NewbieContest

C'est une toute nouvelle épreuve, et comme elle est difficile, j'ouvre de moi-même le sujet d'aide! :lol:

Bon courage ;)

Je veux juste féliciter Nms pour cette superbe épreuve de hacking. Il faut vraiment la chercher pour la trouver, puis bien se documenter sur le sujet et surtout, surtout, faire chauffer son cerveau ;)
J'adore, superbe, très intéressant, enfin bref vous verrez lorsque vous l'aurez terminée.

Bon courage :D

est ce que c'est le meme principe que l'epreuve ou il fallai creer un cookies pour entrer dans l'admin ou c'est juste une feinte volontaire ???
mai le hic c'est que **No Sms** pose la meme question pour l'envoie du mail est ce que **orthographe !** comme l'epreuve hack par le mail?!
en tant normal je me serais pas poser la question pour le mail mais comme il est précisé:rien n'a ete laissé au hazard ; et puis pour l'instant jvois pas d'autre possibilité le pb c'est  que dans cette epreuve les deux failles que j'ai cité au dessus ne sont (pour moi en tout cas ) pas exploitable mais je demande au cas ou (car c'est peut etre moi qui n'ai pas su les exploiter)
en tous un peu d'aide svp!!!

Nms a oublié de préciser une chose : l'épreuve est ultra-réaliste, très fréquente sur le web, selon ses dires.
Il faut donc réfléchir à tout ce qui est envisageable sur cette épreuve, bien observer, analyser et supposer le comportement global du site.
Je pense qu'il est encore un peu tôt pour donner une véritable aide, cherchez bien, encore et encore, et vous finirez par trouver. L'épreuve venant d'être mise en ligne, il ne faut pas espérer trouver la solution le jour même, sinon celà montrerait que vous n'avez pas bien cherché ;)

Tout est possible, tout est réalisable, c'est le jeu de la vie!

<JOKE><QUESTION>Il est ou le cookie ?</QUESTION></JOKE>
désolé !

je cherche je cherche.... :shock:

à ton avis, il pourrait être où, ce cookie valide? (oui, dans la boîte à cookies, aussi... mais non, pas là :lol:)

La démarche qu'il faut adopter pour cette épreuve est la suivante :
- toujours garder en tête la but de l'épreuve
- réfléchir sur le moyen théorique d'y arriver
- trouver une faille
- l'exploiter

Cette épreuve est basée sur une technique de hack très largement utilisée, mais néanmoins pas directement
à la portée de tout le monde. Quand vous aurez trouvé la faille, documentez vous à fond sur celle-ci pour déjà bien la comprendre et la maitriser, et ensuite pour savoir comment l'exploiter. Il existe d'excellents tutos dessus
donc n'hésitez pas à utiliser votre ami Google ;)

Cette épreuve me donne l'envie de changer de métier et de devenir menuisier.

Voilà, ça c'est dit ! :rolleyes:

Je tiens moi aussi a feliciter Nms pour cette epreuve de hack original, sinon je rame toujours dessus :wink:
Ya pas une histoire avec une faille qui verifie pas les extensions? ou j'ai rien a voir ( je parle des images)?

Stich, non tu n'es pas sur la bonne voie non plus ;)

Tout d'abord bravo pour l'épreuve Nms!
Bon ensuite je viens poster **No Sms** je sais exactement quoi faire, g compris comment prendre en traitre la porte via l'url (J'espere que tu me suis Nms :P)
J'ai ensuite vérifié mon cookie, et j'ai xxxxxxxxxx
Mais là, ca marche pas :/ (Et jte parle pas d'url qui t'amène à la page "Bien vu! Mais xxxxxxx"
Et g essayé pas mal de possibilités (enf1 pas mal, ca reste qd meme limité lol)
Alors aides moi stp :)
Si t'as besoin de plus d'info je pourrais te PM.
Ciao

Edit : n'en dis pas trop qd même, faut pas macher le travail de ceux qui n'ont pas réussi cette épreuve ;)

L'astuce est de faire un test en envoyant un mail à toi même : tu vois alors si le lien est bon et si le comportement est celui attendu...
bon courage

je bloque un peu lol, a part faire un bete alert via xss ^^, j'arrive pas a grand chose.

Si tu arrives à faire un alerte tu es bien parti. Faut maintenant trouver comment exploiter réellement la faille.

je crois avoir une bonne idée de la deuxième partie mais pour la première il me manque comment coder un certains caractère (et son jumeau ....) y a moyen de faire la première partie sans ces deux caractères ?

Si je pense à ce que tu penses, oui on peut faire sans.
Et d'ailleurs tu n'y arriveras pas avec ;)

ok merci donc faut que je cherche encore comment "sortir de cette porte"

bon alors apparement il y a quelque chose avec xss, je suppose que c'est dans la partie contact.php, mais je vois pas trop comment l'exploiter...
Juste sans me dire comment l'exploiter, un petit indice, c'est dans le champ mail ou sujet? (ou alors je me plante totalement!!!)
sinon il y a pas un truc avec la porte au début (rapport avec la variable i)?

Merci

lsd tu es sur la bonne voie apparemment mais tu te plantes aussi sur un truc, continue à faire le tri dans ce que tu as trouvé....

Faut pas que ce soit trop facile non plus ;)

héhéhéhé!!!!
J'ai progréssé dans lépreuve, néanmoins j'ai une question!
c super con comme question mais les mials sont lu ?:/
car sinon jvois pas comment exploiter cette si jolie faille que g vu 8-):D
a+
weasel

oui oui si il est digne t'intéret ;-))

Merci NMS pour cette super épreuve

hé hé hé =D
apres un bonne nuit de galère je valide enfin :cool:

felicitation au concepteur de l'epreuve !!
Comme la 14 et 15 (les autres j'ai pas (encore ...) fait) cette epreuve change des 10 premieres de par son originalité et son realisme =)

En tous cas, c'est un joli parcours semé d'embuche =D
(sans vouloir décourager ceux qui ne l'auraient pas validé ^^)
++
Niklos

la variable i créé dans l'url permet de voir l'image si c'est le bon id. est ce que il est possible de remplacé  l'image par une autre image contenant un script caché. suis je dans la bonne voie?

non

ah au fait!
merci pour cette jolie epreuve NMS elle m'a fait bien reflechir cette epreuve! elle m'a appris aussi a bien être rigoureux et a faire attention entre les doubles et les simples quotes!
Merci encore et maintenant passons a la 14!

Malheureusement même avec tous les tutos du monde sur la faille en question je n'ai pas été capable de faire un pauvre alert ce qui est assez frustrant... Pourtant, j'ai essayé d'injecter du js autant sur la page principale avec /* censored, chuttt */ , puis j'ai essayé la même chose dans le formulaire mail de toutes les manières, à toutes les sauces, mais rien n'y fait, même pas un tout petit alert, même si je met le code js dans le bon champ...., Alors que j'ai compris la faille, mais bon apparemment celle ci est assez bien cachée, enfin voila, je cherche, mais cette épreuve me donne du fil a retordre : tant mieux, NC est fait pour cela....

Edit de the lsd : tu ne trouveras pas de réponse dans des tutos, il faut réfléchir pour trouver ...
Edit de baptiste : en effet, c'est la que tout devient intéressant et qu'on apprend vraiment !!

Je te préciserai juste une chose supplémentaire, qui pourra t'aider à réfléchir sur la marche à suivre : tout doit être utilisé.Si l'épreuve comporte des éléments dont tu ne te sers pas, cherche ce que tu pourrais bien en faire, parce qu'ils ne sont pas là pour rien ;).

Merci zours,
Donc je me suis rendu compte que ma connaissance manquait de quelque chose, je suis donc partis sur mon amis retardé mentale ( sa se dit pas un gogole ;) ).
Je suis tombé sur quelque chose d' interessant, que je ne connaissais pas, enfin pas directement.
Cela s' apparente au Cross Site mais pas scripting.. un autre type : R****** F********

J' ai bon ?
Je sais pas si ca en dis trop, quelqu' un sous acide va peut-être me censuré sniff ^^
Donc voala mes petites recherche.

Je pense que tu dérives. Le type de faille à utiliser, et en partie la méthode, même, sont déjà expliqués sur d'autres pages de ce topic. Il suffit de lire.

Il faut faire du "social engineering" avec l'email?

Si seulement c'était ça. Mais bon vu le topic et les informations fournies c'est pas ça :lol: Enfin bon je vais continuer à chercher...c'est le meilleur moyen que j'ai de trouver.
Bons challenges à tous.

Bonjour, j'arrive meme pas a exploiter la faille X** dans les formulaires du mail ni dans l'url.
C'est de ma faut ou bien ... ?

Quand un truc marche pas sur NC c'est soit que tu fais fausse route, soit que c'est ta faute ! En lisant ce topic, tu pourras surement déduire la réponse seule !
Sinon moi ce qui m'a bloqué dans cette épreuve, c'est que je n'imaginais pas qu'elle soit si réaliste, comme cela a déjà été dit ...
Have a good time !

un peu d'aide svp /!\

j'arrive a faire des alertes,des locations etc..mais là j'essaye de faire une redirection vers **********?c='+document.cookie)"> mais le fais tout foirer!
Je suis sur la bonne voie mais faut une autre methode ou je suis H.S:|?

Je comprends pas à quoi il sert ton '

Tu travaille bien dans index.php?

Si oui, regarde bien le source de la page généré ça devrait t'aider.

Ceci dit, moi je rame toujours dessus...

Je pense qu'il faut la jouer plus réaliste que ça (comme ils disent ;) )

J'ai une petite question, j'espère pas trop méchante:
Est-ce que l'on a besoin d'un script extérieur pour récupérer nos biscuits,
ou les pages fournies avec l'épreuve suffisent-elles ?

Bons challenges
Moft *qui a le cerveau fondu*

J'ai une petite réponse que j'espère pas trop méchante :wink:

Oui normalement on a besoin d'un script extérieur pour récupérer les miam-miam

Sauf qu'ici on est dans une simulation de faille. Donc le script extérieur est pas vraiment nécessaire.

Avec ça si tu trouves pas...

Il y a un site (que Zours a deja mentionne dans un autre topic ou sur la shoutbox) qui reference pas mal d'exploits en tout genre. Disons que ce site propose des petits plus qui sont assez explicites et m'ont beaucoup aide pour executer la faille... a vous de trouver :D

PS : c'est une epreuve simulee, gardez le a l'esprit ;)

Une faille sur l'image je ne la voie pas(zours stp tes lunette? =) )
Je sais utiliser du javascript en local mais sur le serveur de nc ,ils doivent filtrer ce qui est logique.

Arf tu part dans la mauvaise direction. Comme on l'a deja dit, fais les choses par etapes :
- quelle est le type de la faille
- chercher la documentation
- comment l'exploiter
- appliquer limite betement (j'ai dit limite =D)

T'en dir plus serais donner la reponse mais faut pas chercher midi a 14h

petite question: le formulaire contact.php est-il censé faire ce pour quoi il semble être prévu ? en gros, est ce qu'on est censé recevoir un mail en l'utilisant normalement ?

meric d'avance pour vos réponses

Non, c'est l'admin qui est censé recevoir le mail.

pour ceux qui trouve les cookies mais avec rien à l'interieur, je vous conseille de re-tester.
c'etait mon cas, et en re-testant ca marche =D

Bonjour,
J'ai trouvé la faille sur l'image et elle me permet d'afficher mes cookies changer l'image, la page et tout :) ca. Mais je ne vois pas le rapport avec le mail (meme envoyé en get...) et je ne voit pas non plus comment récupere les cookies avec cette faille... :cry: mais comme rien n'est laissé au hasard, cette faille doit avoir un rapport avec la récupération des cookies :? . Apparament on récupère les cookies avec lle formu d'envoi de mail, et je pense qu'il faut utiliser la faille de l'index... Mais je ne voit pas le rapport, vous pouvez m'aider (un petit indice ). Svp :rolleyes:

EDIT : Je croit avoir trouvé un rapport, mais je pense que c'est un peut trop facile et impossible car les mails ne sont pas lus... J'ai toujours besoin d'un petit indice svp

EDIT : Toujours Personne ?

Il n y a pas qu'une seul façon d'insérer du java-script dans une page...
look Google...
http://ha.ckers.org/xss.html

Merci pour la reponse je crois que sa va bien m'aider.
domage que c'est en angalis:rolleyes:

pas obligé d'utilité < >
Lit ça http://venom630.site.voila.fr/tutoriaux/hacking/faille_xss.html de A à Z
Puis un indice: les évènement java-scripts ?

Bonsoir, premier post ce soir ! =)

Pour valider cette epreuve doit-on attendre après envoi à l'admin du mail avec l'url bidouillée que ce dernier veuille bien le lire afin de subtiliser en douce son gateau ?
Ou l'on est directement rediriger sur la page "success" apres une tentative d'exploitation succeptible de marcher (comme c'est bien souvant le cas)  :?:

Faut quand meme que ton code marche... Genre simuler avec un site bidon ne marcheras pas.

En gros à partir de la 10-11ème épreuve il ne faut quasiment plus s'occuper de l'émulation et faire comme si c'était une situation réelle. Je suis peut-être mal placé pour affirmer ça car j'ai réussi qu'une petite moitié des épreuves de hack cependant c'est ce que j'ai pu remarquer pour les 3-4 dernières épreuves que j'ai réussi et celà semble se confirmer sur les suivantes d'après les commentaires sur les forums!
Bonne chance :)

Bonjour c'est mon premier post sur ce forum ^^
Bon alors le truc c'est que j'ai parfaitement compris la méthode , mes alert / location marchent
J'ai eu le Bien vu pour l'alert , mais impossible de résoudre
J'espère que je ne dévoile pas trop de truc important si c'est le cas supprimer le post

Merci d'avance pour l'aide éventuelle que vous me fournirez

Si tu veux, tu n'es pas admin. En te servant des c***i*s, demande à quelqu'un qui est admin d'aller sur ta page.
Deux indices :

- Toutes les pages du faux sites sont utiles
- tu dois coder une page à part

Merci pour l'indice j'ai enfin trouvé , c'est vrai que c'est très très réaliste bravo au concepteur ^^

Heu... c'est normal qu'on ne puisse pas mettre de + dans l'url de la page index.php ?

