Creación del desafío

Inspiración

• moodle CVE-2025-26529: envenenamiento de registros de administrador para toma de control total de la cuenta de administrador
• @ref: https://www.youtube.com/watch?v=dhVF6hQUzWU
• @ref: https://github.com/NightBloodz/moodleTestingEnv
• @ref: https://medium.com/@Nightbloodz/admin-account-takeover-in-moodle-093708a0f749

Idea inicial

Tengo la siguiente idea de desafío CTF:

1. crear una aplicación web que tenga tres actores: administrador, estudiante (lo temaré a mi gusto) e invitado.
2. El invitado puede ver cuentas de estudiantes a través del famoso protocolo "webfinger".
3. Puedes proporcionar una URL personalizada y la aplicación la visita.

Ahora, el atacante ve esto como una oportunidad para recuperar la bandera. Pero la bandera en este caso está oculta en un endpoint interno cuyo acceso es imposible. La respuesta de este endpoint ES la bandera, pero obtienes un 403 no autorizado.

4. Mientras tanto, las actividades de los usuarios se registran para el administrador. Si el atacante descubre que su URL está registrada, puede inyectar [email protected] y attacker.com contendrá una redirección a CUALQUIER URL (no importa) con un ladrón de cookies adjunto.

@ref (webfinger): https://www.youtube.com/watch?v=Y26c9MNQLyc ¿Podrías adjuntar cualquier cosa a tu dirección de correo electrónico (que es una uri)??

---

Los pasos que seguiría el atacante son:

1. Inyección de entrada (URL de WebFinger personalizada)
2. Fetch tipo SSRF + redirección abierta
3. XSS almacenado en registros
4. Secuestro de sesión
5. Acceso a endpoint privilegiado (bypass de 403)

@ref: https://github.com/moodle/moodle Inspirarse en los archivos reports/... para implementar la función de registros en vivo

Descripción del desafío

Revisa ./challenge.md