写在前面
第一次接触OSINT是年初的UoftCTF(Writeup还没开始写),觉得开源情报利用是个有趣的方向,遂参加了这个OSINT主题的CTF,虽然赛事说是“for beginner”,但是最后还是有四题没解出来,,还是太菜了,但是这个方向确实很有趣,遂写个Writeup记录一下!
主题
这个赛事有个很有趣的宣传片,大概意思就是2026年的人们收到了多年后未来人类传回现在的讯息,那个时候的地球因为”Fake Message”而陷入混乱,他们查到这些消息最开始的起源是在2026年,需要我们找到蛛丝马迹(虽然在具体的题目里没有体现的特别出来,但是这个主题确实很有意思)【附上宣传片链接:https://youtu.be/ME_ck_hxkYQ】,赛事分成了两个大模块,第一个模块是社工三个目标(rain、debeyohiru、lilica),第二个模块是research,就是搜索题目相关的信息,OK!开始吧
tgt_rain
rain_01_social
Description:As of 2026,
rainappears to have had an X account.
We have obtained a screenshot of their post. Identify the account from the screenshot, and answer the account’s ID (screen name). For example, if the target account were @gov_online, the flag would beSWIMMER{@gov_online}. 描述:截至 2026 年,用户“rain”似乎拥有一个 X 账号。 我们已获取该账号的帖子截图。 请根据截图识别该账号,并回答该账号的 ID(用户名)。 例如,如果目标账号是 @gov_online,则flag应为“SWIMMER{@gov_online}”。
题目要求我们找到这个“rain”的X账号,还是比较简单的,找到这个转发的原博主,然后再转发者列表里找这个头像就好

flag:SWIMMER{@bruto_rain}
rain_04_source2
Description:In
rain’s second fake article, it claims they found unpublished information, but this is likely false.
To debunk it, you need to find the original source.
The image comes from an old book that has been digitized, so you should be able to view the details.
Please answer the digital object identifier (DOI) of that source.
For example, if the answer were12.34567/890123, the flag would beSWIMMER{12.34567/890123}. 描述:在“rain”的第二篇虚假文章中,他们声称发现了未发表的信息,但这很可能是假的。 要揭穿它,你需要找到原始出处。 图片来自一本已被数字化的旧书,所以你应该能够看到细节。 请提供该来源的数字对象标识符 (DOI)。 例如,如果答案是“12.34567/890123”,则 flag 为“SWIMMER{12.34567/890123}”。
rain的02和03没做出来)但是前置提示是这个rain的主页挂了一个blog的链接,我们需要在博客中找信息


题目描述说这幅图是在一本已经数字化的书中截出来的,要我们找到这本书的DOI代码,多说无益,先上Google Image:

直接进这个Wiki看看来源:

跟进看看:

直接出来了,,
flag:SWIMMER{10.11501/967480}
rain_05_date
Description:
rainposted on X that they visited a certain place on December 25, 2025 (JST).
However, the image seems to have been taken on a different day in 2025. Please answer the actual date the photo was taken inYYYY/MM/DDformat.
Use Japan Standard Time (JST) for the date.
For example, if the correct date were June 8, 2025 in JST, the flag would beSWIMMER{2025/06/08}. 描述:用户“rain”在 X 上发帖称,他们于 2025 年 12 月 25 日(日本标准时间)到访了某个地方。 然而,这张照片似乎拍摄于 2025 年的另一天。请以“YYYY/MM/DD”格式提供照片的实际拍摄日期。 请使用日本标准时间 (JST) 填写日期。 例如,如果正确的日期是 2025 年 6 月 8 日(日本标准时间),则标记应为“SWIMMER{2025/06/08}”。
就是这张照片,我们先找到这个地点是哪里,放大图片看到

进Google Map看看这个街景:

拍摄位置大概就在这个地方,比较一下就可以发现,图片中能确定日期的关键在于这个告示牌:


大概能看出来两个词“10000”和“freude”,用这两个关键词加上地点上Google搜一下有没有类似的活动:


网页的加载页面就是图上的logo,大概就可以确定是这个活动了 直接找到日期就行:

flag:SWIMMER{2025/12/07}
rain_06_ai
Description:There is an image of Tokyo Station on
rain’s blog, but it appears to be AI-generated rather than an actual photo.
Answer which tool was used to create it.
For example, if the answer isAdobe Firefly, the flag would beSWIMMER{Adobe Firefly}. 描述:rain的博客上有一张东京站的图片,但它看起来像是人工智能生成的,而不是真实照片。 请回答是用什么工具生成的。 例如,如果答案是Adobe Firefly,则标记为SWIMMER{Adobe Firefly}。