Salut,

J'essaie de comprendre pourquoi je n'arrive pas à valider ma solution.
Est-ce que vous utilisez l'API StringFromCharCode ?

Merci d'avance pour votre aide .

BigBen

Pas besoin, va au plus simple.

(Inutile de sortir le bazooka pour tuer une mouche si j'ai bien compris ce que tu demandes)

@ herbivor: pense à un encodage particulier pour ton +  :wink:

Ok j'ai trouvé  =D Merci Elexthor :)

Bonjour, je débarque sur cette épreuve, j'arrive sur une page d'envoi de mail.

Je me dit là c'est clair c'est une faille *censured* (sur ça je suis quasi certain pour une fois  :P ).


J'essaye donc deja de trouver un moyen de faire un alert mais j'ai plusieurs questions à poser.

Est ce que l'on doit envoyer un mail à Nms avec le code qu'il faut pour la résoudre (bah oui, c'est de la simulation faut pas oublier ^^) et que lui valide en renvoyant le pass, ou bien ce dernier s'affiche t'il carrément directement quand le code entré est correct ?

Le système pour récupérer le/la *censured*, ça je pense déjà le deviné (et les posts précédents ont l'air de le confirmer), il me faut juste trouver comment exécuter ce code, ça je suppose qu'il faut tenter de bypasser quelque chose (et apparemment: rien n'a été laissé au hasard  :P ).

Merci d'avance pour vos réponses et si j'en dis trop, comme d'hab => Censuré moi.  :wink:

Bonjour a tous

Mon premier post sur le forum, pour demander quelque chose (logique dans un sens).

J'imagine que la propriété d'un site personnel gérant le php est obligatoire? Néanmoins, aprés avoir passé un certain temps à en chercher un, je n'arrive pas a mettre la main sur un hébergeur gratuit gérant le php, peut-être que je cherche mal, si vous pouviez m'en indiquer un...

De plus, il faut, j'imagine encore, coder une page qui fonctionne? Donc sans connaissance du php, pas de validation?

Merci de votre réponse

<Va chercher des cours de PhP>

Il y'a Free qui est très bien. Je ne sais plus exactement comme ça marche pour s'inscrire mais rien de bien compliqué si je suis arrivé  :P ! Il n'y a pas de pubs tu as une bonne capacité de mémoire il est vraiment très pratique. Je crois que j'avais trouvé une liste d'hébergeur sur le Site du Zéro à toi de chercher par là.


Si tu n'as pas de connaissance en PHP je te conseil de te documenter sur ce point avant de commencer les épreuves de Hacking. Le PHP c'est la leçon, le Hacking n'est rien d'autre que l'application.


Une des références : http://www.siteduzero.com/tutoriel-3-14668-un-site-dynamique-avec-php.html

 =D
Merci beaucoup de toutes tes réponses, je fonce apprendre le php alors ^^

Bone week-end à tous

EDIT : Je dois être aveugle, mais je ne trouve rien pour m'inscrire sur le site de free, il faut avoir une ligne free obligatoirement?

http://subscribe.free.fr/accesgratuit/index.html
Pour plus d'informations, merci d'ouvrir un nouveau fil ailleurs. La discussion en cours n'a plus rien à voir avec le sujet d'origine du présent fil. Merci.

Hum j'ai la théorie pour réaliser cette épreuve, c'est possible d'avoir des infos sur le navigateur web de l'admin ou je vais devoir tous les tester XD ?
à moins que je ne fasse fausse route T_T,bon je retourne à mes essais.

PS : si c'est que ce que je pense, c'est une superbe épreuve.

Tous les mails sont lus en une seconde et l'administrateur est tellement bête qu'il clique sur tous les liens qui dirigent vers son site.
Si tu veux du miam miam faut payer ! Ou pas si ton hébergeur est gratuit  =D


Je ne sais pas à quoi tu penses, et je n'ai pas eu besoin d'information sur le navigateur de l'administrateur. (enfin, je ne sais pas ce que tu veux dire) Si ça peut t'éclairer l'administrateur n'a pas d'anti pop up et le javascript est activé sur son navigateur...

Oui en fait c'est ça qui me bloque, aucun moyen de savoir si le bot à suivi mon lien? le mail qu'on lui envoie est t'il en html? peut on inclure du javascript(pour l'intant je teste ça fonctionne pas; pas dans le mail) parce que j'ai fait le "filet", et le" pousseur  vers le filet" pour reprendre sniperdecs ; mais je n'arrive pas à faire fonctionner mon pousseur de filet  car l'inclure dans une certaine balise requiert de le mettre entre double quote, et ça tues les double quote déjà présent...il aurait fallut qu'on invente  des triples quotes.

Les mails qu'ils reçoit ne sont probablement pas HTML.
Tu dois lui envoyer un filet mais attention l'administrateur n'accepte de cliquer que sur les liens menant vers son site...   :P

Je tenais vraiment à remercier Nms pour cette superbe épreuve,
qui m'a donné pas mal de fil à retordre :lol:

Bon courage à ceux qui essaient de la valider, accrochez-vous :)

Yo bon je n'ai pas l'habitude de demander de l'aide mais pour cette épreuve, un détail m'empêche de terminer.

J'ai compris le principe et je distingue les différentes étapes.

Mais la ou je bloque, c'est sur la page index et la fameuse "alert" :)

J'arrive à produire une "alert" mais en ajoutant le code directement dans la source...

/* censored par the lsd : justement tout le problème est là ! Essayes de fermer la porte */

Doit on changer la variable ?? y a t'il un moyen de casser le cycle de renommage ??


Merci d'avance


Ps : J'ai lu et relu les précédent commentaire mais je n'y trouve pas réponse à mes questions.

Salut,
Voila les question à te poser:
-Qu'est-ce que je peux modifier?
-Qu'est-ce que ce changement implique?
-Comment l'exploiter.

Réfléchis bien et tout deviendra clair.

Tout est peut être clair, mais bien que plusieurs méthodes marchent en local (donc pour réceptionner des données (sur un serveur) également j'entends), notre ami le robot semble ne pas vouloir cliquer sur le jolie lien que je lui donne :(

Il faut le formater d'une certaine manière ce brave lien ?

EDIT : D'accord ... L'épreuve est réelle mais pas jusqu'au bout en fait ... du coup on cherche comme des boulets pour rien à la fin :D

En tout cas pas mal du tout comme épreuve (même si ça fait une heure que je tourne mon lien dans tous les sens pour rien :( )

salut

c'est mon premier message :) et j'ai une petite question la page que je doit codé est ce que je doit l'héberger ou je peux travailler en local ?

je vous remercie ...

tu peut traiter ca en local si tu as penser a tout

Bravo Nms, très belle épreuve, très réaliste !

Merci beaucoup =).

Bonjour a tous, et encore félicitation pour ce challenge qui me fait bien progresser!

Voila je ne suis pas loin du but mais j'ai un petit souci concernant le gateau que l'admin devait m'envoyer pour mon anniversaire:
-la faille est trouvée en local et via l'url;
-mon petit coucou a l'admin fonctionne bien et il répond a l'invitation pour ma boom mais quand je regarde dans le cadeau qu'il m'envoie , y a pas de gateau... :cry:.....

Quand je fais la manip en local: j'ai un gateau.(surement le cache du navigateur..), mon script d'invitation fonctionne.
quand je passe par  l'invitation envoyée a l'admin, y a plus de gateau..

j'ai vérifié la manip avec un plugin Firefox d'altération et aucun gateau ne circule...

je ne vois pas où est mon erreur.

Merci d'avance pour une piste de réflexion.

Tu regardes avec firefox si l'admin t'a envoyé un gâteau ???
Si c'est ça que tu fais, c'est qu'il y a deux choses que tu n'as pas compris

Non j'utilise un plugin firefox pour altérer des données ou voir ce qui passe dans les requêtes. En l'occurence tant que j'ai pas mon gateau j'en ai pas encore besoin. je vois tres bien le déroulement du challenge sauf que qd je fais la manip en local je récupère ma liste de gateau, et avec l'invitation pour l'admin, je récupère son invitation dans un fichier mais  y a pas de gateau, y a une modification sur le fichier suite a l'envoie du link mais pas l'information la plus importante.

 je veux pas donner trop d'indices mais dès que tu as le dit gâteau,
tu en crée un nouveau et hop c'est validé

J'ai beaucoup appris sur cette fameuse faille,j'ai su creer un serveur en local via un serveur lamp (je me suis mis sous ubuntu),j'ai bien saisi les techniques de script de recuperation du cookie.
Mon probleme actuellement c'est l'identification de la faille sur l' index.php.
Clairement si je prend la source et que je la modifie en local pour afficher mon message, je n'ai pas de souci.Mais on est sencé travaillé sur le serveur "victime" , serveur ou la source n'est pas modifiable :/
Je sais vraiment plus quoi faire pour la résolution de ce challenge.Un autre petit indice serait vraiment le bien venu.
Dans l'attente d'une réponse, merci.

J'ai pas lu les 12 pages, mais bon quand même quoi... douze pages !
Douze pages quoi !! imho y a assez d'indices pour cette épreuve hein.

Et encore, j'ai surement nettoyé le  topic une paire de fois !

Enjoy

The lsd

Bonjour,

J'ai besoin d'un peu d'aide. C'est plus un souci de codage js.

Mon url modifiiée pour l'image est /*moderated par the lsd : euhhhh chut */

Bien entendu mon script récupère le gateau. Le hic c'est qu'il récupère '+document.cookie (en valeur texte) au lieu du contenu de la variable.
Et là je sèche un peu là.

Merci de ma censuré si c'est trop explicite.

Merci

Oui, c'est beaucoup trop explicite, j'ai modéré. Tu devrais essayé de changer les quotes (simples ou doubles). J'ai pas regardé en détails, mais ca peut venir de la.

Enjoy

The lsd

Juste une question, ça a un rapport avec une faille X.. ??

Moderer moi si je suis trop explicite !

EDIT : J'ai réussi a faire disparaitre l'image de index.php, jsuis sur la bonne voix ou ça sert a rien ? =D

Je doit continuer quoi comme ça ? : Pour la faille ? Ou pour le faire que je fasse disparaitre l'image ?

J'ai quand même un problème avec la faille présente, j'ai dl un plug in firefox qui test si le site a une faille X.. et il ne trouve rien... Je ne comprend pas pourquoi...

As-tu lu les 13 pages de ce forum d'aide? As-tu fait des recherches sur la faille en question?
Tout est là!  ;)

Bha oui j'ai fait plein de recherche, j'ai d'ailleurs trouvé plein de trucs intéressant que j'ai essayé mais rien ne fonctionne. Même le Plug de firefox trouve rien... C'est ça que je comprend pas...

Je comprend pas un truc en fait : La faille ce trouve sur contact.php ou index.php car je ne sais pas vraiment par ou commencer.
Je pense qu'il faut mettre un s****t dans contact.php puis après voler le gateau, et pour finir retourner sur index.php et mettre le coo**e. Le seul Hic, c'est que j'ai lu qu'il y avait une faille sur l'image etc... Je m y perd  :cry:

Le plug (http://fr.wikipedia.org/wiki/Plug) de firefox ?
Quel petit cochon ce panda...

Nan mais plus sérieusement, il serait possible d'arrêter toutes ces quémandes d'aide pour cette épreuve ?
Le sujet d'aide comporte 13 pages et à l'heure actuelle pas moins de 569 personnes l'ont résolue alors...
Continuez à chercher !

mdr, désolé pour le mot plug, j'avoue c'était mal placé  :cool:

Pour ce qui est de l'épreuve, les 13 pages d'aides ne répondent pas à mes questions, même si je sais que je dois chercher tout seul comme un grand en farfouillant de le site, mais quand même, le fait que le MODULE COMPLEMENTAIRE de firefox trouve rien...

EDIT : Je ne sais pas si celà pourrait m'aider mais je remarqué que des que l'on avait envoyé l'email au modo, le site faisait une redirection vers l'index, je suis sur le bonne voix ? Si vous voyez ce que je veux dire ?

Bon, pour la dernière fois : il n'y a besoin d'aucun outil pour les épreuves de hack. Les modules de firefox ou les scanners à la con, au mieux ne trouvent pas les failles, au pire floodent le serveur. Sachant que dans le deuxième cas, vous risquez de vous prendre un ban sur le béret.

Entre ce que tu as pu observé et la lecture du forum, je pense que tu as toutes les cartes en main. Maintenant, abandonne les outils, réfléchit à ce qui se passe, et ça devrait suivre sans problème.

Ok merci, jvais continuer de chercher.
Mais y a une histoire de redirection ou pas  :?:

salut

j'ai + ou - capté la faille et le moyen de l'exploiter (j'aimerais pm un modo histoire de voir si je fais fausse route)

mais j'ai un autre probléme , je n'arrive pas a afficher mes propres cookies(avec alert(document.cookie)) dans toute l'epreuve 13 alors que avec firefox je les vois bien ?

une explication ?

edit: fini a ceux qui bloquent regardez bien dans les messages d'erreur on y voit parfois des surprises  :shock:

bonjour j'ai besoin d'aide enfaite je croi que je suis sur la mauvaise voie parceque j'ai un message

"Vous devez accepter le javascript pour accéder à cette page. "

je l'est sur cette epreuve et je croi sur la hacking 15


un indice SVP


cordialement

@Matar: Ta réponse est dans ta question. Ou sinon essaye un autre navigateur

**No Sms** tout le monde j ai pu modifier lurl ( faille ***) dans l index dou j fé apartr mn msg j pe ouvrir avec une autre page j ai essayer de recupere le cookie mais c tjr vide ... bon puisque rien n'ai au hasard j esayer d'envoyer dinjecter ,donner une invit a l admin mais rien ..j pa compris quesq il faut faire dans la partie mail ... indice svp merciii **orthographe !**

Fais des phrases françaises, avec un minimum de fautes et de la ponctuation, si tu veux vraiment que quelqu'un daigne te donner de l'aide. Et encore, vue l'aide qui a déjà été donnée sur cette épreuve, ça m'étonnerait.

si j'ai réussi a changer l'image de la porte je suis dans la bonne voie ou pas

désolé je ne suis pas français c vrai il ya plusieurs points utiles dans ces 12 pages mais j pa trouvé ce qu'il fallait ..svp un indice e mercii (comm j di avnt j pe fair lalerte **No Sms** me redirectionner ..mes le mail se me blok )

Je ne pense pas qu'on apprenne le français en langage SMS donc ce n'est pas une excuse.. A la limite fais traduire par google ça sera plus lisible...

j'ai  presque le meme probleme que ko3leef . svp je veux de l aide . j'ai reussi  a decouvrir la faille X** faire de que je veux avec cette faille .. mais le mail j'ai rien pu .. j beaucoup j cherché pffff

Il s'adresse à toi aussi mG!X.

