ImaginaryCTF 2025 codenames-1

Tue, 02 Jun 2026 21:40:00 +0800

题目提示：

author: Eth007

I hear that multilingual codenames is all the rage these days. Flag is in /flag.txt.

a. 代码审计

1. 基于 /create_game 上半部分的

打开附件发现有两个附件，app.py 和 bot.py，点开第一个 app.py 前面并没有发现什么异样，直到我们定位到 /create_game 这个路径下，其中存在一个致命的漏洞 —- os.path.join()，当参数中存在绝对地址也就是 / 会抛弃前面所有的路径。

举几个例子：

os.path.join("words", "english.txt")，这是正常拼接，结果为：words/english.txt
os.path.join("words", "/flag.txt")，由于出现 /，要抛弃前面所有路径，结果为：/flag.txt
os.path.join("a/b/c/d", "/etc/passwd")，结果为：/etc/passwd

@app.route('/create_game', methods=['POST']) # 这里是上半部分
def create_game():
 if 'username' not in session:
 return redirect(url_for('index'))
 # generate unique code
 while True:
 code = ''.join(random.choices(string.ascii_uppercase + string.digits, k=6))
 if code not in games:
 break
 # prepare game with selected language word list
 # determine language (default to first available)
 language = request.form.get('language', None)
 if not language or '.' in language:
 language = LANGUAGES[0] if LANGUAGES else None
 # load words for this language
 word_list = []
 if language:
 wl_path = os.path.join(WORDS_DIR, f"{language}.txt")
 try:
 with open(wl_path) as wf:
 word_list = [line.strip() for line in wf if line.strip()]
 except IOError as e:
 print(e)
 word_list = []

在得知了这个漏洞之后，继续审代码，发现在拼接之后，会尝试打开 wl_path，之后把值赋给 word_list。

路径穿越 on Jay's CTF life

ImaginaryCTF 2025 codenames-1

a. 代码审计

1. 基于 /create_game 上半部分的