NewbieContest

Postez ici vos messages.

Bravo, NiklosKoda cette épreuve me parait très intéressante, je m'y mets tout de suite !!

Hello,

personnellement je bloque sur le nom de la table, j'ai pourtant fais bcp de test...un petit hint ?

ça fait plusieurs jours que je suis sur cette apreuve !

j'ai toujours le meme message :/ "C'est la bo... mais...."

un petit indice si possible !

bienvenue au club xD

Merci Ghost_panic.

Sh4rk et Simo64 vous devez passer à coté de quelque chose qui est suceptible de beaucoup vous aider.

++
Niklos

je pense l'avoir trouvé ce quelque chose mais j'ai pas encore réussi à l'exploiter.

épreuve validée ! :) non sans mal...Bravo pour l'épreuve =D

Je bloque aussi pour le nom de la table, ça m'affiche toujours "C'est la bonne ... mais...." .

EDIT: J'ai réussi à mettre la bonne requête, et j'obtiens une sort de pass en-dirai haché en md5... mais pour la suit je bloque un peut ...

Pas évidente cette épreuve....J'ai eu beaucoup de mal à démarrer,mais  je pense avoir pas mal avancé là, et si j'ai bien calculé mon coups, je pense en être à la dernière étape,mais celle-ci me résiste alors que je pensai pouvoir la passer sans trop de soucis.... :/..Bon, ce serait peut-être trop en dire si je détaille où j'en suis et comment j'y suis arrivé, alors si quelqu'un est d'accord pour m'aider un petit peu par PM ce serait gentil...J'en suis a la partie upload...En tout cas félicitations a Niklos pour cette épreuve,très bien faite, on avance par étapes et c'est très intéressant.... =)

Bon, je remonte le sujet mais la je trouve rien ...
J'ai passé le problème du "C'est la bo... mais....", mais maintenant que je suis ce que je doit être (jpeux pas le dire sans spoiler), et malgré tout mes droits, je ne sais que faire pour executer cette malheureuse fonction valider() ...
Un peu d'aide ? (hésitez pas a MP si çà en dit trop ...)

Merci ~

Il y a plusieurs vulnérabilités à exploiter dans cette épreuve.
On va dire que tu en as fait une bonne moitié si mes souvenirs sont bons.

J'ai une petite question sur cette épreuve : on a tout ce qu'il faut sous la main ou bien faut il deviner certaines infos ?

Edit : C'est dingue, une semaine que je fouille partout et il suffit que je poste pour que dans les 10 minutes je trouve ma réponse... C'est bon !

Salut! =)

Combien de temps cela vous a-t-il pris de brute-forcer le mot de passe ?
Parce que moi cela fait fait un petit bout de temps que Cain tourne...

Tout va bien ! Vive les sites de décryptage en ligne....

roh !! Je n'arrive pas à uploader le fichier php ! Si j'ai bien compris l'énoncé, peut être que ma technique d'upload est correcte mais que c'est le contenu de mon fichier php qui pose problème... Je me trompe ?

Qui a dit qu'il fallait uploader un fichier php ?

OK, après tous mes essais j'ai fini par m'en douter ! =)
Je vais explorer une autre piste, j'ai peut-être cherché trop compliqué....

Bon, j'ai reçu quelques demandes d'aide par MP pour cette épreuve, et on en a aussi parlé dans la shoutbox.
Je vais donc y répondre ici pour que ça profite à tout le monde :

• Il y a deux failles dans cette épreuve, chacune d'elle étant tout à fait classique.
• Pas de guessing ! Si vous pensez qu'il faut deviner quelque chose c'est que vous ne voyez pas tout.
• Pour la seconde partie voici une piste de réflexion : que vous permet le site ? Et maintenant que vous avez la réponse, que vous apporte de nouveau la zone que vous venez de découvrir ? Et pour finir, comment mêler les deux réponses à ces questions pour parvenir à nos fins ?

