// capture the flag

🏁 Temporada 1 — Reconhecimento

Três flags escondidas no próprio site. Cada uma vale pontos no ranking — e cargo/XP na Codraise. Temporada vai até 30 de novembro de 2026.

Regras: só vale o francodes.dev, sem força bruta, sem derrubar nada, e não espalhe as respostas. Achou uma falha de verdade? Isso é bug bounty, não CTF: reporte aqui.

Nível 1 · As três partes100 pts
  1. A flag tem 3 partes. Formato: fran{...}
  2. Hacker bom lê o código-fonte da página inicial.
  3. Robôs também têm regras.
  4. Tem coisa que viaja nos cabeçalhos da resposta.
Nível 2 · O cartão-postal200 pts
  1. Aí embaixo tem um cartão-postal.
  2. Uma imagem guarda mais do que mostra: metadados.
  3. Ferramentas: exiftool, strings, ou um leitor de PNG online.
  4. O que você achar pode estar codificado (base64).
Cartão-postal da Codraise
Nível 3 · A porta da Robin300 pts
  1. Bata na porta: /api/ctf/porta
  2. A porteira só abre pra quem se apresenta (pense em cabeçalhos HTTP).
  3. Quem guarda a porta? É a anfitriã da Codraise. 🦊
  4. A resposta vem no cifrado mais antigo da internet (gira 13 casas).
⭐ Nível secreto · O cofre dos assinantesinsígnia + XP

Exclusivo pra quem assina o Instagram da Fran. Não conta no ranking — vale a insígnia ⭐ Abriu o cofre e XP na Codraise.

  1. Pega o código do mês nos stories de assinantes e manda !assinante CÓDIGO pra Robin no privado do Discord.
  2. Volta aqui logado(a) e abre o cofre.
  3. Três camadas: a de fora todo mundo conhece, a do meio é feita de pares, e a última está de trás pra frente.

Quer treinar mais? Laboratórios legais e gratuitos:

Resolveu? Escreve o caminho e manda em write-ups.

Enviar flag

Só membros da Codraise entram no ranking (login com Discord). O cargo e o XP caem sozinhos no servidor.

Ranking

    visitante@francodes.dev: ~
    ❯