Création du challenge

Inspiration

• moodle CVE-2025-26529 : empoisonnement des journaux admin menant à une prise de contrôle totale du compte admin
• @ref: https://www.youtube.com/watch?v=dhVF6hQUzWU
• @ref: https://github.com/NightBloodz/moodleTestingEnv
• @ref: https://medium.com/@Nightbloodz/admin-account-takeover-in-moodle-093708a0f749

Idée initiale

J'ai l'idée de challenge CTF suivante :

1. créer une application web qui comporte trois acteurs : admin, étudiant (je vais adapter ce thème à ma convenance) et invité.
2. L'invité peut consulter les comptes étudiants via le célèbre protocole « webfinger ».
3. vous pouvez fournir une URL personnalisée et l'application s'y rend.

L'attaquant y voit une occasion de récupérer le flag. Mais le flag, dans ce cas, est caché dans un endpoint interne dont l'accès est impossible. La réponse de cet endpoint EST le flag, mais vous obtenez une erreur 403 unauthorized.

4. Pendant ce temps, les activités des utilisateurs sont journalisées pour l'admin. Si l'attaquant découvre que son URL est journalisée, il peut injecter [email protected] et attacker.com contiendra une redirection vers n'importe quelle URL (peu importe laquelle) à laquelle est ajouté un cookie stealer.

@ref (webfinger): https://www.youtube.com/watch?v=Y26c9MNQLyc Vous pourriez attacher n'importe quoi à votre adresse e-mail (qui est une URI) ??

---

Les étapes que l'attaquant suivrait sont :

1. Injection d'entrée (URL WebFinger personnalisée)
2. Requête de type SSRF + redirection ouverte
3. XSS stocké dans les journaux
4. Détournement de session
5. Accès à un endpoint privilégié (contournement de la 403)

@ref: https://github.com/moodle/moodle S'inspirer des fichiers reports/... pour implémenter la fonctionnalité de journaux en direct

Description du challenge

Consultez ./challenge.md