NewbieContest

Postez ici vos messages.

Je me permets de faire de la pub pour cette épreuve qui est tout à fait géniale!
Niklos, je te félicite, c'est de loin ta meilleure épreuve!
Elle a le mérite d'être à la fois originale et non triviale, et elle met un peu finesse dans ce monde de brute qu'est le hacking.  =) Elle me rappelle un sploit que j'avais fait il y a qques temps, mais en plus fin.
A ce propos, pour les bourrins qui s'essaieraient à cette épreuve, elle est faisable en moins de 10 requêtes (je ne donne pas le nombre exact volontairement).

Bon courage à tous et encore merci à l'auteur!

Et bien, je suis tout à fait content que l'épreuve plaise autant.
Félicitations à phoenix1204 et Nms, qui l'ont validé en un temps record, et de qui j'ai eu de bons echos.

Et je reprécise, comme Nms l'a dit, qu'il n'y a pas besoin de faire chauffer la VM ;)
Sur ce, bonne chance a tous les challengers qui s'y attaquent :)

++
Niklos

Malgres mes modestes competences je m'y suis attaqué !Je te remercie pour me montrer ce qu'est un code propre ,car les miens sont horribles !Puis aussi j'ai apris des trucs ( le javascript et css pour la connexion ) , mais il y a des trucs que je ne comprend pas l'utilité :
/* censored by the lsd : désolé, ca risque d'aider un peu trop */
Bref encore merci , je vais sacrifier ma matinee a trouver ou il y a une faille , et je vais etre degouté de pas l'avoir trouvé :cool: :rolleyes:

Bonsoir.
Quel est l'adresse mail de l'administrateur?
Avons nous droit à cette information?
Merci

Oui, on y a droit, mais il va falloir la trouver par toi même ;)

++
Niklos

Bien j'aurais voulu te poser une ou deux petites questions concernant ce challenge et autre chose (un certain Nikloskoda sur Projectnews ou j'étais aussi modo) car j'ai découvert certaines choses et j'aimerais savoir simplement si je suis sur la bonne voie /* censored par the lsd : on va peut eter pas citer la liste de tes idées*/ mais je n'ai pas le droit d'utiliser les mp.
Puis je les exposer ici?

A priori, si tu pense avoir trouver des bonnes pistes(Ou fausses), je ne te conseille pas de les exposer ici...
Pourquoi ne pas lui en parler sur IRC??

en meme temps, qui dit pas de pm, dis pas beaucoup de point. Pourquoi tu ne ferais pas d'autres épreuves avant, histoire

1/ d'avoir la possibilité de pm
2/ de faire des épreuves moins complexes
3/ ne pas passer pour un guignol qui essaye tout de suite les épreuves et demande de l'aide sans comprendre

(la remarque est générale et ne s'applique pas spécialement à toi)

Enjoy

The lsd

Exacte vous avez raison (merci à The LSD pour la censure). Cependant j'ai sauté les autres pour celle-ci simplement pour son auteur (que je pensais connaitre sur un ancien forum). Ensuite le réalisme de cette épreuve m'a aussi beaucoup marqué. Je ne passe pas beaucoup de temps sur le site (bien que je sois inscrit depuis assez longtemps, je n'y ai passé que 4heures au plus et donc je n'ai pas encore eu le temps de faire les autres épreuves de hacking). Bref, dans ce cas présent ca ne dérange pas beaucoup de passer pour un guignol si je sais ce que je fait. Je ne demande pas précisément de l'aide (au sens général) mais je veux bien qu'on me dises si mon analyse est persistante.
Merci à vous, je vais comme le dit neverSummeRed essayer de le contacter sur IRC.

