Hello Navi

Challenge

题目提供一个 1.12 MB 的 MP3（DJ Anto - Drop Da Bass.mp3，74.08s，44.1kHz，128kbps，joint-stereo），要求找出音乐中隐藏的 message。论坛确认答案是一个 "pronounceable short sentence"。

结论（截至 2026-09-10）

这是出题者设计为「耳朵 + 纸笔」的关卡（gizmore："only need a special hardware: your ears" / "Maybe listening + pen&paper works best for this one"）。歌词与 metadata 提供了操作指令，但隐藏句子本身必须人工听音确认。以下是全部线索与已实测证否的自动解码路线，供后续人工听音时参考，不猜答案。

已知线索

1. MP3 ID3 tag：

   • TIT3 = record_description.php（指向歌词页）
   • WXXX = Hello World! Nothing more here! ;)
   • COMM = Checksum : 536F20796F75207468696E6B206974277320746861742045415359206875682021213F3F0D0A
   • 十六进制解码：So you think it's that EASY huh !!??（提示，非答案）

2. 歌词（record_description.php?lyrics=show）主段关键句：

   1 2	Drop da bass, Got to listen to the clap Come on I will give you the password

   说明：去掉/削弱 bass 后专门听 clap。

3. 论坛（forum-t303/Some_pointing，Wayback 存档 p1/p2 全文确认）：

   • 只需听音频；DSP 是好的搜索词；听 + 纸笔最好
   • "the hidden lyrics give a hint. You have to "drop" the base for best listening."
   • "The lyrics are the instruction. You need to listen closely to extract the message."
   • 答案是一个可发音的短句（gizmore + MrStorm 确认）

4. 法语注释（intro 段自述）： > c'est tellement accéléré qu'on comprend pu rien > (which means in french: It's so accelerated that we don't understand anything)

   配合 (accelerating) / (decelarating) 标注：intro 有一段被加速到不可懂的人声；歌词里的 secret fussoir de touindin、1234 tagadap tsouin tsouin 等行就是加速语音的近似听写。

自动分析记录（全部实测，均无有效结果）

1. 声道检查：L/R corr ≈ 0.976，L-R 差分能量几乎为 0 → 无相位反转 / 侧声道信息。
2. Whisper large-v3 转写（原曲 / 多种高通带通 / 0.33x–0.66x 变速 / 倒放 / 门限放大 / intro / 主段 / password 段，beam 5，temperature 0/0.6）：全部输出 Whisper 经典幻觉模板（Thank you for watching!、I don't care if you lose、I'll see you in the next video 等），无稳定可懂句。
3. 180 BPM、8-beat 网格（1/6 s）上做 clap 存在/缺失二值化并按 8-bit 分组：无有效 ASCII；1.15–2.5 阈值扫描 + 移位扫描均无文本。
4. clap 事件间隔分析：主要打击固定落在 1/6 s 网格（hi-hat 层），低频重音只在小节边界成对出现（~0.33s 间隔、成簇），无 Morse 式长短间隔。
5. clap 频谱重心 / 对数梅尔 k-means 聚类：重心连续分布（无离散「音高→字母」映射），聚类只反映段落结构。
6. MP3Stego：编译官方 1.1.19 Decode.exe（wine 运行），空密码及 EASY/easy/完整注释句等候选密码，2836 帧全部处理但报 unexpected end of cipher message，无有效载荷 → 排除。
7. Spectrogram（多窗口/多频段/高分辨率，含视觉复核）：无可读文字、摩斯结构或离散频率组。
8. binwalk / 文件尾部：无附加文件。

生成听音文件的可复现命令

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

#!/usr/bin/env bash
set -eu
input="${1:-DJ Anto - Drop Da Bass.mp3}"
outdir="${2:-listen}"
mkdir -p "$outdir"

# 去 bass 主段
ffmpeg -y -hide_banner -i "$input" \
  -af 'highpass=f=400,loudnorm' -ac 2 \
  "$outdir/drop-bass.wav"

# 主段 0.75x 去 bass
ffmpeg -y -hide_banner -ss 24 -t 34 -i "$input" \
  -af 'highpass=f=400,loudnorm,atempo=0.75' -ac 1 \
  "$outdir/main-drop-bass-slow.wav"

# 主段 0.5x 保留 clap 频段
ffmpeg -y -hide_banner -ss 24 -t 34 -i "$input" \
  -af 'highpass=f=2500,lowpass=f=15000,loudnorm,atempo=0.5' -ac 1 \
  "$outdir/main-clap-slow.wav"

# 38–56s（"password" 唱段）0.5x 保留 clap 频段
ffmpeg -y -hide_banner -ss 38 -t 18 -i "$input" \
  -af 'highpass=f=2500,lowpass=f=15000,loudnorm,atempo=0.5' -ac 1 \
  "$outdir/clap-38-56-slow.wav"

# intro 0.5x（加速语音提示区）
ffmpeg -y -hide_banner -ss 0 -t 24 -i "$input" \
  -af 'atempo=0.5,highpass=f=300,volume=5' -ac 1 -ar 16000 \
  "$outdir/intro-slow.wav"

