CTF Web 悪用

Web ベースのチャレンジ向けのルーティングと実行ガイドとしてこのスキルを使用してください。最初のパスは短く保つ：アプリをマッピングし、信頼境界を確認してから、詳細な技法ノートに進みます。

前提条件

Python パッケージ (すべてのプラットフォーム):

pip install sqlmap flask-unsign requests

Linux (apt):

apt install hashcat jq curl

macOS (Homebrew):

brew install hashcat jq curl

Go ツール (すべてのプラットフォーム、Go が必須):

go install github.com/ffuf/ffuf/v2@latest

手動インストール:

• ysoserial — GitHub、Java が必須 (Java デシリアライゼーション ペイロード)

追加リソース

• sql-injection.md - SQL インジェクション技法：認証バイパス、UNION 抽出、フィルタバイパス、セカンドオーダー SQLi、トランケーション、レース支援リーク、INSERT ON DUPLICATE KEY UPDATE パスワード上書き、innodb_table_stats WAF バイパス
• server-side.md - PHP 型の綱引き、php://filter LFI、Python str.format トラバーサル、SSTI (Jinja2、Twig、ERB、Mako、EJS、Vue.js、Smarty)、SSRF (ホストヘッダ、DNS リバインディング、curl リダイレクト、エスケープなしドット正規表現、SNI FTP スマグリング、mod_vhost_alias)、PHP hash_hmac NULL
• server-side-2.md - XXE (基本、OOB、DOCX アップロード)、X-Forwarded-For 経由の XML インジェクション、PHP 変数変数、PHP uniqid 予測可能なファイル名、シーケンシャル正規表現置換バイパス、コマンドインジェクション (改行、ブロックリスト、sendmail CGI、マルチバーコード、git CLI)、GraphQL インジェクション (イントロスペクション、バッチ、補間)
• server-side-exec.md - 直接的なコード実行パス、アップロード to RCE、デシリアライゼーション隣接実行、LaTeX インジェクション、ヘッダとAPI 乱用
• server-side-exec-2.md - その他の実行チェーン：SQLi フラグメンテーション、パスパーサのトリック、ポリグロットアップロード、ラッパー乱用、ファイル名インジェクション、ファイル名トランケーション付き BMP ピクセルウェブシェル
• server-side-deser.md - Java/Python/PHP デシリアライゼーションとレース条件プレイブック、デシリアライゼーション経由の PHP SoapClient CRLF SSRF
• server-side-advanced.md - 高度な SSRF、トラバーサル、アーカイブ、パーサ、フレームワーク、および最新アプリサーバの問題、Nginx alias トラバーサル
• server-side-advanced-2.md - Docker API SSRF、Castor/XML、Apache 式の読み取り、パーサの不一致、Windows パストリック、ローグ MySQL サーバファイル読み取り
• server-side-advanced-3.md - Part 3 (CSAW/35C3/ASIS/PlaidCTF 2018)：WAV ポリグロットアップロード、マルチスラッシュ URL path.startswith バイパス、Xalan XSLT math:random() シード推測、SoapClient _user_agent CRLF メソッドスマグリング、gopher:/// ノーホスト URL スキームバイパス、SSRF 認証情報リーク（攻撃者指定の送信 URL 経由）
• server-side-advanced-4.md - Part 4：WeasyPrint SSRF/ファイル読み取り (CVE-2024-28184)、MongoDB regex/$where ブラインドオラクル、Pongo2 Go テンプレートインジェクション、ZIP PHP ウェブシェル、basename() バイパス、wget CRLF SSRF→SMTP、Gopher SSRF to MySQL ブラインド SQLi、React Server Components Flight RCE (CVE-2025-55182)、AMQP/TLS インターセプション via sslsplit+arpspoof、CairoSVG XXE、Bazaar リポジトリ再構築
• client-side.md - XSS、CSRF、キャッシュポイズニング、DOM トリック、管理者ボット乱用、リクエストスマグリング、ペイウォールバイパス
• client-side-advanced.md - CSP バイパス、Unicode トリック、XSSI、CSS 流出、ブラウザ正規化の奇妙な動作、postMessage null origin バイパス
• auth-and-access.md - 認証/認可バイパス、隠されたエンドポイント、IDOR、リダイレクトチェーン、サブドメインテークオーバー、AI チャットボットジェイルブレーク
• auth-and-access-2.md - Part 2 (2018年代)：std::unordered_set バケット衝突認証バイパス、nodeprep.prepare Unicode 同形ユーザ名衝突、SRP A=0/A=N 認証バイパス、ArangoDB AQL MERGE 特権昇格
• auth-jwt.md - JWT/JWE 操作、弱いシークレット、ヘッダインジェクション、キー混同、リプレイ
• auth-infra.md - OAuth/OIDC、SAML、CORS、CI/CD シークレット、IdP 乱用、ログインポイズニング
• node-and-prototype.md - プロトタイプポルーション、JS サンドボックスエスケープ、Node.js 攻撃チェーン
• web3.md - Solidity と Web3 チャレンジノート
• cves.md - CVE ドリブン技法。チャレンジバナー、ヘッダ、依存関係リーク、またはバージョン文字列と照合可能
• field-notes.md - 長編エクスプロイトノート：SQLi、XSS、LFI、JWT、SSTI、SSRF、コマンドインジェクション、XXE、デシリアライゼーション、レース条件、認証バイパス、およびマルチステージチェーンのクイックリファレンス