Sinon où sont affichés les points? Combien en faut-il pour pouvoir utiliser les messages privés?
Je ne comprends pas très bien l'utilité d'en interdire l'usage à ceux n'ayant pas un certain nombres de points. Y a-t-il une autre raison que celle de les pousser à se surpasser pour bénéficier de ce privilège? (ça fait peut être aussi partie du challenge)

1.Les points sont affichés en haut a droite de http://www.newbiecontest.org/index.php?page=challenges (http://www.newbiecontest.org/index.php?page=challenges)
Juste en dessous de ton nom.

2.Il y a peut-etre un peu de ca, même si a mon avis, sa a été fait pour empecher n'importe quel idiot d'envoyer des centaines de MP rien que pour faire chier. En instaurant une barrière de points, à l'envoi de messages, ca permet de faire un peu le menage

3.Je pense que c'est 100 points(Ou 150 j'ai oublié). Si quelqu'un aurait la gentillesse de répondre, si il sait...

Voila

La légende veut que la messagerie mythique soient aux 100 points.

Dans la réalité, j'en sais rien, je suis plus vieux qu'elle :)

Enjoy

The lsd

Salut Apophis1988,

désolé je n'ai eu le temps que de lire ton message l'autre jour, pas d'y répondre.
Donc oui, tu es sur la bonne voie, continue ainsi ;)

Pour toutes autres questions, tu peux passer sur IRC ouai.
Ou alors, maintenant que tu as 103 points, tu peux essayer de m'envoyer un MP (en espérant que ça ne descende pas trop  vite)  ^^

++
Niklos

Merci.
Il me semble que malgré plus de 100 points je n'ai toujours pas le droit d'utiliser les mp. Je vais ressayer plus tard avec 150 points.

Sinon n'y aurait-il pas un indice sur comment obtenir les mails des membres? Je sèche un peu.

Les mails des membres ? Je ne sais pas...
Le mail de l'admin ? pourquoi pas...

;)

Ils sont tellement aimable en plus !  :lol:

Modération: Très très utile ce message... Merci de ne plus recommencer.

Oui je voulais bien sur parler du mail de l'admin (mais sans vouloir être pointu). C'est le point où je sèche totalement. J'ai déjà l'aspect technique (exploit) de mon analyse en tête mais hélas je ne parviens pas à trouver de moyen d'obtenir le mail tant convoité. Mes maigres espoirs d'injection ont été balayés par tes safe() et mysql_real_escape_string() si tu vois ce que je veux dire.

PS: j'aurais bien voulu repondre à ton mp mais comme je l'ai dit je n'y arrive toujours pas même avec plus de 100 points comme me l'avait dit The_LSD (il a pu se tromper). Je vais retenter plus tard avec 150 ou 200 points.

C'est 150 actuellement. Ça avait été augmenté parce que le nombre de challenges simples avait également augmenté.

Apophis, mon dernier post voulait juste dire qu'il y a une différence entre le mail admin et le mail des membres ;)
Lorsque tu verras cette différence alors tu sauras comment le récupérer.

Merci Niklos (et à zmx, pour la cause j'oublierais ton acceuil peu chaleureux sur irc). Epreuve validée.
Ouf, je ne passerais pas pour un guignol aux yeux de certains ^^

Bravo à toi Apophis1988 ;)

Il est vrai que sur NC, les réponses données aux nouveaux, aux questions sur IRC, ou aux gens n'ayant pas réussi beaucoup d'épreuves et essayant d'en résoudre une compliquée, ne sont pas des plus chaleureuses, voire carément désagréables...

Passons outre, félicitations pour la validation, tu n'es pas du tout un guignol :)
Et j'en profite pour dire qu'il est tout a fait possible de réussir cette épreuve sans avoir un pourcentage élevé dans la catégorie hacking. Tout simplement car elle sort un peu de l'ordinaire. Ainsi, il est possible que certains trouvent l'épreuve très simple, puisqu'elle nécessite uniquement de connaitre une astuce précise.

