Охота на инсайдера
AlfaCTF 2026
В горпкор-комьюнити Entropy есть человек, который всегда знает всё первым: какой дроп будет, какой коллаб анонсируют, какая модель станет хайповой. Его зовут aura_farmer, и его прогнозы никогда не ошибаются.
Вы устали проигрывать ему на каждом дропе и решили выяснить, откуда aura_farmer берёт свои инсайды
Переходим по ссылке, я это сделал сразу в Burp Suite.
Здесь мы не найдем ничего интересного кроме куки (но еще можно переписываться)))
Обратим внимание на вход и выберем Забыли пароль?, от нас потребуют username. Вводим того самого aura_farmer.
Открываем Burp и видим такой ответ:
Мы знаем логин мы знаем хэш пароля, можем получить сессию:
Но мы не входим в его аккаунт, нас встречает 2FA:
Нажимаем Потерял доступ к 2FA? и смотрим ответ:
Получаем в поле totp_secret Shared Secret в формате Base32, ключ, который используется для генерации одноразовых кодов OTP.
Получить код можно использовав онлайн генератор кодов 2FA, например https://2fa.fb.tools/.
Заходим в аккаунт aura_farmer и читаем флаг в одной из переписок.