BYUCTF 2025 Web Writeup-先知社区

Red This 438

描述

Author: CopperSands

https://redthis.chal.cyberjousting.com

redthis.zip

简介

一个查询页面，一个登录页面，一个注册页面和一个redis数据库

查询页面如下所示，输入一个名字，输出一段话

获取admin密码

main.py

这里面有一个admin账号先尝试用jwt设置cookie发现没有密钥不能解出admin的session

getQuote()

能查数据库中的数据但是不能直接查flag，只有admin能查flag

查看数据库已有的记录提交

famous_person=admin_password

获取admin密码

admin_password:

I_HopeYou4re8admin_iLoveTechn070g_9283910

获取flag

在/login使用

admin:I_HopeYou4re8admin_iLoveTechn070g_9283910

用

famous_person=flag_

没有查到flag

最后发现flag就在下拉菜单里面，直接拿到flag

byuctf{al1w4ys_s2n1tize_1nput-5ed1s_eik4oc85nxz}

Willy Wonka Web 438

描述

Author: Legoclones

Welcome to the world of web! Can you get the flag?

https://wonka.chal.cyberjousting.com

wonka.zip

简介

打开链接，什么都没有

进入后端

以下是源代码中给的配置文件

httpd.conf

访问

https://wonka.chal.cyberjousting.com/name/1

路径，Apache 会将请求转发到

http://backend:3000/?name=1

后端代码如下

server.js

在请求头中设置

a: admin

可以获取flag，但是在

httpd.conf

用

RequestHeader unset a

把请求头删掉了

绕过

Dockerfile

中看到版本httpd:2.4.55

搜索相关漏洞找到这个请求走私漏洞，没复现成功，但是这题可以通过在GET参数后面加请求头来绕过

https://github.com/dhmosfunk/CVE-2023-25690-POC

为本地测试，在backend文件夹下创建

flag.txt

输出请求头和flag

启动环境

经过本地测试，发现这样不会被过滤

后端输出的请求头如下

得到flag

或者直接这样也可以得到flag

byuctf{i_never_liked_w1lly_wonka}

Cooking Flask 442

描述

Author: bluecougar

I threw together my own website! It's halfway done. Right now, you can search for recipes and stuff. I don't know a ton about coding and DBs, but I think I know enough so that no one can steal my admin password... I do know a lot about cooking though. All this food is going to make me burp. Sweet, well good luck

https://cooking.chal.cyberjousting.com

简介

一个查询菜单的程序

SQL注入