Et pour ceux qui penseraient avoir la solution, mais qui obtiendraient des résultats incohérents : attention à la version de PHP ;)

++
Niklos

Le fait de passer pour un guignol était une remarque générale. Vu les questions que tu avais posées dans ton premier post, je me doutais bien qu'il y avait un minimum de compétences derrière.

Bravo pour la validation ;)

Enjoy

The lsd

Merci ^^.
Sinon arf j'ai toujours pas 150 points  :?.
Je reviendrais une autre fois pour faire d'autres épreuves :rolleyes:

Bonjours,
J’aimerai s'avoir si mon début de réflexion pour cette épreuve est bonne, j'ai pense que je suis sur une piste, mais c'est peut être plus simple que ça.

Alors mon idée ça serait déjà d'avoir ma carte d’identité la vrai  :|, d'allez acheter un paquet de biscuits avec son emballage, avec marqué sur la boite biscuit aux chocolats.
Arrivé a la maison de la déballée, remplacé les biscuits chocolat par des biscuits aux amandes des faits maison forcément, de refaire l'emballage  :rolleyes:
de ce faire passé pour celui que l'on est pas devant le pc, genre avec la bouteille de coca, la boite de gâteaux et les restes de pizza de la veille, afin bien sur d'obtenir une information capital qui vas nous servir par la suite, mais sans avoir encore accès aux grand sésame !
Ensuite toujours dans la même idée allez demandé le sésame en ayant cette info toujours en ce faisant partiellement passé pour une personne mais en ayant changé une donnée afin que le sésame nous soit gentiment emmené sur un plateau.

est ce que ma réflexion est bonne jusqu'à présent ou est ce que c'est moins ou plus compliqué que cela ?

merçi

Original comme demande farquaad ^^

Je ne vois pas exactement ce que tu veux dire...
Mais je te propose d'essayer, comme ça tu seras fixé ;)

Et si jamais il te reste un doute envoie moi un MP, ça sera surement plus clair :P

++
Niklos

je n'ai pas assez de point pour pouvoir posté, j'avait répondus avec plus de détaille mais je pense que mon post a été effacé 
Modération : en effet. Et celui ci a été censuré.

<hs>Whohoo je suis le 42ème inscrit  =D</hs>
On à le droit de pomper scrupuleusement les sources disponible pour le site afin de les mettres pour son site web ?  :lol:

Bien entendu, c'est toujours conseillé de pomper des sources que l'on sait faillibles  :rolleyes:
Modération : Oui, et qu'il n'oublie pas de nous laisser l'adresse de son site, bien sûr :)

bonjour bonjour ,

comme sa fait  23 jours que personne ne la validé.
Je voudrai juste savoir si l'épreuve marche toujours par ce que j'ai trouver la faille crée un exploit mais sa work pas,
alors si quelqu'un pourrai refaire tout l'épreuve pour me dire si sa marche bien (pas la validation)

bref merci d'avance  ;)

N'exagérons pas. Un mois ou plus entre deux validations n'est pas anormal sur ce type d'épreuve.
Bref, elle marche parfaitement.

Je dirais même plus...

Et on passe sur le reste...

Je crois qu'il y a un problème...

$files = Array('./requires/config.php', './requires/fonctions.php');
foreach($files AS $file)
   if(is_file($file))
      require_once($file);


sauf qu'il n'y a pas le fichier config.php dans ./requires...
Ca serait quand même 'achement plus simple si vous pouviez me l'envoyer  :lol:

Ahem... La lecture de l'énoncé est fortement conseillée avant de commencer une épreuve :

Juste pour une petite précision : plusieurs personnes ont remonté que l'épreuve ne fonctionnerait plus depuis la migration du serveur. Ce n'est absolument pas le cas, je viens de la repasser sans problème particulier (et d'ailleurs, elle a été validée par certains depuis). Ce qui est assez logique, en fait, la VM hébergeant les épreuves de hacks est strictement identique à celle qui était présente sur l'ancien serveur. Il y a évidemment une petite contrainte à respecter, mais pour qui a compris la faille, ce n'est pas insurmontable.

