HGAME 2026 WriteUp
很多题不会做，等题解出来在这里一并记录自己当时做题的思路和照着题解做题的过程。
一周目
魔理沙的魔法目录
/record发请求（通过Authorization Header 来鉴权），再通过/check检查是否达到足够的时间。tracker.js被混淆了，就是一个黑盒。用 Postman 试试看。
Vidarshop
我自己没做出来这一题。
什么你这卖的东西这么贵 什么为什么都用uid了用户名还要抢啊， 什么凭啥admin可以管我们所有人的钱啊
题目的题干
update接口直接改的好像是User类的balance属性欸，但是User属性中balance似乎并非。。。该怎么修改balance呢
题目的提示
一开始看题目和登陆页面看感觉像是 SQLi，要直接登录到 admin 账号去管钱。注入试了两次之后发现能登录，登陆进去发现鉴权用的是 Bearer Token，token 为 JWT，用空密钥试了一下不行。然后对着/api/update接口调了半天，发现没用，睡觉。
第二天醒来接着看这道题，注册了一个用户名和 uid 都是 111 的账号，对着 JWT 解析出来的结果发呆。不知道想到什么了，试着把 111 输到密钥里，验证成功…是哪个地方有问题吗？为什么就验证成功了？我将 token 拿到工具里爆破了一下，工具给出结果：密钥还真是 111。
然后用这个管理员的 token 在题目环境里试了试，知道了这些信息：
- balance 貌似是所有用户的共有属性，前端的接口是假的（貌似就算用 admin 权限也无法修改，还没找到题目说的 admin 管钱是怎么管的）
- 应用好像用 uid 来识别是否为管理员，ctf-token 来识别用户名（并且没有检验用户是否存在的逻辑）可以通过在接口请求的 body 里指定 username 来显示某个用户的 balance（虽然大家都共用同一个）
- buy 接口能使 balance 实实在在地变少，但好像利用不了（没办法指定花的钱数，自然无法改为负数）
我又试了试，还是没有试出什么名堂来。题目归档之后，CopperKoi 同学把题解发给我，是我没见过的原型链污染。大概就是用前面伪造的 token 发请求到 /update 接口，payload 如下：
{"__init__": {"__globals__": {"balance": 2000000}}}
二周目
easyuu
很早以前玩虚拟空间的时候有部署过一个 PHP 文件就实现文件上传、查看、登录等功能，给我当时幼小的心灵带来一些震撼。
/app/update里发现了一个压缩包，像是源码，想着用download_file接口进行目录穿越下载下来又不行，浏览器好像会把../和链接的上一级进行“消消乐”。
我将代码喂给 GitHub Copilot 和 Deepseek，Deepseek 给出一种可能的攻击方案：可以先在本地加恶意代码并编译，再通过上传接口将文件上传到/app/update（又是一个目录穿越），等代码自动更新之后拿到 flag。
import requests
url = "http://环境地址/api/upload_file"
files = {
'file': ('../../../../app/update/easyuu',
open('target/x86_64-unknown-linux-musl/release/easyuu', 'rb'),
'application/octet-stream')
}
response = requests.post(url, files=files)
print(response.status_code)
print(response.text)
但是没成功。上传文件这个接口的目录穿越可行。但自动更新这个机制能否利用不清楚，本地编译了几次，一直cargo clean cargo build --release --target x86_64-unknown-linux-musl，文件大小都是553928。估计编译出来的一直是老代码。
baby-web?
读附件的代码之后发现应用并没有限制 php 文件的上传，所以上传了一个一句话木马上去，然后用蚁剑连接。结果发现上传附件的文件夹只有我上传的文件，flag也不在文件系统当中。
