Skill Map Tim Indonesia — Cyber SEA Game 2026

Kenapa: Tiga dari empat anggota sudah profesional security tetapi belum pernah ikut CTF. Jeopardy CTF berbeda dengan pentest: targetnya jawaban yang tepat, bukan laporan. Format flag lomba ini adalah CSG_FLAG{...}, tetapi sebagian soal meminta jawaban polos, misalnya string hash, koordinat, alamat IP, atau path file. Karena itu, baca instruksi format jawaban di setiap soal sebelum submit. Soal sering berantai lintas kategori: hasil satu langkah (password, key, file) menjadi bahan langkah berikutnya, kadang di kategori lain. Poin dinamis berarti soal mudah harus diselesaikan secepatnya. Baca deskripsi, judul, dan hint dengan teliti karena kata kunci di sana sering menjadi petunjuk.

Tanpa coding: Simpan perintah grep -rao 'CSG_FLAG{[^}]*}' . untuk mencari flag di semua file, tetapi jangan berhenti di situ: jika soal meminta jawaban polos, flag tidak akan pernah berbentuk CSG_FLAG. Sebelum submit, cek ulang: prefix perlu atau tidak, huruf besar/kecil, spasi, jumlah desimal (untuk koordinat), dan format hash. Catat temuan setengah jadi di papan tim karena bisa menjadi kunci soal lain.

• Belajar CTFtime - What is CTF (penjelasan format Jeopardy & scoring) CTFtime ✔
• Belajar CTF Field Guide - Introduction Trail of Bits ✔
• Belajar A beginner's roadmap for playing CTFs: 10 practical tips Intigriti ✔
• Belajar CTF101 - CTF Handbook (OSIRIS Lab NYU) CTF101 ?

Kenapa: PC lomba dari panitia memakai Windows + WSL dengan banyak tool sudah terpasang, sedangkan sebagian soal berupa target live yang hanya bisa dijangkau lewat VPN dan attackbox Kali. Waktu yang habis karena gagal konek VPN, bingung pindah file antara Windows, WSL, dan attackbox, atau lupa cara ssh/nc adalah poin yang hilang. Semua anggota harus bisa: menjalankan koneksi OpenVPN dari file .ovpn dan mengecek bahwa koneksi aktif, login ssh ke attackbox atau target, terhubung ke service dengan nc atau openssl s_client, memindahkan file (scp, python3 -m http.server + wget/curl), dan berpindah antara Windows dan WSL.

Tanpa coding: Buat kartu 'checklist konek' 5 langkah: (1) jalankan VPN, biarkan jendelanya terbuka; (2) cek ada interface tun0 atau IP VPN; (3) ping atau nmap -Pn ke target; (4) ssh/nc ke service; (5) jika putus, matikan lalu sambung ulang VPN sebelum curiga ke soal. Untuk WSL, cukup hafal: drive C: ada di /mnt/c/, folder WSL bisa dibuka dari Explorer lewat \\wsl$, dan explorer.exe . membuka folder aktif. Latih semuanya minimal sekali di TryHackMe sebelum berangkat.

• Soal TryHackMe - OpenVPN (room panduan konek VPN, termasuk alternatif AttackBox) TryHackMe ✔
• Belajar TryHackMe Help - Getting started with OpenVPN TryHackMe ?
• Belajar Microsoft Learn - Basic commands for WSL Microsoft Learn ✔
• Belajar Microsoft Learn - Working across file systems (WSL: /mnt/c, \\wsl$, interop) Microsoft Learn ✔
• Soal OverTheWire: Bandit (latihan ssh, nc, openssl s_client) OverTheWire ✔

Kenapa: Baik di WSL pada PC lomba maupun di attackbox Kali, langkah pertama di Forensics, Stego, RE, Network, dan soal live dikerjakan lewat terminal. Yang wajib lancar: navigasi direktori, file, strings, grep, xxd/hexdump, find, pipe (|), redirect (>), izin file (ls -l, chmod), dan ekstraksi arsip berlapis (unzip, tar, 7z, xz, gzip, bzip2).

Tanpa coding: Cukup hafalkan sekitar 15 pola perintah siap pakai, misalnya strings -n 6 file | grep -i flag, find / -name '*flag*' 2>/dev/null, find / -perm -4000 2>/dev/null, dan xxd file | head. Untuk file bernama aneh seperti '-', pakai cat ./- . Tulis di kartu contekan, tidak perlu belajar scripting bash.

• Soal OverTheWire: Bandit OverTheWire ✔
• Soal Linux Fundamentals Part 1 TryHackMe ?
• Soal picoGym Challenge Library - kategori General Skills (urutkan dari poin terendah) picoCTF / CyLab Academy ?
• Belajar The CTF Primer - bab The Shell picoCTF ✔

Kenapa: CyberChef adalah tool 'tanpa kode' yang paling berguna untuk Crypto pemula, Encoding, Stego ringan, Forensics, dan mendekripsi data hasil RE (XOR, RC4, AES dengan key yang ditemukan). Operasi Magic dapat menebak encoding berlapis. Recipe bisa disimpan dan dipakai lagi. CyberChef berjalan sepenuhnya di browser dan dapat diunduh untuk dipakai offline sebagai cadangan.

Tanpa coding: Cek apakah PC panitia sudah menyediakan CyberChef, dan siapkan salinan lokal (link download di pojok kiri atas aplikasi) sebagai cadangan. Simpan recipe favorit, misalnya 'From Base64 -> From Hex -> ROT13' atau 'From Hex -> AES Decrypt', sebagai teks JSON di catatan.

• Soal CyberChef: The Basics TryHackMe ?
• Belajar CyberChef - GitHub (README: dapat dijalankan offline) GitHub GCHQ ✔
• Belajar CyberChef Wiki (termasuk halaman Magic & Flow Control) GitHub GCHQ ✔
• Belajar CyberChef (aplikasi web resmi) GCHQ ✔

Kenapa: Hampir semua soal Forensics, Stego, RE, dan Network dimulai dari 'ini file apa?'. Gunakan checklist yang sama setiap kali: file, lalu exiftool, lalu strings | grep, lalu xxd (cek magic bytes/header), lalu binwalk (file tersembunyi atau data yang ditempel di akhir file), lalu tool khusus sesuai tipe. Cara ini mencegah anggota baru bingung harus mulai dari mana, dan metadata sering langsung berisi petunjuk.

Tanpa coding: Cetak checklist 6 langkah tersebut lalu tempel di meja. Ikuti urutannya secara mekanis sebelum mencari ide lain. Ingat bahwa ekstensi bisa palsu dan header bisa sengaja dirusak: bandingkan magic bytes dengan daftar signature file. Flag juga bisa dipecah ke beberapa bagian file.

• Belajar CTF Field Guide - Forensics (file identification, strings, binwalk) Trail of Bits ✔
• Belajar The CTF Primer - bab Forensics picoCTF ✔
• Soal CTFlearn - soal Forensics level Easy CTFlearn ✔
• Belajar Kali Tools - direktori dokumentasi tool (kategori Forensics) Kali Linux ✔

Kenapa: Soal Crypto, Stego, dan deobfuscation pemula sering hanya berupa encoding berlapis. Cukup dengan mengenali ciri-cirinya, soal bisa selesai dalam beberapa menit, dan ini penting karena poin dinamis menghargai kecepatan. Contoh ciri: base64 diakhiri '=', base32 hanya berisi A-Z2-7, hex hanya 0-9a-f, URL encoding memakai %xx, Unicode escape memakai \uXXXX, morse terdiri dari titik dan strip. Teks yang terbalik juga sering dipakai sebagai lapisan.

Tanpa coding: Buat tabel contekan 'ciri-ciri, lalu encoding, lalu operasi CyberChef' satu halaman. Jika tidak yakin, masukkan teks ke Magic di CyberChef dengan Intensive mode, atau coba dCode Cipher Identifier jika internet tersedia. Tetap latih pengenalan manual sebagai cadangan.

• Soal OverTheWire: Krypton OverTheWire ✔
• Belajar dCode - Cipher Identifier dCode ✔
• Belajar cryptii - konversi encoding/cipher di browser cryptii ✔
• Soal picoGym Challenge Library - kategori Cryptography (soal encoding mudah) picoCTF / CyLab Academy ?

Kenapa: Dengan poin dinamis dan tim beranggotakan 4 orang, soal mudah di semua kategori harus diambil secepatnya. Setiap anggota memegang kategori utama dan cadangan. Terapkan timebox, misalnya 20–30 menit, lalu minta bantuan atau pindah soal. Karena soal sering berantai lintas kategori, papan bersama (judul soal | pemegang | status | temuan: password, key, IP, file) sangat penting agar temuan satu orang langsung bisa dipakai orang lain dan tidak ada dua orang mengerjakan soal yang sama.

Tanpa coding: Lakukan latihan simulasi minimal 2 kali, misalnya mini-CTF 3 jam di picoGym atau CTFlearn. Di 10 menit pertama, semua anggota membaca daftar soal dan menandai yang terlihat mudah, sementara satu orang memastikan VPN dan akses lab sudah jalan. Tentukan satu orang yang bergiliran memantau scoreboard dan mengatur pindah soal.

• Belajar CTF strategies & techniques (bagi peran, komunikasi, repositori bersama) Snyk ✔
• Belajar CTF Training Guide - strategi tim Jeopardy GitBook ✔
• Belajar CTF Field Guide - Find a CTF (jadwal latihan & wargame) Trail of Bits ✔

Kenapa: Internet kemungkinan tersedia setidaknya sebagian, karena soal OSINT dan sebagian soal lain membutuhkannya. Namun AI tetap dilarang, jadi semua riset harus manual: mesin pencari dengan operator yang tepat, dokumentasi resmi, dan catatan sendiri. Koneksi juga bisa dibatasi atau lambat, jadi tetap siapkan cadangan offline: man, --help, tldr, CyberChef lokal, dan cheatsheet tim.

Tanpa coding: Latihan dua mode: (1) 'riset tanpa AI': selesaikan soal hanya dengan mesin pencari biasa dan operator seperti site:github.com "kata kunci"; (2) 'jam tanpa internet': selesaikan 3 soal Bandit atau picoGym dengan Wi-Fi mati, hanya memakai man, --help, dan catatan sendiri. Pastikan dulu ke panitia apakah file pribadi dan cheatsheet cetak boleh dibawa.

• Belajar Google Search Help - Refine Google searches (operator site:, filetype:, tanda kutip) Google ✔
• Belajar OSINT Framework (direktori resource OSINT gratis) OSINT Framework ✔
• Belajar tldr pages tldr ✔
• Belajar tldr-pages GitHub (README: PDF tldr-book & web client PWA offline) GitHub ✔

Kenapa: Hash, ZIP/PDF berpassword, dan /etc/shadow sering muncul di Crypto, Forensics, dan Network. Biasanya cukup serangan wordlist rockyou.txt; kadang soal memberi petunjuk pola password sehingga perlu serangan mask (misalnya diketahui panjang atau awalan). Kali menyertakan rockyou (biasanya di /usr/share/wordlists/, kadang perlu di-gunzip dulu), john beserta zip2john/pdf2john, serta hashcat. Pastikan tool tersedia di PC lomba atau attackbox, karena PC lomba mungkin tidak punya GPU sehingga john di CPU sering sudah cukup.

Tanpa coding: Hafalkan 4 perintah siap pakai: (1) zip2john f.zip > h.txt; john h.txt --wordlist=rockyou.txt, (2) john --show h.txt, (3) hashcat -m 0 -a 0 hash.txt rockyou.txt, (4) hashcat -m 0 -a 3 hash.txt 'CSG?d?d?d?d' untuk mask. Cocokkan bentuk hash dengan halaman Example Hashes untuk memilih mode -m. Ingat: jika soal meminta hash itu sendiri sebagai jawaban, salin persis sesuai format yang diminta.