Il y a 13 pages qui donnent un paquets d'indices ; c'est nettement suffisant.

mm si  s'a été suffisant je n'aurai pa du vous demander de l'aide !!! si tu veux dire que je suis assez bete merci

Non mais vous voulez quoi, un indice, personnellement je trouve qu'il y en a déjà eu assez.
Là va falloir qu'on vous envoie la réponse en pm, sinon c'est que effectivement vous n'avez pas encore bien compris quelque chose.
Et la, c'est à vous de chercher par vous même et non pas à nous de vous donner clairement la réponse.

Mais en postant ce message il t'aidait mais tu ne l'as pas vu.
Il t'invitait à réfléchir d'avantage avant de demander de l'aide. Surtout que si tu a trouvé la faille et que tu l'as comprise, le reste ne dois pas être très compliqué. Il suffit juste de tester encore et encore et au bout d'un moment ça marche.

et oui je reflechi encoor :/ peut j la trouvrai ... merci commem  :(

Oh mon dieu ! Je peux plus la ! Ça fait trop mal ! Si tu écris encore des messages autant remplis de faute, je supprime tes posts. Tu pourrais AU MOINS passer ton texte à un correcteur orthographique (Firefox/Opéra/Chromium/Chrome en intègre un, ainsi que Word/Open Office Writer).

Enjoy

The lsd

lol modo tu es fâché?? malgré que j'ai 18 en français j aime pas écrire :p au lieu de cette rage  aidez moi svp !!!

Tiens, c'est mieux ce coup-ci au niveau de l'orthographe (la preuve que quand on veut on peut). Par contre c'est pas une manière efficace de demander, "au lieu de rager aidez-moi".
De plus, comme déjà dit (plusieurs fois) plus haut, y a assez d'aide pour cette épreuve, je ne pense pas que tu en aies besoin.
Si vraiment tu n'y arrives pas, la meilleure chose à faire est de passer à autre chose pour le moment, et d'y revenir éventuellement plus tard.

mG!X, The lsd essaye de te faire comprendre quelque chose de pourtant simple, mais au lieu de prendre ses conseils, tu préfères te rebeller. Tu as marqué que tu n'aimes pas écrire, alors n'écris pas et cesse de te plaindre au moindre petit obstacle que tu rencontres sur une épreuve.

Effectivement, belle amélioration au niveau du français. C'est aussi une question de respect envers les autres challengers qui se passeraient bien de lire des messages inutiles et surtout illisibles tellement il y a des fautes de français.
On n'est pas fâché, mais on essaie de te faire comprendre des choses pourtant simples qu'il serait bon que tu mettes en pratique pour ton propre bien pour celui des autres également. ;)

ok ok désolé ..

J'ai validé l'épreuve il y a pas longtemps et à vrais dire, l'épreuve est vraiment réaliste, bien joué.

Cette épreuve me rend fou notamment pour passer une certaine "porte". ^^"
Mais bon j'ai peur de mal m'orienter et de me casser la tête pour rien ( j'ai fait des recherches sur IMG SRC mais je n'ai rien trouvé de concluant)

Au final faire des test en local est donc obligatoire?

Les tests en local ne sont pas obligatoires voir presque inutiles.

Regarde à nouveau les pages du topic, la faille y est écrit clairement (je crois).
Après avoir trouvé de quoi il s'agissait, essaye de bidouiller ce que tu peux et regarde ce que cela te donne (au niveau du code source par exemple) puis agis en conséquence.

Bonne chance  ;)

C'est bien pour ça que je parle de "porte". Je suppose que ce mot doit t'évoquer quelque chose dans le code source  =)
La faille je l'ai compris.
J'ai déjà l'idée sur ce qu'il faut faire.

C'est juste que techniquement, cette "porte" empeche l'exploitation. Alors j'ai bien lu sur le topic qu'il existait un moyen de contourner cette "porte" et ça fait quelques jours que je le cherche en faite voilà tout... Je pense qu'une fois que j'aurais compris ( et je me doute que c'est tout bête) ça devrait être simple.

NMS est un vrai vicieux pour avoir conçu l'affichage des portes ainsi  =D

Bonjour, je crois avoir trouvé la marche à suivre mais je ne sais pas comment la mettre en marche. Pouvez vous me dire si je suis sur la bonne voie ?
En premier je vais /* modéré */
Il y a des soucis techniques, je n'arrive pas à /* modéré */

Merci, et j'espère que j'en ai pas trop dis. de toute façon vous n'aurez qu'a me censurer.

EDIT: Je crois que là sa va être plus difficile de m'aider. De toute façon si mes propos sont censuré j'en déduis que je suis sur la bonne piste. Il me reste une petite contrainte technique. Comment je fais pour récupérer les biscuits de quelqu'un, sur mon site ?

Whaaooh, j'ai avoir trouvé la faille qui va me permettre de déguster les confiseries du chef !

C'est assez magnifik'  ...

Maintenant, il faut que l'admin veuille bien ouvrir mon cadeau :D Et là, on voit bien que le traitement n'est pas réaliste à 100%.

Edit: si, c'est réaliste, c'est moi qui "emballait" mal ma surprise. Il ne fallait juste pas être trop strict :)

Félicitations à Nms pour cette épreuve très intructive. Effectivement, je veux bien croire que la faille soit très répandue sur le web.

Groupf, encore et toujours coincé pour l'envoi de ma surprise que l'admin serait gentil d'ouvrir.

Est-ce que magic_quotes_gpc est activé ou est-ce que les champs GET sont passés au addslashes() ??
Est-ce que l'admin reçoit tout au format HTML ? Ce serait mieux pour pouvoir lui envoyer un petit lien <a href="">

Merci d'avance pour vos éclairements ;)

Edit: C'est bon, j'ai réfléchi un peu, du coup je peux me répondre:

L'admin reçoit bien les liens <a href= >

Bonsoir,

Je suis perdu... J'ai compris la failles, j'ai réussi à trafiquer l'url et lorsque que l'on charge la page en question elle arrive à voler mon gâteau et me le stocker sur mon serveur.

Et sa marche réellement !

Maintenant je pensais que l'admin cliquait automatiquement sur les liens menant à sont site... Donc je devrais avoir ces gâteaux et pourtant rien...

Merci de m'éclairer  :cry: 

10 jours que je bloque sur cette épreuve, 10 jours.

J'arrive à afficher une alert grâce à la faille X.. , mais voila c'est sur la page du formulaire.

Et j'arrive pas à récupéré le gâteau , j'ai beau essayé d'envoyer la p'tite ligne pour que le bot clique dessus afin de récupérer son gâteau sur mon serveur, eh bien sa marche pas.

J'ai essayer la dose de truc, rien ne marche, enfin rien de concluant.

Merci de m'éclairer , je sèche...

Si c'est bien ce dont à quoi je pense, il doit vous manquer un petit truc pour que tout fonctionne, faites des tests, vous verrez !

Enjoy

The lsd

Je pense avoir compris les différentes étapes pour récupérer le fameux gâteau de l'admin.
Cependant je n'arrive pas à exécuter une alert sur la page contenant une faille permettant cette récupération. J'ai pourtant effectuer pas mal de recherches, tester plusieurs combinaisons mais toujours rien.
Pourriez-vous m'orienter sur la bonne façon d'exécuter une alert sur cette page en particuler, ou des sites qui pourrait me fournir une réel aide sur la façon d'exécuter cette alert.

Première chose, est-ce que tu connais la faille ? Si oui, je te conseille de chercher de ce côté, sinon ben il faut continuer à explorer et tester la ou les failles potentielles qu'il pourrait y avoir. Lit les différentes pages de ce forum et tu sauras rapidement de quoi il s'agit ;).

Oui je pense avoir identifié la faille, c'est une faille X** si je ne me trompe pas. Je pense avoir trouver la page où elle se trouve, c'est sur la p****. Mais c'est vraiment au niveau de l'exploitation de cette faille. Je n'arrive pas à faire même une simple alert. Y' a-t-il un codage particulier à effectuer ? Ou je fais vraiment fausse route ? Si vous connaissez un site où il est expliqué les différentes manières d'exploiter une faille de ce genre je suis prenneur, je pense qu'il y a un codage particulier mais je ne trouve pas lequel Oo. Pourtant j'ai déjà testé pas mal de méthodes avec le src, iframe etc...

Salut :D ,

Je suis sur cette épreuve depuis assez longtemps est je ne trouve pas grand chose ...

Il y a une faille *** sur la page *****.php j'essaye de la traficoter j'arrive à changer l'image mais pas à faire d'alert même en cryptant l'alert ... Je suis sur la bonne voie ?

Et une autre faille sur l'envoie de mail est la je ne trouve rien  :shock: . Enfin si la faille *** mais je ne voie pas du tous comment l'appliquer via le formulaire ><.

J'espère ne pas être trop précis en donnant une réponse par exemple :rolleyes: .

J'ai enfin réussi à faire une alert sur la page avec le changement d'image. Je te conseille donc de bien regarder la source et son comportement lorsque tu essayes de faire une alert.

Merci mais c'est bon j'ai réussis il y a 3 jours à faire une alerte :D. Et oui la source toujours la source ... ^^

Mais maintenant je ne sais pas trop quoi faire avec l'alerte :'( .

Bonjour,
Bon voila J'ai Pu Faire une Alert et tout,Mais Lorsque J'envoie l'émail,Je Reçoit un cookie de 66.249.66.15,mais sa marche pas
alors svp quelqu'un peut m'aider
a+

Bonjour,
cela fait 3 mois que je planche sur cette épreuve  :lol: (on ne se moque pas  :oops:)
j'ai réussi a me trouvé un hebergeur et a pouvoir lui envoyé mes fichiers (enfin!!! XD)
donc maintenant j'ai tout les outils pour réussir l'épreuve  :twisted:
/* moderated par the lsd : chuuuut, tu en dis beaucoup trop, je suis obligé de modérer. */

Trop tard The lsd, j'ai tout vu  :cool:

je me suis embeté a tout formulé sa comme un chef pour rien sniff  =( et du coup vous pourrez pas éclairé ma lanterne lsd et ymvunjq vu que vous etes les seul a avoir vu mon post lol ?

Effectivement, c'était bien présenté, mais tu en disais trop quand même :)
Tu peux m'envoyer un pm, mais je ne répondrais pas avant plusieurs jours, j'ai un peu de taff en ce moment.

Enjoy

The lsd

merci beaucoup mais je ne peut pas t'envoyer de pm  :( j'ai lu qu'il me fallai 100 points minimum et je n'en suis qu'a 66 (sa avance sa avance  =D)
je trouve sa dommage  :/
ps: je tai permit de gagné un tout petit peu ta vie (ou pas) ^^

J'ai aussi lu le post, c'est vrai que t'en disais beaucoup trop, cependant t'es pas si mal parti que ça, t'as juste plus qu'à comprendre à quoi sert 'ce qui doit bien servir à quelque chose' dont t'as pas encore trouvé l'utilité, faire des tests pour voir comment le tout se comporte, et tu devrais en venir à bout. Je répondrai pas à ta question parce que honnêtement déjà je me souviens plus bien de ta question, mais en plus si c'est ce que je pense présentement suffit de quelques essais pour trouver, si le reste est bon.
Bonne chance

merci beaucoup  =D en me recreusant les méninge j'ai compris pourquoi je n'arrivait pas a faire s'exécuter le script en java :idea:
mais je n'y arrive toujours pas  =(
pourtant j'y suis arrivé sur beaucoup beaucoup de site notamment /* moderated par the lsd : tu fais ce que tu veux, tu es assez grand pour savoir ce qui est légal ou pas, mais pas de lien ici */ (pour ne pas citer XD) il été fier le gas  :cool:
(d'ailleurs il faudrait peut être les prévenir lol)

j'ai mit d'autre caractère que ceux que l'on voit partout pour les failles *** car certains sont réecri en h***
mais la je voit vraiment pas comment  formuler rien qu'une bette alerte et j'ai vraiment essayé beaucoup de codes différent
j'ai juste remarqué que certain script que j'ai inséré sur l'épreuve permetté de bien les retranscrire dans le code source en ne les intégrant pas dans la p****.j**
et les caractère deviennes rouge, mais cela ne s'éxecutte toujours pas
et je sens que je vais partir en dépression  :evil: j'ai du exécutée plus de 2000 script mais sans aucun résultat  :shock:

tu ne pourrai pas m'envoyé un mp pour discuter et m'aider a avancé le schmilblik car j'ai réellement compris cette faille et son utilité et j'aimerai vraiment passer a la suite de cette épreuve   =D

mon probleme c'est juste une question de forme et pas de compréhension

merci d'avance  =)

Contrairement à ce qui a été dit avant, il n'est absolument pas nécessaire de posséder un hébergement web quelconque.
En effet, le script php derrière le challenge n'établit aucune connexion vers l'extérieur (ce serait d'ailleurs une grosse vulnérabilité si c'était le cas), il se contente de "faire comme si", et si le payload envoyé est correct, ce qui doit arriver arrive...

En ce qui me concerne, j'ai émulé le serveur externe avec un truc du genre www.example.com (RFC 2606)

Ah bon et pourquoi ? Si la faille est simulée il n'y a aucun problème comme pour toutes les épreuves de hacking.

Tout simplement parce qu'il serait alors possible d'envoyer quasiment n'importe quelle requête (y compris des requêtes malveillantes) vers n'importe quel site. Et dans les logs du serveur "victime", il y'aurait l'IP de NC. Ce serait un peu ballot, non ?

 J'imagine que les auteurs de l'épreuve auraient mis en place une sécurité parant ce genre de choses ça ne doit pas être bien compliqué, une simple regex peux résoudre ce problème.

salut ! bon si deja je tombe sur la jolie collection de portes je suis sur la bonne voie ??  :lol:

Première fois que j' ai autant de mal avec une épreuve ou j' ai pourtant tous les éléments...