Petit point à noter tout de même : n'utilisez pas d'adresse e-mail chez Free pour l'inscription sur l'épreuve. Il semble que cela ne marche pas (un filtre anti-spam un peu bourrin chez Free ?). Finalement, ça marche...

Petit indice : cette épreuve n'est absolument pas simulée.

Effectivement, désolé  :/

Bon, sinon je suis rentré dans le vif du sujet...
Le code est super clean, c'est plaisant. On y découvre même de jolies fonctions (list(), trop classe  :cool: )
J'ai l'adresse mail de l'admin, mais je ne vois pas trop comment m'en servir...

Enfin, j'ai bien testé quelques trucs, i****** h****r m**l ds mdp perdu tout ça, mais rien de concluant... je bloque...

Côté injection SQL, pas moyen de shinter le general.php et autres cleaners...
La forge de cookie me semble impossible puisque je n'ai pas le salt de l'épreuve en ligne... (Et quand bien même je l'aurais, je crois pas que ça soit faisable...).
Et le XSS, ça n'a pas l'air utilisable non plus ici...

Là je commence à fouiller du côté du buffer overflow sur le htmlentities dans les versions de php < 5.2
Mais ça me parait un brin violent quand même ^^

Un petit coup de pouce?  :wink:

Bonjour, j'ai installé le forum en local, mais j'ai une erreur :
j'ai PHP 5.3.0
C'est normal ?

C'est pas une erreur, c'est une notice.

Ca ne change rien au fonctionnement de l'épreuve, soit tranquille.  ;)

Salut,
Je peux dire que ce challenge a briser le cerveau a plus de 25 personnes dont moi.
Alors, hier, j'ai lancer le défi a plus de 25 pirates américains renommé ( ou pas ), de valider ce challenge.

 /* moderated par the lsd : oups, j'ai enlevé un bout du post !*/

Ha ha ha ! Non.

T'as le droit de travailler en équipe avec quelqu'un d'autre, personne ne te l'interdira, mais demander à d'autres personnes de résoudre une épreuve pour toi, non. Donc, je modère ton message.

Enjoy

The lsd

Edit : Soit dit en passant, ils doivent pas être très doués tes "pirates renommés"

Méhéhéh, merci pour la réponse.

Sérieux, je veux bien essayer de résoudre l'épreuve.
Mais un minimum de code sensé et respectueux des normes devrait quand même être présent.

fonctions.php
ligne 36
$caractères -.- et j'en passe

Ouf, merci, j'ai eu peur que tu ne veuilles pas essayer de la résoudre...Je n'en dormais plus !  :rolleyes:

Bon, maintenant, lisons la doc (http://www.php.net/manual/en/language.variables.basics.php) :

Tiens ?! Une regex pour tester si un nom de variable est valide...

Et on obtient le très surprenant résultat : :o

Bref, le caractère accentué "è" est tout à fait autorisé dans un nom de variable en PHP...
De plus, que crois-tu ? Que chaque auteur d'une épreuve va se plier aux conventions de code de chaque challenger ?

Si l'épreuve ne te plais pas alors ne la fais pas. Point. Mais inutile de venir pleurer sur le forum pour une broutille (qui manifestement n'a pas gêné la 40^aine de challengers qui a validé cette épreuve ces dernières années) parce que tout le monde s'en tape.

Surtout que nombre de challengers ont complimenté NiklosKoda sur la clarté, propreté et lisibilité de son code




Donc ... ton comm' n'est pas pertinent concernant cette épreuve ...

EDIT :
Vrai _0_
J'édite

Un peu de calme, il n'est pas nécessaire d'insulter les gens, la réponse de Nikloskoda se suffit à elle-même. Merci.

C'est vrai que Niklos il code propre, alors venez pas le l4m3r :D

Sisi HUM.

