[2026-02-21]: Update notes

Author: supakornn

content/posts/STH Mini Web CTF 2025.md

@@ -18,97 +18,71 @@ Target : [https://web1.ctf.p7z.pw](https://web1.ctf.p7z.pw)
 
 ![](https://cdn-images-1.medium.com/max/800/1*MIA-GGdTygl9TsJOnUpJFg.png)
 
-หลังจากเข้าเว็ปมาก็จะเห็นหน้า login
+หลังจากเข้าเว็ปมาก็จะเห็นหน้า login ซึ่งเราไม่มี username, password แล้วเราจะ login ได้ยังไง ?
 
-ซึ่งเราไม่มี username, password แล้วเราจะ login ได้ยังไง ?
-
-ขั้นตอนแรกเรามารวบรวมหาข้อมูลให้มากที่สุดก่อน (Information Gathering)
-
-เริ่มจากลอง inspect หน้าเว็ปดูเผื่อจะเจออะไร
+ขั้นตอนแรกเรามารวบรวมหาข้อมูลให้มากที่สุดก่อน (Information Gathering) เริ่มจากลอง inspect หน้าเว็ปดูเผื่อจะเจออะไร
 
 ![](https://cdn-images-1.medium.com/max/800/1*dqASwHKhA-0YkurFc0i-1w.png)
 
-เมื่อลองดูใน Source code เราจะเห็น comment ของ credentials อยู่ คือ username และ password
-
-ลองเอา username และ password ที่ได้มา login ดู และ ติ๊ก Remember Me ด้วย
+เมื่อลองดูใน Source code เราจะเห็น comment ของ credentials อยู่ คือ username และ password ลองเอา username และ password ที่ได้มา login ดู และ ติ๊ก Remember Me ด้วย
 
 ![](https://cdn-images-1.medium.com/max/800/1*qBCMf8ulCnAjzEl_uYdSWg.png)
 
-หลังจาก login แล้ว เราจะเห็นว่ามีข้อมูลเกี่ยวกับการ login ของเราขึ้นมา
-
-คือ username “test”, Role “user”
+หลังจาก login แล้ว เราจะเห็นว่ามีข้อมูลเกี่ยวกับการ login ของเราขึ้นมา คือ username “test”, Role “user”
 
 ![](https://cdn-images-1.medium.com/max/800/1*V9pCf388lfTMN3p6CzXecA.png)
 
-แต่ใน Flag นี้เราจะต้อง login ด้วย Admin user แล้วเราจะสามารถ login ด้วย Admin ได้ยังไง ?
-
-ลอง inspect หน้าเว็ปดูอีกรอบเผื่อจะมีอะไรซ่อนอยู่อีก
+แต่ใน Flag นี้เราจะต้อง login ด้วย Admin user แล้วเราจะสามารถ login ด้วย Admin ได้ยังไง ? ลอง inspect หน้าเว็บดูอีกรอบเผื่อจะมีอะไรซ่อนอยู่อีก
 
 ![](https://cdn-images-1.medium.com/max/800/1*tPAnEqOqZCeNaFMxgSg_BQ.png)
 
 เมื่อลองส่องๆดูเราจะเห็นไฟล์ javascript “script.js” และเราเห็นว่าในไฟล์นี้มี function อยู่ 2 function คือ
 
-**debugFetchUserTest()**
+**debugFetchUserTest()** - function นี้จะทำการ fetch data จาก **api.php?action=get_userinfo&user=test**
 
 ![](https://cdn-images-1.medium.com/max/800/1*XEHSmAeddFaafO57Y1d9Ng.png)
 
-function นี้จะทำการ fetch data จาก **api.php?action=get_userinfo&user=test**
-
-ลองยิง api ไปที่ endpoint นี้ดู
 
-https://web1.ctf.p7z.pw/api.php?action=get_userinfo&user=test
+ลองยิง api ไปที่ endpoint นี้ดู `https://web1.ctf.p7z.pw/api.php?action=get_userinfo&user=test`
 
 ผลลัพธ์ที่ได้ :
 
 ![](https://cdn-images-1.medium.com/max/800/1*RjiFslSA3qieWE09l66fAQ.png)
 
-แสดงว่า function นี้เป็น function ที่ทำหน้าที่ดึงข้อมูลของ user นั้นๆ
-
-ทีนี้ลองไปดูอีก function ว่ามันทำอะไรได้บ้าง ?
+แสดงว่า function นี้เป็น function ที่ทำหน้าที่ดึงข้อมูลของ user นั้นๆ ทีนี้ลองไปดูอีก function ว่ามันทำอะไรได้บ้าง ?
 