Je sais quelle  est la faille et comment l' exploiter.

J' ai réussi a lancer ce que je voulais en ouvrant la porte .

Il me semble que mon seul problème est dut au fait que le bot ne veut pas de mon fichu lien que je lui envoi ...
pourtant je me suis envoyé un e-mail , et j arrive a faire ce que je veux .

Je tourne en rond   :shock:

Salut,

On a bien vu que ça marchait du tonnerre ! mais même pour avoir un joli lien prêt-à-cliquer, le forum est pas fait pour ça donc la prochaine fois trouve un autre moyen please.

Relis bien le topic, je suis sûr que plusieurs posts parlent de ce à quoi il faut faire attention pour que ça marche. Garde à l'esprit qu'il s'agit d'une faille simulée (comme "l'injec SQL") donc ce qui marche chez toi ne marche pas forcément ici. Mais sois rigoureux, et tu devrais trouver.

Non on ne t'enverra pas le pass !

Apparemment tu ne lit même pas les phrases que tu quote. La faille est simulée donc pas de bot et il n'y a pas une infinité de bonnes réponses (pour peu que le maching soit un peu restrictif).
A propos de phpbb et html je ne comprends pas la question Oo.

L'un n'empêche pas l'autre! Enfin bon si c'est comme le SQl ou j'ai mis 3 h a chercher la réponse alors qu'il avait juste un espace de moins.... ça ne m'intéresse pas , j'ai autre chose a apprendre ! surtout que là , ya plusieurs évènement , plusieurs espace et autre facteur(mettre des guillemet  ou des &quote;  ou le tout en caractere Hex...).chercher la vrai réponse alors qu'en la deja , je ne pense pas que ça soit bénéfique en quoi que ce soit

En tous cas , j'ai bien aimé cette épreuve ! lJ'ai appris des choses théorique et pratique, surtout le fait de chercher une faille , et savoir comment l'exploiter .C'est un peu facile car on sait que ya une faille , alors que en vrai ...^^

j'en ai terminé avec celle là , même si je ne valide pas !

Bah du PhpBB (BBCode)c'est comme ce forum balise en "[][]" , alors que html c'est "<><>"

Bonjour à tous, c'est mon 1er post dans la parte aide, je me suis pourtant farcie les 10pages précedente mais j'ai tout de même une question:

-C'est donc une faille X** si j'ai bien compris j'aissai de la faire sur /* modéré : tu en dis trop */, or quand je regarde le code source de index ou l'url de contact.php certain caractère sont remplacer, c'est sans doute fait ex-prêt mais je ne vois donc pas comment faire je cherche cherche....

-il est possible de mettre du javascript dans un /* moderated par the lsd : hmmm je suis plus très sur, mais je crois que ca pourrait aider pour la résolution de l'épreuve (excuse moi sinon). En tout cas, pour avoir ta réponse, le mieux est d'essayer, non ?*/ ?

Merci :)

Bonsoir, juste besoin de quelques eclaircissements:

J'arrive à provoquer l'affichage d'un gateau que je n'ai pas ;), c'est normal.

Je peux donc potentiellement dérober le gateau de l'admin si ce dernier clique sur une url forgée par mes soins. Si j'étais dans une situation réelle, je saurai être patient pour attendre un retour d'action de sa part via un script-cgi hebergé par mes soins mais ici l'épreuve étant simulée, comment est-ce géré en coulisse ?

Merci.

J'ai trouver la faille il ne reste plus qu'a l'exploiter cette porte à de multiplesfacettes.

Bonjour à tous !

Premier post pour moi sur le forum   =)

J'ai compris comment m'attaquer à la faille et à l'exploiter mais je suis toujours bloquer sur la partie 1
mon soucis est le même que le post  #136

je cite :" j'ai mit d'autre caractère que ceux que l'on voit partout pour les failles *** car certains sont réecri en h***
mais la je voit vraiment pas comment  formuler rien qu'une bette alerte et j'ai vraiment essayé beaucoup de codes différent
j'ai juste remarqué que certain script que j'ai inséré sur l'épreuve permetté de bien les retranscrire dans le code source en ne les intégrant pas dans la p****.j**
et les caractère deviennes rouge, mais cela ne s'éxecutte toujours pas
et je sens que je vais partir en dépression   j'ai du exécutée plus de 2000 script mais sans aucun résultat"

Je ne cherche pas à avoir la solution mais plutôt une orientation sur de la bonne doc pour outrepasser ce probleme de P****
j'entre pas dans les details par peur de spoiler si vous voyez ce que je veux dire ;)

Cela fait 1 semaine et demi  que je suis sur l'épreuve j'ai effectué de bonne recherche sur google, lus de nombreux tutoriaux entre autre ceux de newbiecontest qui m'ont aider à bien avancer mais la je bloque.

Donc si un admin ou une personne ayant réussi à faire une simple alerte pouvais m'aider à m'orienter en mp pour que je puisse lui dire en details ou j'en suis sans flooder sur le fofo

Bonne journée et bonne chance à tous !

1 an et demi ? o_O Inscription : 27/01/2011 à 12:20:44
En plus j'ai lu le post ce midi il me semblait que ça faisait moins longtemps.

dsl une semaine et demi j'ai corriger le post lol

Bonjour,

ça y est enfin je me décide à ranger mon orgueil au placard et demander mois aussi de l'aide. J'ai eu moins de mal à faire les 2 suivantes que celle là, bref... et pourtant j'ai lu chaque poste un par un ce qui me montre que je suis sur la bonne voie.

D'après mes recherches j'obtiens donc un lien qui, si il est cliqué, me permet de récupérer ce qu'il faut sur mon serveur, toutefois je tente par la voie habituelle d'envoyer la demande maligne espérant un hypothétique retour, mais en vain. J'ai fait plusieurs tentatives, en codant, en recodant, en décodant ou déconnant, même parfois, mais toujours rien, je reçois keudal... Là je désespère :(

Petite question donc dans mon lien je n'ai réussi qu'à ouvrir plutôt que de remplacer la fenêtre vers chez moi, est ce que mon problème vient de là ?

Merci et bravo on s'éclate ici :)

Bonjours,

depuis mon dernier post je me suis beaucoup documenté,j'ai beaucoup trifouiller et j'ai donc réussi à faire une alerte !
j'ai une petite question pour la partie 2..

j'aimerais savoir pourquoi lorsque j'envoie le li** au BOT pour récupérer le jolie cadeau mon script s'éxécute automatiquement lorsque j'envoie le mail !!  :shock:
Alors que quand je test de m'envoyer un mail avec le li** pour récupérer le jolie cadeau tout fonctionne !
Je suis perdu..

**No Sms** c
'est mon premier post
jais réussi a faire afficher une alert() est une redirection mais qu'en je lis le message de ce forum je comprend rien ? faut il rediriger l'admin ver un site pour récupérer les cookies ou c'est une simulation pas besoin de héberger  :oops:

À toi de voir, ça. Mais 11 pages ça suffit largement pour les indices ! à toi de te renseigner par toi-même, quand t'auras plus de notions sur la faille utilisée (que tu dois deviner, ce qui n'est pas très difficile vu le forum), tu comprendras mieux ce qui se dit. Mais l'aide ne se résume pas au forum, hésite pas à aller voir ailleurs !

Bravo a toi Nms pour ce super challenge qui demande de la reflection ! J'ai mis exactement 1h03min pour le faire :)

Hello !

J'ai "réussit" l'épreuve : je reçois des variables et tout et tout .... mais elles sont vide .... et même desfois ça déconne : la première variable qu'on reçoit s'écrit deux fois, puis c'est l'autre, puis encore la premiere et elles sont toutes vide ...

J'ai essayé plus de 40x avec 3 navigateur différent ... ça vient de moi ou pas ?

Ça vient de toi ! Pas de problème sur l'épreuve, comme d'hab elle fonctionne parfaitement.

Bonjour à vous. =D
Je m'essayes sur ce challenge et manifestement si je vous écris c'est bien parce que je sèche  :O
Voilà, j'ai testé l'épreuve pour finir par me dire que je dois passer par /* modéré */  pour /* modéré */.  :idea:
 =)

Bonjour,
Je poste mon premier message sur le forum car je coince vraiment sur cette épreuve.
J'ai réussi a "passer la porte" mais je n'ai pas l'impression que l'admin clique sur le lien que je lui envoie (façon de parler).
Serait-ce parce que ma page est sur un serveur local ?
Désolé si j'en dis trop mais à la vue des autres posts je ne pense pas avoir été trop explicite.

Bonjour,
je viens à vous car l’épreuve ne fonctionne plus, chargement interminable qui se termine par un accès impossible à ce dit challenge.
Bien à vous.

Surement un problème de port. Tu as ta propre box ou tu es dans un réseau plus large (entreprise, résidence universitaire...) ? Dans le deuxième cas, tu ne pourras pas passer directement par le 10080.

Enjoy

The lsd

Re,
Je ne sais guère se qu'il s'est passé entre hier soir et ce matin mais la page ne se chargeait pas  :shock:. Pour info je suis sur un réseau domestique et je n'ai pas fait de manipulations quelconque.
Merci de m'avoir répondu ;)
The truth is out of there!

Bonjour tout le monde,

J'ai réussis à modifier l'image, en mettant une faille *** dans l'URL, mais ça ne modifie juste l'image, et ça ne met pas d'alerte...

Merci de m'aider :)

Là est la difficulté de l'épreuve: comment réussir a faire rentrer cette 'faille' ?
Il suffit de bien comprendre comment le script marche...

Mais en mettant un script de la faille ***
/* Modéré : ça sert à rien de cacher le nom de la faille si t'en mets un exemple. */

Après ça je ne sais plus quoi faire!
Indice?
Je suis sur la bonne voie?

Comment dire... tu es sur la bonne voie mais sur la mauvaise voie  :/
(et édit ton post, laisse pas des indices comme ça)

Bonjour à tous

Je me résigne à poster une petite demande:
L'épreuve aurait-elle subie des modifications ? parce que lorsque je m'y suis attaqué il y a environs 1 mois ou 2, les /* auto-censure */ fonctionnaient, ce qui ne semble plus etre le cas  :?

merci d'avance
Grafiks

auto-modération: il semblerai que j'ai spoilé, j'efface la partie en question
Merci Luxerails

Ça fonctionne parfaitement.

L'épreuve est plus où moins dûr...
Mais je pense que c'est tout "con".
Bref c'est par rapport à l'image porte1.jpg où pas? :)

...

Oui, mais je vois pas comment utiliser une image pour une faille '_____'

Moi, si ! et c'est ce genre de choses qui fait que les classements sont si variés : certains savent et d'autres pas. Mais ceux qui savent ne sont pas ce qui ont dit sur le forum qu'ils ne savaient pas : ce sont ceux qui vont chercher l'information par eux-mêmes !

Oui, mais par exemple, une petite aide, serait la bienvenue...
Les gens ont avancés qu'avec des aides...
Le créateur de NC, n'aurait jamais codé tout le site, si par exemple il n'avait pas lu les livres du siteduzéro...
Le créateur du siteduzéro n'aurait jamais codé et fait des livres si il n'avait pas eu l'aide de quelqu'un d'autre et ainsi de suite...

Bref, juste une petite aide? :)

Ces gens-là ont cherché l'information, ils n'ont pas attendu qu'elle leur tombe tout cru dans le bec. En plus les challenges sont justement faits pour t'apprendre à chercher par toi-même, entre autres !
Et puis, comme déjà dit plusieurs fois, on peut considérer qu'il y a assez d'aide comme ça dans ce fil de discussion.

Hello.

J'ai trouvé la faille. J'ai pu confirmer, juste en insérant du code inutile (vous savez de quoi je parle), et la page m'a bien répondu que j'étais sur la bonne piste, que ça suffisait pas, etc ... (donc il y a une vérif directe, sans passer par un bot, du moins à ce niveau là)

Je suis donc ensuite passé à l'application : Là encore, je donne pas les détails, le net est assez documenté sur ce cas là.


Le soucis : Ma méthode semble fonctionner (pointée vers un script perso, ça récupère ce que je veux), mais je n'ai aucune réaction de la part de l'épreuve, quand je tente de piéger l'admin.
Au mieux, j'ai eu droit à des gâteaux qui sont "venus tout seuls", mais dont la valeur était vide.

Pas d'amélioration en renouvelant l'opération.



Donc ma question : Y a-t-il une subtilité à prendre en compte, ou es-ce que j'ai progressé dans l'épreuve et que l'histoire de mes gâteaux vides est une erreur ?


Merci d'avance.

Et si ca marche pas en pointant vers un truc perso.... tu peux pointer vers quoi :) ? Fais encore quelques recherches tu n'es plus très loin :)

Merci de ta réponse.


Quand je dis que j'arrive à "faire pointer", je parle bien entendu de faire pointer vers son propre site (simple lien http) PUIS (redirigé) vers mon site perso. Et sur le principe, cette méthode fonctionne très bien (si le lecteur du mail, clique). J'ai tenté sur un site bidon, puis sur un serveur perso. Sur mon site perso, je récupère "ce que je veux récupérer" quand j'essaye moi-même ...

C'est toujours la difficulté : Savoir sous quels critères l'épreuve est validée (j'ai voulu jouer la carte du réalisme, mais visiblement, il y a un "truc")

alalala :)
Tu es proche. Si tu fais un point:
 tu sais que ça marche vers un site quand tu le fais à la main... donc a priori que tu as compris ce qu'il faut faire... Si tu ne peux pas le faire pointer vers le site que tu veux, vers quoi tu peux le faire pointer ?
L'épreuve est très réaliste, mais borne un peu le comportement pour pas qu'on puisse faire n'importe quoi :)
Tu as la méthode, à toi de trouver comment récupérer la solution...

Mais je peux justement le faire pointer sur le site que je veux.


Plus concrêtement (et toujours dans l'esprit "ne pas donner d'indice") :

Si j'ouvre moi-même le mail, et que je clique sur le lien qui s'y trouve, je parviens à /* faire quelque chose d'encourageant, on va dire plutôt */
En revanche, ma méthode ne fonctionne pas sur Google Chrome, ni sur Safari (du à la gestion des é****ts des navigateurs)

Quand j'envois, en revanche, le mail à l'admin, il ne se passe rien (même plus de "tu es sur la bonne voie").