Voila, j'espère que ça permettra à ceux qui planchent dessus d'avancer.
++
NiklosKoda

Je crois qu'il y a un souci avec l'épreuve, je reçois des 403 Forbidden quand je consulte mon image dans la partie admin (le chargement est plutôt lent d'ailleurs :x), et ça me le fait aussi sur la page d'acceuil, puis ça revient à la normale au bout de quelques minutes.
Je ne peux plus supprimer l'image que j'ai uploadé  :shock:

Je commence à sérieusement bloquer les gens. Vu les filtres mis en place, impossible effectivement de faire du guessing efficace. Je pense que je dois donc choper d'autres informations susceptibles de me mettre sur la voie ;). Seul souci, je ne sais pas où les trouver...est ce que cette recherche là passe par du guessing ? A part ça je vois mal comment déterminer la table avec précision.

Merci par avance.

Edit : Une des variantes des lois de Murphy : "Si tu poses une question sur le forum d'aide, tu trouveras ta réponse dans les dix minutes suivant le post'".

Merci quand même =p.

Re-Edit : Par contre, impossible d'uploader le moindre fichier (même valide =/). Problème avec move_uploaded_file, je pense plutôt à un souci du style disque dur full (vu l'erreur renvoyée, je vous laisse voir par vous-mêmes). J'attendrai le fix pour la valider =p.

Un émule d'hisoka69? ;) Une autre qu33ch3?
Je sais, je sais... Je trolle et je sors -->[]

Un souci qui se généralisait à plusieurs épreuves (place sur le disque), fixé par S0410N3, merci à lui. Validée. Superbe épreuve. Je suis tombé sur l'id 666 à la fin pour ceux qui voient de quoi je parle =D. Oui, j'ai nettoyé après mon passage ;).

Bonjour,

Excusez-moi d'abord de déterrer ce topic. J'ai passé la première partie et donc j'en suis à trouver la seconde faille. J'ai bien trouvé un petit truc en faisant des manipulations, mais ça s'arrête là, chaque fois on me dit "fonction désactivée" ou "action interdite". Je me doute pourquoi l'action est interdite mais je ne sais pas trop vers où m'orienter pour pouvoir arriver à mes fins et j'aimerais bien qu'on me guide un petit peu.
N'hésitez pas à MP si vous risquez d'en dire trop ici.

Merci d'avance.

Vu les questions que je reçois en MP qui ressemblent souvent à la tienne, il semble que beaucoup bloquent au même endroit que toi tarzanlefumeur.
Ce n'est pas le but de l'épreuve, donc si jamais vous êtes dans une situation dans laquelle tous vos actes sont vains, et pour laquelle vous avez épuisé tous vos arguments, sachez que vous faites fausse route ;)

++
Niklos

Bon ça commence à faire un petit moment que je galère pour trouver le nom de la table, j'ai pas mal cherché, j'ai trouvé quelques trucs dont certains qui m'aideront je pense quand j'en serai à la 2e partie, mais comment trouver le nom de la table ?
Est-ce que, comme déjà demandé, la recherche des informations qui doivent nous guider passe elle par du guessing ?

Merci des réponses =)

 :/


Il y a quelque chose à voir de vraiment très utile pour cette première étape. Encore faut-il le trouver, j'avoue avoir bloqué un moment dessus aussi.

Salut a tous je suis un newbie mais je connais les failles les plus importantes. Je vois pas de qoi vous parler mais moi j'ai trouver le formulaire pour que els admin s'identifie esce que il faut ke je le passe ou je suis sur une movaise piste.
Merci d'avance.

Je te conseillerais de faire celles qui sont plus faciles au début. Celle-ci demande beaucoup plus d'analyse que de trouver un formulaire d'authentification. Alors, attaque-toi aux première ;)

Daccor je vais suivre tes conseil mais j'ai l'impression que les première je ne connais pas les faille en question bref , pas grave je vais les faire dans l'ordre et au pire je m'aide des topic.
Merci ++

Bonjour,

Petite problème sur l'épreuve :

Warning: move_uploaded_file()...........................

Merci :)

j'ai la même erreur que neocrow, domage je sens que je m'approchais du but.
si vous piait.... c'est quand qu'on pourra continuer l'épreuve  =D  ?

On peut :)

Je pense qu'il y a encore un problème pour l'upload d'images, Si quelqu'un peut jeter un oeil, merci  :wink:

Bonjour a tous,
Ceci est mon premier message sur le forum...
J'ai le même souci que celui expliqué dans le message #17
Je ne peux plus supprimer l'image que j'ai uploadé, je reçois des 403 Forbidden quand je consulte mon image dans la partie admin ou que j 'essaie de la supprimer...bizarre...
Quelqu'un pourrait il la supprimer pour moi ou me donner la procédure.
Merci  =)

Bonsoir a tous! Voilà, premier message, parce que ce défis me fait bien galerer!

