/Разборы задач
23 октября 2026
Разбор задачи «Новый телефон» с SOLAR CTF 2026
Разбираем OSINT-задачу SOLAR CTF 2026: по скриншоту телефона, покрытию МТС, застройке и панорамам находим место съёмки возле Тынды.8
Разбор задачи «Melankonimir» с FortID
8
Описание
FortID. Автор задания: laragrr.
She dwells with Beauty—Beauty that must die.
Решение
В задании используется изображение, созданное нейросетью. Поиск через Google Lens его не находит, поэтому сначала проверим метаданные.
Исходный файл задания: изображение заброшенной больницы
Запускаем exiftool для исходного файла:
exiftool handout.jpg
В метаданных найден идентификатор изображения на Civitai
Выясняем, что изображение взято с Civitai, а метаданные содержат его идентификатор. По нему находим страницу исходного изображения.
По идентификатору находится публикация с исходным изображением
Поскольку известных зацепок пока мало, ищем ник автора в социальных сетях.
Поиск по нику помогает найти аккаунт автора
Поиск приводит нас в Tumblr. Самые полезные зацепки находятся не в изображениях, а в тексте публикаций: автор оставлял там UUID. По формату можно предположить, что это идентификаторы общих чатов.
В публикациях обнаруживаются UUID, связанные с чатами
Формат UUID подсказывает, что это могут быть идентификаторы общих чатов
Перебирая популярные ИИ-сервисы, находим ChatGPT и определяем чат, который отличается от остальных.
Среди найденных чатов выделяется обсуждение заброшенных мест
В найденном общем чате ChatGPT обсуждаются заброшенные места. Нам нужно название приложения, которое подскажет следующий шаг, — это Hevy.
Название приложения помогает продолжить поиск
В Hevy находим профиль Promptimir и программу тренировок Upper body B. В ней есть упражнение Hacking. В миниатюре изображения упражнения заметны артефакты в левом нижнем углу; чтобы их рассмотреть, нужно получить файл в полном разрешении.
В профиле находится программа тренировок Upper body B
Среди упражнений находится Hacking
В нижнем углу миниатюры видны детали, которые не удаётся разобрать
Открываем инструменты разработчика и на вкладке Network находим запрос к API Hevy. Попробуем получить подробности тренировки:
curl -s -H 'x-api-key: shelobs_hevy_web' -H 'hevy-platform: web' \
'https://api.hevyapp.com/workout/PLMWPchxylf' | python3 -m json.tool
В инструментах разработчика найден запрос, возвращающий данные тренировки
В ответе содержится URL изображения в исходном разрешении
В ответе получаем URL полного изображения упражнения. В нём и находится флаг.
После увеличения изображения становится виден флаг задания
FortID{H4ck1n9_15_7h3_Hev1357_3xerc1s3}Поиск статей
Ничего не нашлось, попробуй поискать что-то другое
OSINT
/Разборы задач
23 октября 2026
Разбор задачи «Арт-объект»
Ищем арт-объект в Дятькове по фотографии: находим публикацию о повозке у ТЦ «Кристалл» и определяем координаты по картам.16