Dans le doute, j'ai encodé les caractères de différentes façons (ça fonctionne bien vers ma boite hotmail), mais ça ne change rien.
J'ai l'impression que l'épreuve ne fonctionne que selon une méthode précise.




On a bien convenu que le "bot" cliquait sur tous les liens contenus dans le mail envoyé, vrai ?

Malheuresement je ne peux pas t'en dire beaucoup plus ... Tu as bien compris que ta solution marche, il s'agit maintenant de l'exploiter dans la logique de l'épreuve.

Rappelle toi toujours qu'une épreuve est "bridée" pour éviter qu'on puisse faire n'importe quoi. Par exemple dans les injections SQL, les épreuves interdisent de faire des commandes comme "DROP" etc... histoire que l'épreuve ne soit pas défoncée.

En outre, il ne faut pas oublier que NC est responsable du comportement des épreuves... donc on ne doit pas pouvoir faire n'importe quoi avec. C'est pour ça que l'admin ne clique pas sur n'importe quoi :)

Yop tout le monde :)


Je voulais simplement savoir si il fallait avoir un site à soit (si nécessaire) avec un fichier hébergé dessus, ou mettre quelque chose de bidon fonctionne ?
En gros, est-ce que l'épreuve vérifie les liens ou c'est le principes qui compte ?

Bye

Tu n'as qu'a tester, tu verras bien ;)

Ahah je m'attendais à cette réponse, j'en conclu donc que la réponse est non !
Merci :D

Ben pas forcément, imagine que ça marche pas ! ça voudrait dire que la réponse est oui.

Arrête du me met le doute maintenant  :cool:

J'essayerais les deux, mais connaissant le site, c'est souvent plus sur la pratique.

Salut à tous.

Je voulais remercier Nms pour cette superbe épreuve. J'en ai chier et je me suis éclaté, et surtout quand on a le petit mot à la fin ça fait vraiment plaisir :)

Alors un grand merci  ;)

Akiat

Salut
j'ai compris ce qu'il faut faire , mais j'ai une petite question : pour récupérer les c**k*es de l'Admin est qu'il faut mettre une page réel dans doc****t.location ?

laissez tomber
merci pour vos 0 reponses

Est-ce que le social engineering par mail sur l'admin c'est bon??
 =D

Le social engineering se dit manipulation humaine en français, petit rappel : ici tu as a faire a une machine (un bot ...) pas un humain, donc la manipulation humaine ...

Documentes toi sur les cookies en javascript   :wink:

Bonjour je me suis inscrit aujourd'hui et c'est mon premier post je suis fasciné par ce site et ses challenges.

Ce challenge ci est super , je cherche en vain le résultat : j'aimerais vous décrire ce que j'ai en téte et m'indiquer svp si je suis sur la bonne voie :)

/* Modéré : On ne donne pas de piste, bonne ou fausse. D'autre part, merci de lire la FAQ. */

Avez vous svp un conseil, une piste pour cela :)
En vous remerciant

Bonjour, je t'ai modéré, t'en disais un poil trop (remarque, vu comment le forum d'aide est rempli, je me demande si c'était bien nécessaire...) Pour les questions que tu te poses, sache que tu es sur la bonne piste, au niveau de la faille à exploiter, mais il ne faut pas le faire comme tu le penses, c'est un peu plus compliqué que ça. Mais je suis sûr qu'en lisant le forum en entier tu vas trouver ce qu'il faut faire ;) Bonne chance.

Oui c'est pour cette raison que j'ai un peu dévoiler :)

Oui ca semble plus compliqué je tiens à féléciter le créateur du jeux !!
Y A t-il des tutos sur NC concernant mon probléme ? sinon bha je lirais le forum

Cordialement

EDIT: ce qui me fait rire c'est qu'en lisant tout le forum, j'ai constaté que la plupard parvenait à afficher une alert() alors que pour moi c'est tout simplement impossible ! si seulement je parvenais à récupérer une alert je pense pouvoir poursuivre ce jeux !mince

Rah ! Je sais que c'est tout con mais je dois loupé quelque chose.
J'arrive à faire une alerte tout marche bien j'ai le message, mais je n'arrive pas à afficher mes propres gâteaux, j'ai hébergé mon script pour récupérer le gâteaux du bot, je pense avoir bien emballé le tout lors de l'envoie par mail mais je suis automatiquement rediriger vers mon script après qu'on m'ait dit que le message a bien été envoyé, et je reçois un gâteaux vide...
J'ai du raté quelque chose, je pense être tout proche.
En passant merci à Nms pour cette superbe épreuves ! Vraiment réaliste et je comprends qu'elle puisse être très fréquente.

Edit: c'est bon >< je suis un boulet !

Salut tout le monde :)

Bon alors cette épreuve me donne bien du fil à retordre..
Je sais qu'il faut faire une alert de type X**. Ensuite quand on a réussi à la faire il faut faire en sorte de récupérer le gâteau du BOT.

Ce que je voudrais savoir c'est :

- Si le script que j'ai est valide (donc si quelqu'un peut me le confirmer via msn par exemple ou directement ici, mais je ne pense pas que cela soit possible)
- Si il faut encoder le message à envoyer dans le mail ?

Je doute que ce genre de questions aient une réponse mais je préfère quand même essayer. Car après des jours passés sur cette épreuve et des heures à rechercher des informations sur la faille je n'aboutis à rien..  :cry:

Hypnose, je ne peux te répondre à ton message privé car je n'ais pas assez de points ><
Envoie moi ton mail par message privé si tu veux.

Un petit indice pour le moment : N'oublie pas que l'épreuves est simulée, même si très réaliste.

Bonsoir, alors je me suis enregistré hier soir sur le site NC, et j'ai galéré sur celle la.

Alors il faut savoir que l'épreuve est vraiment intéressante, mais peut être difficile suivant le matériel utilisé.

Comprendre le fonctionnement est très simple étant donné le nombre de messages sur le forum, donc rien que en ayant le nom de la vuln c'est facile à résoudre* (et même sans regarder le forum vous devriez vous douter du truc)

*facile si on utilise le bon matériel, car si vous utilisez chromium sous linux vous ne vous en sortirez pas (probablement idem avec google chrome sous windows) j'ai donc passé un bon moment à tester des choses qui ne fonctionnent juste pas sous chromium.
(chromium 13.0.782.220 (Build de développement 0 Linux))

Alors que sous firefox le test est fonctionnel ducoup en deux temps trois mouvements l'épreuve est bouclé.

C'est quoi l’intérêt d'utiliser un navigateur pour résoudre ce genre d'épreuve ? Surtout à l'heure actuelle...
On ne sait même plus si il interprète ou pas ce qu'on lui passe en url (et même par derrière... slurp), et ça ne date pas d'hier...
Autant forger ses requêtes en dur pour être sûr non ?

C’est moi ou amanda est down ? J’ai pas accès non plus aux autres épreuves sur le port 10080.

La machine virtuelle se porte très bien, merci pour elle. Par contre, elle est plutôt du genre anonyme, quoiqu'en pense /etc/services. ;)

Ok, donc c’est un problème de config, j’en prends note. Merci.

Edit : tout con, j’essayais d’y accéder en https…

Hello,

je pige pas trop où aller sur cette épreuve, j'arrive à faire de l'alert("toto") , de la redirection de page ... mais je ne vois pas bien la finalité.
Il est évident qu'on peut modifier le source (vu que les alerte marchent) mais après ?
Est ce que le fait de réussir à passer du code va me servir ou bien vais je dans la mauvaise direction (voire dans le mur !) ?

Merci.

 :rolleyes:

Perso j'ai mis un moment à la trouver celle-ci! Pas si evidente!

Disons que si tu as vu que la source était modifiée, alors regarde encore y a un truc que t'as pas du voir... :wink:

Ben disons que j'ai l'impression d'avancer , j'ai même eu droit au "Bien vu! Mais ce n'est pas en ....." ce qui est tout à fait vrai d'ailleurs !
Le problème c'est que passer un lien vers mon site perso hébergeant un grabber pour récupérer à manger ,il ne se passe rien ... donc j'en conclus que ça n'est pas la bonne méthode .?... ou bien ma syntaxe est foireuse ... ou bien ma DEMARCHE est foireuse ???

La démarche est la bonne, la persévérance !  :wink:

Le but étant de récupérer le cookie, mais pas le tien!  :rolleyes:

Oui ça j'ai bien compris que ça n'était pas le mien, sinon un simple plugin de Firefox suffirait et puis c'est le cookie de l'admin qui ouvre la porte, c'est explicitement dit.
Apres il me reste a trouver la syntaxe qui va être interprétée par l'épreuve comme pouvant conclure à une réussite (vu que c'est de la simulation), mais faire une redirection vers mon site perso n'est pas interprété comme pouvant réussir donc je vais tenter autre chose...

Je trouve porte 1 , 2 , 3 suis-je ds la bonne route ?

et bien maintenant, utilises les!

Bonjour !
Alors d'abord, encore un bravo pour l'epreuve, qui est plus réalistes que les autres ...

J'ai trouvé la faille, je suis capable de l'exploiter pour envoyer le gateau, mais pour ce qui est de l'exploitation réelle ... J ai beau envoyer le mail sous toutes les formes, depuis l'URL brute jusqu'à un <a href=></a> en passant par [a][/a] ... rien n'y fait =( encore si le gateau etait livré comme prévu (avec un parsage minimum de la chaine et envoi d'informations fausses ...) ça aurait marché, mais là ça fait 2 jours que j ai repris l'epreuve, avec 2 amis qui ont passé des heures sur la partie exploitation (comme moi) et rien, rien rien ...
Donc voilà si au moins on pouvais me dire s'il faut faure un <a href=></a> ... ça serait super ! Ou sinon par mp ...

Voilà et merci encore de me faire autant creuser les méninges !

Enjoy ;)

Voila c'est bon ^^ j avais zappé l'encodage ... ;)

Me reste plus qu'a faire click l'admin sur mon lien mais peut être moi aussi un probleme d'encodage... Tu peut m'aider pour finir ce foutu contest une fois pour toute?

Pour ma part, j'avais abandonné cette épreuve il y a quelques temps, et y suis revenu maintenant.. mais c'est toujours aussi décevant !

Mon script de récupération marche au poil, ce que j envoie au formulaire est parfaitement conforme a une situation réelle, et rien de rien ne veut venir sur mon script...

Encore une fois, je pense que je me heurte a une validation au poil de "kiwi" près, qui privilégie une seule solution possible là ou des centaines sont fonctionnelles ...

Bref, bon courage a ceux qui cherchent encore, moi je passe mon chemin ;)

J'en ai vraiment plein le dos de cette épreuve ... Je me suis mis un point d'honneur à faire les challenges dans l'ordre et du coup, impossible de passer à la suivante sans avoir réussi celle-ci !
Le pire c'est que je suis persuadé d'avoir la solution mais il y a quelque chose que je fais mal  =| Je vais péter un plomb, ça fait plus d'une semaine non-stop que je cale là dessus, j'ai même eu envie de tricher, c'est dire  :shock:

Bonjour à tous,

Je penses avoir compris le principe de l'attaque mais j'aimerais avoir une précision : comment être sûr de ce que "lis" le bot ?

Je veux dire par là que je sais ce que j’envoie mais je ne sais pas comment c'est réceptionné par le bot ? Y a t il moyen de prévisualiser le message à sa réception histoire de savoir si il y a un encodage entre temps ?

Le bot lit ton message, et clique sur le/les liens qui mènent vers son site
Il me semble que tu peux voir ce que tu envoies durant quelques millisecondes

Dans ce cas je ne comprends pas ce qui ne vas pas...

J'ai envoyé exactement la même chose que ce que j'avais déjà envoyé ailleurs pour récupérer ce qu'il faut mais rien ne se passe...

J'ai comme l'impression que je me heurte à la limite de la simulation de la faille...

Est il possible que je partage ma méthode avec quelqu'un par mail histoire qu'il me corrige si besoin ?

EDIT :
Pour Pixis : merci de chercher à m'aider, j'ai bien reçu ton MP mais je ne peux pas en envoyer moi même =/
En clair il faudrait que cette âme charitable m'envoi son adresse mail par MP car je n'ai apparemment pas assez de points pour en envoyer moi même...

Il y a justement quelque vérification pour empêcher les truc "habituel" mais le pauvre développeur n'a pas pensé à tous.

Merci Zmx, j'ai compris cette subtilité trop tard !

C'est Pixis qui m'a expliqué ça via IRC et donc après quelques essais j'ai pu valider le tout ;)

L'épreuve est down =$

J'ai pas l'impression qu'elle soit down, qu'est ce qui te fait dire ça ?

L'épreuve utilise le port 10080, vérifie que ce port n'est pas bloqué à l'endroit depuis lequel tu te connectes.

Salut a tous,

Je viens de commencer les challenges sur newbiecontest, et sincèrement, je prend le temps d’écrire un post pour te féliciter pour cette belle épreuve qui donne pas mal de fil a retordre.

Bonne continuation.

Bonjour à tous, tout d'abord merci pour ces challenges très instructifs

Je pense avoir trouver la fameuse faille, réussi à l'exploiter (quand je test en cliquant moi même, j'ai bien la faille) mais je n'arrives pas à la faire valider par le "robot". Pourrais-je en discuter avec quelqu'un par mp pour vérifier que je suis bien sur la bonne piste, et savoir si c'est juste une histoire de syntaxe (ou d'encodage) de mon lien.

Merci

@johcaffrey : Merci de bien vouloir m'aider mais je peux pas répondre au mp encore...

J'ai essayé plein d'encodage différents, j'arrive toujours pas à faire valider mon fameux lien, je sens que j'en suis pas loin pourtant  :lol:

Qu'as tu donc essayer ???

Il faut juste que tu moderes ton com juste apres et ça ira et moi je te repondrai par MP

Ça reste une épreuve simulée sur la fin. Va au plus simple!

Ok je vais laisser 1 minute alors, après je supprimerai !


En effet, peut être que j'ai cherché trop compliqué ou alors je suis à coté de la plaque  :rolleyes:

Tu es parti sur une bonne piste, mais la fin est un peu confusse, sinon c'est quasiment le principe

Dommage parce que ca marche quand je test chez moi :lol:

Par confus, tu veut dire que je fais pas exactement ce qu'il faut dans mon événement ?