Voilà, j'ai trouvé une faille, mais j'ai ce message (C'est ............. Mais ......)

Je pense que l'erreur n'est pas assez précise, ma requette ne demende pas à voir ce que me reproche l'erreur (désolé, mais c'est assez dur de parler sans donner d'indice)

En esperent que vous me comprenez, merci d'avance :)

Bonjour

Voilà, je suis bloqué à la deuxième partie de l'épreuve.
Malgré tous les messages sur le forum, je ne parviens pas à m'en sortir. Eux et mes essais m'ont mené à une situation de blocage complet;

J'aimerais donc juste, via mp si il le faut, un petit début de piste pour orienter mon action, vaine jusqu'à présent.
Car je ne vois pas du tout comment exécuter une fonction php si les deux méthodes que j'ai déjà testées ne fonctionnent pas (et qui sont, dans ce forum, signalés comme fausses pistes)

Merci

est ce que quelqu'un peut m'aider svp ? je suis bloquer a trouver la base

Je ne saurais trop te conseiller de te faire les dents sur les épreuves un peu plus simples qui justement te serviront à acquérir la base du hacking.

ouai mais je galere seulement sur cette epreuve car j'ai reussi d'autres epreuves de hacking !! sql *** incl** et x**
edit : supprimer post si necessaire .

C'est pas l'envie qui manque. Bref, pour répondre sur le fond, en paraphrasant colli83 :
Tu as résolu trois épreuves de hack, la plus dure valant 3 points à l'instant où j'écris (3297 validations). Cette épreuve-ci vaut 17 points (100 validations pile-poil), ce qui signifie clairement que ce n'est pas le même niveau.
De deux choses l'une : ou tu es très fort et tu fais l'impasse sur les épreuves intermédiaires. Dans ce cas, on suppose que tu pourras te débrouiller pour celle-ci sans aide. Ou tu n'as pas le niveau et comme te l'a déjà conseillé colli83, il faut passer par les autres épreuves pour monter sereinement en compétence. Il ne sert à rien de brûler les étapes.

Hello,

le disque est de nouveau plein, on ne peut plus uploader, vous pouvez jeter un oeil s'il-vous-plait ?

Merci :).

De nouveau un petit problème avec move_uploaded_file(), si quelqu'un peut y jeter un coup d'oeil ;).

Ça veut dire que t'as la bonne méthode, mais ce que tu fais n'est pas permis.

Je ne sais plus quoi faire une fois dans le panel admin... Une indication ?

Coucou.

Je poste de plus en plus souvent dans "aide".


Je viens d'essayer cette épreuve (j'ai, du moins, trouvé une faille), et en tentant quelques petits trucs (pas plus d'un essai toutes les 2 secondes, et requetes classiques), je me suis retrouvé face à une erreur 403 (forbidden).

Résultat, je retrouve cette erreur dans toutes les épreuves de hacking maintenant (comme si j'avais été mis sur liste noire), mêmes les épreuves résolues (:10080)



Erreur globale, ou associée à mon IP ?

T'as trop bourriné, la VM est sensible, il suffit d'attendre, et ça a déjà été dit 100 fois.

Effectivement, ça se débloque après un certain temps.


" Pas de guessing ", ça veut bien dire qu'il n'y a rien à "deviner" (genre noms des fichiers,tables,champs, etc). Vous confirmez ?

Oui, pas de guessing. Tu passe a coté d'un truc qui peut beaucoup t'aider.

Trouvé. (cette loi marche du tonnerre : Postez sur le Forum, et vous trouverez la solution)

Bonjour,
pour ma part, j'ai bien trouvé la première partie de l'épreuve, et pour la deuxième j'ai bien compris que mes actes ne servaient à rien.
J'aimerais savoir si la seconde partie peut se régler de la même manière que la première (sur la même page)?
Pourrais-je avoir un indice, je vois vraiment pas comment appeler cette fonction?
Y a-t'il une histoire de miniature?

Merchi

Enfin réussi !

Merci pour votre aide (ils se reconnaîtront  :wink:)

Bon courage les autres ..

