La règle du jeu
Chaque niveau cache un drapeau (un « flag »), presque toujours de la forme flag{...}. Trouvez-le, saisissez-le, et le niveau suivant s'ouvre. Tout se résout ici, dans la page, à la main ou avec un outil en ligne — rien à installer. Un indice est disponible à chaque étape si vous bloquez. La casse n'a pas d'importance.
Esprit hacker, cadre sain. Ce parcours est un jeu pédagogique : fouiller, décoder, douter. Les mêmes réflexes qui servent, dans la vraie vie, à ne pas se faire piéger.
Un message a été chiffré en décalant chaque lettre de quelques crans dans l'alphabet (le chiffre de César). Remettez-le d'aplomb pour lire le drapeau :
Indice
Chaque lettre a avancé de 3 crans. Reculez-les de 3 : d→a, e→b… Les accolades et lettres ne bougent pas, seul l'alphabet tourne.Les ordinateurs transportent souvent du texte sous une forme compacte appelée Base64. Décodez ceci :
Indice
C'est du Base64. Un décodeur en ligne (cherchez « base64 decode ») ou l'outil de votre choix le retransforme en texte lisible.Une page web montre toujours moins que ce qu'elle contient. Un drapeau est caché dans le code source de cette page même. À vous de le débusquer.
Indice
Clic droit → « Afficher le code source de la page » (ou touche F12, onglet Éléments). Cherchez un commentaire, c'est-à-dire un texte entre <!-- et -->.Voici un mail reçu. Il se fait passer pour votre banque en ligne. Quel est le domaine qui héberge réellement le lien ? (Ce n'est pas paypal. Deux parties, se terminant par .ru.)
Objet : Action requise sous 24h — vérifiez votre compte
http://paypal.secure-verif.ru/login?id=48213
Indice
Dans une adresse web, le vrai domaine est ce qui précède la première barre oblique simple, en lisant les deux dernières parties : ici …secure-verif.ru. Le mot « paypal » n'est qu'un sous-domaine qui habille la tromperie.Parmi ces quatre mots de passe, un seul résiste vraiment à une attaque automatisée. Recopiez le plus solide.
soleil Password1! azerty123 tortue-cactus-42-veloIndice
Ni le plus court, ni le plus « classique ». Ce qui fatigue une machine, c'est la longueur et l'imprévisibilité : une phrase de passe de plusieurs mots sans rapport.Bravo, les 5 épreuves sont tombées ! Vous venez d'utiliser, en jouant, les réflexes qui comptent vraiment : décoder, fouiller, douter d'un lien, juger un mot de passe. Votre drapeau final : FLAG{lambda-mais-pas-dupe}. Si ça vous a plu, les autres numéros de la veille creusent chacun de ces sujets.