La methode est la  bonne, mais moi j'ai vraiment penser que c'était une simulation jusqu'au bout, meme si il y a d'autre methode, celle que j'ai utilisé est purement theorique et beaucoup plus simple.
Et il faut rentrer un lien et pas un code sinon /* Modéré : c'est pas parce que tu mets des étoiles que c'est impossible de deviner ce que tu veux écrire. */, c'est la bone methode

OK je te remercie je vais continuer à chercher !

Bonjour,

J'ai un petit soucis, j'ai la technique pour récupérer ce fameux cookie, mon seul problème c'est que je n'arrive pas à faire cliquer l'admin, pourtant j'envoie bien une url trusté (une url de newbiecontest.org)
Suis-je sur la bonne piste tout de même ?

Il faut effectivement envoyé un lien de NC, mais il ne faut quand meme pas oublié que c'est une simulation, bien qu'elle soit assez reel, donc le webmaster clic sur n'importe qu'elle lien tant qu'il est BIEN formuler.

bonjour
je cherche la solution depuis un bout de temps alors
je suis venu sur ce forum
j'avais vu que c'était possible /* moderated par the lsd : euhhhh, lol ? */
et par la même occasion, suis-je dans la bonne voie?

Bonsoir à tous,

Juste une petite confirmation, quand on parle de "challenge simulé", on parle bien d'une simulation de vie réel, avec possible interaction avec des personnes autres que celles qui effectuent le challenge ?

Si c'est le cas avec ce challenge, est-ce qu'il est toujours en fonctionnement (j'entend par là, est-ce que la personne continue à checker les mails qui arrivent ?  =D)

Merci d'avance !

Ça valide bien, pas de soucis

Nan, cette partie là est automatisée, personne ne lit les mails, et du coup l'épreuve sera toujours fonctionnelle.

Enjoy

The lsd

Je bloque sur un bout de l'exploit :/ (je ne met pas la totalité afin de ne pas spoiler)
/* Modéré */ => FONCTIONNE
/* Modéré */ => NE FONCTIONNE PAS

J'ai essayé d'escape et d'encodeURI mais ça ne fonctionne pas non plus ...
Vous pensez que c'est le /* Modéré */ qui bloque ça ou c'est juste que j'ai du mal écrire le reste de mon exploit ?

C'est vrai que ça ne ressemble pas du tout à du spoil.

Je pensais qu'il y avait assez d'indice dans le reste des pages pour pouvoir mettre ça.
Je laisse le soin à un admin de juger  =(

EDIT : bon bha l'admin a tranché, c'était du spoil  :idea:

je suis pas admin!

Pourquoi on te prend pour un admin !?
Personne m'a jamais pris pour un admin !

ahhh la la, les jeunes de nos jours, c'est plus ce que c'était...

Enjoy

The lsd

c'est que je rayonne au-delà de mon statut !

Hey, les admins, arrêtez donc de vous chamailler !


Chose faite.

...
...
...

Ok  :arrow:

A mon avis, c'est pas ton statut qui rayonne =D !


Ah ben merci, au moins quelqu'un qui m'apprécie à ma juste valeur. Je citerais personne, mais j'en connais qui ont plus de 7 ans à me faire passer ircop hein !  ;)

Enjoy

The lsd

Bonjour tout le monde !
Personnellement, je suis bloqué à la fin ... tout mon système fonctionne, et il ne me manque plus qu'a piéger l'admin  :twisted:
Mais j'ai beau envoyer le lien sous toutes les formes ... encodé, normal, à moitié encodé, avec quelques balises ... rien à faire, il veut pas se laisser faire ...
Si quelqu'un se sent l'âme d'un bon samaritain et puisse me donner un léger indice pour me débloquer de cette situation ...
Merci d'avance !  =)

EDIT: C'est bon ... c'est validé, je n'ai pas tout compris mais pas grave :p Merci pixis !

Bonjour,
j'ai le même problème que mon VDD, j'ai tout bien préparé pour que le "bot" n'aie qu'à cliquer mais ça ne fonctionne pas, est-ce que c'est encore comme pour l'injection sql et qu'il faut soigner la syntaxe au poil ?

Les mails sont-ils évalués au format text ou html ?

Merci de bien vouloir m'aiguiller un petit peu :)

Oui, il faut soigner la syntaxe, et oui c'était déjà marqué dans les 17 pages de ce topic.

j réussi à trouver la faille, la question qui se pose, dois je le rediriger vers mon script ?
je l'ai déja fait (redirection complete)  mais rien n'est ajouté ...
suis-je dans le bon chemin ?
merci d'avance

Si tu as trouvé la faille, tu es sur le bon chemin.
Pour le reste de ton post, il y a 17 pages de forum qui pourront t'aider à y répondre.

Bien le bonjour,
Je penses avoir trouver la faille, je sais ajouter du code mais le problème c'est que j'ai une cote/double cotte qui reste devant l’évènement ce qui empêche d'exécute mon script(quant je l'enlève il s’exécute bien)

Pourriez-vous m'aiguiller vers ou chercher ?

Merci d’avance :)

Edit : j'ais pus remarquer que selon l'emplacement de certain caractère dans la source (quant on utilise la faille) elle son convertie en code HTML ou pas
J'essaye de recréer le script pour le tester en local mais ... je pensse qu'il prend plus que 2 ligne, je me trompe ??

PS : j'ais lus les 17 page du forum, j'ais vus qu'elle que truc intéressant mais je ne trouve toujours pas :(

Bonjour,

Je pense que c'est la première fois que je poste sur ce Forum.
Tout d'abord je voudrais dire que c'est un excellent site aussi bien pour ceux qui veulent découvrir, ceux qui veulent apprendre mais aussi pour connaître les possibilités en informatique et se protéger.

Je poste car j'ai beaucoup cogiter sur cette épreuve et essayé beaucoup de choses mais la je suis face à un mur.
J'ai compris l'utilité de chacune des pages, lu toutes les pages de ce forum et je n'y arrive toujours pas.

Sans trop essayé de spoiler, il y a l'administrateur qui est censé faire l'idiot sauf que chez moi il ne le fait pas. J'ai pourtant tester en local et cela fonctionne très bien mais pas sur le site  :cry:

Si quelqu'un pouvait m'aider et si possible lui montrer ce que j'ai fais par MP (pour éviter de trop aider sur le forum car tous les éléments sont là).
Car c'est rare que je demande rapidement de l'aide. Je cherche bien avant de poster mais je ne sais plus quoi faire  :cry:

Merci d'avance,
Skity

La je bloc comme pas possible  :evil:,
J'arrive a afficher des boite de dialogue, j'ais donc fait un script que j'ais tester sur mon site et qui fonctionne
Le hic c'est que dès qu'il y a une * et ** une partie de mon code est effacer il me les faut pour temp pour mon XML******.o**n(*****, ************);

Un petit indice serais le bienvenu, j'ais déja lus toute les page du sujet, mais bon je vais les rellire a l’affût d'indice  :idea: ...???

Edit : Trouver :aller faire un tour sur http://ha.ckers.org/xss.html (http://ha.ckers.org/xss.html)

Edit : sur un simple alert('XSS') sa fonctionne mais dans mon script sa foir  :evil: :evil: :evil: :evil:
Surement une limitation de caractère  :evil: :evil:
J'en ais conclu que le script devais faire un max de 90 caractère  :?

Edit : Je ne comprend plus quant je n'exploite pas la faille y a pas de limitation, si je met juste une * pas de limitation, par contre après un "on*****=*" y a une limite  :evil:

Bon j'ais réussis a faire une redirection ver une page inexistante du site car j'ais toujours ce problème de nombre de caractère, il faut bien utiliser S****g.f***C**rC**e, ou je me plante complètement ????

Je vous donne un petit conseille :
Attention a votre navigateur !

Internet Explorer : 0/10 (bloque tous, modifie la page a coup sur)
Google Chrome : 5/10 (possibilité d’exécuter du code mais très limiter, et modification de la page si ...)
Firefox : 8/10(Possibilité d’exécuter du code mais limiter, modification de page très minime si ...)

Mais aucun de ces navigateur non exécuter mon script, ils modifient la page pour ne pas exécuter le script

Edit : Après de nombreux de test, celons le script utiliser, Firefox le lance ou pas a vous de trouver comment le former ;)

Ahhhhh ! Mes yeuuuuuux x_x


Ah les 5alauds ! C'est pas fair-play ça !

Quoi ???

Je nais rien dit qui pouvais donner la réponses ...????

Euuuhhhh : http://fr.wikipedia.org/wiki/Sarcasme
Bon d'accord c'était peut-être mal dosé  :/

Mouai je vois pas le rapport ou on a pas le même humour

Ton avatar il est sympa :)


Edit : enfin l'épreuve est valider  =D =D
Un grand merci a tous ceux qui mon aider :) et a Nms qui m'aura fait apprendre de nombreuse chose =D

J'ai beau lire et relire les 18 pages de ce topic, je n'arrive pas à comprendre la forme du message que l'on doit lui envoyer ?
Mon exploit est OK, il marche très bien sur l'index, je récupère les biscuits via un script distant.
Mais maintenant quand il s'agit de lui faire cliquer sur mon lien via l'email, je remarque dans l'URL après l'envoie du mail, que mon lien est encodé. Il faut qu'il le reçoive décodé ?

Bonjour, je suis un petit nouveau sur le site, même si j'ai un peu commencé les épreuves des différentes catégories ^^
Là je doit dire que j'ai vraiment du mal. Je sais exactement ce qu'il faut faire: étapes par étapes, j'ai bien assimilé tout le nécessaire.

Le problème c'est que je n'arrive pas à utiliser la première faille (X**).

J'ai donc des question:
      - C'est bien sur le côté du formulaire qu'il faut exploiter cette faille ou ou je me prend la tête depuis 4 heures ? ( :O )
      - Selon les navigateurs, les injections sont elles toute gérée ou non (les plus connues) ?

Pour le vol du biscuit, pas de problème je sais comment faire pour me l’appréhender.

Le problème c'est que je bloque sur quelque chose de basique. J'ai beau tester plein de choses, je n'ai jamais de résultats concluants  :/

Si quelqu'un peu m'éclairer, merci :)

Arf je bloque complétement pour la premiére partie de l'épreuve (l'alert) la seconde je pensse qu'avec tous les ancien message j'ai compris comment faire mais comme je ne peux pas faire les caractères spéciaux je n'y arrive pas :(

EDIT: finalement trouver tous seul comme un grand :)

Alors, après avoir bien galéré, j'ai validé, et je vais essayer de vous guider un peu:
Pour la première partie, et pour voir comment marche la faille, bidouillez, et regardez l'impact que ça a sur le code source (enfin, ça, c'est à faire dans quasiment toutes les épreuves...)
Pour la seconde partie, soyez simplement audacieux, comme ça a été spécifié maintes fois, l'épreuve est d'un réalisme TOTALEMENT BLUFFANT!!
Faites comme si vous vouliez vraiment avoir le webmaster... J'ai moi même été surpris de voir comment la simulation a été poussée!
(surtout, ne vous posez pas de question : de toute façon, vous verrez les "coulisses" et vous aurez facilement le pass si vous avez réussi la première partie)

bonjour
je suis totalement bloqué sur cette épreuve, depuis le temps que j'essaye, je n'y arrive toujours pas...
en lisant le forum, j'ai compris qu'il fallait mettre un lien pour que le robot clique dessus, et ce lien redirige vers une page sur NC mais laquelle contient notre script...
je pense que c'est là que je suis bloqué, je ne comprend pas comment faire pour pouvoir rediriger vers une page hors de NC mais qui se fait passer pour une page de newbiecontest.
Svp aidez moi, donnez moi un indice, ou une piste.

...ça, ce n'est pas le problème, as-tu trouvé la faille déjà? ...Après, il n'y a pas trente-six façon de récupérer ce qu'il te faut pour finir... Relis mon précédent post, je "donne" la solution, et surtout ne pas perdre de vue le degrés de réalisme

Enfaite après avoir lu le forum, j'ai compris qu'il s'agit d'une faille XSS
mais je n'ai pas réussi à la mettre en œuvre
Que veux-tu dire par "les coulisses"?
Merci

Une petite question. J'ai trouvé la faille, et je sais comment l'exploité (script codé et fonctionnel).
Je voulais savoir si dans le mail, notre lien doit être au format brut (http://www....) ou au format html avec le tag <a href=""> ?

Merci

Eh bien au pire, essaye les deux ;)

bonsoir
n'ayant pas eu de nouvelle réponse, je reviens vers vous.
j'ai créé le script pour récupérer le gateau, il fonctionne parfaitement.
maintenant, il reste plus à ce que le boot clique sur mon lien.
pour cela, j'ai vu qu'il ne cliquait que sur les liens qui pointent vers son propre site.
alors je reviens vers vous pour m'éclairer à ce sujet...

J'en suis au même problème que toi ^^
Le bot ne veut pas cliquer sur mon lien  :oops:

sur la page d'accueil ( http://hacking.newbiecontest.org:10080/ep13/index.php?i=1 )
/* Modéré : oui t'en dis trop, et merci pour ton autorisation... */
svp dites moi si je suis sur la bonne voie
(j'éspère ne pas en avoir trop dit; si c'est le cas, svp censurez moi)

@ thibzko

Il semblerait que tu ais réussi donc en gros, quand tu envois le mail, on te mets à la place de l'admin. Du coup, tu vois ce qu'il se passe ( et on te fournie le 'truc' avant ). En fait, il n'y a pas vraiment besoin de faire de page externe pour récupérer ce que tu veux, juste faire comme si, et t'auras ce que tu recherche en levant un peu les yeux...

donc j'en conclut que je suis sur la bonne voie...

pourquoi sa ne marche pas /* modéré */

Bonjour tout le monde , j'aimerais bien que vous m'eclairez sur un truc . j'ai bien compris la faille dans l'index , mon probleme comment ne pas afficher les &alt ; &gt dans le code source ??

Voila je suis dans la bonne route :D mais comment vais-je recevoir le cookie de notre cher admin ?? :/ un indice !!