• Soal Crack the hash TryHackMe ?
• Belajar John the Ripper: Usage Examples Openwall ✔
• Belajar hashcat Example Hashes (mode -m) hashcat wiki ✔
• Belajar hashcat wiki - attack modes hashcat wiki ✔

Kenapa: Tidak ada anggota yang kuat coding. Namun soal Crypto, RE, Network, dan Web sering menyertakan script Python atau membutuhkan script pendek, misalnya XOR, membalik algoritma sederhana, mengirim request, atau berinteraksi dengan service nc. Library Python boleh dipakai (kecuali AI/ML). Targetnya bukan menulis kode dari nol, cukup bisa menjalankan python3 script.py di WSL atau attackbox, mengganti nilai variabel, membaca traceback, dan menyusun snippet dari catatan pribadi.

Tanpa coding: Siapkan folder 'snippets' berisi 10–15 template berkomentar Bahasa Indonesia, misalnya XOR dengan key, decode base64 berulang, brute-force Caesar, request GET/POST, koneksi ke service nc dengan pwntools, AES decrypt dengan key/IV, membaca file biner, dan long_to_bytes untuk RSA. Saat lomba cukup ganti nilai di baris yang diberi tanda '# UBAH DI SINI'.

• Belajar The CTF Primer - bab Programming in Python picoCTF ✔
• Soal picoGym Challenge Library - General Skills (banyak soal menjalankan/memodifikasi script Python) picoCTF / CyLab Academy ?
• Belajar Python Documentation - Download (HTML/teks/EPUB untuk offline) Python.org ✔

Kenapa: Karena AI dilarang dan internet mungkin terbatas, catatan pribadi menjadi alat riset tercepat. Writeup soal pemula dari CTF lain menunjukkan pola yang berulang. Bacalah secara aktif: catat tipe soal, petunjuk awal, tool yang dipakai, perintah persisnya, dan format jawaban akhirnya, lalu masukkan ke cheatsheet per kategori.

Tanpa coding: Pakai template catatan per soal: 'Kategori | Ciri-ciri soal | Langkah 1-2-3 | Perintah persis | Format jawaban | Sumber'. Simpan dalam satu folder markdown supaya bisa dicari dengan grep -ri 'zip' notes/ saat lomba. Tanyakan ke panitia apakah materi cetak atau file pribadi boleh dibawa; jika tidak, cetak versi ringkasnya.

• Writeup CTFtime - Writeups CTFtime ✔
• Belajar awesome-ctf (daftar tutorial, wargame & koleksi writeup) GitHub ✔
• Belajar CTF Training Guide (contoh cheatsheet & strategi lomba) GitBook ✔

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): parameter nama file yang hanya menghapus ../ sekali, sehingga bisa dilewati dengan urutan bersarang atau encoding.

Tanpa coding: Mulai dari traversal biasa, lalu coba urutan bersarang yang tetap menjadi ../ setelah filter menghapus satu kali, path absolut, dan URL encoding ganda. Pakai Intruder dengan wordlist LFI bawaan SecLists kalau tidak yakin filter yang dipakai. Target awal yang aman untuk bukti: /etc/passwd, lalu cari file source app atau flag.

• Soal Lab: File path traversal, traversal sequences stripped non-recursively PortSwigger Web Security Academy ✔
• Soal Lab: File path traversal, simple case PortSwigger Web Security Academy ✔
• Belajar HackTricks - File Inclusion/Path traversal HackTricks ?

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): petunjuk sering ada di komentar HTML, file source/memo yang bisa diakses, atau validasi yang hanya dilakukan di browser.

Tanpa coding: Selalu buka View Source dan semua file JS dulu. Cari komentar, endpoint tersembunyi, dan nama file source/backup (misalnya file .py, .bak, .old, robots.txt). Validasi client-side cukup dihapus atau diubah atributnya di Inspector, atau kirim ulang request di Burp tanpa melewati form.

• Soal OverTheWire Natas (level 0 dan seterusnya: view source, file tersembunyi) OverTheWire ✔
• Soal Lab: Source code disclosure via backup files PortSwigger Web Security Academy ✔
• Belajar Information disclosure vulnerabilities PortSwigger Web Security Academy ✔
• Soal picoGym / CyLab challenge library (filter kategori Web, mis. soal inspeksi source dan client-side) CMU CyLab ?

Kenapa: Burp Suite Community sudah terpasang di lingkungan lomba 2026, jadi semua soal web live paling cepat dikerjakan lewat Proxy dan Repeater. Saran lama untuk memakai ZAP sebagai pengganti Burp tidak berlaku lagi.

Tanpa coding: Pakai browser bawaan Burp supaya tidak perlu setting proxy dan sertifikat. Kirim setiap request menarik ke Repeater. Intruder di Community diperlambat, jadi untuk wordlist besar pakai ffuf atau sqlmap. Decoder bisa menggantikan CyberChef untuk encoding sederhana.

• Belajar Getting started with Burp Suite PortSwigger ✔
• Belajar Burp Repeater PortSwigger ✔
• Belajar TryHackMe - Burp Suite: The Basics TryHackMe ?

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): soal MISC dan Web dikerjakan lewat VPN ke attackbox Kali, dengan soal SSH berantai yang menguji trik dasar Linux.

Tanpa coding: Latih koneksi VPN dan SSH sampai lancar sebelum lomba. Hafalkan trik file bernama aneh: nama yang diawali tanda minus dibaca dengan awalan ./ atau pemisah --, nama berspasi diberi tanda kutip, file tersembunyi dilihat dengan ls -la. Pakai tmux supaya sesi tidak hilang saat VPN putus.

• Soal OverTheWire Bandit (wargame Linux/SSH untuk pemula) OverTheWire ✔
• Soal OverTheWire Bandit Level 1 ke 2 (file bernama '-') OverTheWire ✔
• Soal OverTheWire Bandit Level 17 ke 18 (diff dua file password) OverTheWire ✔
• Belajar TryHackMe - OpenVPN (cara koneksi ke jaringan lab) TryHackMe ?

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): soal MISC berantai via SSH. xz dan OpenSSL juga tercantum di Approved Tool List 2026.

Tanpa coding: Kerjakan di folder sementara (mktemp -d). Ulangi siklus: jalankan file, ganti ekstensi sesuai hasilnya, ekstrak, lalu file lagi sampai keluar teks. Untuk layanan TLS, sambungkan dengan openssl s_client ke host:port lalu ketik input yang diminta. Kalau koneksi menampilkan RENEGOTIATING, baca bagian CONNECTED COMMANDS di manpage.

• Soal OverTheWire Bandit Level 12 ke 13 (hexdump file yang dikompres berulang) OverTheWire ✔
• Soal OverTheWire Bandit Level 15 ke 16 (kirim password lewat SSL/TLS) OverTheWire ✔
• Belajar CyberChef (Detect File Type, Gunzip, Bzip2 Decompress, Untar) GCHQ ✔

Kenapa: Di lomba yang dicari flag atau jawaban dengan format tertentu, bukan laporan temuan lengkap. Format CSG_FLAG{...} dan jawaban polos (hash, path, IP) harus dicek per soal. Soal juga cenderung berantai.

Tanpa coding: Timebox setiap soal, baca judul dan deskripsi soal sebagai petunjuk, dan langsung cari string flag setelah mendapat akses. Catat setiap kredensial dan path yang ditemukan karena soal berantai biasanya memakainya lagi. Baca instruksi format jawaban sebelum submit.

• Soal HTB Cyber Apocalypse 2024 (soal web/misc dengan source + solver resmi) Hack The Box (GitHub) ✔
• Soal HTB Cyber Apocalypse 2025 Hack The Box (GitHub) ✔
• Belajar CTF Field Guide (Trail of Bits) Trail of Bits ✔
• Writeup Arsip lengkap writeup Cyber SEA Game 2019 GitHub (Cyber SEA Game 2019) ✔

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): app web live yang cukup dikerjakan lewat browser, dengan SQLi sebagai jalur utama ke flag. Pola login bypass juga muncul di writeup publik CSG 2019.

Tanpa coding: Tes dulu manual di Repeater: tanda kutip tunggal, komentar SQL, dan kondisi selalu benar di form login. Untuk UNION, cari jumlah kolom lalu kolom yang tampil di halaman. Kalau polanya jelas, simpan request dari Burp ke file lalu jalankan sqlmap dengan opsi -r. Stacked query hanya jalan di DBMS/driver tertentu, jadi cek dulu jenis database dari pesan error.

• Soal Lab: SQL injection vulnerability allowing login bypass PortSwigger Web Security Academy ✔
• Soal Lab: SQL injection UNION attack, determining the number of columns returned by the query PortSwigger Web Security Academy ✔
• Belajar SQL injection cheat sheet (termasuk batched/stacked queries) PortSwigger Web Security Academy ✔
• Belajar sqlmap Usage wiki GitHub ✔
• Writeup Cyber SEA Game 2019 writeups (Trim_Auth - SQL Truncation) jebidiah-anthony.github.io ✔

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): fitur web yang meneruskan input ke perintah sistem (misalnya tool jaringan) dengan filter karakter sederhana.

Tanpa coding: Uji satu per satu pemisah perintah yang berbeda (titik koma, pipe, newline ter-encode, substitusi perintah) di Repeater. Kalau spasi atau kata tertentu diblokir, ganti dengan alternatif bawaan shell (variabel pemisah, tanda kutip di tengah kata, wildcard). Catat karakter mana yang lolos sebelum mencoba membaca file flag.

• Soal Lab: OS command injection, simple case PortSwigger Web Security Academy ✔
• Belajar OS command injection (materi dasar dan cara bypass) PortSwigger Web Security Academy ✔
• Soal OverTheWire Natas level 10 (grep injection dengan filter karakter) OverTheWire ✔
• Belajar HackTricks - Command Injection HackTricks ?

Kenapa: Prediksi tinggi untuk 2026 (lihat 01-prediksi-soal.md): flag sering hanya bisa dibaca root atau user lain, baik setelah RCE di soal web maupun di soal MISC berantai via SSH.

Tanpa coding: Setelah dapat shell, jalankan berurutan: id, sudo -l, cari binary SUID, cek capabilities, lalu cocokkan nama binary di GTFOBins bagian SUID/Sudo/Capabilities. Untuk binary SUID buatan soal, jalankan tanpa argumen dulu dan baca pesan penggunaannya. linpeas berguna kalau jalur cepat tidak ketemu.

• Belajar GTFOBins (pindah dari gtfobins.github.io) GTFOBins ✔
• Soal OverTheWire Bandit Level 19 ke 20 (binary setuid) OverTheWire ✔
• Soal TryHackMe - Linux Privilege Escalation TryHackMe ?
• Belajar HackTricks - Linux Privilege Escalation HackTricks ?

Kenapa: Prediksi sangat tinggi untuk 2026 (lihat 01-prediksi-soal.md): pivot persona lewat repo publik, termasuk email di commit dan secret yang pernah di-commit lalu dihapus. AI dilarang, jadi semua dikerjakan manual.

Tanpa coding: Clone repo lalu lihat semua commit di semua branch dengan git log --all, termasuk nama dan email author. Pakai git log -p untuk melihat isi perubahan, karena secret biasanya ada di commit lama yang sudah dihapus. Jalankan gitleaks pada repo untuk scan otomatis.

• Belajar Pro Git - Viewing the Commit History git-scm.com ✔
• Soal OverTheWire Bandit Level 27 ke 28 (mulai seri soal repo git) OverTheWire ✔
• Belajar Gitleaks - deteksi secret di repo git GitHub ✔
• Soal TryHackMe - OhSINT TryHackMe ?

Kenapa: Prediksi sedang sampai tinggi untuk 2026 (lihat 01-prediksi-soal.md): skenario client-side di Windows di mana flag disembunyikan di ADS dan nama file dipalsukan dengan karakter Right-to-Left Override.

Tanpa coding: Setelah dapat akses ke host Windows, cek ADS di folder target dengan dir /r atau Get-Item -Stream *, lalu baca stream yang mencurigakan. Untuk RTLO, lihat nama file dalam hex: kalau ada byte U+202E, ekstensi asli ada di bagian yang tampil terbalik.

• Belajar MITRE ATT&CK T1564.004 - Hide Artifacts: NTFS File Attributes MITRE ATT&CK ✔
• Belajar MITRE ATT&CK T1036.002 - Masquerading: Right-to-Left Override MITRE ATT&CK ✔

Kenapa: Prediksi tinggi untuk 2026 (lihat 01-prediksi-soal.md): akun sistem yang bisa di-su, password default/lemah, file konfigurasi yang bisa ditulis, atau shell terbatas yang bisa di-escape.

