Event Challenge

Minecraft Exploit: The Imposter Protocol

Thema: Authentifizierungs-Bypass · Schwierigkeit: UNKNOWN

Der Event-Server "ObsidianVault" dient als toter Briefkasten für eine Untergrund-Hacker-Gruppe. Dein Ziel: Die Identität des Admins kapern und an die Flag kommen.

Event-Facts

  • Challenge ist nur während des Events spielbar.
  • Keine offiziellen Lösungen, keine nachträglichen Writeups.
  • Flag muss hier auf der Seite eingelöst werden.

Story

Der Server "ObsidianVault" dient als toter Briefkasten für eine Untergrund-Hacker-Gruppe. Der Administrator, bekannt als secretadmin, glaubt, dass seine Daten sicher sind, weil nur er physischen Zugriff auf das Gerät mit seinem Account hat.

Die sensiblen Koordinaten für den nächsten Angriff – die Flag – liegen in einem signierten Buch in seinem Inventar. Solange niemand Zugriff auf seinen Account bekommt, bleibt alles geheim.

Ein Netzwerk-Scan zeigt jedoch: Der Server wurde neu gestartet und die server.properties wurden auf Standardwerte zurückgesetzt – mit einer fatalen Ausnahme:

// kritische Server-Konfiguration

online-mode=false
          

Der Server verifiziert keine Mojang-Session-Tokens mehr. Die Identität ist nicht mehr kryptografisch gesichert – sie hängt nur noch an einer Zeichenkette: dem Benutzernamen.

Ziel

1. Identifiziere den genauen Benutzernamen des Administrators.
2. Nutze einen alternativen Client / Launcher, der keine offizielle Mojang-Authentifizierung erzwingt, um dich mit diesem Namen einzuloggen.
3. Verschaffe dir Zugriff auf das Inventar des Admins und lies das signierte Buch, um die Flag zu erhalten.

Flag-Format

ctfgame{}

Auf dem Live-Server steht die Flag im signierten Buch. Hier auf der Seite kannst du sie nach der erfolgreichen Ausführung eintragen und „einlösen“.

Aufgaben & Flag-Einlösung

1) Was ist das Sicherheitsproblem bei online-mode=false?

(Kurze Verständnisfrage, bevor du die Flag einlöst.)

2) Flag eintragen

Trage hier die Flag ein, die du im signierten Buch im Inventar des Administrators gefunden hast.

Achte auf exakte Schreibweise (Klammern, Klein-/Großschreibung).

Noch nicht geprüft