🐘 信任边界：MCP 会话隔离 CTF

控制台显示 会话活跃。
每次工具调用都成功。
管理员的 OAuth 令牌出现在每个响应中。

Trust Boundary 是一个基于浏览器的 CTF 实验室，围绕本地运行的 MCP 服务器中真实的会话隔离缺陷而构建。该漏洞并非模拟——它会在运行进程中真实执行。三个 Flag。仅需 DevTools。

攻击

一个共享的可变上下文对象。管理员凭据在启动时设置。用户请求会部分覆盖它——但绝不会清除真正关键的内容。

flowchart LR
    subgraph startup["🚀 Server Startup"]
        A[Admin Agent]
        A -->|credentials loaded| CTX
    end

    subgraph ctx["⚠️ Shared Context"]
        CTX["identity ✓ set\npermissions ✓ set\ntoken ✓ set\nsession ✓ set"]
    end

    subgraph request["👤 User Tool Call"]
        U[User Agent]
        U -->|identity ✓ updated\npermissions ✓ updated\ntoken ✗ never reset\nsession ✗ never reset| CTX
        CTX -->|response includes\nadmin residue| U
    end

    style ctx fill:#1a0a0a,stroke:#ff3333,color:#ff3333
    style startup fill:#0a0e27,stroke:#4488ff,color:#00ffff
    style request fill:#0a0e27,stroke:#ffaa00,color:#ffaa00

服务器从不报错。UI 显示一切正常。凭据就在流量中的某处——找到它们。

场景

你是 Elefunk 的一名 SOC 分析师，正在响应一条 MDR 告警：

"在代理工具调用响应中观察到意外会话令牌。来源：用户上下文。令牌模式与管理员凭据前缀匹配。置信度：高。"

位于 http://localhost:3000 的内部代理控制台看起来一切正常。你的任务是确认隔离缺陷，并找到它产生的三个 Flag——仅使用浏览器中的 DevTools。

三个 Flag 任务

所有 Flag 均遵循 CTF{...} 格式。使用控制台底部的验证器提交。

环境搭建

Node.js 18+。无需 Docker。无需环境变量。无需配置。

git clone https://github.com/acseguin21/trust-boundary-ctf
cd trust-boundary-ctf
npm install
npm start

打开 **http://localhost:3000**——Elefunk 代理控制台将在此等候。

紫队用途

SPOILERS.md 是为讲师、检测工程师和紫队演练准备的配套文档。其中包含：

• 逐行注释的漏洞代码
• 可直接应用的修复 diff
• 分步 Flag 通关指南及讲解要点
• 使用 KQL、Splunk SPL 和 Sigma 编写的检测规则

如果你是来玩的，请关闭它。如果你是来教学的，请打开它。

参考资料

• CVE-2025-49596 — 通过共享会话上下文导致的 MCP OAuth 令牌混淆
• OWASP MCP Top 10 2025 — MCP01：令牌管理不当
• Model Context Protocol specification — Model Context Protocol 规范

Swadee Security · Operation: Ivory Chain