Onde o dado vira objeto

A Pampa Pass guarda a sessão do visitante num cookie chamado session. O código do servidor está em session-service.js.

Leia o código e repare no caminho que os bytes do cookie fazem: base64 vira texto JSON, e o JSON vira um objeto com JSON.parse. Esse "virar objeto" é a desserialização. Depois, o servidor confia nos campos desse objeto como se ele mesmo os tivesse criado.

O arquivo token.txt tem um valor de cookie de exemplo. Decodifique-o e leia o nome de usuário (o campo u) que o servidor vai acreditar. Esse nome é a flag.

Formato: tocaia{...} em minúsculas. Exemplo com a mesma forma, que não é a resposta: tocaia{joao_silva}.