🔎

EXEGIDE · EPITA Rennes — Wiki adapté à ton rôle.

Prise en main

Bienvenue sur le wiki

La plateforme CTF de l'association EXEGIDE (EPITA Rennes). Ce wiki s'adapte à ton rôle : tu vois ce qui te concerne, et rien de plus.

ℹ️

Contenu adapté au rôle Joueur → jouer. Organisateur → en plus, créer & gérer events et challenges. Superadmin → en plus, gouvernance, infrastructure et paramètres. Les sections supérieures ne sont même pas envoyées à ton navigateur si ton rôle n'y a pas accès.

Par où commencer

Nouveau ? Crée ton compte, puis rejoins un event en cours.
Envie de jouer tout de suite ? File sur Résoudre des challenges et l'exemple Ton premier flag.
Tu veux comprendre les formats (Jeopardy, A/D, KotH…) ? Section Modes de jeu.

Utilise la recherche en haut (raccourci /) pour sauter directement à un sujet.

Prise en main

Compte & connexion

Plusieurs façons d'entrer, au choix.

SSO / OAuth — Google, GitHub, Discord… un clic, liaison automatique par e-mail vérifié.
E-mail + mot de passe — inscription classique, avec CAPTCHA anti-bot.
Compte pré-créé — si un orga t'a importé (CSV), tu poses ton mot de passe via un lien signé.

Sécuriser & lier

2FA (TOTP) — active la double authentification (QR + code) ; certains events l'exigent.
Adresses e-mail secondaires — ajoute/vérifie une adresse (code à 10 chiffres) pour un event réservé à un domaine (ex. @epita.fr).
Discord — lie ton compte avec le code de la commande /link du bot.
Clé IA personnelle — stocke ta propre clé LLM (chiffrée) pour les fonctions IA sans throttle.
Clés d'API — génère des clés ctf_… pour l'API publique (voir l'exemple dédié).

🔐

Mot de passe oublié / 2FA perdue Lien de réinitialisation par e-mail ; codes de secours 2FA et reset TOTP par e-mail. Un compte OAuth-only se connecte uniquement via son fournisseur.

Prise en main

Profil & confidentialité

Ta page publique et ce que tu choisis d'y montrer.

Ta page publique affiche tes stats, une heatmap d'activité sur 1 an, ton streak, tes succès, tes challenges publiés et tes writeups approuvés.

Éditer : bio, avatar, liens GitHub/Twitter/site.
Confidentialité : masque tes solves et/ou ton historique d'events.
Suivre d'autres joueurs.
Certificat de participation signé (QR + sceau anti-fake) une fois l'event terminé — vérifiable sur l'onglet Certificat.

Prise en main

Rejoindre un event

Un event regroupe des challenges sur une période. Selon sa porte d'accès :

Mode d'accès	Ce que tu fais
Libre	Tu rejoins directement.
Sur demande	Tu demandes, un orga valide.
Code / lien d'invitation	Tu entres le code ou suis le lien.
Mot de passe	Tu saisis le mot de passe de l'event.
E-mail autorisé	Ton adresse doit être dans la liste (domaine ou exacte).
Vérification e-mail	Tu prouves un domaine via un code reçu par mail.

Plusieurs portes peuvent coexister (logique « OU »). Un event peut aussi exiger la 2FA.

💡

Statuts & rejeu Les challenges deviennent jouables quand l'event est en cours. Un event terminé reste jouable en entraînement (sans points).

Le mini-site d'event

Chaque event a son mini-site thématisé : pages en blocs + onglets intégrés — Challenges, Scoreboard, Replay, Writeups (et Attaque/Défense le cas échéant). Les annonces arrivent en temps réel. En spectateur, un non-membre peut lire les épreuves sans soumettre.

Jouer

Résoudre des challenges

Le tableau des épreuves, la soumission de flags et ce qui décide de tes points.

La fiche affiche description en blocs, fichiers, valeur dynamique des points (décroît avec les solves), tentatives restantes, tags, auteurs, ambiance sonore, effet visuel, first blood.

Ouvre l'épreuve et lis la consigne (un indice de zone peut dire où creuser, jamais la technique).
Trouve le flag — de la forme CTF{…}.
Soumets-le. Correct → solve, points (décote + bonus first-blood − coût des indices), badges.

