文章讲述了在Flask环境中，通过输入名字尝试获取flag的过程，涉及到验证管理员身份、cookie与session的分析，最终发现session是Base64编码且包含不可见字符，需要猜测secret_key才能解码并获取flag，暗示着一场可能的CTF比赛挑战。
进入环境后是一个输入框，可以提交名字
然后就可以点击获取flag，结果回显提示，需要获取管理员
可以尝试将名字改为admin
触发报错，说明可能存在其他的验证是否为管理员的方式
通过抓包后，在cookie字段发现了 特殊的东西，前面翻译过来跟题目没有太大关系，所以最后就看session字段，看着不像是base64，burp解码也不行
最后查看wp，结果发现还是base64，不过有些字符是乱码，所以一般的工具解密不出来
解码后确实有不可见字符，而且是json字符串
根据题目提示，和本题环境为flask，得知本题考察session伪造
但是没有secret_key，有点离谱的是，看了几个wp都说直接盲猜是比赛名称 LitCTF
拿到flag
扫一扫
5万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