ピボットするタイミング

• ターゲットがネイティブバイナリ、カスタム VM、またはファームウェアイメージの場合、最初に /ctf-reverse に切り替えてください。
• HTTP バグのみがコード実行を提供し、難しい部分がメモリ破損または seccomp エスケープになる場合、/ctf-pwn に切り替えてください。
• 「Web」チャレンジが JWT 数学、カスタム MAC、または暗号プリミティブに依存している場合、/ctf-crypto に切り替えてください。
• Web チャレンジにログ、PCAP の分析、または Web サーバからのアーティファクト回復が含まれる場合、/ctf-forensics に切り替えてください。
• チャレンジがエクスプロイト前に公開 Web ソース、DNS レコード、またはソーシャルメディアから情報を収集する必要がある場合、/ctf-osint に切り替えてください。

ファーストパスワークフロー

1. 実際の境界を識別：ブラウザのみ、バックエンドのみ、混合アプリ、または認証フロー。
2. ファジングする前に、すべてのメジャー機能について1つの通常のリクエスト/レスポンスペアをキャプチャします。
3. JS バンドル、レスポンスヘッダ、ルート、および代替メソッドから隠された機能を列挙します。
4. 可能性の高いバグファミリーを分類：インジェクション、認可、パーサミスマッチ、アップロード、信頼プロキシ、状態マシン、またはクライアント側実行。
5. 最小の証明を構築：リーク、バイパス、またはプリミティブ。フルエクスプロイトチェーンの作成は後に取っておきます。

クイックスタートコマンド

# 偵察
curl -sI https://target.com
ffuf -u https://target.com/FUZZ -w wordlist.txt
curl -s https://target.com/robots.txt

# SQLi クイックテスト
sqlmap -u "https://target.com/page?id=1" --batch --dbs

# JWT デコード (検証なし)
echo '<token>' | cut -d. -f2 | base64 -d 2>/dev/null | jq .

# Cookie デコード (Flask)
flask-unsign --decode --cookie '<cookie>'
flask-unsign --unsign --cookie '<cookie>' --wordlist rockyou.txt

