[supermimi123]

Mais du coup est-ce qu'on pourrait me donner un petit indice pour pouvoir réussir l'épreuve ?

[the lsd]

En 23 pages, je pense qu'il y a de quoi faire comme indice

Enjoy

The lsd

[supermimi123]

Alors j'ai une autre question, comment empêcher l'encodage de certains caractère ? car quand je vois dans la barre d'adresse pendant quelque seconde ce qu'est devenu mon lien, certains caractère on été encodé
Merci.

[slave.poire]

Bonsoir,
alors j'ai trouvé la faille et comment l'éxploitée.

J'ai recuperé des gateaux mais même en les ajoutants au navigateur je n'arrive pas à accéder à l'espace admin.

Voici une partie du gateau en question (avec des modifications):
/* Modéré */

J'utilise mozilla et la barre web-developper pour ajouter ces gateaux à la page "hacking.newbiecontest.org/ep13/membre.php" mais ça ne fonctionne pas.

Les gateaux sont-ils correctes? Faut-il proceder d'une autre manière pour les ajouter?

J'éspère ne pas avoir divulgé trop d'informations..

Merci.

EDIT : Je ne donne pas plus d'infos qu'il y a dans les autres postes (enfin il me semble), je ne détail pas la faille, puis la page de l'épreuve affiche "Il semble que vous ne possédiez pas le cookie d'identification requis pour accéder à cet espace. "

[wiwiland]

Si tu remplaces un mot par un autre pour être plus discret (et encore, tout le monde aura deviné...), ce serait mieux de le faire dans TOUT ton message...
Sinon je ne me souviens plus de l'épreuve mais j'ai l'impression que tu divulgues un paquet d'infos qui pourraient aider un peu trop.

Edit : Comme je l'ai dit, je n'ai pas regardé ce qu'il fallait faire. Si il faut un cookie et que c'est clairement indiqué, soit. Mais tu n'en dis pas un peu trop avec les informations "étoilées" ?

[hexace]

Bonjour à tous !

J'ai trouvé la fameuse faille, je pense avoir capté la démarche de l'exploitation mais je suis "légèrement" bloqué sur l'alerte : je ne comprends pas pourquoi il est possible d'afficher un texte et pas mon petit cake chocolaté ...
Problème d'encodage ? Un petit coup de pouce serait la bienvenue, merci !


Ediiit : Bon finalement je ferme mon gueule, petit moment de faiblesse dsl !

[Mandrake]

Hello

Bon, ça va faire bientôt 7 ans que je me suis inscrit sur ce site, et je n'ai toujours pas réussi à passer cette épreuve...
Voilà où j'en suis :

• La faille de la porte est trouvée et comprise. J'ai donc en ma possession une URL vers une page de ce site qui, lorsqu'elle est appelée, permet de récupérer automatiquement (sans clic sur quoi que ce soit) des "miam-miam/gâteau chocolaté/gourmandise" (barrer la mention inutile ) d'une personne importante pour le site en question. (script de récupération hébergé sur mon site perso).
  L'URL fonctionne bien sur moi, mais je ne suis pas cette personne importante...(dommage...)
• Je souhaite envoyer cet URL a "qui de droit". J'ai essayé toutes les formes pour lui envoyer (html ou non) et j'ai essayé plusieurs encodages pour tenter d'éviter les protections habituelles...mais rien ne se passe... . Je me suis renseigné sur l'URL encoding...mais je bloque toujours

Puisque cette faille est simulée, mon script hébergé ne me sera pas utile. Je n'attends donc plus l'apparition de quoi que ce soit sur le serveur. Il y a donc surement un simple regex qui détermine si le script envoyé est correct. J'ai peur de tourner autour du pot juste à cause d'une syntaxe qui diffère légèrement de la réponse attendue..

Est ce qu'une âme charitable pourrait venir à mon secours svp ?
Merci !

PS : Dur dur de ne pas trop en dire... j'espère ne pas avoir divulgué trop de choses, même si beaucoup a déjà été dit dans les 23 pages que je ne cesse de lire et relire...

[the lsd]

Salut Mandrake,

Envoie moi un MP avec ton "truckivabien", je jetterais un coup d'oeil

Enjoy

The lsd

[benjani13]

Je trouve que tu en dis beaucoup trop déjà... (comme les posts précédents d'ailleurs)

Pour le problème d'encodage le mieux est de te faire un petit script php qui t'envoie un mail avec ce que tu voulais mettre. Tu verra bien si ce que tu reçoit est correctement formatée ou non.

[backkick]

Bonjour à tous
J'ai lu les 23 pages et en effet j'ai lu beaucoup de choses intéressante qui m'ont clairement aidé
Je pense vraiment être sur la bonne voie
j'ai crée un fichier PHP qui devrait écrire les infos du petit gateau dans un fichier .txt.
J'ai testé ce script et dans la barre de l'url j'ai toutes les infos de mon petit gateau
mais j'ai rien dans mon .txt
Déjà est ce que je suis sur la bonne voie ?
Et si oui quelqu'un aurait il une idée de la raison pour laquelle rien ne s'écrit dans ce fichier ?

Merci

[the lsd]

Il peut y avoir pas mal de raisons, mais ça risque de spoiler si on en parle ici. Envoie un PM, ça sera plus simple

Enjoy

The lsd

[Mandrake]

Bon, 1 mois plus tard, j'y suis toujours....
Je lâche pas l'affaire, mais je pense sérieusement que quelque chose ne tourne pas rond avec cette épreuve.

Mon lien fonctionne parfaitement. J'ai développé en PHP une page similaire à celle d'envoi. Le lien que je récupère sur ma boîte perso est donc correct et effectue le travail demandé. Ce lien est même joliment formulé pour ne pas avoir l'air trop menaçant...

ALORS IL ATTEND QUOI L'ADMIN POUR CLIQUER SUR MON LIEN ??? 

[the lsd]

Nan mais en fait, ce qui se passe, c'est que tu es têtu comme une mule. T'as pas suivi les conseils que je t'ai donné ! Relis tout ce que je t'ai dit, et tu verras, ça passera mieux.

Oh, et quand tu l'auras validée, tu pourras revenir sur ce topic pour dire qu'effectivement, t'es une tête de mule, et que t'aurais pu réfléchir un peu plus avant de rager ? :p

Enjoy

The lsd

[Mandrake]

Yop !
Ça c'est clair! Je suis têtu comme une mule. Sinon, ça ferait belle lurette que j'aurai lâché l'affaire 

J'ai pourtant suivi les conseils que tu m'as donné en MP (il manquait effectivement des choses) et j'ai bien fait attention au browser (tel un bon petit Mario) et au fait que ce dernier veuille me simplifier la vie... (il y a, si j'ai bien compris, un post qui en parle indirectement en 2eme page du forum).

Ce que je ne comprends pas, c'est en quoi cette faille est "ultra-réaliste" (dixit Nebelmann en 4eme post de ce thread) puisqu'on dirait que la vérification de la réponse ne se fait qu'a l'aide d'un simple regex (personne ne cliquera sur mon lien si j'ai bien compris).

Je suis sûr que je loupe quelque chose qui doit être gros comme le nez au milieu du visage....mais quoi ?
Je vais trouver, je vous le jure !

[Pijiu]

Envoie ton script en MP + vient sur IRC si tu veux, je vais regarder