Jouer

Types de flag

Mode	Ce que ça change pour toi
Statique	Un même flag pour tous.
Par joueur	Ton flag unique (affiché, ou injecté dans ta cible/ton fichier).
Par joueur & par event	Un flag propre à toi et à l'event courant.
Regex / formulaire	Réponse libre validée par motif, ou plusieurs champs.
Jury / autograde	Tu soumets un writeup/une réponse ; un correcteur note.

🚧

Limites Chaque challenge a un nombre max de tentatives ratées et un anti-spam.

Jouer

Indices & prérequis

Indices — tu peux en révéler ; le coût est déduit de tes points au solve.
Prérequis (chaînes Jeopardy) — certaines épreuves se débloquent après en avoir résolu d'autres.
Commentaires — commente (modéré) et lis les commentaires approuvés.

Jouer

Challenges interactifs

Certaines épreuves te seedent un « dossier » perso (cookie signé) : tu explores des ressources hébergées pour extraire ton flag. Familles :

Famille	Exemples
Fuite d'info	cookie, en-tête, commentaire HTML, localStorage, `robots.txt`, `.git`, sourcemap…
Exploitation web	forge de cookie/JWT, IDOR, param, chaîne multi-étapes guidée…
Fichiers / forensics	strings, EXIF, LSB PNG, zTXT, polyglotte, morse WAV, WASM…
IA	llm_jailbreak — fais fuiter un secret à un gardien LLM (prompt injection).

Une boîte à outils forensics dans le navigateur (hex, strings/métadonnées, LSB, spectrogramme) t'aide, sans backend.

Jouer

Instances perso & fichiers générés

Ta propre cible, ton propre fichier.

Instances perso

Certains challenges te donnent ta propre cible : un conteneur isolé rien qu'à toi, avec ton flag dedans.

« Lance ton instance » — la plateforme démarre ton conteneur.
Attends « 🟢 prête » — l'URL s'ouvre quand la cible répond vraiment (pas de 502 au démarrage).
Ouvre & exploite — récupère ton flag, soumets-le.

⏳

Durée & capacité Une instance expire seule (≈30 min) et est détruite au solve. Une seule par challenge. Si la plateforme est saturée, tu passes en file d'attente (ta position s'affiche).

Fichiers générés

Certains fichiers sont personnalisés : ton flag y est substitué au téléchargement, ou un conteneur isolé te génère ton fichier unique. Des liens signés temporaires (5 min) évitent de s'authentifier. L'accès peut être limité (public / membres / résolveurs).

Jouer

Entraînement, rejeu & règles

Entraînement & rejeu

Après la fin d'un event, les flags valident encore mais ne rapportent aucun point. Il existe aussi un pool d'entraînement permanent. Un même challenge peut être résolu indépendamment dans plusieurs events.

Ce qui est interdit

Détecté automatiquement : partage de flag, brute-force, collusion même IP, violation d'IP autorisée, et l'attaque de la plateforme. Sanctions jusqu'au bannissement.

🚫

Fair-play Ne partage pas de flags, ne DoS pas les cibles, respecte le périmètre. En cas de doute, demande à un organisateur.

Modes de jeu

Les formats de jeu

Chaque event choisit un ou plusieurs formats. Ce que ça change pour toi, joueur.

🎯

Jeopardy

Épreuves par catégorie, chacune un flag. Points fixes ou décroissants, déblocage par prérequis.

Ex. « Web · SQLi — 300 pts »

⚔️

Attaque / Défense

Ton équipe défend son service et attaque celui des autres, par ticks.

Ex. patch + vol de flag / 120 s

👑

King of the Hill

Prends et garde le contrôle d'une cible ; score au temps de possession.

Ex. « claim » toutes les 8 s

🛡️

Red vs Blue / SOC

Détecte et signale les intrusions dans les logs ; alertes jugées vrai/faux positif.

Ex. « retrouve l'IP de l'attaquant »

🐉

Raid / Co-op

Toute la commu tape un boss commun ; tes solves infligent des dégâts.

Ex. HP du boss + classement

💀

Élimination

Coupes régulières des derniers ; les éliminés ne soumettent plus.

Ex. −N joueurs / X min

🏆

Tournoi

Bracket à élimination directe, têtes de série par score de qualif.

Ex. 1v1 en poules

⚡

Sprint / Blitz

Format court, épreuves resserrées.

Ex. 2 h chrono

🏃

Marathon

24–48 h avec sorties d'épreuves échelonnées.

Ex. nouveaux chals chaque nuit

⏱️

Speedrun

Épreuves chaînées, classement au temps.