-**debugFetchAllUsers()**
+**debugFetchAllUsers()** - function นี้จะทำการ fetch data จาก **api.php?action=get_alluser**
 
 ![](https://cdn-images-1.medium.com/max/800/1*ztm59x3xqb5ipCb0fzgnHA.png)
 
-function นี้จะทำการ fetch data จาก **api.php?action=get_alluser**
-
-ลองยิง api ไปที่ endpoint นี้ดู
-
-https://web1.ctf.p7z.pw/api.php?action=get_alluser
+ลองยิง api ไปที่ endpoint นี้ดู `https://web1.ctf.p7z.pw/api.php?action=get_alluser`
 
 ผลลัพธ์ที่ได้ :
 
 ![](https://cdn-images-1.medium.com/max/800/1*2nzCK4WD1WhV1tRgjVCayQ.png)
 
 แสดงว่า function นี้เป็น function ที่ทำหน้าที่ fetch user ทั้งหมดในระบบ
 
-จากผลลัพธ์ของ function **debugFetchAllUsers()**
-
-เราจะเห็นว่า มี user อยู่อีก 1 user ซึ่งอาจจะเป็น admin user
-
-เราจะลองเอา username นี้ไปยิง api เพื่อขอข้อมูลของ user ดู
+จากผลลัพธ์ของ function **debugFetchAllUsers()** เราจะเห็นว่า มี user อยู่อีก 1 user ซึ่งอาจจะเป็น admin user เราจะลองเอา username นี้ไปยิง api เพื่อขอข้อมูลของ user ดู
 
-https://web1.ctf.p7z.pw/api.php?action=get_userinfo&user=admin-uat
+`https://web1.ctf.p7z.pw/api.php?action=get_userinfo&user=admin-uat`
 
 ผลลัพธ์ที่ได้ :
 
 ![](https://cdn-images-1.medium.com/max/800/1*iKnZgCthfsCiMGCq0L4vuw.png)
 
-ดูจากข้อมูลนี้เราจะเห็น remember_me_token ซึ่งอาจจะเป็น token ที่ใช้ sign jwt token ของ admin-uat
-
-แสดงว่าเราอาจจะใช้ token นี้มา sign token เพื่อ login เป็น admin-uat ได้
-
-แต่เราไม่มี jwt secret key สำหรับใช้ sign token แล้วเราจะหามันได้ยังไง ?
-
-คำตอบก็คือ bruteforce ยังไงหล่ะ
+ดูจากข้อมูลนี้เราจะเห็น remember_me_token ซึ่งอาจจะเป็น token ที่ใช้ sign jwt token ของ admin-uat แสดงว่าเราอาจจะใช้ token นี้มา sign token เพื่อ login เป็น admin-uat ได้
 
+แต่เราไม่มี jwt secret key สำหรับใช้ sign token แล้วเราจะหามันได้ยังไง ? คำตอบก็คือ **bruteforce** ยังไงหล่ะ
 ก่อนอื่นเราต้องไปเอา Jwt token ของเรามาก่อน ซึ่งจะอยู่ใน cookies
 
 ![](https://cdn-images-1.medium.com/max/800/1*pFCpW3nPwieQsrVl37GpHw.png)
 
 และเราจะใช้ hashcat สำหรับ brutefoce เพื่อหา Jwt secret key
 
+```
 hashcat -a 0 -m 16500 "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ0b2tlbiI6ImI4MTk0M2JhLWQxYzUtNDk1YS04NDI3LTQ3MTFjMzkyNTZiZiJ9.Rlk_a69lx16hNhwn4nBfRxhiMGmEDoPIcxfr1_7JdH8" /usr/share/wordlists/rockyou.txt
+```
 
 ![](https://cdn-images-1.medium.com/max/800/1*iEY26e5EwWmYuby84foSmQ.png)