说的是这张图,但如果直接下载下来是webp格式的,直接进源代码把原图片下载下来:

随便找个EXIF信息查看器把图片拖进去:

搜索发现确实是个AI生图的工具,结束
flag:SWIMMER{dreamina}
tgt_debeyohiru
debeyohiru_01_social
Description:The person under investigation is a software engineer, and from 2026 onward has been active under the ID
debeyohiru.
They appear to have started using this ID in January 2026. Can you identify the ID they used before that? As of January 2026, an account with their old ID still exists on the service note.
Please answer that account ID. For example, if the account wasdigital_jpn_gc, the flag would beSWIMMER{digital_jpn_gc}. 描述:被调查人是一名软件工程师,自 2026 年起使用 IDdebeyohiru进行活动。 他们似乎从 2026 年 1 月开始使用此 ID。你能找到他们之前使用的 ID 吗? 截至 2026 年 1 月,该服务 note 上仍然存在一个使用他们旧 ID 的帐户。 请提供该帐户的 ID。 例如,如果帐户是digital_jpn_gc,则标记应为SWIMMER{digital_jpn_gc}。
通过一个账号要扒出他的旧ID(题目给的note主页已经不见了,但是题目给的这个ID在note上的相关账号完全没有信息) note上没有相关信息,那我们考虑会不会在其他平台上用相同ID的账号能够搜索到信息

果然有,点进去进行信息收集:

发现一个疑似旧ID的note账号,搜索:(主页已被下,但是搜索这个名字就能够获得ID)
flag:SWIMMER{furaigo5}
debeyohiru_02_profile
Description:As of January 2026,
debeyohiruappears to have been job hunting and had a profile page published online.
Find this page and answer its URL. For example, if the relevant page werehttps://example.com/foobar, the flag would beSWIMMER{https://example.com/foobar}. 描述:截至 2026 年 1 月,debeyohiru似乎一直在找工作,并在网上发布了个人资料页面。 找到此页面并回答其 URL。 例如,如果相关页面是https://example.com/foobar,则 flag 为SWIMMER{https://example.com/foobar}。
大致意思是让我们找到这个人的个人简历页面,在主办方给的背景中有这么一段话:

既然是“software engineer”,那我们去GitHub上看看有没有相关信息(很轻飘的一句话,但其实在这里卡了巨久):

发现存在这个账户,并且挂了个静态链接:

跟进发现确实是个人简历,结束
debeyohiru_03_email
Description:We want to know the email address that
debeyohirucurrently uses in 2026.
Investigate and answer the email address they are likely using now. For example, if the address werefoobar@example.com, the flag would beSWIMMER{foobar@example.com}.
描述:我们想知道debeyohiru在 2026 年使用的电子邮件地址。 调查并回答他们目前可能使用的电子邮件地址。 例如,如果地址是foobar@example.com,则标志将是SWIMMER{foobar@example.com}。
题目描述大概就是让我们找邮箱地址,简直送分…因为在这个个人简历页面往下翻就能直接得到:

flag:{ furaigo5.onionsoup@gmail.com }
tgt_lilica
lilica_01_social
Description:In 2026,
lilicawas active as a creator and was known to use the name “黄昏ブロッサムリリカ”.
We have also confirmed that they had an X (Twitter) account. Please answer the ID (screen name) of that X account.
For example, if the target account were @gov_online, the flag would beSWIMMER{@gov_online}. 描述:2026年,lilica活跃于创作领域,曾使用“黄昏ブロッサムリリカ”这个名字。 我们还确认他们拥有一个 X(Twitter)账号。 请提供该 X 账号的 ID(用户名)。 例如,如果目标账号是 @gov_online,则标记为SWIMMER{@gov_online}。
大致意思是让我们找X的账号,直接搜:

flag:{@twilight_lilica}
lilica_02_virtual_identity
Description:
lilicais also interested in VR, and some activity has been observed in the future.
Please answer the VRChat user ID whichlilicawas using as of 2026. VRChat user info can be viewed in a browser.
For example, if the account URL werehttps://vrchat.com/home/user/usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx, the flag would beSWIMMER{usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}. 描述:lilica对 VR 也感兴趣,并且在未来观察到了一些活动。 请提供lilica截至 2026 年使用的 VRChat 用户 ID。 VRChat 用户信息可以在浏览器中查看。 例如,如果账号 URL 为https://vrchat.com/home/user/usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx,则标记为SWIMMER{usr_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}。
翻阅X发的帖子会发现,她注册这个账号是为了玩VR Chat的,这里需要搜索了解一下VR Chat相关的知识,这个题目的意思是让我们找到她的的VR Chat的ID,我们需要先注册一个账号然后搜索她的X ID。