Ex. finir la chaîne le + vite

🪜

Wargame

Niveaux permanents ordonnés par prérequis, progression persistante.

Ex. ladder à la OverTheWire

📦

Boot2Root

Ta box vulnérable perso, flag user + flag root (via instances).

Ex. escalade de privilèges

⚖️

Jury / Autograde

Tu rends un writeup/une réponse, noté après revue.

Ex. « explique ton exploit »

Modes de jeu

Attaque / Défense — côté joueur

Dashboard d'équipe — tes services, tes cibles, le compte à rebours du tick, ton jeton de soumission.
Soumettre des flags volés — via session ou X-Team-Token ; score selon rang/first-blood/fraîcheur.
Patcher ton service — parcours et édite ses fichiers, puis redéploie.
VPN — télécharge ta config WireGuard pour atteindre le réseau A/D.
Scoreboard & replay A/D en direct et après match.

Communauté

Scoreboard, classements & Hall of Fame

Où tu te situes, en temps réel.

Scoreboard d'event — top joueurs par points puis rapidité, gel/révélation, flux live.
Timeline — le fil chronologique des solves & first bloods.
Scoreboard d'équipes et classement global cross-events.
Hall of Fame — derniers first bloods, meilleurs first-blooders, top solveurs, totaux plateforme.

Équipes

Créer (tu deviens capitaine + jeton), rejoindre via le jeton, quitter (dissoute si vide), transférer le capitanat / dissoudre (capitaine).

Communauté

Feed, writeups & succès

Feed & notifications

Feed d'activité (toi + tes suivis), cloche in-app, et bot Discord (solves/first-bloods/annonces + /scoreboard, /challenges, /profil).

Writeups & replay

Rédige un writeup Markdown (modéré), parcours les approuvés, revis un event via le replay.

Succès & titres

Des badges se débloquent automatiquement (solves, first bloods, création, participation, suivre — Socialite, être forké — Mentor). Tu peux équiper un titre cosmétique.

Communauté

Médias

Bibliothèque perso (upload scanné antivirus, quota) réutilisable, et bibliothèque partagée entre créateurs.

Communauté

Créer tes propres challenges

Tout utilisateur peut créer des challenges (blocs, flags, fichiers, indices, effets), les forker (l'auteur gagne Mentor) et activer un code de partage. Outils d'auteur : générateurs, images d'instance, lint/scan/test-solve.

🧑‍🏫

Devenir organisateur À l'inscription tu peux demander un compte organisateur (admin) — validé par un superadmin.

Communauté

API & bot Discord

API publique en lecture seule (avec une clé perso) : events, scoreboard, challenges. Bot Discord : liaison de compte, annonces live et commandes de consultation.

Exemples

Décrocher ton premier flag Exemple

Connecte-toi (SSO ou e-mail) puis va dans Events.
Rejoins un event en cours (entre le code si demandé).
Ouvre un challenge « facile », lis la consigne, télécharge les fichiers ou lance l'instance.
Trouve le flag CTF{…} et colle-le dans le champ Flag → 🎉 solve + points.

Exemples

Créer & utiliser une clé API Exemple

L'API publique est en lecture seule (events, scoreboard, challenges), idéale pour un script, un overlay stream ou un bot maison.

Génère la clé — /account → Clés d'API → Créer. La clé ctf_… n'est affichée qu'une fois : copie-la.
Appelle l'API — passe la clé dans l'en-tête Authorization :

# Lister les events publics
curl -H "Authorization: Bearer ctf_TA_CLE" \
     https://ctf.cloudnow.fr/api/public/events

# Le scoreboard d'un event (par slug)
curl -H "Authorization: Bearer ctf_TA_CLE" \
     https://ctf.cloudnow.fr/api/public/events/mon-event/scoreboard

# Les challenges d'un event
curl -H "Authorization: Bearer ctf_TA_CLE" \
     https://ctf.cloudnow.fr/api/public/events/mon-event/challenges

🔑

Bonnes pratiques Ne committe jamais ta clé. Révoque-la depuis /account si elle fuite (génère-en une nouvelle). Réponses en JSON — parse avec jq, Python requests, etc.

# Exemple Python
import requests
h = {"Authorization": "Bearer ctf_TA_CLE"}
r = requests.get("https://ctf.cloudnow.fr/api/public/events", headers=h)
for e in r.json():
    print(e["slug"], e["status"])