Tanpa coding: Daftar akun yang punya shell login di /etc/passwd, cek grup yang tidak biasa, cari file konfigurasi atau skrip cron yang bisa ditulis, lalu coba su ke akun sistem dengan password kosong atau sama dengan nama akun. Untuk shell terbatas, cari program yang bisa membuka shell lain (pager, editor) lewat GTFOBins.

• Soal OverTheWire Bandit Level 32 ke 33 (escape shell terbatas) OverTheWire ✔
• Belajar GTFOBins (bagian Shell dan Sudo) GTFOBins ✔
• Belajar HackTricks - Linux Privilege Escalation (writable files, groups, cron) HackTricks ?

Kenapa: Prioritas turun untuk 2026 (peluang sedang, lihat 01-prediksi-soal.md), tetapi pola 'well-known vulnerability' ada di writeup publik CSG 2019 dan 2021 dan cepat diselesaikan kalau lab-nya sudah pernah dicoba.

Tanpa coding: Ambil banner dengan nmap -sV atau WhatWeb, cocokkan dengan searchsploit dan modul Metasploit. Latih beberapa CVE di Vulhub supaya saat lomba cukup set target lalu jalankan modul yang sudah ada.

• Soal Vulhub - Apache HTTP Server 2.4.49 (CVE-2021-41773) Vulhub ✔
• Soal Vulhub - Struts2 S2-045 (CVE-2017-5638) Vulhub ✔
• Writeup CSG 2019 - well-known vulnerability 1 (Web 150) GitHub (Cyber SEA Game 2019) ✔
• Writeup Cyber SEA Game 2021 writeup (Known Vulnerability 1 & 2) NandyNarwhals ✔
• Belajar SearchSploit - The Manual Exploit-DB ✔

Kenapa: Peluang sedang untuk 2026 (lihat 01-prediksi-soal.md): lab live bergaya red-team AD pernah menjadi format di edisi sebelumnya. Cukup pahami alurnya dan tool utamanya.

Tanpa coding: Pahami urutan umum: enumerasi user dan share, cari kredensial lemah atau AS-REP roasting, visualisasikan jalur ke Domain Admin di BloodHound, lalu pindah host dengan kredensial yang didapat. Semua langkah ini berbasis tool, tidak perlu menulis kode.

• Belajar TryHackMe - Active Directory Basics TryHackMe ?
• Soal TryHackMe - Attacktive Directory TryHackMe ?
• Belajar HackTricks - Active Directory Methodology HackTricks ?

Kenapa: Bukan fokus utama prediksi 2026 (RE diprediksi didominasi PE Windows), tetapi pengalaman mobile pentest Alfee membuat soal APK, kalau muncul, paling cepat diselesaikan olehnya.

Tanpa coding: Buka APK di jadx-gui, cari string 'flag', password hardcoded, atau Log.*, lalu cek res/values/strings.xml hasil apktool. Decode string dengan CyberChef.

• Belajar jadx - Dex to Java decompiler GitHub ✔
• Writeup picoCTF droids 0-4 writeup (jadx, apktool, logcat) HackMD ✔
• Writeup Introduction to Android App Reversing (picoCTF droids0/droids1) NUS Greyhats ✔
• Soal OWASP MAS Crackmes (UnCrackable Android) OWASP MAS ✔

Kenapa: Di DFIR nyata yang dicari adalah timeline dan bukti utuh. Di CTF yang dicari satu string, soalnya berantai, dan flag sering dipecah ke beberapa tempat (metadata, isi file, ekor file). Sebagian soal minta jawaban polos (hash, path, IP, koordinat), jadi format jawaban wajib dibaca teliti. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Pola berlapis juga terlihat di writeup publik CSG 2019 (PDF-JPGS, Notes, RLO).

Tanpa coding: Buat checklist triase 5 menit untuk setiap file: file, exiftool, strings (cari format flag dan Base64), binwalk, lalu ImHex untuk cek magic byte dan ekor file. Tulis setiap potongan flag atau kata aneh di catatan bersama, karena potongan berikutnya bisa ada di file lain. Verifikasi format flag sebelum submit (waspadai flag palsu). Untuk nama file RLO, lihat nama file dalam hex (karakter E2 80 AE).

• Belajar CTF Field Guide - Forensics (Trail of Bits) Trail of Bits ✔
• Soal Cyber SEA Game 2019 - daftar soal (Forensic: PDF-JPGS, Notes, Broken Head; MISC: RLO, hidden msg) GitHub (CSG 2019) ✔
• Writeup Cyber SEA Game 2019 writeups (jebidiah-anthony) Blog pribadi (CSG 2019) ✔
• Soal HTB Cyber Apocalypse 2026 - repo resmi soal + solusi (folder forensics) Hack The Box GitHub ✔

Kenapa: Prediksi tinggi di Forensics dan sangat tinggi di Stego untuk 2026, lihat 01-prediksi-soal.md. Metadata bisa langsung berisi flag, atau berisi petunjuk (komentar, artist, GPS, tanggal) yang harus digabung menjadi password untuk arsip berikutnya.

Tanpa coding: Jalankan exiftool -a -u -g1 file untuk menampilkan semua tag termasuk Comment, UserComment, XPComment, Artist, dan GPS. Bandingkan dengan file lain di soal yang sama karena petunjuk bisa tersebar. Kalau ada arsip berpassword, coba kombinasi nilai metadata (misalnya nama + tanggal) secara manual dulu, baru zip2john file.zip > h.txt lalu john --wordlist=rockyou.txt h.txt. Catat semua password yang ditemukan karena sering dipakai ulang di lapisan berikutnya.

• Writeup Forensic picoCTF 2024 (CanYouSee: exiftool + Base64) HackMD ✔
• Belajar ExifTool (dokumentasi & unduhan) Phil Harvey ✔
• Belajar Crack File Password With John (zip2john) Tero Karvinen ✔
• Writeup ASEAN Open CTF 2025 - Bombadiro Crocadiro (zip2john, VeraCrypt, GPG, git) kpakkawat blog ✔

Kenapa: Prediksi sangat tinggi untuk Stego 2026, lihat 01-prediksi-soal.md. Pola klasik: ZIP atau teks ditempel setelah chunk IEND (PNG) atau penanda FF D9 (JPG), serta file polyglot. Contoh publik ada di CSG 2019 (PDF-JPGS).

Tanpa coding: Di ImHex cari 49 45 4E 44 AE 42 60 82 (IEND PNG) atau FF D9 (akhir JPG). Semua byte setelahnya mencurigakan: pilih sampai akhir file lalu Export selection. binwalk -e dan foremost melakukan carving otomatis. Coba juga buka gambar langsung di 7-Zip, karena 7-Zip sering bisa membaca ZIP yang ditempel. pngcheck -v menunjukkan data tambahan setelah IEND.

• Writeup Forensic picoCTF 2024 (Secret of the Polyglot, CanYouSee, Verify) HackMD ✔
• Belajar Aperi'Solve - analyzer stego online (zsteg, steghide, binwalk, foremost, exiftool) Aperi'Solve ✔
• Writeup CSG 2019 PDF-JPGS (tag: File Headers) Blog pribadi (CSG 2019) ✔
• Belajar CTF Field Guide - Forensics (bagian file carving) Trail of Bits ✔

Kenapa: Tipe soal Forensics dengan peluang paling tinggi untuk 2026 (lihat 01-prediksi-soal.md bagian 5 dan 6). Ini wilayah kerja harian Dante, tinggal dilatih agar cepat menemukan satu artefak yang berisi flag atau jawaban (nama file, path, waktu, hash).

Tanpa coding: Buka E01 di FTK Imager (Add Evidence Item), lalu Export Files untuk $MFT, $Extend\$UsnJrnl:$J, folder Prefetch, dan $Recycle.Bin. Parse dengan MFTECmd -f $MFT --csv out, MFTECmd -f $J -m $MFT --csv out, PECmd -d Prefetch --csv out, RBCmd -d $Recycle.Bin --csv out, lalu buka CSV di Timeline Explorer dan filter kolom nama file atau ekstensi. ADS terlihat di FTK Imager sebagai file:stream, atau di Windows dengan dir /r dan Get-Item file -Stream *. Ingat $I di Recycle Bin menyimpan path asli, $R berisi isi file. Untuk image kecil, mmls lalu fls -r -o OFFSET sering lebih cepat dari Autopsy.

• Belajar Eric Zimmerman's Tools (MFTECmd, PECmd, RBCmd, EvtxECmd, Timeline Explorer) Eric Zimmerman ✔
• Soal HTB CA 2024 Persue The Tracks (analisis $MFT dengan MFTECmd) Hack The Box GitHub ✔
• Belajar Windows Forensics Part 10: Analyzing the NTFS USN Journal (MFTECmd) IT-Connect ✔
• Belajar 13Cubed (video DFIR: NTFS, Prefetch, artefak Windows) YouTube 13Cubed ✔
• Belajar SANS Windows Forensic Analysis Poster SANS (perlu login akun gratis) ✔

Kenapa: Prediksi sangat tinggi untuk 2026, lihat 01-prediksi-soal.md. Pola yang diantisipasi: passphrase atau key ditemukan lewat strings, lalu proses mencurigakan di-dump untuk dianalisis bersama Salah (RE) atau dipakai mendekripsi file lain.

Tanpa coding: Langkah pertama selalu strings -el dan strings biasa ke file teks, lalu cari format flag, kata password, key, http, dan .ps1. Baru setelah itu Volatility 3: windows.info, windows.pslist/pstree, windows.cmdline, windows.netscan, windows.filescan, windows.dumpfiles --virtaddr, dan windows.memmap --pid PID --dump untuk dump proses. Siapkan symbol pack Windows offline sebelum lomba. MemProcFS bisa me-mount dump sebagai drive sehingga file dan proses bisa dijelajahi lewat Explorer.

• Belajar Volatility 3 - Windows Tutorial (pslist, pstree, dumpfiles) Volatility docs ✔
• Soal HTB CA 2025 Stealth Invasion (Volatility 3: pslist, filescan, dumpfiles) Hack The Box GitHub ✔
• Soal CyberDefenders Ramnit (Easy; Volatility 3) CyberDefenders (status gratis belum dipastikan) ✔
• Writeup Trend Micro CTF 2017 - Forensic 200 Write-up (pstree, cmdscan, dumpfiles) RootUsers (TMCTF) ✔

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Log PowerShell sering berisi script ter-encode (Base64/XOR) yang menyimpan flag atau key. Log sandbox Linux menunjukkan perintah, file yang dibuat, dan mekanisme persistence.

Tanpa coding: EVTX: buka Microsoft-Windows-PowerShell/Operational dan filter Event ID 4104 (Script Block), juga 4103, Security 4688, dan Sysmon 1/11 kalau ada. Atau EvtxECmd -d folder --csv out lalu cari kata FromBase64String, -enc, IEX di Timeline Explorer. Decode di CyberChef (From Base64, lalu Decode text UTF-16LE). Log strace: grep execve, openat, connect, dan write untuk melihat apa yang dijalankan dan ditulis. Persistence Linux: cek crontab, /etc/cron*, /etc/rc.local, unit systemd, .bashrc, dan authorized_keys (komentar kunci SSH bisa berisi potongan flag).

• Soal HTB CA 2025 Cave Expedition (EVTX + script PowerShell) Hack The Box GitHub ✔
• Soal HTB CA 2024 It Has Begun (script persistence Linux: cron, authorized_keys) Hack The Box GitHub ✔
• Soal HTB CA 2024 An unusual sighting (SSH log & bash history) Hack The Box GitHub ✔
• Writeup picoCTF Event-Viewing (Event ID 1033/4657/1074 + CyberChef) Qiita ✔
• Soal CyberDefenders Hammered (Medium; log Linux dengan grep) CyberDefenders (status gratis belum dipastikan) ✔

Kenapa: Tipe soal Stego dengan peluang sangat tinggi untuk 2026, lihat 01-prediksi-soal.md. Variasi yang perlu diantisipasi: data tidak mulai dari piksel pertama, hanya di satu channel atau satu bit plane, atau dibaca per kolom.