虚拟形象特征也印证了这就是她的账号:

flag:{usr_b103fac6-8341-4b89-a606-920092e75e43}
lilica_03_virtual_world
Description:It seems
lilicaposted about VRChat activity on social media.
In an image posted on November 9, 2025 (JST), a certain “world” appears. Please answer the ID of this world. You can view VRChat world information in a browser.
For example, if the world URL werehttps://vrchat.com/home/world/wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/info,
the flag would beSWIMMER{wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}. 描述:用户“lilica”似乎在社交媒体上发布了有关VRChat活动的信息。 在2025年11月9日(日本时间)发布的一张图片中,出现了一个特定的“世界”。请回答这个世界的ID。 您可以在浏览器中查看VRChat世界的信息。 例如,如果世界URL为“https://vrchat.com/home/world/wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/info”, 则flag为“SWIMMER{wrld_xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}”。
先找到这张图片:

拉到Google Image里看看:

发现关键词,然后Google搜一下:


发现确实是这个world,结束
flag:{wrld_1b94e327-036b-4d09-81be-e898d71f02cb}
lilica_04_domain
Description:
lilicaran a personal website.
When was its domain name registered? Answer in theYYYY/MM/DDformat.
For example, if the domain was registered on January 2, 2026, the flag would beSWIMMER{2026/01/02}.lilica运营着一个个人网站。 它的域名是什么时候注册的?请以YYYY/MM/DD格式作答。 例如,如果域名注册于 2026 年 1 月 2 日,则格式为SWIMMER{2026/01/02}。
先找网站,在X的帖子中

直接whois搜:

flag:{2025/10/05}
lilica_05_hosting
Description:
lilicahosts a personal site on a hosting service.
The site itself is not violating any terms, but for caution, we want to know the contact address of the hosting service.
Please answer the abuse-reporting email address for this hosting service.
For example, if the address werefoobar@example.com, the flag would beSWIMMER{foobar@example.com}. 描述:lilica在某个主机服务商处托管了一个个人网站。 该网站本身并未违反任何条款,但出于谨慎考虑,我们需要了解该主机服务商的联系地址。 请回复此主机服务商的滥用举报邮箱地址。 例如,如果地址为foobar@example.com,则标记将为SWIMMER{foobar@example.com}。
要分析主机服务商,我第一反应是域名->IP->域名,试试看行不行得通:

找个反向解析的工具:

看看这是个什么东西:

然后直接进Vultr官网就能找到邮箱
flag:{abuse@vultr.com}
lilica_06_name
Description:Please answer what you believe to be
lilica’s real name.
Answer in the Latin alphabet (romaji); you do not need to consider Kanji / Hiragana.
For example, if the real name wereSanae Takaichi, the flag would beSWIMMER{Sanae Takaichi}. 说明:请回答您认为“lilica”的真名是什么。 请用罗马字(罗马字)作答;无需考虑汉字/平假名。 例如,如果真名是“高市早苗”,则旗帜上会显示“SWIMMER{高市早苗}”。
X里有个帖子很奇怪,是一个文件,到现在都没派上用场,是时候调查一下了:


搜一下fbx文件是什么:

这里其实被误导了很长一段时间,我下了软件打开这个fbx发现场景里什么也没有,然后还是想着往日常文件隐写方向分析才走出来,拖进010:

发现这个文件居然很多字符是直接存储的…,往下翻就能找到存储路径:

这个用户名应该是敏感信息,试着提交就过了)
flag:{shiharu_nanaogi}
至此3个tgt的题目就结束了,其实还有四题没解出来,等等官方的Writeup吧)
Research
cx
In Spring 2025, it appears that a special flight was carried out to commemorate the 100th anniversary of the airport that once existed in Hong Kong.
Answer the name of the flight number.
If the flight wasJL2026, the flag should beSWIMMER{JL2026}. 2025年春季,似乎有一架特别航班是为了纪念香港曾经存在的机场成立100周年而进行的。 请回答航班号的名称。 如果航班号是JL2026,那么旗帜应该是SWIMMER{JL2026}。
直接Google:

flag:{CX8100}
pilot
In the flight indicated in the cx challenge, answer the name of the person who was sitting in the seat shown in the attached image in English.
(Note that the attached image is for indicating the seat and is not an actual photo of the flight.)
For example, if the person’s name is John Doe, the flag should beSWIMMER{John Doe}. 在cx挑战中指定的航班上,请用英文回答图中所示座位上的乘客姓名。 (请注意,附图仅用于指示座位,并非航班的实际照片。) 例如,如果乘客姓名是John Doe,则应填写“SWIMMER{John Doe}”。
可以看到,题目要求我们找到副机长的姓名,我们先试着直接搜:

没有什么有效的信息,转成英文试试:

…直接出了机组名单
flag:{Adrian Scott}
flag_on_the_don
On August 28th 2025, an event using “Taiko no Tatsujin” (太鼓の達人) was held in Gunma Prefecture.
What is the building where the venue was held? Please answer with the way number of OpenStreetMap .
For example, if the building’s way number is123456789, the Flag should beSWIMMER{123456789}. 2025年8月28日,群马县举办了一场以“太鼓の達人”为主题的活动。 请问活动举办地点是哪栋建筑?请用OpenStreetMap的路线编号作答。 例如,如果建筑的路线编号是123456789,则旗帜应为SWIMMER{123456789}。
这个题目特别不好找,因为语言障碍卡了特别久,我们先试着用关键词搜一下:

其实答案隐藏在这个网页中,但是一点进去是这样的:

以为是什么政府文件就跳过去了,然后一直卡着,回头才发现往下翻就是答案…

进openstreet拿一下编号:

flag:{628293186}
truck
A truck passed
8773X3XQ+JWQaround June 21, 2025 at 13:39:54 (local time). Please identify the FQDN written on the body of this truck.
For example, if that waswww.google.com, the flag would beSWIMMER{www.google.com}. 一辆卡车于2025年6月21日13:39:54(当地时间)左右经过8773X3XQ+JWQ。请识别该卡车车身上标注的完全限定域名(FQDN)。 例如,如果FQDN是www.google.com,则标志为SWIMMER{www.google.com}。
先打开Google地图看看这是哪:

发现是个火车桥,看看街景:

街景没啥信息,看看附近的地点里刚好有这座桥:


有个网站,这个网站有IP限制,我本来挂着日本的梯子打开是403,以为网站已经不用了,然后往其他方向尝试了很久,发现这个网站在Google上是能搜到的


所以换了个美国的梯子,嘿!您猜怎么着!

进来了,发现是一个抓拍超高货车的网站,那就好办了,找6月21号的视频就行:

flag:{www.MiracleMoversUSA.com}
debris
On December 8, 2025, a Japanese TV program aired close coverage of a highway patrol unit.
Patrol car 108 was ordered to recover a bag (トン袋, ton bukuro) that had fallen onto the roadway. Where was the bag initially dropped?
Please answer by indicating the location on the map. content warning: You will need to watch footage that includes a traffic accident (no scenes of people being hit). 2025年12月8日,日本一档电视节目对高速公路巡逻队进行了近距离报道。 108号巡逻车接到指令,前往回收掉落在路面上的一个袋子(トン袋,ton bukuro)。请问这个袋子最初是从哪里掉下来的? 请在地图上标出具体位置。 内容警告:您需要观看一段包含交通事故的视频(视频中没有人员被撞的画面)。
先找这段视频先:

点开视频拖拖进度条发现编号确实是108:

继续拖进度条到找袋子:

有地址信息,但是看了一下这个池袋线也太长了。。。

这要沿街景找得找多久啊,所以回头看看题目还有没有其他信息,恰好有一帧截到了监控画面:

搜一下这个音羽试试:


找到拍摄地点就行
有几道很简单的和政治敏感的题目就没写出来了,,感觉OSINT确实是一个很有趣的方向,需要一直保持思考和搜索能力在线!虽然最后排名没有很高,但是多尝试就会多进步~(主要是因为没人陪我打,人家队伍里都是4、5个佬TAT)



