NewbieContest

Postez ici vos messages.

heu...

y a des messages d'error qui devrait pas y etre selon l'un des membres qui a valider le message. si vous les souhaitez, je suis sur irc soit sur #newbiecontest soit sur **

Sinon, gg, c'est bien dur et jveux le finir! **No Sms** finirai!

bon je mets ici quelques recommandations, afin que vous ne soyez pas perdus.

 - Tout d'abord, n'oubliez pas que c'est une faille si-mu-lée ! Donc, il y a quelques restrictions...
 - C'est une épreuve en deux parties, distinctes l'une de l'autre.
 - Pour la première partie, ne cherchez pas à faire compliqué, faites le plus simple possible (comme on vous l'a appris en cours =D), lorsque vous aurez réussi à passer la première partie, un petit détail vous l'indiquera
 - Et oui, certains vont raler, la deuxième partie est principalement du guessing, après libre à vous de voir si vous voulez toujours la faire :)
 - N'oubliez pas non plus que le but du jeu est de prendre les axx du webmaster !

Voila je crois que c'est tout pour aujourd'hui, bon courage ;)

Bravo, en tout cas aux trois premiers qui l'ont réussi, et merci à tous ceux qui l'ont testé.
Sur ce...

Enjoy

The lsd

Bas je commence alors :D

J'ai trouver la première partie mais pour la seconde c'est un peu la misère car j'ai essayé quelque truc sans résultats.
Tu devrais peu être donner une direction pour la recherche de la 2ème partie non ???

En tout cas la première partie est pas mal du tout :D

C'est magnifique. Cette épreuve est toute récente, on peut pas dire que ça ait laissé le temps de vraiment chercher, et, comme d'habitude, ça piaille déjà pour de l'aide. C'est vraiment d'une constance remarquable, ce genre de choses.

Donc bon, comme d'habitude aussi, on va laisser passer un peu de temps pour vous laisser réellement vous creuser les méninges avant (éventuellement) d'aiguiller.

LoL =D Y'as pas de souci zours,je critique pas,je me dis juste qu'il faut essayer de penser ce que the lsd aurait fait à ma place pour la 2ème partie et c'est un peu tendu :D

pour la deuxième partie, tu as du voir un indice qui doit t'aider à trouver...

Enjoy

The lsd

Est-ce que vous pourriez changer la couleur du fond qui est très insupportable pour mes yeux, surtout si on doit passer longtemps sur la page à chercher la faille

Y a des plugins sous firefox qui permettent de changer les css à la volée.
Ca fait aussi partie des skills à potentiellement avoir :P

Y'a un plugin Firefox qui permet de changer les utilisateurs whineurs à la volée ?

Il a qu'a utiliser "links" bordel :p

je pense avoir reussi la premiere partie, puisque j'ai fait un truc simple comme on m'a appris en cours (:lol:) et j'ai eu un indice pour la suite... mais je suis pas sur :/ le "petit détail", il est vraiment visible?
sinon, qu'est-ce que les "axx"? le login/mdp du webmaster?



zut, je pensais avoir trouvé une piste, mais je tombe sur "tutt tutt tutt ! On triche pas !" :/



bon, j'abandonne. cela dit, très bonne épreuve :p

Bon, j'ai réussi la deuxième partie de l'épreuve, mais toujours pas la première. J'ai vu la faille sur une page du site et j'essaie de l'exploiter sur une autre. Mais dans la réalité, on peut l'exploiter de différentes façons (il y a beaucoup de variantes). Etant donné que c'est une simulation, est-ce que la simulation prend en compte toutes les variantes ? Ou bien, faut-il trouver pile poil une seule et unique solution attendue par l'auteur ? En même temps je ne sais pas pourquoi je pose cette question, il est parti l'auteur... The lsd si tu nous regardes...

The lsd, je te maudis.
Je suis dans la partie admin, je ne comprends rien à cette deuxième partie pour le mot de passe.

ps: en tout cas épreuve sympathique et bon retour sur newbie ;)

==> edit

J'ai essayé de multiples mots que j'ai concaténés à la partie du mot de passe que j'ai trouvé dans la partie
admin, bien entendu aucun ne fonctionne. J'avoue que l'indice ne m'oriente pas beaucoup vers la solution et
me laisse plutôt dubitatif.