人工听音记录与后续建议

已试听 listen/main-clap-slow.wav 与 listen/clap-38-56-slow.wav（24–58s 半速 + clap 频段），未听出信息。建议后续按以下顺序尝试：

1. intro（0–24s）减速听：listen/intro-slow.wav 或自行 atempo=0.5 链 atempo=0.5（0.25x），对照歌词听写行（secret fussoir de touindin 等）找「减速后可懂」的句子；
2. 主段 38–58s 用耳机、低音量重复听人声层，注意歌词里没有印出的词；
3. Audacity 频谱图：0–5kHz、窗口 1024–2048，检查中频是否有被音乐盖住的文字/图形（提示里的 DSP 词条与 9gag 时代做法都偏可视化）；
4. 若认为 clap 节奏编码：把记录下来的「每个 beat 上有没有 clap」按 1/6 s 网格抄成 0/1，再按 8/16 位分组转 ASCII（本机试过 24–58s 无有效文本，可换 0–24s / 58–74s 试试）。

待填项

答案待人工听音确认后写入 spoiler。提交时去掉空格/大小写差异，以 WeChall 服务器返回的验证结果为准。

Challenge

Memorized (Exploit) Hello Guest, An enemy punk band has created a website. I want you to hack them and find the solution. You can access the site here: ranzgruppe.com I hope you won't disappoint me! Good Luck! gizmore

敌方朋克乐队建了一个网站，你需要入侵它并找到 solution。目标网站：ranzgruppe.com

Score: 7 | Solved: 11人 | 类别: Exploit

Solution

这是一个需要攻击 live 站点的 Web exploit 挑战。目标站点 ranzgruppe.com 是真实存在的 Web 应用，需要找到漏洞获取 flag。

可能的方向

1. 信息收集 - ranzgruppe.com 的首页、子页面、sitemap - 子域名枚举（www, admin, dev, api, etc.） - 检查 robots.txt、sitemap.xml、.git/ 目录泄露 - 技术栈识别（看 HTTP header / HTML 注释）

2. 常见 Web 漏洞 - SQL 注入（登录框、搜索、URL 参数） - 文件包含 / 路径遍历 - 不安全的直接对象引用（IDOR） - 会话管理漏洞（session 固定、预测） - 文件上传绕过 - SSRF

3. 提示 "Memorized" 题名暗示可能与会话/记忆有关：可能是 session 预测、token 重用、session fixation，或者与 cookie 中的记忆功能有关。

注意

• 只有 11 人解出（难度较高，score 7）
• 不要对目标站点发起 DoS 级别的扫描
• live 验证时注意不触发破坏性操作
• 进入低难度挑战优先（可能依赖前置挑战）

建议路线

1. 访问 ranzgruppe.com，做基础侦察
2. 检查 cookie、session、localStorage 等客户端存储
3. 测试常见 Web 漏洞点
4. 定位到漏洞后构造 exploit

Flag

Challenge

题面说 Revolution Elite Agency 参与了 time travelling event。agents 从 visitor 带来的 floppy disk 里复制了一个文件，需要检查其中能找到的数据。

分类是 Special / Crypto。关键词是 floppy disk image、time traveller、old years eve。

Solution

这题入口是磁盘取证，不是直接 crypto。正确流程：

• 下载题目给出的 floppy disk 文件，先用 file 和 xxd 确认是否是 raw image。
• 用 mmls / fsstat / fls 或 mdir 检查 FAT12/FAT16 结构。
• 用 tsk_recover、icat、mcopy 提取正常文件和 deleted files。
• 检查 slack space、未分配空间、boot sector、FAT table、目录项时间戳。
• 若得到密文或奇怪文本，再进入 crypto：结合“time travelling / old year”提示检查时间、日期、年份偏移、古典密码或弱 key。

取证命令示例：

1
2
3
4
5

file disk.img
mmls disk.img
fls -r disk.img
tsk_recover disk.img recovered/
strings -a disk.img

由于当前没有下载并解析 live floppy image，不能写最终 spoiler。草稿保留完整分析路线。

Challenge

Chapter II 继续 Shadowlamb 游戏线。目标是在 Seattle 的 RottenHome 找到 Tom 的 scroll，解出提交格式。

Solution

路线：

1. 进入游戏并推进到可去 Seattle。
2. 在 RottenHome 搜索，拿到 TomsScroll1/2/3。
3. 阅读 scroll，获得 hash、cipher 说明和密文。
4. 解 polyalphabetic rot cipher。
5. 按 playername:hash 格式提交。

公开源码线索：

1

TomsScroll2: encryption key as md5 / polyalphabetic rot cipher

hash 绑定玩家名，数字会被转换：

1
2

substr(md5(md5(md5(player).secret)), 3, 16)
0-9 => g-p

易错点：多余换行会导致解码错误；不可把 scroll 中看到的随机字符直接提交。答案是 player-bound，不写固定 spoiler。

Challenge

Chapter III 要在 Delaware 的 Prison_Block1 墙上写指定句子，触发游戏返回 solution。

Solution

公开源码里的触发条件很直接：message 必须精确等于：

1

gizmore is noob

需要先有书写道具，例如 Chalk 或 Pen，然后到对应地点执行 write。

成功后 solution 形如：

1

player!hash!gunda

hash 同样绑定玩家名：

1

substr(md5(secret.md5(player).secret), 2, 16)