Tanpa coding: Jalankan zsteg -a gambar.png dan perhatikan baris berisi teks terbaca (misalnya b1,r,lsb,xy atau b1,rgb,msb,yx). Kalau ada offset, pakai zsteg -E "b1,rgb,lsb,xy" gambar.png > out.bin lalu buka di ImHex untuk mencari header file di tengah data. Di StegSolve, geser panah untuk melihat setiap bit plane, lalu Analyse > Data Extract untuk memilih channel, bit, dan urutan baris/kolom tanpa coding. Teks nyaris putih terlihat lewat Random colour map atau GIMP Threshold.

• Belajar zsteg GitHub ✔
• Writeup picoCTF 2019 What Lies Within (zsteg b1,rgb,lsb) GitHub Dvd848 / picoGym ✔
• Belajar StegOnline (bit plane browser & ekstraksi LSB di browser) StegOnline ✔
• Soal picoGym challenge library (cari: Glory of the Garden, St3g0, RED, advanced-potion-making) picoGym (CMU CyLab) ?

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Hasil ekstraksi LSB atau data jaringan sering berupa deretan bit yang panjangnya kuadrat sempurna (misalnya 625 = 25x25, 841 = 29x29), tanda bahwa itu QR code.

Tanpa coding: Hitung panjang bitstream, lalu ambil akar kuadratnya untuk lebar QR (QR versi 1 = 21, versi 2 = 25, versi 3 = 29). Cara tanpa coding: di Notepad++ ganti 1 dengan karakter blok penuh dan 0 dengan spasi, lalu pecah per lebar baris, dan pola QR akan terlihat untuk discreenshot. Alternatif: CyberChef operasi Generate Image (mode Bits, atur pixel per row) lalu Parse QR Code. Cek dulu operasi ini tersedia di CyberChef offline Anda. Kalau zbarimg gagal, coba balik warna (invert) dan tambahkan border putih.

• Writeup Tenable CTF 2023 Cyberpunk Cafe (deretan bit disusun 41x41 jadi QR) CTFtime ✔
• Writeup picoCTF Scan Surprise (zbarimg flag.png) Codeberg Pages (moormaster) ✔
• Belajar ZBar (zbarimg) - pembaca barcode/QR command line GitHub ✔
• Belajar CyberChef (bisa diunduh dan dijalankan offline) GitHub GCHQ ✔

Kenapa: Prediksi sedang tapi murah untuk dikuasai, lihat 01-prediksi-soal.md. Trik ini tidak terlihat di viewer biasa sehingga mudah terlewat kalau tidak ada di checklist.

Tanpa coding: Zero-width: buka teks di ImHex dan cari E2 80 8B/8C/8D atau EF BB BF, lalu pakai decoder unicode steganography offline (simpan halaman 330k). Whitespace: kalau ada dua pola byte (misalnya 20 dan E2 80 83), ganti jadi 0 dan 1 di CyberChef lalu From Binary. SVG: buka di Notepad++ atau Inkscape XML Editor, cari elemen dengan display:none, opacity 0, fill sama dengan background, atau koordinat di luar viewBox. Hapus atribut itu dan teks/path akan muncul. Palet/alpha PNG: di StegSolve atau StegOnline lihat Alpha plane dan coba Random colour map, karena warna palet yang mirip bisa menyembunyikan teks.

• Belajar Unicode Steganography with Zero-Width Characters (encoder/decoder) 330k GitHub Pages ✔
• Writeup picoCTF 2019 WhitePages (spasi vs EM SPACE jadi biner) GitHub Dvd848 / picoGym ✔
• Writeup Ugra CTF Quals 2021 (data path SVG dirender jadi teks flag) CTFtime ✔
• Belajar StegOnline (lihat bit plane & alpha di browser) StegOnline ✔

Kenapa: File rusak atau ekstensi palsu adalah langkah pembuka di banyak soal berantai, baik Forensics maupun Stego. Contoh publik ada di CSG 2019 (Broken Head, PDF-JPGS) dan picoCTF.

Tanpa coding: Hafalkan magic: ZIP 50 4B 03 04, PNG 89 50 4E 47 0D 0A 1A 0A, JPG FF D8 FF E0 (JFIF), PDF 25 50 44 46, GIF 47 49 46 38, MZ 4D 5A. Di ImHex pakai pattern language bawaan untuk PNG/ZIP/BMP agar struktur terlihat. Kalau pngcheck melaporkan CRC error pada IHDR, kemungkinan besar tinggi/lebar gambar diubah. Naikkan nilai height lalu cek apakah gambarnya jadi lengkap.

• Belajar List of file signatures Wikipedia ✔
• Writeup picoCTF 2019 c0rrupt (perbaikan header & chunk PNG) GitHub Dvd848 / picoGym ✔
• Writeup picoCTF 2021 tunn3l v1s10n (perbaikan header BMP & tinggi gambar) GitHub Dvd848 / picoGym ✔
• Writeup picoCTF Corrupted file (perbaikan FF D8 JPEG pakai hex editor) R4shSec blog ✔

Kenapa: Prediksi sedang untuk 2026, lihat 01-prediksi-soal.md. Cepat dicoba dan Stegseek bisa membongkar password steghide dari rockyou dalam hitungan detik.

Tanpa coding: Untuk JPG/BMP/WAV, coba dulu steghide extract -sf file -p "" (password kosong). Lalu coba kata dari judul soal, deskripsi, atau metadata EXIF. Kalau gagal, pakai stegseek file rockyou.txt, atau stegseek --seed untuk mendeteksi ada tidaknya data.

• Belajar Stegseek GitHub ✔
• Writeup picoCTF 2021 Trivial Flag Transfer Protocol (ekstrak TFTP + steghide) GitHub Dvd848 / picoGym ✔
• Belajar Aperi'Solve (menjalankan steghide/outguess sekaligus) Aperi'Solve ✔

Kenapa: Kandidat soal baru 2026 karena fsck.fat masuk daftar tool resmi, lihat 01-prediksi-soal.md bagian 4.2. Peluang sedang sampai tinggi.

Tanpa coding: Selalu kerja di salinan image. Mulai dengan file dan fsstat untuk tahu FAT12/16/32. Kalau tidak bisa di-mount, jalankan fsck.fat -n dulu (hanya membaca, tampilkan masalah), lalu fsck.fat -a atau -y di salinan. Baca output fsck dengan teliti karena nama file atau direktori bisa berisi flag. Kalau boot sector rusak, bandingkan dengan backup boot sector (FAT32 di sektor 6) di ImHex. File terhapus diambil dengan fls -r -d lalu icat, atau PhotoRec.

• Belajar dosfstools (mkfs.fat, fsck.fat, fatlabel) GitHub ✔
• Writeup PlaidCTF 2020 file-system-based strcmp go brrrr (fsck.vfat pada image FAT32) CTFtime ✔
• Writeup picoCTF 2021 Disk, disk, sleuth! II (mmls, fls, icat) GitHub Dvd848 / picoGym ✔

Kenapa: Plugin OpenSSH-Session-Key-Recovery ada di daftar tool resmi 2026 tapi belum pernah muncul, jadi kandidat soal baru (lihat 01-prediksi-soal.md). Alurnya: dump memori Linux, ambil kunci sesi SSH, lalu dekripsi trafik SSH di pcap. Dante memegang bagian memori, Soorya bagian pcap.

Tanpa coding: Latih alurnya sebelum lomba di VM: pasang plugin dengan -p path_plugin dan symbol openssh32/openssh64 sesuai README. Mulai dengan linux.pslist dan linux.bash untuk menemukan proses sshd/ssh, lalu jalankan plugin kunci sesi. Volatility Linux butuh symbol kernel (ISF) yang cocok; biasanya disediakan soal, kalau tidak ada coba strings dulu. Serahkan hasil kunci ke Soorya untuk langkah dekripsi pcap dengan tool di repo yang sama.

• Belajar fox-it OpenSSH-Session-Key-Recovery (plugin Volatility 2/3) GitHub fox-it ✔
• Belajar Decrypting OpenSSH sessions for fun and profit (latar belakang teknik) NCC Group / Fox-IT ✔
• Belajar Volatility 3 - Linux Tutorial Volatility docs ✔

Kenapa: Prediksi sedang untuk 2026, lihat 01-prediksi-soal.md. File docx/xlsx/pptx sebenarnya ZIP, jadi flag bisa ada di sheet tersembunyi, speaker notes, komentar, docProps, atau makro. Contoh publik: CSG 2019 Notes (makro MS Office).

Tanpa coding: Ekstrak file dengan 7-Zip lalu cek: docProps/core.xml dan app.xml (metadata), xl/workbook.xml (sheet dengan state="hidden" atau veryHidden), ppt/notesSlides, word/comments.xml, dan folder media. Di Excel/LibreOffice klik kanan tab sheet lalu Unhide. Untuk makro jalankan oleid lalu olevba --decode, jangan pernah menjalankan makronya.

• Belajar oletools (olevba, oleid, oleobj, olebrowse) GitHub ✔
• Writeup picoCTF 2021 MacroHard WeakEdge (olevba + bongkar pptm sebagai ZIP) GitHub Dvd848 / picoGym ✔
• Soal HTB CA 2024 Urgent (ekstrak lampiran .eml + decode) Hack The Box GitHub ✔
• Writeup CSG 2019 Notes (tag: MS Office Macro) Blog pribadi (CSG 2019) ✔

Kenapa: Prediksi sedang dan cenderung turun; muncul sebagai kandidat karena qpdf ada di daftar tool resmi 2026 (lihat 01-prediksi-soal.md). Pola umum: data di metadata, stream terkompresi, file lampiran, atau teks tertutup objek lain.

Tanpa coding: Urutannya: exiftool file.pdf (Author, Title, Subject, Keywords), lalu pdfid untuk mendeteksi /EmbeddedFile, /JavaScript, /OpenAction. qpdf --qdf --object-streams=disable in.pdf out.pdf membuat semua stream terbuka dan bisa dibaca di Notepad++. pdf-parser --search atau --object dengan --filter untuk membuka stream tertentu. Teks putih atau tertutup gambar bisa dimunculkan dengan Ctrl+A atau copy-paste.

• Belajar Didier Stevens PDF Tools (pdfid, pdf-parser) Didier Stevens blog ✔
• Writeup picoCTF Riddle Registry (flag Base64 di metadata Author PDF) R4shSec blog ✔
• Writeup Forensic picoCTF 2024 (Secret of the Polyglot: PDF sekaligus PNG) HackMD ✔

Kenapa: Prediksi rendah sampai sedang untuk 2026, lihat 01-prediksi-soal.md. Audio juga bisa muncul di soal Network (audio dalam stream RTP), jadi berguna untuk membantu Soorya.

Tanpa coding: Buka file di Sonic Visualiser lalu Layer > Add Spectrogram, karena teks sering muncul di sana. Morse: lihat bentuk gelombang di Audacity, tulis titik/garis, lalu decode di CyberChef. Bunyi bip telepon berarti DTMF (multimon-ng). Bunyi seperti modem biasanya SSTV: putar ke QSSTV atau RX-SSTV.

• Writeup picoCTF 2019 m00nwalk (SSTV dengan QSSTV, mode Scottie 1) GitHub Dvd848 / picoGym ✔
• Writeup picoCTF 2019 m00nwalk2 (SSTV lanjutan) GitHub Dvd848 / picoGym ✔
• Belajar HTB Forum - Technique for audio steganography Hack The Box Forum ?

Kenapa: Langkah pertama di setiap soal RE: menentukan apakah file berupa PE x86/x64, biner Go, .NET, PyInstaller, atau ELF, dan apakah dipacking. Salah identifikasi menghabiskan waktu. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Checklist tetap: (1) buka di DIE untuk melihat compiler, bahasa, dan packer, (2) jalankan strings dan cari 'CSG_FLAG', 'Go build ID', 'runtime.', 'PyInstaller', 'UPX!', 'mscoree.dll', (3) kalau UPX, jalankan upx -d lalu cek lagi di DIE, (4) arahkan ke jalur tool: PE native/Go ke Ghidra + x64dbg, .NET ke dnSpyEx, PyInstaller ke pyinstxtractor. Entropi section yang sangat tinggi di DIE berarti ada data terenkripsi atau packer custom.

