Análise de Segurança de uma Plataforma Web de CTF: Um Estudo de Caso com o TreasureHunt

• Lucas Andrei Cancelier Marin IFC
• Guilherme de Campos IFC
• Ricardo de la Rocha Ladeira IFC

DOI: https://doi.org/10.5753/errc.2026.36323

Resumo

Este trabalho avalia a segurança da plataforma geradora de CTFs (Capture the Flags) TreasureHunt, investigando vulnerabilidades web segundo as diretrizes do OWASP Top 10 e falhas na lógica da competição. Utilizando as ferramentas ZAP e Nessus, não foram identificados alertas de risco Alto ou Crítico, mas alertas de níveis Médio e Baixo foram encontrados e confirmados por validação manual. As vulnerabilidades incluem a ausência de token CSRF (Cross-Site Request Forgery) em requisições que alteram estado, o uso de bibliotecas JavaScript sem verificação de integridade e o sequestro de sessão por reúso do cookie PHPSESSID, permitindo personificar jogadores autenticados sem o uso de senhas. Conclui-se que essas falhas podem comprometer a integridade e a justiça da competição, exigindo mitigações imediatas.

Referências

Al-Abwah, A. A. T. (2025). 0xZone: A Secure Cybersecurity Challenge Platform. Bachelor's thesis, An-Najah National University.

Burket, J., Chapman, P., Becker, T., Ganas, C., & Brumley, D. (2015). Automatic problem generation for Capture-the-Flag competitions. USENIX 3GSE ‘15.

Chothia, T., & Novakovic, C. (2015). An Offline Capture The Flag-Style Virtual Machine and an Assessment of its Value for Cybersecurity Education. USENIX 3GSE ‘15.

Hulin, P., Davis, A., Sridhar, R., Fasano, A., Gallagher, C., Sedlacek, A., Leek, T., & Dolan-Gavitt, B. (2017). AutoCTF: Creating Diverse Pwnables via Automated Bug Injection. USENIX WOOT ‘17.

Ladeira, R. R., Obelheiro, R. R., Custódio, R., & Martins, V. (2020). TreasureHunt: um gerador automático de competições de Segurança Computacional. RSC, 9(2).

Matias, P., Barbosa, P., Cardoso, T. N., Campos, D. M., & Aranha, D. F. (2018). Nizkctf: A noninteractive zero-knowledge capture-the-flag platform. IEEE Security & Privacy, 16(6), 42-51.

OWASP Foundation. (2025). OWASP Top 10:2025. [link]

Schreuders, Z. C., Shaw, T., Shan-A-Khuda, M., Ravichandran, G., Keighley, J., & Ordean, M. (2017). Security Scenario Generator (SecGen): A Framework for Generating Randomly Vulnerable Rich-scenario VMs for Learning Computer Security and Hosting CTF Events. USENIX ASE ‘17.

Sllame, A. M., Tomia, T. E. & Rahuma, R. M. (2024). A holistic approach for cyber security vulnerability assessment based on open source tools: Nikto, Acunitx, ZAP, Nessus and enhanced with AI-powered tool "ImmuniWeb".

Vierino, F. T., Wahanani, H. E., & Junaidi, A. (2026). Evaluating Web Application Security Using OWASP Top 10 and NIST SP 800-115. Bit-Tech, 8(3), 3754-3764.