चुनौती निर्माण

प्रेरणा

• moodle CVE-2025-26529: व्यवस्थापक लॉग को विषाक्त कर पूर्ण व्यवस्थापक खाता अधिग्रहण
• @ref: https://www.youtube.com/watch?v=dhVF6hQUzWU
• @ref: https://github.com/NightBloodz/moodleTestingEnv
• @ref: https://medium.com/@Nightbloodz/admin-account-takeover-in-moodle-093708a0f749

प्रारंभिक विचार

मेरे पास निम्नलिखित CTF चुनौती का विचार है:

1. एक वेब एप्लिकेशन बनाएं जिसमें तीन अभिनेता हों: व्यवस्थापक, छात्र (मैं इसे अपनी पसंद के अनुसार थीम दूंगा) और अतिथि।
2. अतिथि प्रसिद्ध प्रोटोकॉल "webfinger" के माध्यम से छात्र खातों को देख सकता है।
3. आप एक कस्टम URL प्रदान कर सकते हैं और एप्लिकेशन उस पर जाता है।

अब, हमलावर इसे फ़्लैग प्राप्त करने का अवसर मानता है। लेकिन इस मामले में फ़्लैग एक आंतरिक एंडपॉइंट में छिपा है जिसकी पहुंच असंभव है। इस एंडपॉइंट का प्रतिक्रिया ही फ़्लैग है, लेकिन आपको 403 अनधिकृत (unauthorized) मिलता है।

4. इस बीच, उपयोगकर्ता गतिविधियाँ व्यवस्थापक के लिए लॉग की जाती हैं। यदि हमलावर पाता है कि उनका URL लॉग हो गया है, तो वह [email protected] इंजेक्ट कर सकता है और attacker.com में किसी भी URL पर एक पुनर्निर्देशन होगा (इससे कोई फर्क नहीं पड़ता) जिसमें एक कुकी चुराने वाला (Cookie stealer) जुड़ा होगा।

@ref (webfinger): https://www.youtube.com/watch?v=Y26c9MNQLyc आप अपने ईमेल पते (जो एक URI है) में कुछ भी संलग्न कर सकते हैं??

---

हमलावर जिन चरणों से गुज़रेगा वे इस प्रकार हैं:

1. इनपुट इंजेक्शन (कस्टम WebFinger URL)
2. SSRF-जैसा फ़ेच + ओपन रिडायरेक्ट
3. लॉग में संग्रहीत XSS
4. सत्र अपहरण
5. विशेषाधिकार प्राप्त एंडपॉइंट तक पहुंच (403 बायपास)

@ref: https://github.com/moodle/moodle लाइव लॉग सुविधा को लागू करने के लिए reports/... फ़ाइलों से प्रेरणा लें

चुनौती विवरण

./challenge.md देखें