• Belajar Detect It Easy (DiE) - README GitHub ✔
• Writeup picoCTF 2022 unpackme: upx -d lalu Ghidra CTFtime ✔
• Soal HTB Cyber Apocalypse 2024 - [Very Easy] PackedAway (UPX) Hack The Box (GitHub resmi) ✔
• Soal HTB Cyber Apocalypse 2024 - [Very Easy] LootStash (strings) Hack The Box (GitHub resmi) ✔

Kenapa: PE Windows x86/x64 (termasuk yang ditulis dengan Go) diprediksi menjadi tipe soal RE paling dominan. Ghidra statis dipakai untuk menemukan fungsi pengecekan, konstanta kunci, dan alur dekripsi sebelum masuk ke debugger. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Urutannya: Defined Strings, cari 'correct', 'wrong', 'key', 'flag', 'http', lalu klik kanan > References untuk lompat ke fungsi pemakainya. Di decompiler, cukup cari if yang membandingkan input (strcmp, memcmp, atau loop byte). Untuk biner Go, buka Symbol Tree dan cari main.main serta fungsi main.* lain; abaikan runtime.*. Kalau nama fungsi hilang, jalankan GoReSym dulu. String di Go tidak diakhiri null, jadi perhatikan pasangan pointer + panjang. Byte array yang mencurigakan: pilih di Listing, Copy Special > Byte String, tempel ke CyberChef.

• Belajar GoReSym - pemulih simbol biner Go (Mandiant) GitHub ✔
• Writeup CSE-132 Rev HW Walkthrough (biner Go di Ghidra lewat main.main) Slug Security (UCSC) ✔
• Writeup babyFirstCrackme step-by-step dengan Ghidra Blog fr0stb1rd ✔
• Soal crackmes.one search (filter Platform Windows, Language C/C++ atau Go, Difficulty 1-2) crackmes.one ✔
• Soal HTB Cyber Apocalypse CTF 2026 - folder reversing (latihan terbaru) Hack The Box (GitHub resmi) ✔

Kenapa: Soal 'file tidak bisa dijalankan atau dibuka' sering hanya butuh perbaikan beberapa byte: signature MZ, offset e_lfanew di 0x3C, atau signature PE. Setelah diperbaiki, biner bisa dianalisis seperti biasa. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Bandingkan dengan exe sehat mana pun (misalnya notepad.exe) di hex editor. Cek: (1) byte 0-1 harus 4D 5A ('MZ'), (2) DWORD di offset 0x3C menunjuk ke posisi 'PE\0\0' (50 45 00 00), (3) Machine setelah signature: 4C 01 untuk x86, 64 86 untuk x64, (4) Magic optional header 0B 01 (PE32) atau 0B 02 (PE32+). Perbaiki byte yang salah, simpan sebagai file baru, buka di PE-bear: kalau section dan import tampil normal, berarti sudah benar.

• Belajar PE Format (MS-DOS stub, offset 0x3C, signature PE) Microsoft Learn ✔
• Belajar PE 101 - a windows executable walkthrough (poster struktur PE) GitHub (corkami) ✔
• Belajar Detect It Easy (DiE) - README GitHub ✔

Kenapa: Encoder flag sering memakai Base64 dengan tabel alfabet yang diacak, digabung dengan XOR. Biner bisa menyimpan lebih dari satu tabel, dan hanya satu yang benar-benar dipakai. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Di Ghidra, cari string sepanjang 64-65 karakter yang mirip alfabet Base64. Kalau ada beberapa, ikuti References: tabel yang dipakai adalah yang dirujuk oleh fungsi encode yang dipanggil dari main, bukan yang hanya disimpan. Lebih aman lagi: breakpoint di x64dbg pada fungsi encode dan lihat alamat tabel yang dibaca. Di CyberChef, tempel tabel itu ke kolom Alphabet di From Base64. Kalau hasilnya masih acak, tambahkan XOR; urutan operasi dibalik dari urutan di kode (encode XOR lalu Base64 berarti decode Base64 lalu XOR).

• Writeup BuckeyeCTF 2024 fixpoint (Base64 dengan alfabet custom) CTFtime ✔
• Belajar Encodings (Base64, alfabet, CyberChef) Jorian Woltjer Book ✔
• Belajar XOR (single-byte, repeating-key, known plaintext) Jorian Woltjer Book ✔
• Soal HTB Cyber Apocalypse 2025 - [Very Easy] EncryptedScroll (encoding string di biner) Hack The Box (GitHub resmi) ✔

Kenapa: Script yang dibungkus berlapis-lapis adalah pola lama dan baru: CSG 2019 ShellScript (Base64, kode desimal, PowerShell), serta webshell PHP dan batch yang diobfuskasi. Polanya mirip pekerjaan triage: membaca payload tanpa menjalankannya. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Jangan jalankan script aslinya. PHP: eval(gzinflate(base64_decode('...'))) dikupas di CyberChef dengan From Base64 lalu Raw Inflate (gzuncompress = Zlib Inflate, gzdecode = Gunzip, str_rot13 = ROT13); ulangi sampai tidak ada eval lagi. Batch: %var:~x,y% artinya ambil y karakter mulai indeks x (dari 0) dari isi var; salin isi SET-nya, lalu hitung manual atau ganti perintah dengan echo di VM. PowerShell: ganti IEX / Invoke-Expression dengan Write-Output, dan ubah [char]NN dengan Regular expression + From Charcode. Simpan recipe tiap lapis.

• Writeup CSG 2019 - ShellScript (Crypto 200): Base64, kode desimal, PowerShell GitHub (Cyber SEA Game 2019) ✔
• Belajar Down the Malware Rabbit Hole - Part 1 (PHP eval + base64 + gzinflate berlapis) Sucuri Blog ✔
• Belajar Batch File Obfuscation Incident (substring %VAR:~start,len%) Oneconsult ✔
• Belajar Cmd and Conquer: De-DOSfuscation with flare-qdb (2018, konsep batch obfuscation) Google Cloud / Mandiant ✔
• Belajar CyberChef Flow Control (Fork/Jump/Subsection untuk lapisan berulang) GitHub Wiki (GCHQ) ✔

Kenapa: Poin termurah di kategori Crypto dan peluangnya sangat tinggi. CSG 2019 punya soal fullwidth Unicode ke Base64 (Fraud(1) Whistle blowing). Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Tempel input ke CyberChef lalu tambahkan Magic dengan Intensive mode. Kalau Magic gagal, tebak dari bentuk: '=' di akhir berarti Base64, A-Z2-7 berarti Base32, pasangan 0-9a-f berarti Hex, deretan angka 32-126 berarti From Charcode, \uXXXX berarti Unescape Unicode. Kalau hasil terlihat seperti Base64 terbalik (tanda '=' di depan), tambahkan Reverse. Cari 'CSG_FLAG' di output dan simpan rantai yang berhasil sebagai recipe.

• Belajar Automatic detection of encoded data using CyberChef Magic GitHub Wiki (GCHQ) ✔
• Writeup CSG 2019 - Fraud(1) Whistle blowing (fullwidth Unicode lalu Base64) GitHub (Cyber SEA Game 2019) ✔
• Writeup Writeup Cyber SEA Game 2019 (Fullwidth Unicode Encoding, Obfuscated Code, Embedded Text) Blog jebidiah-anthony ✔
• Soal CryptoHack Introduction course: ASCII, Hex, Base64, Bytes and Big Integers CryptoHack ✔
• Soal picoGym Challenge Library (filter Cryptography, soal encoding pemula) picoCTF / CyLab Academy ?

Kenapa: Peluang tinggi untuk 2026: cipher klasik dan historis sering dibungkus cerita, dengan kunci yang tersembunyi di teka-teki atau deskripsi soal. Siapkan referensi offline karena internet saat lomba tidak bisa diandalkan. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Vigenère: kunci hampir selalu ada di soal (judul, jawaban teka-teki, nama tokoh); coba beberapa kandidat di Vigenère Decode, perhatikan apakah prefix menjadi 'CSG'. Baudot/ITA2: kelompok 5 bit; ingat dua mode (letters dan figures) yang dipindah oleh kode shift. Spelling alphabet (Alfa, Bravo, ...): ambil huruf pertama tiap kata. Emoji/simbol: ganti tiap simbol unik dengan huruf sementara (Find / Replace), lalu pecahkan sebagai substitusi biasa memakai frekuensi dan crib 'CSG_FLAG'.

• Belajar dCode - Vigenere Cipher Solver dCode ✔
• Belajar dCode - Baudot Code (ITA2, Murray, US-TTY) dCode ✔
• Belajar dCode - NATO Phonetic Alphabet dCode ✔
• Belajar dCode - Substitution Cipher (dan rujukan ke daftar cipher simbol) dCode ✔
• Soal HTB Cyber Apocalypse 2024 - [Very Easy] Dynastic (cipher klasik) Hack The Box (GitHub resmi) ✔

Kenapa: Format flag CSG_FLAG{ memberi 9 byte known plaintext gratis, cukup untuk memulihkan kunci XOR pendek. Variasi yang diprediksi: kunci XOR adalah hash (misalnya SHA-256) dari sebuah passphrase yang ditemukan di bagian lain soal. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Known plaintext: XOR 9 byte pertama ciphertext dengan 'CSG_FLAG{' di CyberChef (input ciphertext Hex, XOR key UTF8 'CSG_FLAG{'), hasilnya adalah awal kunci. Kalau pola berulang terlihat, itu panjang kunci; pakai sebagai kunci XOR penuh. Kunci dari hash: tulis passphrase, SHA2 256-bit menghasilkan 64 hex = 32 byte, lalu gunakan sebagai kunci XOR format Hex. Coba juga MD5/SHA1 dan variasi passphrase (huruf kecil, tanpa spasi, dengan newline).

• Soal CryptoHack Introduction: XOR Starter, XOR Properties, Favourite byte, You either know, XOR you don't CryptoHack ✔
• Belajar XOR (xortool, repeating-key, crib dragging) Jorian Woltjer Book ✔
• Belajar xortool - README dan opsi GitHub ✔
• Writeup Writeup OTP1 (BlueHens CTF 2021) memakai xortool + CyberChef CTFtime ✔

Kenapa: Peluang tinggi untuk 2026. Soal sering memberi petunjuk format password (misalnya 4 huruf + 4 angka), sehingga mask attack jauh lebih cepat daripada wordlist. CSG 2017 juga punya soal md5 lookup. John sudah diajukan di form tool request. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Alur: zip2john file.zip > h.txt, lalu john --wordlist=rockyou.txt h.txt. Kalau gagal dan soal memberi petunjuk format, pakai mask: john --mask='?u?l?l?l?d?d?d?d' h.txt (u=huruf besar, l=kecil, d=angka, s=simbol). Kalau prefix diketahui, tulis langsung di mask: --mask='CSG?d?d?d?d'. Hybrid: --wordlist=kata.txt --mask='?w?d?d'. Hasil dilihat dengan john --show h.txt. Untuk hash polos, identifikasi dari panjang (32 hex MD5, 40 SHA1, 64 SHA256) lalu tambahkan --format=raw-md5 dan sejenisnya.

• Belajar John the Ripper - dokumentasi MASK mode GitHub (Openwall) ✔
• Belajar John the Ripper usage examples Openwall ✔
• Belajar Cracking Hashes (hashcat -m/-a, john, zip2john) Jorian Woltjer Book ✔
• Writeup ASEAN Open CTF 2025 writeup (zip2john + john, gpg + john) Blog kpakkawat ✔
• Writeup Capture the Fun - Cyber SEA Game 2017 (soal md5 lookup) Blog aufarg ✔

Kenapa: Banyak soal PE paling cepat diselesaikan dengan membiarkan program mendekripsi sendiri kuncinya, lalu membacanya di register atau stack saat perbandingan. x64dbg sudah diajukan di form tool request. Polanya juga terlihat di CSG 2019 (sleepy: patch delay menjadi 0). Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Cari alamat compare di Ghidra (strcmp/memcmp/lstrcmpA atau instruksi cmp di loop). Di x64dbg, ketik 'bp strcmp' atau Ctrl+G ke alamat itu (ingat ASLR: pakai offset relatif terhadap base modul), lalu F9 dan masukkan input sembarang. Saat berhenti, klik kanan argumen di RCX/RDX (x64) atau di stack (x86) > Follow in Dump: string yang dibandingkan biasanya kunci atau flag asli. Kalau ada IsDebuggerPresent atau sleep panjang, aktifkan ScyllaHide atau ubah jz menjadi jnz/jmp lewat Assemble, lalu simpan dengan Patch file sebagai file baru.

