NewbieContest

Bravo, vous avez terminé cette épreuve, le code pour valider cette épreuve est sous la forme ****
sauf que si j'utilise cette forme *** avec ce qui va bien dedans, la validation me rejette comme un malpropre. =(

Aucun pb de validation à ma connaissance, enfin si un petit au début à cause d'une majuscule, mais soso a corrigé ça et depuis tout est parfait (j'ai validé sans pb). Es-tu sûr de ton code de validation ? N'as-tu pas sauté une étape?

P.S. : félicitations chaleureuses à DayDay :P

Ok... Bon je regarderai ça dès que j'aurai le temps... Je suppose que j'ai raté une étape oui, même si là comme ça je vois pas trop quoi :|
Merci pour ta réponse !

Aucun problème de validation effectivement.
(j'en profite pour céder à la mode actuelle de signaler quand je réussis une épreuve :cool: )

**No slang** moi j'ai réussi a appeler la fonction valider sans trouver le login et le pass donc maintenant je vais devoir faire un ** pour pouvoir valider cette épreuve
j'ai trop la rage :twisted:

Faudrat que tu nous dises dans l'afterwards ta méthode, pour appelé la fonction sans password. =)

pas de pb
des que j'ai réussi l'épreuve
si tu veux je t'explique en mp

Erf...pareil j'ai réussi a appeler la méthode mais j'ai pas le password xD
Je m'y remet :)

J'ai trouvé ou appeler validation, c'est assez simple (meme si je ne vois pas l'interet).
Le truc c'est que je bloque sur l'indice, parle t'in du code de validation ou du code admin?
En tout cas, je ne vois vraiment pas ou se trouve la faille pour faire du SQL Injection.
En tout cas, j'adore ^^

Salut
J'ai un petit problème, je tente l'exploitation d'une faille sql mais je n'obtiens à la place qu'un petit message qui dit "calmos ;-)"
Je suis sur la bonne voix ou justement faudrait que je me calme :p

Merci ;)

C'est la bonne direction mais pas le bon chemin.
Oublie un peu le code source fourni sur ce coup là :)

Oublier le code source ?  :/
Ah bah oki j'y go alors  :arrow:

C'est dur celui-là. Ca me fait que des "Calmos" ou des erreurs SQL.
Quelqu'un aurait un incide?

calmos ;-)

ouais des calmos partout, ça c'est bete.
J'ai malgré tout réussi à avoir le pass et le login, et quand j'exploite la faille pour injecter le validation,
je l'injecte, mais revoyez votre épreuve:

Allez, plutôt qu'être désagréable ici ou sur irc, on évite la mauvaise foi, on prend son courage à 2 mains, et enfin on relit attentivement l'énoncé. (je pars du principe que tu sais lire évidemment)

sorry mal lu -_-"
sur irc on aurait pu me répondre fin bon
merci Mr_Kaliman

Salut à tous,

Perso ça fait un certain temps que je fouine sur celle là, et après une vérification de chaque ligne du code (y compris la REGEXP xD) je m'oriente vers des injections SQL directes, le seul problème étant que pour le moment, je n'arrive strictement à rien (je n'ai même pas de calmos, c'est dire =p). Je suis sur la bonne voie ou faut carrément que je change de stratégie ? J'ai bien l'impression qu'une certaine propriété peu sécurisée est émulée sur cette épreuve...et pourtant je suis juste tombé sur un "tsss" et le fameux "O_o pas si vite".

Je suis également sur la piste d'un truc qui permettrait de contourner la fonction d'anti flood, mais je pense pas que ça ait de rapport.

Le fameux "O_o pas si vite", tu dois savoir d'où il vient si tu as bien lu le code. Le tss est juste une protection qui a été rajoutée ensuite pour éviter le Cross Epreuve Scripting  :D
Continue à chercher .... Et réfléchis bien : tout est utile (comme sur chaque épreuve de hack !)

Ouaip, je sais d'où ils sortent les "O_o pas si vite" et les "tsss" ^^. Bon ben je n'ai plus qu'à aller relire une énième fois le code ^^.

Edit : Je dois être miro', pas moyen de trouver la moindre faille SQL là-dedans...j'ai cru comprendre que le principe était de récupérer login / pass pour pouvoir se connecter, en conséquence de quoi je vois rien d'autre que faire joujou avec le SQL. J'ai même tenté des bricolages à la Great Bricoling Karément...Bon j'y retourne xD.

Edit 2 : Après plusieurs heures passées sur ce maudit code, j'ai enfin trouvé ce que je crois être THE faille pour pouvoir réussir à chopper login / password de l'admin. Je l'exploite en local, tout baigne, et je tente naturellement sur le serveur, ben non que dale, ça marche pas =D. Y'aurait-il quelqu'un à qui je puisse m'adresser par MP pour qu'il me dise si je suis sur la piste à suivre mais que je fais une erreur con ou si je me plante complètement ? Le dire sur le forum serait prendre le risque de révéler trop d'informations. Merci par avance.

