tex

capture the flag · im browser

0tex

Sechs Rätsel aus Krypto, Web und Forensik. Gelöst wird im Tab, nicht auf einem Server. Kein Login, kein Konto, keine gespeicherte Spur.

Challenges öffnen Wie das läuft
Challenges
6
Punkte gesamt
1150
Backend
0
tty /0tex/boot

root@0tex:~$ ls ./challenges

Die Aufgaben

score 0/6 0/1150 pts
  1. 01 rot
    crypto hacker 100 pts

    Caesar lebt noch

    Ein „verschlüsselter“ Admin-Hinweis. Jemand hielt eine Rotation für Kryptografie.

    0grk{e0g13_vf_abg_pelcgb}
    Hinweis

    ROT13: jeder Buchstabe um 13 Stellen verschoben. A→N, B→O … Ziffern bleiben.

  2. 02 b64
    web hacker 150 pts

    Sieht verschlüsselt aus

    Aus einem Cookie gezogen. Base64 ist Kodierung, kein Schutz.

    MHRleHtiYXNlNjRfaXNfbm90X2VuY3J5cHRpb259
    Hinweis

    atob() im Browser-Konsolenfenster, oder `base64 -d` im Terminal.

  3. 03 hex
    forensics hacker 150 pts

    Rohe Bytes

    Vierzehn Bytes aus einem Speicherabzug. Lies sie als ASCII.

    30 74 65 78 7b 68 65 78 5f 64 75 6d 70 7d
    Hinweis

    Jedes Paar ist ein Byte im Hex. 0x30 = „0“, 0x74 = „t“ …

  4. 04 jwt
    web elite 250 pts

    Vertrau dem Token nicht

    Ein JWT aus einer Finanz-App. Die Nutzlast ist nur base64url — nicht geheim.

    eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJjdGYiLCJmbGFnIjoiMHRleHtqd3RfcGF5bG9hZF9pc19wdWJsaWN9IiwiYWRtaW4iOmZhbHNlfQ.c2lnbmF0dXJlX2lzX25vdF92ZXJpZmllZA
    Hinweis

    Nimm den mittleren Teil zwischen den Punkten, base64url-dekodiert ergibt JSON. Das Feld „flag“.

  5. 05 robots
    recon elite 200 pts

    Was verboten ist

    Die erste Datei, die jeder Crawler liest, verrät gern mehr als geplant.

    Der Flag liegt irgendwo auf dieser Seite.

    Hinweis

    Eine Textdatei im Wurzelverzeichnis sagt Robotern, wo sie nicht hinsollen. Lies sie ganz.

  6. 06 honeypot
    misc ghost 300 pts

    Die Tür mit „ADMIN“

    Es gibt eine Tür, die du nicht öffnen sollst. Du wirst es trotzdem tun.

    Der Flag liegt irgendwo auf dieser Seite.

    Hinweis

    Irgendwo gibt es ein Anmeldefeld, das zu einfach aussieht. Dränge dich hinein.

readme

Kein Server. Keine Konten.
Keine Ausreden.

0tex ist ein Hobby-Spielfeld, kein Dienst. Es gibt nichts anzumelden und nichts zu speichern. Die Seite ist eine statische Datei, die Rätsel laufen vollständig in deinem Tab. Schließ ihn, und dein Fortschritt ist weg — so soll es sein.

Die Szenarien sind nachgestellt. Übe hier, nicht an fremden Systemen. Alles Weitere steht in der Datenschutzerklärung: keine Cookies, kein Tracking, keine Logs.

  1. 01

    Lies die Aufgabe

    Jede Challenge zeigt ein kleines Szenario und meist etwas zu knacken. Der Hinweis hilft, wenn du feststeckst.

  2. 02

    Knack sie im Browser

    Konsole, ein Terminal, Stift und Papier — was du willst. Nichts davon verlässt dein Gerät.

  3. 03

    Gib den Flag ein

    Alle Flags haben die Form 0tex{…}. Die Prüfung läuft lokal gegen einen Hash, der Klartext steht nirgends im Code.