• Belajar x64dbg documentation x64dbg ✔
• Belajar How to Analyze Malware with x64dbg (bp API, Run to user code, Follow in Dump) Varonis ✔
• Writeup CSG 2019 - sleepy (Binary 100): patch konstanta delay menjadi 0 GitHub (Cyber SEA Game 2019) ✔
• Writeup ASEAN Open CTF 2025 writeup (crackme dengan anti-debug dan fungsi decoy) Blog kpakkawat ✔
• Soal crackmes.one search (Platform Windows, Difficulty 1-2, latihan breakpoint dan patch) crackmes.one ✔

Kenapa: Gaya Trend Micro sering memakai cerita insiden atau malware: konfigurasi atau komunikasi C2 dienkripsi RC4/AES/3DES, sementara key dan IV disimpan dalam bentuk ter-XOR. Begitu key ditemukan, dekripsinya cukup di CyberChef. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Tanda RC4 di decompiler: loop 0..255 mengisi array lalu swap. Tanda AES: tabel konstanta 63 7c 77 7b (S-box) atau pemanggilan API kripto Windows. Kalau key/IV terlihat sebagai byte acak yang di-XOR dengan byte lain, hitung XOR-nya di CyberChef (From Hex, XOR dengan kunci Hex) atau ambil hasil akhirnya langsung dari memori di x64dbg. Lalu masukkan ke operasi RC4/AES Decrypt/Triple DES Decrypt; cocokkan mode (ECB/CBC/CTR), format kunci (Hex/UTF8), dan panjang kunci (AES 16/24/32 byte, 3DES 24 byte). Kalau hasilnya acak, coba Swap endianness pada kunci.

• Soal CryptoHack Symmetric: Modes of Operation Starter, Passwords as Keys, ECB CBC WTF CryptoHack ✔
• Belajar AES (ECB, CBC, mengenali mode) Jorian Woltjer Book ✔
• Soal HTB Cyber Apocalypse 2025 - Traces (AES-CTR key/nonce reuse) Hack The Box (GitHub resmi) ✔
• Belajar CyberChef Getting started (format kunci Hex/UTF8, recipe) GitHub Wiki (GCHQ) ✔

Kenapa: Packer buatan sendiri tidak bisa dibuka dengan upx -d. Cara tool-first: biarkan stub membongkar payload ke memori, hentikan di saat yang tepat, lalu dump. Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md.

Tanpa coding: Pasang 'bp VirtualAlloc', F9, lalu Ctrl+F9 (Execute till return): RAX berisi alamat memori baru. Klik kanan RAX > Follow in Dump, tekan F9 lagi sampai region itu terisi; cari 'MZ' atau 'This program cannot be run in DOS mode'. Lalu buka Memory Map, klik kanan region > Dump Memory to File, atau ketik 'savedata :memdump:, alamat, ukuran'. Kalau payload langsung dieksekusi, pakai Scylla untuk dump dan perbaiki import. Buka hasil dump di DIE dan Ghidra; sering kali flag sudah terlihat di strings.

• Belajar How to Unpack Malware with x64dbg (breakpoint VirtualAlloc, Follow in Dump, Dump Memory to File) Varonis ✔
• Belajar x64dbg command savedata x64dbg ✔
• Belajar Scylla (versi x64dbg) - import reconstructor GitHub ✔
• Soal crackmes.one search (Platform Windows, cari crackme bertanda packer/unpackme) crackmes.one ✔

Kenapa: Peluangnya sedang menurut prediksi 2026, tetapi jalurnya cepat dan murni GUI/tool: setelah diekstrak atau dibuka di dnSpyEx, kodenya hampir seperti source. CSG 2019 punya dotnet_branch (ubah variabel lewat debugger agar flag asli keluar). Lihat 01-prediksi-soal.md.

Tanpa coding: PyInstaller: jalankan pyinstxtractor, cari .pyc bernama sama dengan program (bukan pyimod/pyiboot), lalu pycdc; kalau gagal di Python 3.11+, pakai pycdas dan baca konstanta. py2exe: arsip Python ada di resource PYTHONSCRIPT, gunakan extractor yang mendukung py2exe. .NET: buka di dnSpyEx, cari string 'flag' atau Base64, ikuti method-nya. Pasang breakpoint sebelum if, F5, ubah nilai di Locals, lanjutkan. Atau Edit Method, balik kondisi, Compile, Save Module. Waspadai flag dummy.

• Belajar pyinstxtractor - README GitHub ✔
• Belajar pycdc / pycdas - README GitHub ✔
• Belajar dnSpyEx - debugger dan editor .NET GitHub ✔
• Writeup CSG 2019 - dotnet_branch (Binary 120): breakpoint dnSpy + ubah variabel GitHub (Cyber SEA Game 2019) ✔
• Writeup Matrix Lab 2 (SekaiCTF 2022): strings, pyinstxtractor, decompile, balik XOR CTFtime ✔

Kenapa: RsaCtfTool ada di Approved Tool List 2026 dan RSA pernah muncul di CSG 2017 (rsa-8192), tetapi peluangnya turun ke sedang. Karena tool-nya sudah tersedia, persiapan cukup sebatas hafal perintah. Lihat 01-prediksi-soal.md.

Tanpa coding: Ekstrak n dan e dari PEM dengan OpenSSL, lalu jalankan RsaCtfTool dengan semua serangan default. Kalau ada beberapa public key, berikan semuanya sekaligus agar common factors dicoba. Kalau e kecil (3) atau e sangat besar, sebutkan hastads atau wiener secara eksplisit. Cheat sheet: 'p dekat q' = fermat, 'banyak n' = common_factors, 'e sangat besar' = wiener.

• Belajar RsaCtfTool - README (daftar serangan dan contoh perintah) GitHub ✔
• Belajar RSA (RsaCtfTool, FactorDB, small e, multiple keys with common factors) Jorian Woltjer Book ✔
• Soal CryptoHack Public-Key: RSA Starter, Factoring, Monoprime, Manyprime, Salty CryptoHack ✔
• Soal CTFlearn - RSA Beginner (50 poin) CTFlearn ✔
• Writeup picoCTF 2021 Mind your Ps and Qs - writeup memakai RsaCtfTool DEV Community ✔

Kenapa: llvm-mc ada di Approved Tool List 2026, jadi soal berisi byte mentah atau arsitektur non-x86 mungkin muncul, tetapi peluangnya sedang dan di bawah PE Windows. Latih setelah skill Wajib dikuasai. Lihat 01-prediksi-soal.md.

Tanpa coding: ELF: coba ltrace dulu (strcmp sering membocorkan password). Di gdb: 'break *alamat_cmp', 'run', lalu 'x/s $rdi' dan 'x/s $rsi' untuk melihat dua string yang dibandingkan. Byte mentah: simpan sebagai teks hex '0x55 0x48 ...' lalu jalankan llvm-mc --disassemble dengan triple yang cocok (x86_64, armv7, aarch64, mips, riscv32). Kalau arsitektur tidak diketahui, coba beberapa triple dan pilih yang hasilnya paling masuk akal, atau impor sebagai Raw Binary di Ghidra.

• Belajar llvm-mc - LLVM Machine Code Playground (--disassemble, --triple, --arch) LLVM Docs ✔
• Soal TryHackMe - Reversing ELF (crackme1-8, gratis) TryHackMe ?
• Soal HTB Cyber Apocalypse 2025 - [Very Easy] SealedRune (Base64 + password terbalik) Hack The Box (GitHub resmi) ✔
• Soal HTB Cyber Apocalypse 2024 - [Very Easy] BoxCutter Hack The Box (GitHub resmi) ✔

Kenapa: Soal bertema malware kadang meminta dekripsi string atau trafik keluarga malware yang sudah dianalisis publik; laporan threat intel sering sudah menyebutkan kunci dan algoritmanya. IL2CPP dan anti-VM lebih jarang, cukup sebatas tahu jalurnya. Lihat 01-prediksi-soal.md.

Tanpa coding: Threat intel: cocokkan konstanta di Ghidra (kunci, tabel) dengan yang disebut di laporan; contoh publik yang terkenal, string table bot IoT keluarga Mirai di-XOR dengan kunci 0xDEADBEEF yang setara XOR satu byte 0x22. Setelah algoritmanya jelas, tiru di CyberChef. IL2CPP: jalankan Il2CppDumper, buka DummyDll di dnSpyEx untuk nama method, lalu cari alamatnya di GameAssembly.dll. Anti-VM: kalau program keluar diam-diam di VM, cari pengecekan (CPUID, registry VBox/VMware, MAC address) dan patch jump-nya di x64dbg.

• Belajar Forescout: String Deobfuscation Tool for Mirai IoT Botnet Variants (kunci XOR 0xDEADBEEF / 0x22) Forescout ✔
• Belajar Il2CppDumper - README GitHub ✔
• Belajar pafish - teknik deteksi VM/sandbox (repo diarsipkan 2025) GitHub ✔
• Belajar Reversing C# - .NET / Unity (dnSpy, Unity) Jorian Woltjer Book ✔

Kenapa: Analis SOC terbiasa berhenti setelah menemukan anomali dan menulis laporan. Di CTF, anomali itu baru petunjuk: artefaknya harus dikeluarkan, di-decode, lalu dirangkai sampai flag terbaca. Soal network CSG yang sudah publik selalu berantai (CSG 2019 'Intact': FTP berisi FLAG.zip + memo password; TMCTF 2019: port-knock yang nomor port-nya kode ASCII). Kecepatan navigasi Wireshark menentukan berapa soal yang sempat dikerjakan.

Tanpa coding: Checklist 5 langkah untuk setiap pcap: (1) Statistics > Protocol Hierarchy, (2) Statistics > Conversations, (3) File > Export Objects (semua protokol), (4) Follow Stream pada percakapan yang aneh, (5) Edit > Find Packet tipe String, cari 'flag', 'CSG', 'pass', 'key'. Simpan filter favorit sebagai Filter Button (http.request, dns && dns.flags.response==0, ntlmssp, kerberos, rtp, tcp.flags.syn==1 && tcp.flags.ack==0, frame contains "flag"). Klik kanan field > Apply as Column supaya nilainya terbaca sekaligus. Sebelum submit, baca lagi instruksi format jawaban: CSG_FLAG{...} atau jawaban polos (hash, IP, path, koordinat).

• Writeup CSG 2019 Network 'Intact': FTP carve FLAG.zip + passmemo Cyber SEA Game 2019 ✔
• Writeup TrendMicro CTF 2019 Quals Forensics 100: port knocking = ASCII p4-team ✔
• Belajar Daftar Wireshark Tutorial (Unit 42 oleh Brad Duncan): kolom, filter, host/user, export, HTTPS Malware-Traffic-Analysis.net ✔
• Writeup picoCTF 2019 'shark on wire 1': cari flag di stream UDP (writeup Dvd848) picoGym / GitHub ✔
• Soal picoGym Challenge Library (filter kategori Forensics/General untuk soal pcap) picoGym ?

Kenapa: Jenis soal paling sering muncul: file dipindahkan lewat FTP/HTTP/SMB/TFTP/SMTP lalu harus dikeluarkan dari pcap, dan password zip atau akun login sering dikirim cleartext di pcap yang sama (pola CSG 2019 'Intact' dan CSG 2021 'Way').

Tanpa coding: FTP-DATA tidak selalu muncul di Export Objects: Follow TCP Stream pada stream ftp-data, ubah 'Show data as' ke Raw, lalu Save as. Kenali jenis file dari magic byte (PK = zip, ‰PNG = png, MZ = exe). Filter kredensial: ftp.request.command=="PASS"; http.authorization; smtp.req.command=="AUTH"; pop.request || imap.request. String base64 dari HTTP Basic/SMTP AUTH LOGIN ditempel ke CyberChef lalu From Base64. NetworkMiner langsung menyimpan attachment email dan menampilkan kredensial.