Edit de the lsd : j'ai mis ton double post en edit 2 ca fait plus propre, utilises la fonction modifier dans ce cas ;)

Edit : Vi je sais, sorry, c'était juste pour attirer l'attention xD.

Re-Edit : Trouvé ^^.

Salut !
Je suis moi aussi bloqué par le "Calmos ;)"
Il semble que toute les parenthèses soient bloquées donc on peut utiliser aucune fonction...
Je vois pas comment faire pour obtenir le pass admin sans utiliser aucune fonction sql :?

le message date d'au moins deux ans, et maintenant n00b a réussis, mais je tenais a dire que je me demandais justement la meme chose quand j'ai parcourus le forum a le recherche d'indice.. c'est vrais que je vois pas trop :/

EDIT: petite note aux admins, on devrait autoriser les majuscules dans la validation de l'epreuve...sinon ça peut etre deroutant par rapport a l'epreuve si vous voyez ce que je veux dire ^^

J'ai trouvé une faille qui me permet d'obtenir quelque informations de la table "shootbox_admin"...
Je teste mon "exploit". En local, ça marche, mais sur le serveur NC ça ne marche pas....
Pourquoi ?

EDIT: Merci the LSD, ça m'a fait réflechir, et c'est validé ! (Je précise que je n'ai pas *encore* trouvé de faille non-prévue!)

C'est possible que tu n'aie pas la même configuration en local que sur le serveur, ce qui pourrait expliquer que ta faille ne marche pas ici.
Ou alors, tu as trouvé une faille non prévue.

Enjoy

The lsd

salut a tous,


/* moderated par the lsd : ah bah oui mais non ! Cay mal de demander de pirater un site ! Pas bien ! Pas bien !*/

Désolé du dérangement, mais j'ai un soucis que je ne comprends pas.

J'ai testé cette épreuves sur 3 machines:
1 - mon portable
2 - mon pc fixe
3 - mon pc fixe au boulot (oui, pas bien, je sais)

1) pas de problème
2) pour les pages admin/index.php, admin/admin.php et poster.php, j'obtiens une expiration de la page, je n'ai pas trouvé de solution
3) pour les pages admin/index.php et admin/admin.php, j'obtiens "Sélection de la base de données impossible", alors que sur les pages précédentes, ça fonctionne correctement. Le seul moyen que j'ai trouvé pour palier ce problème est de remplacer la ligne "include('../common.php') par le contenu de common.php (et en préfixant bien entendu par ../)
J'ai bien entendu effectué les mêmes manipulations sur chrome, ie et ff, sans changement au résultat...

En supposant bien sûr que cela ne fasse pas partie du challenge, quelqu'un saurait-il m'aiguiller pour comprendre les points 2) et 3) ? ça me dépannerait pour avancer dans ce challenge :s
J'avoue être complètement largué sur ce coup là...



Edit: seul point concernant le problème que j'ai remarqué, c'est que mes variables sont vides dans common.php ($db, $host, & co...) lorsque je les appelle dans le cas 3) depuis admin/qqch.php

Edit²: validée, mais problème toujours non résolu, c'est perturbant...

Est ce que tu as regardé la configuration/version de PHP sur tes différents postes ? Cela vient probablement de là.

Enjoy

The sd

1) et 3) : xampp dernière version
2) : wamp dernière version
Les mêmes extensions (à la librairie GD2 prés, mais je doute de son influance dans le cas présent)
Installation au même niveau d'arborescence

Peut-être pensais-tu à un réglage en particulier?

MDR lsd et c'est pour quoi t'es epreuve c'est pas pour mieux hack.
Allez a d'autre pour ce protéger soit meme je cherche la faille pour hack les shoutbox car on ma hack la mienne par javascript sans que la personne soit admin
/* moderated par the lsd, again... : j'ai dis non, alors c'est non. */

Euhhh, on va pas être copains là... Alors déjà, juste histoire de te montrer la méthode à suivre :


Le français, c'est pas fait pour les chiens.


J'ai modéré une première fois ton message, donc plutôt que de l'ouvrir en disant que le monde est injuste, tu devrais faire profil bas.

Enjoy

The lsd

Edit : bon, ok j'y suis allé un peu fort, j'ai changé mon post, mais le message reste le même.

**No Sms** Tous
j'ai pas trouvé la fonctionne valide() dans le script

je sais pas comment je peux valider cette épreuve

La fonction valider() est dans la version en ligne pas dans le code source  8)

ou bien...

;)
je suis dans le même cas que toi, bien entendu ça fonctionne parfaitement en local, mais online c'est une autre histoire; je me demande si la requête effectuée online est bien la même que celle dans les sources fournies.