Serait-il possible d'avoir une indication ?
Merci.

allez jeter un oeil dans Modéré...

Si c'est un indice, tu peux supprimer ton message, personne n'a rien demandé, merci.
Si c'est pour remonter un problème, idem, merci de voir ça avec les admins.
Si c'est pour remonter ce que tu crois être un problème, mais qui n'en est pas un, tu peux également supprimer ton message.
Dans les autres cas, essaie de faire des phrases, ça pourrait aider à comprendre ce que tu veux nous dire.

Plop all

J'ai pas pu être présent depuis une paire de mois sur NC, donc j'ai pas pu voir tous vos appels au secours  :lol:

Bref, vu qu'il n'y a toujours pas des masses de validations, je vais aider un chouilla (chouillat ?).

Pour la première partie, comme l'a dit alph1, il n'y a pas beaucoup de solutions possible (et oui, l'univers de la vulnérabilité n'a pas de limite, mais celle des simulations si  :rolleyes:), donc il faut aller au plus simple, pas de truc à rallonge, on essaye pas de mettre des caractères compliqués et de l'ascii héxa partout, juste le minimum requis.
Essayez aussi de comprendre ce qui se passe quand on rentre le mot magique, et pourquoi le magicien le fait "disparaitre" (j'espere que je suis clair...) Si vous avez des soucis, n'hésitez pas a me PM, je mettrais surement du temps à répondre, mais je répondrais.

Pour la deuxième partie (c'est celle que j'affectionne le plus, elle change de d'habitude je trouve). Il faut savoir que le webmaster sait quand vous récupérez son mot de passe. C'est à vous de deviner pourquoi :)

Si vous avez des soucis, messagerie :)

Voili voilou

Enjoy

The lsd

Moi j'ai un soucis :


:(

Ca ce n'est pas de mon ressort, c'est pas dans l'épreuve ^^

Maybe le 10080 qui est bloqué par un proxy ou un firewall (perso ca me fait la même pour toutes les épreuves à l'iut)

Enjoy

The lsd

Bon ça fait un petit moment qu'il n'y a pas eu d'aide, et vu que je galère toujours autant sur la 2e partie je vais en demander !

Est-ce que l'indice qui nous est donné après avoir réussi la première partie a un rapport avec un certain jeu ?

En fait je me doute que oui, ce n'est pas la seule chose qui m'y fait penser, mais je vois vraiment pas à quoi ça peut mener ^^ (sur ça je demande pas d'aide vu que ça doit être le but de l'épreuve lol).

Et aussi... est-ce que dans ce qu'on récupère, tout est utile ?

L'indice n'a pas de rapport avec le jeu. J'ai juste cherché une manière rigolote de donner un indice. Par contre je vois pas pourquoi tu dis que c'est pas la seule chose qui t'y fais penser.

Ensuite, tout ce qui est sur le site n'est pas utile. Il y a des choses intéréssantes, et d'autres pas.

Enjoy

The lsd

Ok lol, donc je suis pas tellement avancé... ^^

Merci ;)

Bonjour, a-t-on besoin d'un script php sur un serveur?

C'est mieux oui !

Enjoy

The lsd

hello  :/

j'ai trouver le premier passe : /* modéré */ & le deuxième /* modéré */... j'essaye de concaténer mais sa ne marche pas :o.
sachant que j'ai mit le premier passe d'abord et le deuxième après. Il n'y a ni espace ni rien.

help!

Très bon challenge , que j'ai réussi avec pas mal de difficulté , mais très réaliste ...
Merci à THE ISD pour ce magnifique challenge :)


édit : je pensais a BALL , fautes de nom  :D :D

Ça fera plaisir au réel créateur. :)

C'est un L comme Ludivine non ?

Etant donné qu'il a récupéré les pass, il a pas eu le temps de voir le pseudo du créateur :D ..

Bonjour !
juste une question... surement débile.  =D
faut il coder quelque chose pour réussir cette épreuve ?
Merci

Faire les épreuves plus simple pour toi serait déjà un bon début!

Il faut quelques petites lignes de code à écrire mais trois fois rien.