# SSTI プローブ
curl "https://target.com/page?name={{7*7}}"
curl "https://target.com/page?name={{config}}"

# リクエスト検査
curl -v -X POST https://target.com/api -H "Content-Type: application/json" -d '{}'

最初に答えるべき質問

• フラグはブラウザ、API レスポンス、ローカルファイル、データベース行、または内部サービスにある可能性がありますか？
• アプリはユーザ制御データをテンプレート、リダイレクト、ファイルパス、ヘッダ、シリアライズされたオブジェクト、またはバックグラウンドジョブで信頼していますか？
• 複数のパーサが互いに不一致しているか：プロキシ対アプリ、URL パーサ対フェッチャ、サニタイザ対ブラウザ、シリアライザ対フィルタ？
• バグをより小さなプリミティブに変えることができるか：1 つのファイルを読む、1 つのトークンを偽造する、1 つの内部エンドポイントを呼び出す、1 つのボット訪問をトリガー？

高価値な偵察チェック

• API サーフェスを推測する前に、HTML、インラインスクリプト、バンドルされた JS を読みます。
• UI が送信するものと、バックエンドが受け入れるものを比較します。オプションの JSON フィールドはしばしば隠されたパスをロック解除します。
• 明らかなメタデータとヘルパーパスを早期に確認：/robots.txt、/sitemap.xml、/.well-known/、/admin、/debug、/.git/、/.env。
• 興味深いルートで代替動詞とコンテンツタイプを試す：GET、POST、PUT、PATCH、TRACE、JSON、form、multipart、XML。
• ファイルアップロード、PDF/エクスポート、ウェブフック、OAuth コールバック、管理ボット機能を可能性の高いエクスプロイト乗数として扱います。

高速パターンマップ

• SQL エラー、奇妙なフィルタリング、または状態依存 DB 動作：sql-injection.md で始めます。
• テンプレート、ファイル読み取り、SSRF、コマンド実行、XML、またはパーサバグ：server-side.md と server-side-exec.md で始めます。
• XSS、CSP バイパス、管理者ボット、クライアントルーティング、DOM 問題、またはスクリプトレス流出：client-side.md で始めます。
• セッション偽造、隠された管理ルート、JWT、OAuth、SAML、または弱い信頼境界：auth-and-access.md、auth-jwt.md、および auth-infra.md で始めます。
• Node.js アプリ、プロトタイプポルーション、VM サンドボックス、または内部サービスへの SSRF：node-and-prototype.md を追加します。
• スマートコントラクトフロントエンドまたはブロックチェーン統合アプリ：web3.md を追加します。

一般的なチェーン形状

• 偵察 -> 隠されたルート -> 認証バイパス -> 内部ファイル読み取り -> トークンまたはフラグ
• XSS または HTML インジェクション -> 管理ボット -> 特権アクション -> シークレットリーク
• トラバーサルまたはアップロード -> 設定/ソースリーク -> シークレット回復 -> セッション偽造
• SSRF -> メタデータまたは内部 API -> 認証情報リーク -> コード実行
• SQLi または NoSQL インジェクション -> 認証情報バイパス -> セカンドステージテンプレートまたはアップロード乱用

ディープダイブノート

チャレンジが真に Web ヘビーであることを確認し、長いエクスプロイトカタログが必要になったら、field-notes.md を使用します。

• 偵察、SQLi、XSS、トラバーサル、JWT、SSTI、SSRF、XXE、およびコマンドインジェクションのクイックノート
• デシリアライゼーション、レース条件、ファイルアップロード to RCE、およびマルチステージチェーン例
• Node、OAuth/SAML、CI/CD、Web3、ボット乱用、CSP バイパス、および最新ブラウザトリック
• CVE 形のプレイブックと、最新の CTF にも表示される古いチャレンジパターン

一般的なフラグの場所

• ファイル：/flag.txt、/flag、/app/flag.txt、/home/*/flag*
• 環境：/proc/self/environ、プロセスコマンドライン、デバッグ設定ダンプ
• データベース：flag、flags、secret という名前のテーブル、またはシードされたチャレンジコンテンツ
• HTTP：カスタムヘッダ、アーカイブレスポンス、隠されたルート、管理エクスポート
• ブラウザ：隠された DOM ノード、data-* 属性、インラインステートオブジェクト、ソースマップ