• Belajar Wireshark Tutorial: Exporting Objects From a Pcap Unit 42 ✔
• Writeup picoCTF 2021 'Trivial Flag Transfer Protocol': export TFTP + steghide CTFtime ✔
• Soal HTB Cyber Apocalypse 2024 Forensics 'Phreaky': zip terpecah di SMTP (soal + writeup resmi) HTB GitHub ✔
• Writeup CSG 2021 writeup ('Way': analisis trafik FTP) NandyNarwhals ✔
• Belajar NetworkMiner (edisi gratis: ekstrak file, email, kredensial) Netresec ✔

Kenapa: GUI lambat untuk ribuan paket. Satu baris tshark menghasilkan daftar query DNS, nilai TTL, IP ID, payload, atau port yang tinggal ditempel ke CyberChef, tanpa menulis program. Zeek ada di Approved Tool List 2026 sehingga berpeluang muncul (prediksi sedang, lihat 01-prediksi-soal.md); log Zeek dibaca dengan zeek-cut atau jq.

Tanpa coding: Template: tshark -r f.pcap -Y "<filter>" -T fields -e <field> > out.txt. Contoh field: dns.qry.name, dns.resp.ttl, ip.id, ip.ttl, data.data, tcp.dstport, http.request.uri, http.file_data. Daftar stream: tshark -r f.pcap -q -z conv,tcp. Isi stream ke-N: tshark -r f.pcap -q -z follow,tcp,ascii,N. Nama field terlihat di status bar Wireshark saat field diklik. Zeek: jalankan zeek -r f.pcap di folder kosong, lalu cat dns.log | zeek-cut query answers. Jika log berformat JSON: jq -r '.query' dns.log, atau jq -c 'select(.id.resp_p==4444)' conn.log.

• Belajar tshark man page resmi (-Y, -T fields, -e, -z) Wireshark ✔
• Writeup Writeup room TryHackMe TShark (filter + decode DNS exfil) DEV Community ✔
• Belajar Zeek Documentation: Logs (zeek-cut dan log JSON dengan jq) Zeek ✔
• Belajar Zeek Documentation (Quick Start + referensi log conn/dns/http) Zeek ✔

Kenapa: Prediksi sedang-tinggi untuk 2026, lihat 01-prediksi-soal.md: flag disembunyikan sebagai suara (ucapan, nada DTMF, atau kode Morse) di dalam stream RTP. Seluruhnya bisa diselesaikan dengan menu Telephony di Wireshark dan Audacity, tanpa coding.

Tanpa coding: Jika RTP terlihat sebagai UDP biasa, aktifkan Analyze > Enabled Protocols > rtp_udp, atau klik kanan paket > Decode As > RTP. Lalu Telephony > VoIP Calls > pilih panggilan > Play Streams. Di RTP Player, export ke .wav, buka di Audacity, ganti tampilan ke Spectrogram untuk melihat pola titik/garis Morse atau teks yang 'tergambar'. Salin titik-garis ke CyberChef From Morse Code. Jika codec tidak bisa diputar, gunakan RTP Stream Analysis > Save payload lalu impor sebagai Raw Data di Audacity (coba beberapa format sampel).

• Belajar Wireshark User's Guide: Playing VoIP Calls (RTP Player) Wireshark ✔
• Writeup TUM CTF Teaser 2015 Misc 200: ekstrak payload RTP lalu analisis di Audacity (hxp) hxp ✔
• Belajar CyberChef (operasi From Morse Code; siapkan versi offline) GCHQ ✔

Kenapa: OSINT adalah kategori resmi CSG, dan pivot persona berantai diprediksi sangat tinggi untuk 2026, lihat 01-prediksi-soal.md. AI dilarang di 2026, jadi semua pencarian harus manual: email/nama di commit git, secret yang 'dihapus' tapi masih ada di history, akun media sosial dengan username sama, dan dorking situs target.

Tanpa coding: GitHub: buka commit lalu tambahkan .patch di akhir URL untuk melihat nama dan email author. Clone repo, lalu git log --all -p | findstr /i "pass key token secret flag" (Windows) atau grep -i di Kali untuk menemukan secret yang sudah dihapus di commit berikutnya. Cek juga branch lain, tag, dan Issues/PR. Pivot: username sama di X/Instagram/forum, lalu cek foto profil, bio, dan link. Dorking: site:target.tld filetype:pdf, site:target.tld inurl:admin, "nama persona" site:github.com. Catat setiap pivot (sumber > temuan > langkah berikut) supaya tidak berputar-putar, dan salin jawaban persis sesuai format yang diminta.

• Writeup TryHackMe 'Sakura Room' writeup: pivot username, GitHub, history commit yang bocor GitHub ✔
• Soal TryHackMe room 'OhSINT' (OSINT pemula dari satu foto; status gratis belum terkonfirmasi) TryHackMe ?
• Belajar Gitleaks: deteksi secret di repo git termasuk history GitHub ✔
• Belajar Google Hacking Database (contoh dork per kategori) Exploit-DB ✔
• Soal Sourcing.Games: latihan puzzle pencarian orang/informasi Sourcing.Games ✔

Kenapa: Geolokasi foto diprediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Lokasi ditebak dari rambu, marka, tiang listrik, bahasa, dan arah matahari, lalu dikonfirmasi di Street View. Jawabannya sering harus dalam format sangat spesifik (misalnya koordinat dengan jumlah desimal tertentu), jadi salah pembulatan bisa membuang poin.

Tanpa coding: Urutan kerja: (1) exiftool foto.jpg, karena GPS kadang masih ada di metadata; (2) reverse image search beberapa potongan (crop) foto; (3) baca semua teks: nama toko, nomor rute, rambu arah, nama stasiun, lalu cari di Google Maps; (4) identifikasi negara dari sisi kemudi, warna marka, bentuk rambu, dan bollard (bandingkan di GeoHints); (5) konfirmasi dengan Street View dari sudut yang sama. Koordinat: klik kanan titik di Google Maps untuk menyalin lat,long, lalu bulatkan sesuai instruksi soal (misalnya 3 desimal) dan perhatikan urutan lat/long serta tanda pemisah.

• Belajar Bellingcat: Pinpointing Where Videos Were Filmed Using Landmarks, Roads, and Satellite Maps Bellingcat ✔
• Belajar Bellingcat Online Open Source Investigation Toolkit Bellingcat ✔
• Belajar GeoHints: petunjuk geolokasi (bollard, rambu, plat nomor) + Bollards Game GeoHints ✔

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md: pcap berisi korban yang menanyakan nama host via LLMNR/NBT-NS, penyerang (Responder) menjawab, lalu korban mengirim autentikasi NTLMv2. Jawabannya bisa berupa hash NTLMv2 dalam format hashcat (persis) atau password hasil crack. Pengalaman SOC mendeteksi Responder langsung terpakai.

Tanpa coding: Deteksi poisoning: filter llmnr || nbns (UDP 5355 / 137, tujuan 224.0.0.252). Cari query nama yang typo, lalu jawaban dari IP yang bukan DNS server: itulah penyerang. Rakit hash: (1) filter ntlmssp.messagetype==0x00000002, salin ntlmssp.ntlmserverchallenge; (2) filter ntlmssp.messagetype==0x00000003, salin ntlmssp.auth.username, ntlmssp.auth.domain, ntlmssp.ntlmv2_response.ntproofstr, dan seluruh hex ntlmssp.ntlmv2_response; (3) blob = hex ntlmv2_response dikurangi 32 karakter hex pertama (itu NTProofStr). Susun: username::domain:serverchallenge:ntproofstr:blob dalam satu baris, cocokkan polanya dengan contoh mode 5600 di halaman example hashes hashcat. Crack: hashcat -m 5600 hash.txt rockyou.txt. NetworkMiner bisa dipakai untuk cross-check hash yang dirakit manual.

• Belajar Extracting secrets from PCAPs: NetNTLMv2 dari NTLMSSP_AUTH + hash Kerberos (catatan 0xBEN) 0xBEN Notes ✔
• Belajar hashcat Example Hashes (format mode 5600 NetNTLMv2 dan 18200 AS-REP) hashcat wiki ✔
• Belajar Wireshark Wiki: NTLMSSP (dekripsi dengan NT Password) Wireshark ✔
• Writeup HTB Sherlock 'Noxious': investigasi LLMNR poisoning di Wireshark (writeup, bahasa Prancis) IT-Connect ✔
• Soal Root-Me kategori Network (termasuk soal NTLM authentication) Root-Me ?

Kenapa: Prediksi tinggi untuk 2026 dan termasuk tipe soal network tersulit, lihat 01-prediksi-soal.md. Alurnya: ambil AS-REP dari pcap, crack password, turunkan key Kerberos, lalu masukkan ke Wireshark (keytab atau session key + session ID) sampai trafik SMB3 terenkripsi terbuka dan file bisa di-export.

Tanpa coding: (1) Filter kerberos.msg_type==11 (AS-REP). Catat kerberos.CNameString, realm, etype, dan cipher pada enc-part milik client. (2) Untuk etype 23, susun $krb5asrep$23$user@REALM:<32 hex pertama cipher>$<sisa hex> (cocokkan dengan contoh mode 18200 di hashcat), lalu hashcat -m 18200. Untuk etype 17/18 (AES), cek hashcat --help karena mode-nya berbeda (verifikasi di versi yang dipakai). NetworkMiner bisa mengekstrak hash ini otomatis. (3) Setelah password ketemu, buat keytab: ktutil > addent -password -p user@REALM -k 1 -e aes256-cts-hmac-sha1-96 (ulangi untuk rc4-hmac) > wkt user.keytab. (4) Wireshark: KRB5 > centang 'Try to decrypt Kerberos blobs' dan isi keytab. (5) Ambil session key yang muncul dari Kerberos yang terdekripsi, lalu isi Preferences > Protocols > SMB2 > Secret session keys dengan Session ID (8 byte dari header SMB2, dalam urutan byte seperti di paket; coba balik urutannya jika gagal) dan Session Key 16 byte. Jika autentikasinya NTLM, cukup isi NT Password di preferensi NTLMSSP. Saya tidak 100% yakin Wireshark selalu merangkai key Kerberos ke SMB3 otomatis di semua versi: latih dulu dengan pcap contoh, dan siapkan skrip impacket dari tim sebagai cadangan.

• Belajar Samba Wiki: Wireshark Keytab (dekripsi SMB3 dengan session key, keytab Kerberos) Samba Wiki ✔
• Belajar Wireshark Wiki: Kerberos (dekripsi tiket dengan keytab, preferensi KRB5) Wireshark ✔
• Belajar Netresec: Extracting Kerberos Credentials from PCAP (NetworkMiner + crack) Netresec ✔
• Belajar hashcat Example Hashes (mode 18200 Kerberos 5 AS-REP etype 23) hashcat wiki ✔
• Writeup TryHackMe 'Block': dekripsi SMB3 di Wireshark dengan kredensial (writeup) InfoSec Write-ups ?

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Ini pola khas Trend Micro: port-knock = ASCII (TMCTF 2019 Quals) dan koordinat di payload ICMP yang di-plot jadi gambar (TMCTF 2018). Data juga bisa disembunyikan di nilai TTL DNS, IP Identification, atau label DNS. Insting SOC terhadap nilai field yang 'aneh tapi teratur' paling relevan di sini.

Tanpa coding: Tambahkan field yang dicurigai sebagai kolom, lalu cari nilai yang berada di rentang ASCII (32-126) atau berubah tidak wajar. DNS TTL: tshark -r f.pcap -Y "dns.flags.response==1" -T fields -e dns.resp.ttl. IP ID: -e ip.id (cek juga byte rendahnya saja, dan coba XOR satu byte di CyberChef bila hasilnya acak). Port-knock: -Y "tcp.flags.syn==1 && tcp.flags.ack==0" -e tcp.dstport. ICMP: -Y "icmp.type==8" -e data.data lalu From Hex. DNS exfil: -e dns.qry.name, buang domain induk, gabungkan label, decode. Tempel daftar angka ke CyberChef dengan From Decimal (delimiter Line feed). Untuk koordinat, paste ke Calc lalu buat Scatter chart.

