StripedBear
19.07.2023, 20:45
Решил рассказать про CTF los.rubiya.kr, которую я проходил. Это не совсем CTF в привычном понимании: нет флагов. Надо пройти таски один за одним с помощью SQL Injection. Мне очень помог курс SQLi Master, без него я не смог продвинуться дальше пятого таска. Поэтому всем советую, кто интересуется SQLi. Это первая часть, если будет интересно - напишите коммент, продолжу. Хотел сначала разбить на две части, но лень писать сразу. Поэтому эта 1/3.
https://forum.antichat.xyz/attachments/29106212/img_618f398beb.pngИтак,
The Lord of the SQLi:The Fellowship of the SQLi, 2021Антураж прикольный, картинки добавил от нейросетей.
Предстоит 48 тасков, каждый назван в честь мифического существа. Правила простые:
- Не атаковать другие БД
- Не эксплуатировать сервер
- Не ДДосить
https://forum.antichat.xyz/attachments/29106212/img_45a1efcf39.png
https://forum.antichat.xyz/attachments/29106212/img_9192588773.png
После прохождения всех монстров победителя добавят в Зал Славы. У каждого или почти каждого таска может быть несколько решений. Поэтому прежде чем открывать спойлер с решением, рекомендую самому попробовать несколько вариантов. Во много таски достаточно простые и сложности начинаются после 17-20 таска.
1. Первый монстр - Gremlin
https://forum.antichat.xyz/attachments/29106212/img_87dfeb1319.png
Перед нами страница, показывающая запрос БД и код php. Что может быть проще? Проверяются "prob", "_", ".", "(", ")" не зависимо от регистра. Иначе выскакивает сообщение "No Hack ~_~". Так же еще раз напоминают про правила не атаковать другие таблицы.
Нам нужно выбрать любой существующий id из таблицы и тогда пройдем таск.
https://forum.antichat.xyz/attachments/29106212/img_2c84270fe0.png
2. Далее следует - Cobolt (скорее всего имелся в виду Cobold)
https://forum.antichat.xyz/attachments/29106212/img_b1f45b8e4d.png
Здесь опять же проверяются "prob", "_", ".", "(", ")". Но теперь надо выбрать id админа.
https://forum.antichat.xyz/attachments/29106212/img_bb89d23de0.png
3. Goblin
https://forum.antichat.xyz/attachments/29106212/img_b362ed1a99.png
Нам надо пройти с id админа. К проверке добавляются одинарная, двойная и обратная кавычка.
https://forum.antichat.xyz/attachments/29106212/img_b1295efeaa.png
Но они нам и не понадобятся.
4. Orc
https://forum.antichat.xyz/attachments/29106212/img_a893cc826a.png
"Сфоткай меня как будто я хакер"
Тут добавилась вторая проверка, уже недостаточно для прохода просто указать админа. Нужен также правильный пароль
https://forum.antichat.xyz/attachments/29106212/img_1b90de1226.png
5. Wolfman
https://forum.antichat.xyz/attachments/29106212/img_14c0724407.png
К фильтрации "prob", "_", ".", "(", ")" добавляется пробел
Также в запросе уже указан id как guest, а нам надо пройти под id=admin
https://forum.antichat.xyz/attachments/29106212/img_a7de5cc93c.png
6. Darkelf
https://forum.antichat.xyz/attachments/29106212/img_f971da7ad0.png
Тут идет проверка на 'prob', '_', '.', '(', ')', 'or', 'and'. Чтобы пройти таск, нам нужно пройти под админом. Все очень просто.
https://forum.antichat.xyz/attachments/29106212/img_3e26097e74.png
7. Orge
https://forum.antichat.xyz/attachments/29106212/img_5993769f75.png
Выглядит угрожающе, но этот таск - одна из комбинаций того, что мы уже проходили.
https://forum.antichat.xyz/attachments/29106212/img_7d737d52b9.png
8. Troll
https://forum.antichat.xyz/attachments/29106212/img_dbf2c19657.png
Фильтруются кавычки и 'admin'. И нам как раз надо подставить в id значение admin.
https://forum.antichat.xyz/attachments/29106212/img_b6a19bae4d.png
9. Vampire
https://forum.antichat.xyz/attachments/29106212/img_6036114320.png
Фильтруются кавычки и 'admin', все переводится в нижний регистр
https://forum.antichat.xyz/attachments/29106212/img_2a72f1abcb.png
Следующие пять противников - комбинация из предыдущих тасков, не представляющие какой-либо сложности и оригинальности. Поэтому пробежимся галопом.
