UMassCTF 2026 Easy

Brick by Brick

Challenge Information

Category: Web Exploitation
Event: UMassCTF 2026
Author: Michael/michaelye_22
Difficulty: Easy
Tags: #web #robots

1. Description

I found this old portal for BrickWorks Co. They say their internal systems are secure, but I’m not so sure. Can you find the hidden admin dashboard and get the flag?

Hint 1: What files do web servers usually use to hide things from search engines? Hint 2: Look closely at the URL parameters when reading documents.

2. Overview

Đây là một bài easy của web, chỉ cần chịu khó recon một chút là ra hehe

3. Reconnaissance

Giao diện web khá đơn giản và không có chức năng gì để khai thác:

Và vì đây là một bài Blackbox nữa nên mình sẽ tiến hành scan các directory hoặc parameter, nhưng trước đó mình sẽ manual một vài cái tên quen thuộc như /admin, /robots.txt,…

Và cũng dựa trên hint1 của challenge thì mình quyết định thử /robots.txt thì ăn luôn file này:

Ta thấy trang web chặn bot tiếp cận 3 đường dẫn này, mình sẽ mở lần lượt để xem:

/internal-docs/assembly-guide.txt: Không có gì đáng chú ý
/internal-docs/it-onboarding.txt: lộ các đường dẫn và tham số nội bộ
/internal-docs/q3-report.txt: chẳng có gì hot

Dựa trên những gì ta tìm thấy ở /internal-docs/it-onboarding.txt, ta sẽ truy cập vào dùng tham số file để đọc file config.phpnhư sau: ?file=config.php

-> Lộ đường dẫn đến dashboard của admin là /dashboard-admin.php, truy cập vào thì ta thấy giao diện trang admin:

Lúc này mình nghĩ đến lỗ hổng SQL injection, nhưng vì có tham số file để đọc bất kỳ file nào của hệ thống nên mình đọc thẳng source của trang admin này luôn

4. Exploitation

Đọc source của file dashboard-admin.php bằng ?file=dashboard-admin.php:

-> Ta có cả username/password của admin nhưng ai quan tâm =))) có flag để submit là được rồi hẹ hẹ

h@ppy h@ck!n9 (BKSEC)