Je suis dans la bonne direction ?

EDIT : au temps pour moi, une simple différence de configuration, ça à l'air de marcher niquel dans cette voie! c'est l'heure de scripter...

C'est énervant, un exploit en local peut parfaitement fonctionner, mais sur le serveur il faut se contenter de "Calmos ;)"
L'exploit doit tenir en 3 caractères alphanumériques ou quoi ? o_O
Je vois très bien comment appeler la fonction de validation mais il me faut d'abord passer ce "Calmos ;)" qui doit certainement être une fois de plus une vérification en regex...

Edit : ça ne sert à rien de paniquer, en fait ce n'était pas si dur que ça en réfléchissant un peu...
Les différents messages de ce topic en disent peut-être un peu trop...
En tout cas c'est faisable avec presque rien, et zéro parenthèse.

EDIT: Je tombe sur "calmos ;)" en fait...

ok !

Le calmos m'a relativement bien calmé, du coup je suis un peu à cour d'idées....

salut.

Pas évidente celle-ci..

Le "Calmos" il calme c'est sûre.. Le truc c'est qu'en attaquant(testant) les 3 tables avec X requêtes SQL en direct ou via popup(), rien ne passe (même pas un morceau d'information extirpé..que des erreurs Sql ou tss ou o_O ..., peut être qu'il y a quelque chose que je ne vois pas? , une xss ? car si toutes mes injection Sql sont bloquées enfin presque (le flood passe mais j’extrais rien ), je ne vois pas trop par ou passer  :/ pour récupérer le login/pass !

Visiblement cette épreuve est selon moi un peu trop stager. j'ai 2 méthodes d'injection qui marche en local dont une sans parenthèse mais encore la on me répond calmos :(. Sans doute je vais trop loin dans ma requête j'essaie de faire simple pourtant je vois pas comment faire simple quand d'après mes réflexion il n'y a aucune façon d'afficher la réponse de notre requête.
 =(

Salut,

J'ai bien trouvé et exploité la faille pour récupérer le login et le pass. J'arrive à me connecter. Jusque la tout roule =)

Je pense avoir trouvé ce qui doit être modifié pour appeler la fonction valider

mais je vois pas comment contourner les : o_O et tsss...

Est-ce que je dois continuer à tenter de bypasser ça à la brutale (j'entends par brutale: par la même méthode qui me retourne les o_O et tsss...) ou est-ce que je dois passer par un autre endroit pour modifier cette valeur ? (genre enregistrer quelques choses et revenir dans la partie admin ?)

Enfin voilà j'ai testé beaucoup de choses et j'arrive à rien... :(

EDIT : Valider =) Toute la difficulté de l'épreuve est la...

Hello,

Bon j'ai décidé de demander de l'aide parce que cette épreuve va finir par me rendre désagréable ^^

Pour la récupération des informations de connexion, pas de problèmes. En revanche pour l'injection de la fonction, je misère depuis quelques temps maintenant. Je sais ou c'est, je vois bien ce qu'il faut faire c'est assez évident mais il me manque le moyen :D

J'espère ne pas trop en dire.

- J'ai tenté de /* Modéré : Pas de démarche, même fausse ! */ ... mais bien évidemment non ...

- Niveau piqure, je pense avoir fait tout le tour de ce que je pouvais toucher. j'ai regardé /* Modéré */ ... Je crois qu'à force le source je le connais par coeur haha.

- J'ai exclus /* Modéré */ parce que ça me parait hautement improbable.

Donc je suis à cours d'idée, et je pense qu'il me manque une compétence, pourtant j'en ai lu des tartines et des tartines ! Un mot, une pièce ou un ticket resto pour m'aiguiller, manger et rester propre serait le bienvenu ! Merci :D

Okay, lol. Je reformule, je sèche sur les "tsss". Les o_O, je sais pourquoi, c'est marqué dedans ! Ca marche en local chez moi sans tsss pourtant ...  C'est pas du jeu :D Finalement la source est totalement différente, je crois qu'on peut dire ça :D

En échange, donnez-moi une piste, un mot clé, j'ai TOUT TESTE même si je peux pas mettre les noms (modérés), jeter moi une pierre mais seulement si y a un mot dessus, mayday mayday, aide-moi, help, et même en japonais je te le sors, je t'appelle maitre pendant une semaine si tu veux ! Je masse ton cou, je te pistonne pour un bon poste, je fais un <insert ton pseudo>thon pour que tu puisse te payer des jet ski et tout.

Je vend pas mon corps parce qu'il te plaira pas, considère ça comme une aide alors rends moi la pareille m***** !  Ici, en mp, par avion, ULM, sous-marin ou simple bouteille à la mer, cette épreuve me rend fou alors faites un p'tit geste :D

Fini. Sûrement le meilleur indice donné sur ce topic.