Euh là je suis parti sur /* modéré : on ne donne pas sa démarche ! */
10 min que ça tourne et j'en suis à 1,27%.  :lol:
Sûr qu'il n'y a vraiment pas besoin de faire chauffer la VM? Je suis encore parti à l'ouest?

Edit : trouvé. :D

---

C'est une SQLi ?

Peut-être.

Bonjour,
l'epreuve datant de 2008, si on fait tourner ca en local avec une version a jour de php & mysql on aura le meme résultat ? (principalement pour les cast auto, pour les fonctions de type intval,isnumeric...)
ou en tout cas, est-ce que les modification ne nous empeche pas de reussir l'exploit en local ?

sinon, pouvez vous confirmer la version a envisager pour nos tests en local ?

merci

Alors là, pour le coup, je suis vraiment pas sur :/

Il faudrait valider ça avec quelqu'un qui l'a réussi, quand même :)

Enjoy

The lsd

Je l'ai faite il n'y a pas très longtemps, et de mémoire je n'ai pas eu de soucis avec ma version locale et la version en ligne.

Pareil mais cela peut se faire que la version joue un rôle, d'après ce que j'ai lu.

ferbos

Je pense avoir réussi ce challenge : tout fonctionne en local, une bonne partie fonctionne sur le serveur live, sauf la toute fin. Pourtant j'ai pu confirmer avec quelqu'un qui a validé que ma méthode était correcte : je me demande donc s'il n'y a pas un souci sur le serveur ?

Qui puis-je contacter via PM pour un petit coup de main svp ? Merci !

Bon ben ça remarche, j'ai pu valider.
Merci !

Pour info, épreuve validée en local sur du PHP 5.4.45-0+deb7u8 (de chez Debian Wheezy), et pour la partie cœur ça passe aussi sur du 7.0.19-1 (de chez Debian Stretch).

Bonjour,
Je viens de m'attaquer à l'épreuve avec un php 5.6 (celui qui est dans les choix par défaut du wamp version actuel).
Il y a deux trois changement que j'ai effectué pour que ça marche.
Ligne 28 du fichier inscription.page.php
Ajouter la valeur DEFAULT au lieu du '' pour l'auto incrémentation de l'id.
Ce qui donne:
Ligne 17 du fichier général.php pour ne plus afficher l'erreur sur le mysql_connect j'ai rajouté un @...
Mais surtout, page fonction.php, je ne vois pas ou est déclaré l'index login dans $data['login']. Ce qui engendre une erreur lors de la fonction info_connexion($userinfos) qui appelle l'index login.
Je fais surement une erreur, mais je ne vois pas comment ça marchait avant...
Pour modifier le moins de chose possible j'ai rajouté à la ligne 88 du fichier fonction.php
Je ne pense pas que ces modifications affectent l'épreuve.

Bonjour,
J'ai du temps en ce moment et je retourne sur l'épreuve.
Je pense avoir bien avancé en local du moins.
Mais sur le site en ligne, j'ai un problème, lorsque je demande un nouveau mot de passe, le mail arrive bien dans ma boite, mais lorsque je clique sur le lien j'ai l'erreur: "Erreur dans les données transmises."
Je ne pense pas que ce comportement soit normal, si ?
Merci

Edit: Bon, je viens de tester avec une adresse jetable du type yopmail, et ça marche...
Du coup avec les adresses en hotmail il semble avoir des problèmes.

Hu hu hu.

Oui, j'ai pas vu ce message pendant presque un an.
Non, les adresses @hotmail, @live, @msn ('fin tout ce qui vient de microsoft) ne passeront pas. Ce n'est pas inhérent au challenge mais à notre hébergeur qui a une réputation pourrie au niveau de ses IP, et microsoft ne s'emmerde pas, il jette les mails qui viennent de chez nous sans même les mettre en spam -_-

Enjoy

The lsd