C'est finie les aides ou quoi :D j'ai eu le message qui me disait que al**t ne marchera pas , j'ai fait une recherche sur tout les code javascript en relation avec les cookies mais je ne vois rien d'exploitable :/

Je ne sais pas si ca peut t'aider mais il y a un "tuto" bien fait je trouve sur la faille (et un peu plus : http://venom630.free.fr/geo/tutz/securite_informatique/xss/

Personnellement, ça fait pas loin de 10 heures en tout que je planche dessus sans réussite. Je vais me recentrer un peu et reprendre du début. J'ai compris le système mais je dois pas l'appliquer correctement.
Mais, bon l'important est d'y prendre plaisir et de s'instruire, je ne vois pas le temps passer.

Grâce à tous vos commentaires j'ai finalement trouvé la solution, c'était dur...
Merci encore !

/* modéré */

oh bah la sa me casse les couill*s jarrete avant de peter un plomb

hééé pourquoi mon message a été modéré ? j'ai dit la réponse ?? :)

bonjour
juste une petite question bête...j'arrive à faire afficher mon cookie sans pb
maitenant je suis au stade de faire cliquer le bot-admin sur lmon lien pour lui chiper son miam-miam
quand j'envoie mon message le code js s'effectue aussi sur ma page
exemple si mon code dit window.open blabla et bien un fenêtre s'ouvre alors que je n'ai mis ce code que dans le champ message
est ce normal?
si je laisse ouvrir cette fenêtre alors mon code de recupération à distance s'effectue bien ce qui est encourageant non?
bref je sèche un peu

J'ai beaucoup appris de ce challenge :P
Il fallait y penser !

Merci Nms

salut à tous!
j'ai déjà essayé plusieurs fois cette épreuve, et j'ai abandonné à chaque fois...
ette fois ci, je veux absolument la valider pour en finir!
serait-il possible que quelqu'un dans la capacité de m'aider me contacte par MP?
Je voudrai un avis sur ma méthode afin de savoir si je suis dans la bonne voie.
svp, j'ai besoin de vous

Hello,

simple question: y a t-il un bot qui clique sur le lien qu'on lui envoie via le formulaire, et donc par ce biais on récupère ce dont on a besoin ?
sans cela comment peut on simuler la "réalité" ?

Bien à vous mes chers compatriotes

Simple réponse, qui a déjà été donnée un peu partout dans le fil à de multiples reprises.

Chez moi le lien est mort. C'est bien http://hacking.newbiecontest.org:10080/ep13/index.php?i=1 l'adresse de l'épreuve ?

Oui, mais tu es probablement derrière un firewall qui filtre le port 10080.

Bonjour, j'ai trouver quel type de faille exploiter, j'ai absolument tout compris la démarche sauf que je sais pas si c'est mon navigateur qui interprete bizarement le HTML ou si c'est normal....

en fait il transforme les <, >, ;, /  en &gt; &lt;  ...Etc...

(même si je passe mon *** en hexa)

du coup pour exploiter le truc que je veux ça va etre un peu difficile ^^'

du coup je suis pas sur que ça soit comme ça, mais j'utilise la fonction onload() pour faire ce que j'ai envi de faire....et je suis bloqué car je dois utiliser encore le caractere spécial +

PS : j'aurai acces que a mon serveur dans quelques jour, donc j'ai pas pu faire de test

Je suis bloqué sur ce challenge, je pense avoir la bonne logique, mais je n'arrive pas a valider l'épreuve !!

je récupère bien le gâteau vide bien sur dans mes test sur la page ou l'ont dois faire l'injection (c=login%3D%3B%20pass%3D)

j'envoi le lien dans le formulaire mais ça ne valide rien ?


Edit : C'est bon je l'ai passé, par contre tous les événements ne fonctionnent pas comme le dit Nms dans la page de résultat.
En tous cas bravo Nms pour ce challenge et le suivant 'Toujours réfléchir...' que j'ai validé aussi :-)

Pour ceux qui utilisent chrome voici quelques extensions sympas :
pour les cookies : https://chrome.google.com/webstore/detail/edit-this-cookie/fngmhnnpilhplaeedifhccceomclgfbg
pour encoder : https://chrome.google.com/webstore/detail/multi-encoder-decoder/gnniaejgfdelaafcjopndjdebjfnkljf

un site pour encoder aussi : http://evuln.com/tools/xss-encoder/

juste pour info même si j'ai pas valider le challenge.
sous chrome la faille principale est bloquer pour des raison de protection de l'utilisateur ^^.
passer sous firefox ou désactiver la protection en question avant de l'attaquer :)

Yo les mecs, j'ai joué un petit peu avec la faille XSS et le mail.

J'envoie donc ça en lien
/* modéré */
Pour que quand la personne clique sur le lien, je récupère ses cookies directement, apparemment ce n'est pas la solution.
Quelqu'un pourrai me diriger vers la bonne solution ? (Sachant que j'ai déjà eu le message me disant que ça ne sert à rien l'alert(document.cookie);)



Merci


edit : Je viens de me rendre compte que mon code était bon, mais je n'avais pas encodé l'url pour qu'elle soit cliquable :p

Suite à l'envoi d'un mail, et a certaine modification avec TamperData, j'obtient un BAD REQUEST 400, c'est normal ou je suis sur la mauvaise voie ? (une fois de plus  :rolleyes: )

En tout cas merci de fournir autant d'épreuves, c'est très instructif :)

Y a pas de secret, ça veut dire que ta requête est mauvaise.

Ok merci bien ! Je vais continuer de chercher  :twisted:

Comme dit Asteriksme, pas de secret :) Un coup de wiki (http://fr.wikipedia.org/wiki/Liste_des_codes_HTTP#Erreur_du_client) te montreras d'où vient ton erreur.

J'ai commencé a exploité la faille XSS.

Je peaufinais mon script, lorsqu'il m'a sembler bon, j'ai été redirigé. Cependant vers une page random de pub.

Sûrement un bug ?

Edit : Bon j'ai rien dis, j'sais pas trop pourquoi j'étais redirigé la, mais en changeant l'adresse, c'est fini ..

Oh ! Mais ! Mais oui ! C'est une erreur de PEBCAK !

Enjoy

The lsd

Tu tenais à la placer, cette phrase ?

Y'a pas d'erreur, j'te dis que j'étais redirigé vers une pub ... Je ne savais pas que l'adresse n'avait aucune importance, donc j'avais mis l'adresse d'un vrai script, et je ne sais pour quelles raisons, j'étais pas redirigé vers ce script mais une pub.

Pour mon premier message, j'aurais préféré une réponse moins hostile. Enfin, je ne t'en tiendrai pas rigueur, mais c'est pas cool.

hmmm non, pas spécialement, j'en vois tous les jours, donc bon...

Mais je signe et persiste, c'est du PEBCAK, tu le dis toi même !



Faut pas prendre mon message pour une attaque non plus hein, il y a en permanence des gens sur ce forum qui se plaignent "l'épreuve est buguéééééée", "donnez moi un indiiiiiiiiice", "pfff, cette épreuve est nuuuuuuulle". La force de l'habitude on va dire :)

Bref, welcome on board

Enjoy

The lsd

Bon je pose ma question, et on me répondra surement: J'ai récemment vu qu'il y avait plusieurs images: 1, 2 et 3, j'ai vu qu'il y avait une page contact avec sur celle-ci la fameuse faille, j'ai alors essayé un code de récupération de cookies, je l'ai tout d'abord envoyé en code brute avec les balises etc, ensuite je l'ai encodé, et ça n'était toujours pas fonctionnel, alors j'ai essayé de récupérer l'url lors de l'envoi (avant la redirection vers l'index), et de lui envoyer ce lien, et toujours pas !, alors la je ne vois pas non plus le lien entre les images et le reste, surement qu'à la place de l'id il faut mettre le script, et lui renvoyer le lien, enfin, si quel'qu'un est apte à répondre à ça.

Merci de m'envoyer un MP pour m'aider car la ça carbure, bref je vais essayer de changer l'adresse qui contient l'id de l'image et de lui envoyer celle-ci, suis-je sur la bonne route ?

Si tu ne vois pas le lien entre l'image et le reste, c'est que tu n'as pas compris la faille, je te conseille de te concentrer sur cette partie avant d'essayer quoi que ce soit.

'Jour,

Je coince a un niveau idiot mais je commence a vouloir m'arracher les cheveux, d'ou ce message.

Je lui envois un lien tout joli du genre :
/* Modéré : si j'ai modéré une fois c'est pas pour que tu remettes le lien. T'as beau espérer en cacher suffisamment, c'est pas mon avis. */
 // si tu as deja modere un lien ressemblant, il m'est impossible de le deviner...

Tout ceci fait merveilleusement le taff' de mon cote et a chaque fois que j'envois le mail j'ai meme le droit a une pop up seulement, le bot, lui il s'en moque eperduement.

Un indice sur d'ou vient ma connerie ?

Merci d'avance,
Cdlt,
un con de coyote

Ouai enfait, faut considerer qu'il n'y a pas de bot et que personne ne clique, qu'en fait on n'a meme pas besoin d'un script fonctionnel...

Si vous en etes a attendre que le bot clique, vous avez fini, regardez votre pop up, pas le resultat de votre script... simulation... -_-

Comment arrivez-vous à faire apparaître une fenêtre avec une 'alert', moi il n'y a rien qui apparaît, de plus, j'ai envoyé un tas de mail à l'admin tous différents, en brute, en encodé, et même d’essayer d'envoyer le lien avec "i=" +script, d'abord en brute puis en encodé, ensuite j'ai essayé aussi d'envoyer l'url d'envoi, avec "exped_mail=" +script, ne fonctionne pas !, je suis démunit la, je continu les recherche cependant, mais la, i sucks.

EDIT: Surement mon navigateur, car même sur DVWA Security ça ne fonctionne pas, je vais reboot le pc ^^ car je comprend plus rien la.

Au lieu d'essayer tout ça, essaye de comprendre la faille parce qu'apparemment tu ne l'as pas trouvée.

J'ai vu que des que l'on met une valeur autre que 1,2 ou 3, il met: Porte + La valeur 'i' + Extension .jpg...

- Je suis sur la bonne voie ?

- Et l'encodage, j'ai test l'encodage URL, mais je me demande si l'ascii to decimal est utile aussi :/

Bon alors voila, c'est à moi de poser ma question!

J'aimerai savoir s'il serait possible de parler à quelqu'un sur le chan irc ou par PM pour ce challenge. J'ai lu la grande majorité des posts sur ce forum et j'ai l'impression d'être à deux doigts de la fin, et donc je ne peux pas vraiment dire ou j'en suis sans trop en dévoiler.

Merci d'avance!

Salut !

J'ai compris comment exploiter cette faille, quel est son type etc, mais quand j'entre un + dans l'url, en regardant le code source il est remplacé par un espace, ce qui fait planter mon code.

Un moyen de remplacer ce + ou d'exploiter sans ?

merci :)

Je te conseille de te renseigner sur l'url encoding.

Merci beaucoup!

Mais maintenant que cela marche comment devrais-je faire en sorte qu'un admin clique dessus ? c'est un bot qui se charge du boulot ?

Bonjour,
Ca fait plusieurs heures que je galere a essayer de recuperer le gateau mais a priori ma reponse ne valide pas.
J'ai bien compris que le bot n'ouvre pas de lien et renvoie la reponse quand ca match.
Donc j'ai plusieurs question auquelles j'aimerais que quelqu'un qui a termine l'epreuve puisse me repondre.
 - Quel type d'event est gere et quel type est rejete par le script?
 - Quel formatage faut il utiliser pour le lien de la reponse ?

Merci.

Tu te doutes bien qu'on va pas te donner ces réponses, ça serait un peu trop facile...

salut sa fait un moment que chui pas venu ici 2 ans je crois voir plus lol
mais je revient pour me venger car cette satané histoire de porte me hante depuis un bout de temp :p
par contre impossible d'accédé a lépreuve c'est normal ?

Oui c'est normal.
Les épreuves de hacking ça ne sert à rien ou alors juste à se poiler sur l'orthographe des gens dans les forums :)

Plus sérieusement, je vais regarder. Ou pas...

J'ai bloqué pendant x heures à cause de deux espaces...
Moi et mes manies de vouloir produire un code lisible...

Je pense avoir tout les éléments de la solutions.

par contre, j'ai un problème pour afficher les cookie avec un simple alert(document.cookie), je vois le message alert s'afficher mais il est vide.
Firebug voit les cookie mais javascript non (et pourtant il ne sont pas des HTTPOnly).
Est-ce un problème de navigateur (j'utilise firefox sous ubuntu)

Désolé si j'en dis trop.

Edit: Finalement, c bon. C'etait une question de navigateur. Si vous avez le meme probleme changer de navigateur.

Bonjour,

pour info, aujourd'hui impossible d’accéder à hacking.newbiecontest.org:10080

cordialement,
CG

Ça fonctionne chez moi

On parie sur un problème de firewall ou de proxy ?

Enjoy

The lsd

surement ça, désolé pour le dérangement

Alors j'ai le même problème, quelqu'un peut-il me dire quel navigateur utiliser ?
Avec firefox je n'arrive pas afficher les gateau avec un simple javascript:document.cookie;
Avec chromium ça marche mais je n'arrive plus à afficher un simple alert("hello"); alors que ça marche très bien avec firefox..

Pleeaase aide-moi je m'arrache les cheveux !!! Déja que j'en ai plus beaucoup  :rolleyes:

En fait, le seul navigateur qui ne possède pas d'anti XSS, et qui baisse donc énormément dans mon estime (il était déjà bien bas depuis des années d'ailleurs), c'est... Firefox ! (oui, IE a une fonctionnalité de blocage XSS, on a évolué depuis IE6 quand même).

Du coup, le browser le plus intéressant pour cette épreuve, c'est Firefox, puisqu'il laisse tout passer :)

Enjoy

The lsd

Bein moi j'ai utilisé un IE8 est ça m'a semblé bien marché. J'ai d'ailleurs préféré d'utilisé IE8 car j'ai eu des soucis pour finir ce challenge sur Firefox (je me rappel pas exactement quelle était le problème mais ça marchait pas comme je voulais.

IE8 ne devait pas avoir de protection anti XSS. Pas de bug connu avec FF en tout cas.

Enjoy

The lsd

Bonjour, je pense avoir trouver le code a envoyé dans le formulaire de mail mais lorsque je l'envoie il me dit pas que j'ai réussi l'épreuve, voici le lien que j'envoie : *********************************************
Censurez moi si sa va pas ;)

modération : en effet

Mais du coup est-ce qu'on pourrait me donner un petit indice pour pouvoir réussir l'épreuve ?