这是 live RPG 状态题：写墙会改变游戏状态，也可能暴露行为。执行前需要确认；writeup 只记录路线和精确触发字符串。

Challenge

Chapter IV 是 Shadowlamb 后续线，包含 Surveilance/Stegano 步骤。公开源码能确认游戏内触发链，但最终网页/隐写部分需要 live 提示。

Solution

游戏内路线：

1. 收集多个 ScrollOfWisdom。
2. 去 Chicago 找 Alchemist / Newton。
3. 先 talk scrolls。
4. 回答 yes 交卷轴并累计计数。
5. 交够后再在对话流程里答 no，触发 secret。

源码里计数变量类似 CHIV_SCT，触发条件是 scroll 数量大于 4，因此至少准备 5 个。

历史明文提示曾出现过随机串 IamStillVeryMean，但当前源码里相关提示被加密，live 站点可能已经变化。最终应以 NPC 实际输出和 Chapter IV 页面为准。

风险：交 scroll 会消耗道具，Chicago 区域也可能有战斗/状态变化。不要在未准备好时交掉唯一卷轴。

Challenge

题面要求先完成 Identity。这是 realistic/research 类型，可能依赖前置题得到的人物/身份信息。

Solution

这是 OSINT/stalking 题，不应进行真实骚扰或联系真人。

公开论坛线索：

• 2026 年有人说某个外部资源 offline。
• 官方回复：offline 的东西不是解题必需。
• 帖子签名里出现 c3BhY2VAd2VjaGFsbC5uZXQ=，base64 解码为一个 email，说明题目可能藏 OSINT 线索。

路线：

1. 先完成/阅读 Identity draft，拿到目标身份上下文。
2. 搜索 WeChall 用户资料、论坛签名、公开 email、历史页面缓存。
3. 对可疑 base64/编码字符串做离线解码。
4. 不发邮件、不私信、不联系真实人；只使用公开页面信息。

当前缺少 Identity 的已验证上下文，只能记录安全 OSINT 路线。

Challenge

站点把 session 存进浏览器 cookie，并声称 cookie 已加密。目标是篡改 cookie，以 System 用户登录。

Solution

题面给 cookie library 和 login source，必须源码审计。

典型攻击方向：

1. 登录 user:user，拿到合法 encrypted cookie。
2. 解读 cookie plaintext 结构，例如 username=user、JSON、序列化字符串等。
3. 检查加密是否缺少 MAC/authentication。
4. 若是 CBC/CTR/stream cipher，可利用 bit flipping 把 user 改成 System。
5. 若是 padding oracle/format oracle，利用错误反馈逐步恢复或伪造 plaintext。

关键点：只“加密”不等于防篡改。没有认证标签时，密文可 malleable。

真实 login/cookie 修改会改变挑战状态，执行前需要确认。

Challenge

题面给三段 encrypted messages。已知发送者使用 64-bit LFSR 生成 OTP keystream，bit stream 为 MSB first，并提到 teleconferencing 和 master key。

Solution

这是多密文 + LFSR cryptanalysis。

路线：

1. Base64 解码三段 ciphertext。
2. 利用同一或相关 LFSR keystream 的结构，做 crib dragging。
3. 64-bit LFSR 可用 Berlekamp-Massey 从足够 keystream bits 恢复反馈多项式。
4. 明文主题是 teleconferencing，先猜常见文本/协议片段，如 conference、meeting、call、http 等。
5. 一旦恢复部分 plaintext，就得到 keystream，再反推 LFSR state/master key。

如果三段使用同一 OTP keystream，则两两 XOR 会消掉 keystream：

1

x = bytes(a ^ b for a, b in zip(c1, c2))  # p1 ^ p2

然后按 natural language crib 逐步扩展。

当前未完成实际 LFSR 恢复，不写 master key spoiler。

Challenge

题面给两条 stream：一条是 TBS 用户名/字符组成的 carrier，另一条是由空格、^、数字、符号组成的 encoded stream。solution 绑定 session。

Solution

公开源码片段显示：

1
2
3

$coolPeople = require 'secret_carrier_message.php';
$message = get_tbs_message();
list($encoded, $carrier) = tbs_encode($message, $coolPeople);

因此目标是反转 tbs_encode(message, coolPeople)。

路线：

1. 每次刷新抓取 carrier 和 encoded，注意 carrier 基本固定，encoded 中 caret/space 位置变化。
2. 去掉 carrier 前缀中明显非用户名的 TBS STILL LIVES! 后再对齐。
3. 统计 encoded 字符集，建立每个符号/数字到 carrier 位置或字符差的映射。
4. 多次刷新对同一 message 采样，利用随机 caret/space 的变化消去噪声。
5. 结合 TBS 用户名列表/bright-shadows 站点资料恢复 message。

答案 session-bound，不能复用别人页面里的 encoded stream。