文章总结： 本文记录了CTF题目Kookie的解题过程。作者登录靶场抓包发现服务端仅依赖Cookie中的username字段验证身份，将其修改为admin即成功伪造管理员获取Flag。此案例揭示了客户端Cookie校验的脆弱性，建议开发者鉴权时切勿信任客户端凭据，必须采用服务端Session等安全机制。 综合评分： 45 文章分类： CTF,WEB安全,漏洞分析

[BSidesCF 2019]Kookie

原创

devildollking devildollking

熔城Sec

2026年8月4日 09:00 辽宁

在小说阅读器读本章

去阅读

01

题目简介

• 题目名称：[BSidesCF 2019]Kookie
• 题目平台：CTF²
• 题目类型：Web

02

解题步骤

启动并访问靶机

提示我们使用admin账户登录，并且存在cookie/monster，使用cookie/monster登录抓包看一下。

观察到设置了一个Cookie，内容为username=cookie。显然这里Cookie中的值作为了服务端在用户通过账户密码登录之后再次访问时验证身份的凭证，所以将其值改为admin，也就证明我们成为了admin用户。

成功获得flag

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：熔城Sec devildollking devildollking《[BSidesCF 2019]Kookie》