10-15. Skeleton, Golem, DarkKnight, Bugbear, Giant, Assassin
https://forum.antichat.xyz/attachments/29106212/img_4daae4aa65.png
16. Succubus
https://forum.antichat.xyz/attachments/29106212/img_54704ddbca.png
Здесь уже поинтересней, много фильтров.
https://forum.antichat.xyz/attachments/29106212/img_c79b6d4ee5.png
Дальше таски намного интересней, честно. Продолжим?
https://forum.antichat.xyz/attachments/29106212/img_618f398beb.pngИтак,
The Lord of the SQLi:The Fellowship of the SQLi, 2021Антураж прикольный, картинки добавил от нейросетей.
Предстоит 48 тасков, каждый назван в честь мифического существа. Правила простые:
- Не атаковать другие БД
- Не эксплуатировать сервер
- Не ДДосить
https://forum.antichat.xyz/attachments/29106212/img_45a1efcf39.png
https://forum.antichat.xyz/attachments/29106212/img_9192588773.png
После прохождения всех монстров победителя добавят в Зал Славы. У каждого или почти каждого таска может быть несколько решений. Поэтому прежде чем открывать спойлер с решением, рекомендую самому попробовать несколько вариантов. Во много таски достаточно простые и сложности начинаются после 17-20 таска.
1. Первый монстр - Gremlin
https://forum.antichat.xyz/attachments/29106212/img_87dfeb1319.png
Перед нами страница, показывающая запрос БД и код php. Что может быть проще? Проверяются "prob", "_", ".", "(", ")" не зависимо от регистра. Иначе выскакивает сообщение "No Hack ~_~". Так же еще раз напоминают про правила не атаковать другие таблицы.
Нам нужно выбрать любой существующий id из таблицы и тогда пройдем таск.
https://forum.antichat.xyz/attachments/29106212/img_2c84270fe0.png
2. Далее следует - Cobolt (скорее всего имелся в виду Cobold)
https://forum.antichat.xyz/attachments/29106212/img_b1f45b8e4d.png
Здесь опять же проверяются "prob", "_", ".", "(", ")". Но теперь надо выбрать id админа.
https://forum.antichat.xyz/attachments/29106212/img_bb89d23de0.png
3. Goblin
https://forum.antichat.xyz/attachments/29106212/img_b362ed1a99.png
Нам надо пройти с id админа. К проверке добавляются одинарная, двойная и обратная кавычка.
https://forum.antichat.xyz/attachments/29106212/img_b1295efeaa.png
Но они нам и не понадобятся.
4. Orc
https://forum.antichat.xyz/attachments/29106212/img_a893cc826a.png
"Сфоткай меня как будто я хакер"
Тут добавилась вторая проверка, уже недостаточно для прохода просто указать админа. Нужен также правильный пароль
https://forum.antichat.xyz/attachments/29106212/img_1b90de1226.png
5. Wolfman
https://forum.antichat.xyz/attachments/29106212/img_14c0724407.png
К фильтрации "prob", "_", ".", "(", ")" добавляется пробел
Также в запросе уже указан id как guest, а нам надо пройти под id=admin
https://forum.antichat.xyz/attachments/29106212/img_a7de5cc93c.png
6. Darkelf
https://forum.antichat.xyz/attachments/29106212/img_f971da7ad0.png
Тут идет проверка на 'prob', '_', '.', '(', ')', 'or', 'and'. Чтобы пройти таск, нам нужно пройти под админом. Все очень просто.
https://forum.antichat.xyz/attachments/29106212/img_3e26097e74.png
7. Orge
https://forum.antichat.xyz/attachments/29106212/img_5993769f75.png
Выглядит угрожающе, но этот таск - одна из комбинаций того, что мы уже проходили.
https://forum.antichat.xyz/attachments/29106212/img_7d737d52b9.png
8. Troll
https://forum.antichat.xyz/attachments/29106212/img_dbf2c19657.png
Фильтруются кавычки и 'admin'. И нам как раз надо подставить в id значение admin.
https://forum.antichat.xyz/attachments/29106212/img_b6a19bae4d.png
9. Vampire
https://forum.antichat.xyz/attachments/29106212/img_6036114320.png
Фильтруются кавычки и 'admin', все переводится в нижний регистр
https://forum.antichat.xyz/attachments/29106212/img_2a72f1abcb.png
Следующие пять противников - комбинация из предыдущих тасков, не представляющие какой-либо сложности и оригинальности. Поэтому пробежимся галопом.
10-15. Skeleton, Golem, DarkKnight, Bugbear, Giant, Assassin
https://forum.antichat.xyz/attachments/29106212/img_4daae4aa65.png
16. Succubus
https://forum.antichat.xyz/attachments/29106212/img_54704ddbca.png
Здесь уже поинтересней, много фильтров.
https://forum.antichat.xyz/attachments/29106212/img_c79b6d4ee5.png
Дальше таски намного интересней, честно. Продолжим?