#brute-force

로그인 세션을 쿠키 하나로 식별하는 Flask 앱. 일반 사용자 세션은 4바이트 난수로 만들지만, 서버가 시작할 때 미리 깔아 두는 admin 세션은 os.urandom(1) — 단 1바이트(00~ff, 256가지)로 만든다. sessionid 쿠키를 256번 갈아 끼우면 admin 세션을 그대로 주워 flag를 읽는다.

로그인 폼이 전체 값이 아니라 입력 길이만큼의 prefix만 비교하면, 한 글자씩 정답을 떠보는 oracle이 된다. 2.1억 조합짜리 사물함 번호+비밀번호를 176번의 요청으로 복원해 플래그를 얻는 과정을 정리했다.