Challenge
Find what's hidden.
Three levels built on Stiger's public spec. Everything you need is published: the format, two reference decoders and the stickers below. No app, no iPhone.
Keep the files as they are. Some browsers and messengers recompress images, and one changed bit loses the message; the zip keeps them intact.
Level 1 — A postcard
This sticker carries a message in open mode: no password, no encryption. You only need to know where to look.
Hint: not every pixel counts.
New to LSB? LSB steganography in five minutes.
Level 2 — Four digits
This one uses stealth-v3: AES-256-GCM under a key derived with PBKDF2-SHA256 at 600,000 iterations, and the bits spread in an order that depends on the password.
The password is a four-digit PIN. How long does your machine take to find it? And how long would it take if the password were a real one?
Level 3 — Which ones talk?
Eight stickers. Three of them carry a message encrypted under a password nobody knows, us included. You don't need to read them: just say which ones they are. Every file is exactly the same size.
The flag is STIGER{…} with eight bits, sticker 1 to 8:
1 if it carries something, 0 if it doesn't.
Check your flags
Flags look like STIGER{…}. Levels 1 and 2 are published
as SHA-256 hashes, so you can check yours locally:
printf '%s' 'STIGER{…}' | shasum -a 256- Level 1:
f19caf55461747753c7a333de04008f545a8f2fac212f4228a940b43aea56e7e - Level 2:
612c7a401c964fc2f579e8dc0b0a12796ac268ec9442e7d4c25c33d37eced8fd - Level 3: no hash. With 56 possible answers, a hash would give it away.
Solved it?
Send your flags to [email protected] with the subject "Stiger challenge": two or three lines on how you got there, and a name or handle if you want one in the hall of fame. Every answer is checked by hand.
Hall of fame
Nobody yet. The first name goes here.
What it shows
- Open mode is a postcard: anyone who reads the spec can read it.
- 600,000 iterations make every guess expensive, but a short password still falls.
- Encryption protects the content; it doesn't always hide that something is there. That limit is in the threat model.
Leer en español
Tres niveles construidos sobre la especificación pública de Stiger.
Todo lo que necesitás está publicado: el formato, dos decodificadores
de referencia y los stickers de arriba. No hace falta la app ni un
iPhone. Las flags tienen el formato STIGER{…}.
Nivel 1 — La postal
level1.png lleva un mensaje en modo abierto: sin
contraseña y sin cifrado. Solo hay que saber dónde mirar. Pista: no
todos los píxeles cuentan.
Nivel 2 — Cuatro cifras
level2.png usa el modo stealth-v3: AES-256-GCM con una
clave derivada por PBKDF2-SHA256 con 600.000 iteraciones, y los bits
repartidos en un orden que depende de la contraseña. La contraseña es
un PIN de cuatro cifras. ¿Cuánto tarda tu máquina en encontrarlo? ¿Y
cuánto tardaría si la contraseña fuera de verdad?
Nivel 3 — ¿Cuáles hablan?
En level3/ hay ocho stickers. Tres llevan un mensaje
cifrado con una contraseña que nadie conoce, ni siquiera nosotros. No
hace falta leerlos: alcanza con decir cuáles son. Todos los archivos
pesan exactamente lo mismo. La flag es STIGER{…} con
ocho bits, en orden del sticker 1 al 8: 1 si lleva algo,
0 si no.
¿Lo resolviste?
Los hashes SHA-256 de las flags 1 y 2 están arriba para que verifiques por tu cuenta; el nivel 3 no tiene hash, porque con 56 respuestas posibles lo regalaría. Mandá tus flags a [email protected] con el asunto «Stiger challenge», dos o tres líneas sobre cómo lo resolviste y, si querés, un nombre o alias para el salón de la fama.