Ui ui, c'est bien un L minuscule

Enjoy

The lsd

oui comment tu dit ? difficulté !!! :/

Plop,

Voici quelques questions sur la seconde partie de cette épreuve à laquelle je ne comprends décidément rien. Toute réponse ou commentaire sur l'une ou ou l'autre d'entre elles sont bienvenus.***

Quelque chose indique-t-il plus précisément la nature de ce qui est à deviner (le nom d'une page du site, un numéro de 25 chiffres, une erreur de configuration, un type de faille original...) ou doit-on chercher à l'aveuglette ?
 
Je ne suis pas sûr de comprendre cette phrase.
Obtenir le mot de passe est le but de l'épreuve. Une fois qu'on l'a, le webmaster peut toujours réagir, mais c'est déjà trop tard.
Est-ce une allusion à quelque chose qu'il faudrait faire après, ou juste une indication sur la manière de le récupérer ?
L'accent de la phrase est-il sur "sait" ou sur "quand" ?

L'indice donné lors de la réussite de la "première partie" a-t-il vraiment aidé ceux qui ont résolu la deuxième ?

Le post de alph1 en première page laisse entendre que le résultat de la première partie n'est pas nécessaire pour passer la seconde. Y-a-t-il un enchaînement technique ou logique entre les deux (mis à part l'indice), ou sont-elles indépendantes ?


Enfin, the lsd encourage à formuler les demandes d'aide en privé, plutôt que sur le forum. Y-a-t-il une raison particulière à ça (le moindre indice pourrait rendre la solution triviale) ? Ou est-ce juste par crainte de voir le fil se transformer en boîte à réponses, ou toute autre raison non directement liée à l'objet de l'épreuve ?

Merci d'avance


*** Un avis éclairé sur l'accord grammatical de cette phrase m'intéresse aussi...

Hello,

Cherche un problème de conception. Pas besoin d'aller deviner le nom d'une page ou autre.
Je rajouterai que le bug en question n'est pas une mauvaise idée de l'auteur - au contraire - mais c'est l'implémentation de cette idée qui est catastrophique.
En effet la solution la plus logique ne marche pas... Je pense que la partie guess peut être énormément réduite en suivant ce conseil: *faire attention a la casse*. En prenant cela en compte il reste une petite part de guess mais c'est celle que l'on retrouve sur tout audit de site en blackbox.
Je trouve par ailleurs dommage que l'épreuve ne soit pas corrigée, rajouter une des fonctions les plus simples de PHP suffirait à régler ce fail de conception sans rien changer à la résolution technique attendue. Il est plutôt agaçant de passer à côté de la solution attendue pour si peu.

C'est une indication qui aide à réfléchir sur où et comment le récupérer.
Il faut comprendre que le webmaster a une trace de cette action, il n'est pas question d'anticiper une riposte de sa part, ou autre.

Oublie l'indice. Les deux parties sont tout a fait indépendantes. Il me semble même que certains ont trouvé la seconde partie en premier.

Peut-être une sorte d'auto-flagellation de sa part  =D

J'espère que ça te sera utile.

Enjoy _oups

Ben voilà, tout est dit ! J'ai quasiment rien à rajouter.

Pour préciser tout de même, le fait de faire attention à la casse, quand j'ai pondu cette épreuve, il y avait une subtilité qui faisait que c'était semblait logique de faire comme ca. Pas forcément en fait... Mais pas de nom de page bizarre à trouver. A mon avis, l'indice peut aider. Il suffit de tilter.

Le Webmaster peut connaitre le moment précis où tu récupères son mot de passe. A la seconde près. Pour info, il n'y a pas de système de log qui permette cela, c'est une opération banale du site Web qui lui donnera cette information.

Aucun lien entre les deux parties. J'aurais même pu faire deux épreuves différentes. Ça aurait d'ailleurs été plus simple, mais bon, c'est comme ça.

Enfin, ce n'est as de l’auto-flagellation (même si j'aime ça), c'est juste pour éviter les nombreux posts du genre "J'ai trouvé la faille de la première partie, ca valide pas." Une aide sur le forum ne ferait que spoiler inutilement.

