Outils pour utilisateurs
ctf:2016:inshack:web100_kikoos
Différences
Ci-dessous, les différences entre deux révisions de la page.
|
ctf:2016:inshack:web100_kikoos [2016/04/09 12:16] arkinar |
ctf:2016:inshack:web100_kikoos [2016/07/04 08:39] |
||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| - | **WEB 100 - Kikoos** | ||
| - | Le challenge est un site web , qui nous montre des photos de voitures qui se déplace sur la page web. | ||
| - | |||
| - | {{ :ctf:2016:inshack:kikoos_web.png?nolink |}} | ||
| - | |||
| - | Après inspection des sources (html) du site web on remarque : | ||
| - | |||
| - | <code> <title>LFI</title> </code> | ||
| - | On tente de modifier l'url : | ||
| - | |||
| - | <code> http://kikoos.ctf.insecurity-insa.fr/?page=../ </code> | ||
| - | La page réagit en nous renvoyant une indication explicant que le paramètre contient des caractères interdit. | ||
| - | |||
| - | La faille est donc une LFI (Local File Inclusion). | ||
| - | |||
| - | Après plusieurs tentative de guessing d'une page administrateur on tente de récupérer le code source de la page index.php avec un wrapper PHP. | ||
| - | |||
| - | <code> http://kikoos.ctf.insecurity-insa.fr/?page=php://filter/read=convert.base64-encode/resource=index.php </code> | ||
| - | |||
| - | La page nous renvoie le code en base 64 : | ||
| - | |||
| - | <code> | ||
| - | PD9waHANCi8vIEZMQUd7TGVha19vZl9GbGFnX2lzX0ltcG9zc2libGU9TEZJfQ0KPz4NCg== | ||
| - | ... | ||
| - | </code> | ||
| - | |||
| - | On décode le base64 : | ||
| - | |||
| - | {{ :ctf:2016:inshack:kikoos.png?nolink |}} | ||
| - | |||
| - | FLAG : FLAG{Leak_of_Flag_is_Impossible=LFI} | ||
ctf/2016/inshack/web100_kikoos.txt · Dernière modification: 2016/07/04 08:39 (modification externe)
Outils de la page
Sauf mention contraire, le contenu de ce wiki est placé sous les termes de la licence suivante : CC Attribution-Share Alike 4.0 International