• Writeup TrendMicro CTF 2019 Quals Forensics 100: port knock = ASCII p4-team ✔
• Writeup TrendMicro CTF 2018 (Balsn): koordinat di payload ICMP di-plot Balsn ✔
• Writeup Kashi CTF 2026 'Mahashamshan': data di field IP Identification (XOR 1 byte) CTFtime ✔
• Writeup picoCTF 2021 'Wireshark twoo twooo two twoo...': DNS exfil base64 CTFtime ✔
• Writeup HTB CA 2021 'Oldest trick in the book': exfil lewat ICMP CTFtime ✔

Kenapa: Teknik dekripsi TLS dengan key yang bocor muncul berulang di CSG (2019 dan 2021 'Unlock') dan tetap diprediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Trafik modern sering memakai HTTP/2 setelah didekripsi, jadi perlu tahu cara membacanya.

Tanpa coding: Cari key di file soal (sslkeylog.txt, server.key, *.pem) atau di dalam pcap lewat Export Objects. File keylog (baris CLIENT_RANDOM ...) diisi di '(Pre)-Master-Secret log filename' dan berfungsi untuk TLS 1.3/ECDHE. RSA key hanya berhasil jika cipher bukan (EC)DHE dan bukan TLS 1.3: cek Server Hello > Cipher Suite dulu. Setelah terdekripsi, filter http2 lalu klik kanan > Follow > HTTP/2 Stream; header ada di HEADERS, isi di DATA. Jika objek HTTP/2 tidak muncul di Export Objects, salin isi DATA sebagai Raw. Cek header authorization: Basic dan decode base64.

• Belajar Wireshark Wiki: TLS (RSA key & key log file, beserta batasannya) Wireshark ✔
• Belajar Wireshark Tutorial: Decrypting HTTPS Traffic (key log file) Unit 42 ✔
• Writeup picoCTF 2019 WebNet0: dekripsi dengan RSA key (writeup Dvd848) picoGym / GitHub ✔
• Writeup CSG 2021 'Unlock': dekripsi HTTPS dengan private key dari file soal NandyNarwhals ✔
• Belajar Wireshark Wiki: HTTP2 (contoh capture HTTP/2 over TLS beserta key) Wireshark ✔

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md: pcap berisi serangan SQLi otomatis (sqlmap) dan isi database yang dicuri harus disusun ulang dari pasangan request-response. Analis SOC sudah terbiasa membaca log serangan web, tinggal disusun secara sistematis.

Tanpa coding: (1) tshark -r f.pcap -Y "http.request" -T fields -e frame.number -e http.request.uri > req.txt, lalu URL Decode di CyberChef supaya payload terbaca. (2) Ambil ukuran/status respons: tshark -r f.pcap -Y "http.response" -T fields -e http.response_in -e http.request_in -e http.response.code -e http.content_length > resp.txt. (3) Tempel keduanya ke Calc. Boolean-blind: respons TRUE biasanya lebih panjang atau berisi teks tertentu; untuk setiap posisi karakter (SUBSTRING(...,N,1)), karakter yang benar adalah perbandingan terakhir yang TRUE (pola '>' biner) atau satu-satunya '=' yang TRUE. Time-based: tambahkan kolom selisih waktu (frame.time_delta_displayed) dan cari jeda panjang (SLEEP). (4) Urutkan per posisi lalu gabungkan, dan konversi angka ke huruf dengan From Charcode.

• Writeup SharkyCTF 2020 'Pain in the Ass': ekstrak data blind SQLi dari pcapng CTFtime ✔
• Writeup CodeGate 2012 Quals Net400: blind SQLi dari pcap (TRUE/FALSE dari isi respons) MSLC ✔
• Belajar tshark man page resmi (-T fields, -e) Wireshark ✔

Kenapa: Prediksi tinggi untuk 2026, lihat 01-prediksi-soal.md: pcap berisi trafik backdoor (misalnya shell telnet/TCP) yang terenkripsi, sementara key/IV ada di binary atau dropper script yang juga dilampirkan atau bisa di-export dari pcap. Soorya mengambil payload dari pcap; Salah (RE) membantu menemukan key dan algoritmanya. Dropper PowerShell/VBS berlapis bisa dibuka di CyberChef.

Tanpa coding: Cari beacon dengan Statistics > Conversations, urutkan berdasarkan Packets: interval teratur dan port tidak lazim biasanya C2. Simpan payload per arah sebagai Raw hex. Minta Salah mencari string/konstanta 16 atau 32 byte (key AES), IV, atau loop XOR di binary. Masukkan ke CyberChef (AES Decrypt mode CBC/ECB/CTR, input Hex; RC4; XOR). Dropper -EncodedCommand: From Base64 lalu Decode text UTF-16LE; jika diawali 'H4sI' tambahkan Gunzip. Jangan pernah mengeksekusi sampel; ganti IEX dengan Write-Output bila perlu safe-echo di VM tanpa jaringan.

• Soal HTB CA 2024 'Data Siege': C2 .NET RAT, key AES hardcoded (soal + writeup) HTB GitHub ✔
• Soal HTB CA 2025 'ToolPie': key dari beacon, dekripsi trafik C2 (soal + writeup) HTB GitHub ✔
• Soal HTB CA 2024 'Fake Boost': PowerShell di TCP stream + AES exfil (soal + writeup) HTB GitHub ✔
• Soal Malware-Traffic-Analysis.net: Traffic Analysis Exercises Malware-Traffic-Analysis.net ✔
• Soal CyberDefenders 'HawkEye' (Network Forensics; status gratis/premium belum terkonfirmasi) CyberDefenders ✔

Kenapa: can-utils dan cannelloni ada di Approved Tool List 2026, sehingga soal CAN bus diprediksi tinggi untuk kategori OT; Modbus/S7 di pcap diprediksi sedang (lihat 01-prediksi-soal.md). Data biasanya tersembunyi di payload satu CAN ID tertentu atau di register/function code Modbus.

Tanpa coding: Format log candump -l: (timestamp) interface ID#DATA, contoh (1600000000.123456) can0 123#48656C6C6F. Buka di Notepad++/Calc, pisahkan kolom dengan '#', urutkan per ID, lalu hapus duplikat: ID yang jarang muncul atau payload-nya berubah biasanya berisi data. Gabungkan DATA dari satu ID sesuai urutan waktu, lalu From Hex di CyberChef (perhatikan jika muncul header file seperti 89504E47 = PNG). Replay di Kali: sudo modprobe vcan; sudo ip link add dev vcan0 type vcan; sudo ip link set up vcan0; canplayer -I log.txt vcan0=can0 sambil candump vcan0 -a di terminal lain. Modbus: filter modbus || mbtcp, tambahkan kolom mbtcp.unit_id, modbus.func_code, modbus.regval_uint16, lalu baca nilai register/func code sebagai ASCII. Cek juga packet comment (pkt_comment).

• Belajar CSS Electronics: CAN Bus Explained (frame, ID, data logging) untuk pemula CSS Electronics ✔
• Belajar candump(1) man page (opsi -l log, -a ASCII, filter ID) Debian Manpages ✔
• Belajar can-utils (linux-can) dan cannelloni (CAN over IP) GitHub ✔
• Writeup NahamCon CTF 2021 'NASCAR': analisis log CAN bus CTFtime ✔
• Writeup CSAW Quals 2021 'The Magic Modbus': flag di trafik Modbus (Wireshark) CTFtime ✔

Kenapa: OT adalah kategori resmi CSG, dan decode bitstream perangkat keras diprediksi tinggi untuk 2026, lihat 01-prediksi-soal.md. Soal tipe ini memberi deretan bit/sinyal yang harus di-decode (Manchester), dipotong sesuai struktur frame (header, data, parity), lalu ID tag-nya dibaca. Bisa dikerjakan dengan Notepad++ dan Calc, tanpa coding.

Tanpa coding: Manchester: pecah bitstream jadi pasangan 2 bit. Di satu konvensi 01 = 1 dan 10 = 0, di konvensi lain kebalikannya; coba keduanya, dan jika muncul pasangan 00/11 geser start 1 bit. EM4100 (64 bit): cari 9 bit '1' berturut-turut sebagai header, lalu 10 baris berisi 4 bit data + 1 bit parity genap, 4 bit parity kolom, dan 1 stop bit '0'. Tulis 10 baris itu di Calc, cek parity setiap baris dan kolom untuk memastikan alignment benar, lalu gabungkan 40 bit data jadi 10 digit hex (2 hex pertama = version/customer ID, 8 hex berikutnya = ID tag; desimalnya kadang yang diminta sebagai jawaban).

• Belajar Priority 1 Design: EM4100 Protocol (format 64 bit, header, parity, Manchester) Priority 1 Design ✔
• Belajar GeneralZero notes: EM4100 Protocol notes.generalzero.org ?
• Writeup Writeup CTF: transkripsi sinyal ASK lalu decode Manchester (tag ook, manchester) CTFtime ?
• Writeup FIRST SecLounge CTF 2020 ICS: decode log SPI dengan Saleae, DNP3, Modbus CUJO AI ✔

Kenapa: USB HID keyboard adalah soal pcap klasik yang masih layak disiapkan. WPA crack pernah muncul di CSG 2019 ('WLAN'), tetapi peluangnya di 2026 rendah-sedang (lihat 01-prediksi-soal.md), jadi cukup kuasai alur dasarnya.

Tanpa coding: USB: tshark -r usb.pcap -Y "usb.transfer_type==0x01 && usb.data_len==8" -T fields -e usbhid.data (jika kosong, ganti -e usb.capdata). Abaikan baris nol semua. Byte ke-1 = modifier (02/20 = Shift), byte ke-3 = keycode (0x04 = a ... 0x1d = z, 0x1e-0x27 = 1-0, 0x28 = Enter, 0x2a = Backspace). Siapkan script decoder dari tim sebelum lomba. WPA: filter eapol (harus ada 4 paket handshake), aircrack-ng -w rockyou.txt capture.cap, lalu dekripsi dengan airdecap-ng -e <SSID> -p <password> capture.cap atau di Wireshark (wpa-pwd password:SSID). Jika pcapng ditolak, simpan ulang sebagai pcap.

• Writeup HTB CA 2021 'Key mission': USB keyboard via tshark CTFtime ✔
• Belajar Aircrack-ng Tutorial: How to Crack WPA/WPA2 aircrack-ng ✔
• Writeup UMDCTF 2021 'John's Return': crack handshake + dekripsi di Wireshark CTFtime ✔
• Writeup Repo CSG 2019 (folder Network berisi soal WLAN) GitHub ✔

Kenapa: EVTX PowerShell/log diprediksi tinggi dan pengalaman SIEM Soorya langsung terpakai. Plugin OpenSSH-Session-Key-Recovery ada di Approved Tool List 2026, sehingga soal 'memory Linux → SSH key → dekripsi SSH di pcap' berpeluang muncul (lihat 01-prediksi-soal.md). Dante memegang memory dump; Soorya membantu sisi pcap SSH-nya.

Tanpa coding: EVTX: chainsaw search "flag" <folder> atau chainsaw hunt <folder> -s sigma/ --mapping mappings/sigma-event-logs-all.yml --csv --output hasil, buka CSV di Excel. Fokus Event ID 4104 (PowerShell script block), 4688, 7045, 4624/4625. SSH: Dante menjalankan plugin pada memory dump Linux untuk mendapatkan key sesi SSH; Soorya menyiapkan pcap SSH dan stream yang cocok (filter ssh, Statistics > Conversations), lalu mengikuti README repo untuk mendekripsi. Latih sekali saja setelah skill Wajib dikuasai.

• Belajar Chainsaw (WithSecure Labs) GitHub ✔
• Soal HTB Business CTF 2024 'Caving': Chainsaw + Sigma pada EVTX (soal + writeup) HTB GitHub ✔
• Belajar fox-it OpenSSH-Session-Key-Recovery (plugin Volatility 2/3) GitHub ✔