Enjoy

The lsd

Merci pour ces réponses !
Ça permet d'éliminer certaines mauvaises pistes et de voir qu'il me manque vraiment quelque chose.

Hello
J'ai l'impression d'avoir trouvé quelque chose qui me fait penser à une autre épreuve de la même catégorie (en rapport avec l'indice donné dans l’énoncé de l'épreuve).
J'en suis étonné parce que c'est rare sur NC.
D'autre part je ne suis pas sûr de bien identifier l'administrateur. Lorsqu'on fait une recherche par son pseudo, il y a plusieurs résultats. Comment savoir lequel est-ce ?
Suis-je sur la bonne voie ?

Edit: Bon, avec un peu (beaucoup ?) de persévérance et d'hypothétiques hypothèses, j'ai réussi à passer l'étape 1 ;) En route pour la suite !

Ton message d'erreur ne fait pas partie de l'épreuve. Logiquement les problèmes ne viennent pas de NC, c'est de ton coté que ça ne marche pas.

Enjoy

The lsd

Plop :)

J'ai trouvé une faille qui correspond aux différents posts sur ce topic ainsi qu'à l'indice présent dans la description de l'épreuve.
Je parle de celle avec le magicien qui enlève quelque-chose (ce qui correspondrait à la partie #1 selon The lsd).
Il m'est parfaitement possible de l'utiliser sur moi-même, tout fonctionne bien. Seulement, lorsque j'essaye de faire la même chose avec l'admin, ça ne fonctionne pas.
Y a-t-il une manière très précise de le solliciter ? J'ai fait comme indiqué sur le topic : au plus simple. Pas de fioritures. Mais je n'obtiens malheureusement pas le résultat escompté.

Merci pour votre aide.

Bonjour, j'ai trouvé la faille de la deuxième partie et son code aussi, mais mon problème maintenant est que quand je mets les cookies que j'ai reçu PH***SS**, ad**n, v**e avec leurs valeurs puis je me retrouve après connecter sur un compte nommé "a". J'aimerai bien savoir pourquoi et sur le PH***SS** il y a une phrase encoder en l33t qui m'indique que je suis sur la bonne voie je crois qu'il y a une erreur ... Merci de rectifier sa il y en a une ou si j'me trompe de pouvoir me donner un tout petit indice qui pourrait vraiment me mener sur la bonne voie ;).

Message à tous ceux qui ont la bonne logique et la bonne idée mais qui s'arrachent les cheveux sur la seconde partie :
Mettez tout en minuscules et ça passe -_-'
C'est vraiment frustrant. J'ai tilté quand quelqu'un a dit "une simple fonction de base de PHP pourrait régler le problème".

salut.

Quelqu'un peut il verifier ça svp ?

Quand on se log sous le pseudo: /* Modéré */ et en pass: /* Modéré */, perso j'ai: "Fatal error: Cannot break/continue 1 level in /www/ep25/connexion.php on line 43", est ce normal ?

Il n'y a guère que le concepteur qui pourra répondre.

salut.

Depuis le temps que je test cette épreuve, un nouveau message d'erreur a fait surface : "tutt tutt tutt ! On triche pas !"

>> Peut on passer par là ? <<

"root@hacking.newbiecontest.org" m'envoie un email, bizarre (j'avais fait le test pour récupérer mes ID ça n'avait pas fonctionné.. j'avais du me planter o_O ...)

Bonsoir.
nouvelle étape... :P

J'ai fini par récupérer un cookie qui commence par "7****....... et qui fini par 3", j'ai beau forger des requêtes via headers ou url & Co, mais rien ni fait, je ne me log sur aucun compte avec ces Cookies

Est ce que je m'y prends mal dans mes requêtes, ou y a t il un autre cookie à découvrir ?
Thx for help.

Pourquoi est-ce que cette épreuve a été rayée ? :/

Parce qu'elle pourrie !  =D
En vrai, les épreuves rayées sont celles qui sont passées en /dev/null parce que pas intéressantes ou trop mal faites, comme celle ci fait partie de la deuxième catégorie, tu peux toujours la faire, mais elle ne rapporte pas de point. Tu as aussi accès aux afterwards sans l'avoir validée du coup.

Enjoy

The lsd