#web
Админы-параноики 👀

https://sashukkeshuk.ru

Жил-был администратор заурядного блога, наслаждаясь миром и спокойствием. Но вскоре настали времена лихие: злоумышленники, как тени, начали преследовать его, крадя данные пользователей и творя злодеяния от его имени в поисках некоего флага. Бедный админ, терзаемый страхом и смятением, долгое время пытался сам защитить свой сайт, но все его усилия были тщетны. В конце концов, отчаявшись, решил он обратиться за помощью к фрилансеру, дабы тот обеспечил надежную защиту его сайта и учетной записи. И вот, вздохнув с облегчением, администратор уверовал, что сайт теперь уже никто не взломает и его аккаунт в полной безопасности! Или все же нет?...

Формат флага: flag{...}

Хинт 1: Говорят, что фрилансер, работая над сайтом, допустил небольшую, едва заметную ошибку при отправке ответной странички. Однако именно она кардинально повлияла на безопасность сайта, ведь стала заметна другая, куда большая.

Также ходят слухи, что фрилансер не знает, что такое JSON, и, следовательно, не был осведомлен о функциях, которые с ним работают...

Хинт 2: Фрилансер славился своей любовью использовать кастомные куки для аналитики на бэкенде, чтобы приветствовать пользователей, при этом логику работы любил он писать именно сам, ведь полагаться везде только на либы – это удел слабаков! Но он и представить себе не мог, чем все это обернулось, что стало возможным заметить...

Хинт 3: Говорят, что надпись "Welcome back" иногда исчезает. Абсурд какой-то...

Автор: @Sashuk_keshuk

Напоминаем, что флаг нужно сдавать боту @writeup_ctf_bot

#таск@writeup_ctf

💬 Канал & Чат & Бот с тасками| 📺 RUTUBE | 📺 YouTube

#web
Бастион

Бастион – это не просто укрепление, а сложная и многослойная система безопасности, созданная для защиты от вторжений. Его инфраструктура подобна лабиринту, где каждый элемент продуман до мелочей: мощные стены, скрытые механизмы, надежные проходы и хитроумные ловушки. Однако, как и в любой обороне, у бастиона может быть слабое место – лазейка, тщательно спрятанный бэкдор, известный лишь немногим. И если такой изъян существует, он превращает неприступную крепость в иллюзию защиты, оставляя ее уязвимой перед тем, кто знает, куда бить.

https://kfcctf0bastion.pythonanywhere.com

Формат флага: FLAG{...}

Upd. Добавлена ручка для очистки БД. Как только вы получили флаг, не забудьте убрать за собой, перейдя по /restart

Хинт 1: Думаю, бэкдор где-то в форме регистрации.

Автор: @while_not_False

Напоминаем, что флаг нужно сдавать боту @writeup_ctf_bot

💬 Канал & Чат & Бот с тасками| 📺 RUTUBE | 📺 YouTube

#web #reverse #infra #tctf2025
Капибаза

Нужно было проанализировать код в файле content.js и составить ссылку для получения флага.

Конечный результат:

https://firestore.googleapis.com/v1/projects/t-capybase/databases/(default)/documents/sniffed

Автор: @masm32

💬 Канал & Чат & Бот с тасками | 📺 RUTUBE | 📺 YouTube