Arf, je me sens si près du but, et pourtant je ne valide pas.
Je suis dans la partie 2 et j'ai essayé de déjouer la vérification pour exécuter un script php, mais sans succès.
(nom, content-type, header, etc...)
Je me tourne maintenant vers la page "un peu moins grande" si vous voyez ce que je veux dire...
Suis-je en train de faire fausse route ?
Ou alors j'y étais mais comme c'est une simulation je n'ai pas complètement satisfait la regex de validation ?
C'est frustrant x_x'

Rien n'es laissé au hasard, tu dois utiliser la fonction principale du site pour arriver à tes fins .. ;)

La fonction principale du site me parait claire mais je me trompe peut-être...
En plus du coup il faut combiner la partie visiteur et la partie Admin, ce qui semble correspondre à ce qui a été dit sur ce topic.
J'ai aussi cherché des vulnérabilités sur une fonction "resize" dans la doc, mais là encore rien de bien concluant à part deux-trois bidouilles pour faire une boucle infinie via cette même fonction.
J'espère ne pas en avoir trop dit.
Malheureusement je cherche toujours...

J'étais content car j'avais trouvé assez rapidement la première partie et pensais avoir une bonne idée de comment exploiter la seconde partie. Mais quenini !!
J'ai testé différentes failles qui me paraissaient évidentes pour cette épreuve, mais aucune d'elle ne fonctionne  :(

Pourrais-je exposer mes idées à quelqu'un par MP pour voir si j'ai pas loupé quelque chose ? Je pensais tenir une bonne piste ce soir mais il me manque une autre faille bien connu pour l'exploiter  :rolleyes:

Merci !

Tu peux me MP si nécessaire.

Salut =D


J'ai un peu le même problème: je suppose que je dois attendre pour que l'espace soit libéré ou cela fait partie du challenge =D ?

Oui oui je sais.... il est tôt =D

ferbos

Il va falloir attendre que je fasse de la place :)
Donc, désolé, mais l'épreuve est pas faisable jusqu'à ce soir !

Enjoy

The lsd

Sorry pour tes larmes, ça devrait être bon maintenant !
Désolé du retard.

Enjoy

The lsd

Bonjour,

J'ai réussi à accéder à l'espace admin, je cherche maintenant à utiliser la 2ème faille, que je pensais être évidemment liée à la fonction principale du site, mais impossible d'en faire quoi que ce soit... Je suis également à court d'actes et d'argument, mais ceci n'est pas la bonne piste comme on l'a déjà dit?

Quelqu'un peut il me donner une piste pour la suite?

PS: J'ai eu quelques idées que je ne peux pas approfondir ici sans en dire trop, je peux détailler par MP si vous le souhaitez, merci ! :)

Bonjour, toujours personne pour m'aider?

Bon juste pour dire que pour tous ceux qui butent sur la première étape, utiliser la variante de la loi de Murphy évoquée juste avant dans le forum fonctionne à merveille  =D. Je viens de supprimer mon post précédent puisqu'il n'avait pas grand intérêt vu que tout avait déjà été dit.

Salut,

J'ai un petit soucis sur la deuxième partie de l'épreuve ...
J'ai uploadé un png un peu batard, du coup dès que je le visualise j'obtiens une erreur 403, et je ne parviens pas à le supprimer ...

Comment faire ?

Salut,

L'action interdite de l'étape 2, c'est juste un taunt ou il faut continuer sur cette piste ?
La faille est-elle liée à la version de PHP ?

Bonjour, comme plusieurs d'entre vous j'essaye désespérément de passer un script php via le formulaire, mais après avoir réussi à uploader une image png tout à fait classique j'obtiens le message Erreur : Chaque chose en son temps, vous avez déjà posté une image. et je ne peux donc pas faire de nouvelle tentative. Est ce que je rate quelque chose ?

Hello, comme tu es bloqué de ce côté là pour le moment, cherche d'autres chemins, possibilités :)
Bon courage !

Hello tout le monde,

Je bloque depuis un moment sur la 2nd partie de ce challenge, est-ce que je pourrais MP quelqu'un pour avoir un peu d'aide (en exposant ce que j'ai déjà essayé) ?
Merci d'avance.

Si t'as pas de réponse, essaie de passer sur irc/discord :)

Enjoy

The lsd