些位置是奇数。判据技巧：如果数据位是 shuffle 选中的少数位置，那么「奇数位置 ⊆ 选中位置」是一个概率上不可能偶然成立的检验 —— 用它一次锁定映射与打包格式（4 种组合里只有 1 种通过）。
• isd PyPI 包不是 Information Set Decoding：它是 Integrated Surface Database（气象数据）的解析器，只含 Batch/Record，没有求解器。别被名字骗了。
• ISD 的变体不是单调变好：Obsidian（n=320, k=160, w=35）实测 Prange = 2^38.01 次迭代，而 Lee-Brickell 的期望工作量 C(n,w)/C(n−k,w−p) 在 p=0/1/2 时是 2^38.02/239.87/2^41.77 —— 更大。允许 p 个错误落在信息集里会降低「其余错误全在奇偶位」的概率，而枚举 C(k,p) 的开销并不抵消。别默认「更复杂的 ISD 一定更快」，先算清楚。
• 半色调网点是可疑的载体：Residual 的 995 个「奇数-B」像素构成 32 条带 × 16 网点位、网点列 (5−b+32p) mod 512 的斜向点阵，每点是 1..4 行高的竖短段，值域恰好 5 级。识别特征：点列间距恒定 + 每条带的列偏移随带号线性递减（旋转半色调屏的签名）。先 dump 原始点图，不要只看渲染后的位图 —— 低分辨率渲染会把斜向点阵误读成普通网格。
• faster-whisper 对音乐/倒放音频不可用：会持续输出重复幻觉，时间戳甚至超出音频总长；不要用它判定「有没有隐藏语音」。
• 边签名匹配要看清楚「歧义」：Parallax 的 36 符号签名在对侧唯一（896/896），说明组装解唯一 —— 那时问题一定在提取环节，不该再回头改组装。