En 23 pages, je pense qu'il y a de quoi faire comme indice :)

Enjoy

The lsd

Alors j'ai une autre question, comment empêcher l'encodage de certains caractère ? car quand je vois dans la barre d'adresse pendant quelque seconde ce qu'est devenu mon lien, certains caractère on été encodé
Merci.

Bonsoir,
alors j'ai trouvé la faille et comment l'éxploitée.

J'ai recuperé des gateaux mais même en les ajoutants au navigateur je n'arrive pas à accéder à l'espace admin.

Voici une partie du gateau en question (avec des modifications):
/* Modéré */

J'utilise mozilla et la barre web-developper pour ajouter ces gateaux à la page "hacking.newbiecontest.org/ep13/membre.php" mais ça ne fonctionne pas.

Les gateaux sont-ils correctes? Faut-il proceder d'une autre manière pour les ajouter?

J'éspère ne pas avoir divulgé trop d'informations..

Merci.

EDIT : Je ne donne pas plus d'infos qu'il y a dans les autres postes (enfin il me semble), je ne détail pas la faille, puis la page de l'épreuve affiche "Il semble que vous ne possédiez pas le cookie d'identification requis pour accéder à cet espace. "

Si tu remplaces un mot par un autre pour être plus discret (et encore, tout le monde aura deviné...), ce serait mieux de le faire dans TOUT ton message...
Sinon je ne me souviens plus de l'épreuve mais j'ai l'impression que tu divulgues un paquet d'infos qui pourraient aider un peu trop.

Edit : Comme je l'ai dit, je n'ai pas regardé ce qu'il fallait faire. Si il faut un cookie et que c'est clairement indiqué, soit. Mais tu n'en dis pas un peu trop avec les informations "étoilées" ?

Bonjour à tous !

J'ai trouvé la fameuse faille, je pense avoir capté la démarche de l'exploitation mais je suis "légèrement" bloqué sur l'alerte : je ne comprends pas pourquoi il est possible d'afficher un texte et pas mon petit cake chocolaté ...
Problème d'encodage ? Un petit coup de pouce serait la bienvenue, merci !


Ediiit : Bon finalement je ferme mon gueule, petit moment de faiblesse dsl ! ;)

Hello

Bon, ça va faire bientôt 7 ans que je me suis inscrit sur ce site, et je n'ai toujours pas réussi à passer cette épreuve...
Voilà où j'en suis :

• La faille de la porte est trouvée et comprise. J'ai donc en ma possession une URL vers une page de ce site qui, lorsqu'elle est appelée, permet de récupérer automatiquement (sans clic sur quoi que ce soit) des "miam-miam/gâteau chocolaté/gourmandise" (barrer la mention inutile :lol:) d'une personne importante pour le site en question. (script de récupération hébergé sur mon site perso).
  L'URL fonctionne bien sur moi, mais je ne suis pas cette personne importante...(dommage...)
• Je souhaite envoyer cet URL a "qui de droit". J'ai essayé toutes les formes pour lui envoyer (html ou non) et j'ai essayé plusieurs encodages pour tenter d'éviter les protections habituelles...mais rien ne se passe... . Je me suis renseigné sur l'URL encoding...mais je bloque toujours

Puisque cette faille est simulée, mon script hébergé ne me sera pas utile. Je n'attends donc plus l'apparition de quoi que ce soit sur le serveur. Il y a donc surement un simple regex qui détermine si le script envoyé est correct. J'ai peur de tourner autour du pot juste à cause d'une syntaxe qui diffère légèrement de la réponse attendue..

Est ce qu'une âme charitable pourrait venir à mon secours svp ?
Merci !

PS : Dur dur de ne pas trop en dire... j'espère ne pas avoir divulgué trop de choses, même si beaucoup a déjà été dit dans les 23 pages que je ne cesse de lire et relire...

Salut Mandrake,

Envoie moi un MP avec ton "truckivabien", je jetterais un coup d'oeil

Enjoy

The lsd

Je trouve que tu en dis beaucoup trop déjà... (comme les posts précédents d'ailleurs)

Pour le problème d'encodage le mieux est de te faire un petit script php qui t'envoie un mail avec ce que tu voulais mettre. Tu verra bien si ce que tu reçoit est correctement formatée ou non.

Bonjour à tous
J'ai lu les 23 pages et en effet j'ai lu beaucoup de choses intéressante qui m'ont clairement aidé
Je pense vraiment être sur la bonne voie
j'ai crée un fichier PHP qui devrait écrire les infos du petit gateau dans un fichier .txt.
J'ai testé ce script et dans la barre de l'url j'ai toutes les infos de mon petit gateau
mais j'ai rien dans mon .txt
Déjà est ce que je suis sur la bonne voie ?
Et si oui quelqu'un aurait il une idée de la raison pour laquelle rien ne s'écrit dans ce fichier ?

Merci

Il peut y avoir pas mal de raisons, mais ça risque de spoiler si on en parle ici. Envoie un PM, ça sera plus simple

Enjoy

The lsd

Bon, 1 mois plus tard, j'y suis toujours....
Je lâche pas l'affaire, mais je pense sérieusement que quelque chose ne tourne pas rond avec cette épreuve.

Mon lien fonctionne parfaitement. J'ai développé en PHP une page similaire à celle d'envoi. Le lien que je récupère sur ma boîte perso est donc correct et effectue le travail demandé. Ce lien est même joliment formulé pour ne pas avoir l'air trop menaçant...

ALORS IL ATTEND QUOI L'ADMIN POUR CLIQUER SUR MON LIEN ???  :!: :!: :!:

Nan mais en fait, ce qui se passe, c'est que tu es têtu comme une mule. T'as pas suivi les conseils que je t'ai donné ! Relis tout ce que je t'ai dit, et tu verras, ça passera mieux.

Oh, et quand tu l'auras validée, tu pourras revenir sur ce topic pour dire qu'effectivement, t'es une tête de mule, et que t'aurais pu réfléchir un peu plus avant de rager ? :p

Enjoy

The lsd

Yop !
Ça c'est clair! Je suis têtu comme une mule. Sinon, ça ferait belle lurette que j'aurai lâché l'affaire  :lol:

J'ai pourtant suivi les conseils que tu m'as donné en MP (il manquait effectivement des choses) et j'ai bien fait attention au browser (tel un bon petit Mario) et au fait que ce dernier veuille me simplifier la vie... (il y a, si j'ai bien compris, un post qui en parle indirectement en 2eme page du forum).

Ce que je ne comprends pas, c'est en quoi cette faille est "ultra-réaliste" (dixit Nebelmann en 4eme post de ce thread) puisqu'on dirait que la vérification de la réponse ne se fait qu'a l'aide d'un simple regex (personne ne cliquera sur mon lien si j'ai bien compris).

Je suis sûr que je loupe quelque chose qui doit être gros comme le nez au milieu du visage....mais quoi ?
Je vais trouver, je vous le jure !

Envoie ton script en MP + vient sur IRC si tu veux, je vais regarder

OK grâce à Pijiu, ça fonctionne maintenant.
Ceci dit, ce que j'avais fait me semble tout à fait correct mais ne semble pas fonctionner dans cette épreuve...

RDV en afterwards pour vérifier si j'ai merdé ou si cette épreuve est légèrement buggée...

Maintenant pour tout ceux qui galèrent encore sur cette épreuve, j'apporte ma pierre à l’édifice

• Cette épreuve est effectivement "ultra-réaliste", mais possède un petit plus qui ne l'est pas et qui permettra de s'en sortir à ceux qui ont la flemme de coder ou de prendre un hébergement
• L'admin est très con,... mais pas tant que ça. En effet, il ne clique que si une grande majorité du message est lisible. Si c'est trop incompréhensible, il ne clique pas
• La boite mail de l'admin n'est pas en HTML, donc inutile de lui envoyer un joli message
• Ce n'est pas parce que ça fonctionne sur vous que ça va forcément fonctionner sur l'admin (je dois vérifier ce point dans l'afterwards d'ailleurs). Redevelopper un formulaire d'envoi pour voir ce que vous recevez sur votre boîte ne vous sera d'aucune utilité (mis à part pour apprendre à écrire ce formulaire  =) )

Sinon, c'est une super épreuve qui permet d'apprendre beaucoup de choses. Passez-y un peu de temps. Les histoires de portes c'est bon...mangez-en !

Bonjour tout le monde,

Je bloque un peu sur cette histoire de portes, même après avoir déjà pas mal parcouru ce forum. :/
J'ai découvert qu'une certaine balise n'était pas très sécurisée sur la page index, mais j'ai du mal à l'exploiter. Je peux ajouter des attributs à la balise, mais bizarement si j'ajoute un attribut prenant un script en paramètre (onclick ?) la valeur passée via url n'est jamais prise en compte pour cet attribut.

Google ne m'aide pas trop là dessus, je n'arrive pas y trouver de cas similaires ou de raisons (sécurités ?) pour lesquelles les valeurs de ces attributs ne sont pas prises en compte. Quelqu'un aurait-il une explication ? Suis-je sur la bonne voie ?  =)

Ça devrait être mieux maintenant. Si ça ne fonctionne toujours pas, envoie moi un PM ou passe sur IRC, on verra ton problème tous les deux.

Enjoy

The lsd

But de l'épreuve : accéder à la zone réservée aux membres.

Cela fais plus d'un mois que j'essaye de trouver un moyen d'acceder à la page réservé au membre pour trouver le code de l'épreuve. En faitc'est la valeur du cookie ...

Ahhh parfait :D
J'ai pas possé plus loin mais je peux afficher une alert sans soucis  =) j'ai gagné un cookie ? ;)

merci

Bon, je crois que je vais devenir dingue.

J'arrive à bidouiller l'URL de la première page pour en faire ce que je veux, mais la page ne change pas d'un iota.

Je peux ajouter une image, faire un lien, un onload() onerreor() que que je fasse j'ai juste l'image qui ne s'affiche pas et au grans jamais le javascript se lance.

Pourtant le html je suis sur que c'est bon car si je copie le source de la page que j'ai bidouillé par injection en local et que j'ouvre le fichier ça marche.....

Je deviens fou!

Il y a des risques que le chall fonctionne mal sous chrome/IE (posez pas la question, vous voulez pas savoir), il vaut mieux faire ça sur FF pour le moment, je suis dessus.

Enjoy

The lsd

Il me semble que la dernière fois que j'ai utilisé FF, ça a fait planté mon ordi x)

A mon humble avis c'est plus une question d'ordinateur que de challenge

+1

Il n'y a pas grand chose (comprendre rien du tout) qui peut faire crasher un browser dans ce chall, ni dans aucun j'ai envie de dire.

Enjoy

The lsd

Bonjour,

Après lecture des 24 pages, je pense avoir compris les manipulations à effectuées.

Elles se font en au moins 2 étapes  :wink:

Je bloque à la première !!

Comme les autres, j'ai bien un script de récupération des gateaux que je veux faire cliquer par l'admin, mais rien ne se
passe. J'envoie pourtant un message à l'admin avec mon petit cadeau, mais il m'indique juste que le message a bien été envoyé. Pourtant, mon cadeau pointe bien sur son site avec la porte.
Sur cette porte, j'arrive parfaitement à faire afficher une alert, et donc en théorie, je devrais pouvoir avoir le gateau !!

J'ai compris que l'admin était simulé et que les infos du gateau ne seraient données que si mon cadeau avait la bonne syntaxe.

C'est bien joli, mais des syntaxes, il risque d'y en avoir un tas, un peu comme les fautes d'orthographes !!
J'ai ajouté une trace dans mon script qui m'indique d'ailleurs que l'admin n'y passe pas, ce qui confirme que la faille est simulé.

Quelq'un peut-il me filer un indice pour trouver la bonne syntaxe? car le côté réaliste s'arrête là malheureusement, d'après ce que j'ai pu lire sur le forum. Si c'est juste une vérif de syntaxe, je peux longtemps tourner en boucle et en bourrique :D

Merci d'avance de votre coup de main, car j'aimerais bien passer à la suivante sans perdre mon temps sur une condition que je n'ai pas codé et que j'aurai du mal à deviner.

Salut sfxo,

Effectivement, c'est simulé. Mais la simulation est quand même très large, si tu ne fais pas des trucs alambiqués, ça devrait rouler. Je rappelle une fois de plus qu'il vaut mieux utiliser FF pour cette épreuve. Si jamais tu ne trouves pas, envoie moi un PM

Enjoy

The lsd

Bonjour,

Challenge réussi. Merci à ceux qui m'ont aiguillé.

Quelques conseils mais pas trop :
- La faille est 100% réaliste
- Pas besoin d'avoir un site extérieur, une adresse bidon suffit pour les gateaux.
Ca marche aussi avec un vrai site extérieur d'ailleurs et tout ce qui va bien !!
- Pour le reste, je ne peux pas en dire plus même si j'avoue avoir été bien aidé sur un point précis
qui m'a permis de me débloquer.

Bonne recherche et merci à newbiecontest. :wink:

Bonjour,

Peut on me dire si quand la faille est bien exploitée, la "réponse" est elle instantanée?

Merci !

Bonjour,

J'ai écris ce que je crois être un scenario d'exploitation valide, cependant je bloque sur ce que je crois être un problème d'implémentaiton de la simulation. Quelqu'un ayant validé serait-il disponible par MP pour que je lui envoi mon scenario et mes réflexions pour qu'il m'aiguille un peu ?
Merci :)

Pour ceux qui viennent de découvrir le site tout comme moi, n'utilisez pas Chrome... j'ai perdu 2 heures à cause de ça mdr :p

Bonjour tout le monde, je sais que cette épreuve est vieille mais je commence à peine sur ce site donc voilà ^^. Je suis un peu bloqué, d'après les autres messages sur ce topic d'aide certains ont réussi à exploiter une faille XSS or je n'arrive pas même en mettant du code dans les champs du formulaire (mail) et dans l'URL voilà est ce que quelqu'un aurai une piste ? Bonne journée  =D

Honnêtement, je pense que tu trouveras ta réponse dans les 25 pages de topic. ;)

Tout ce que je peux te conseiller, c'est de te renseigner sur ce qu'est une faille XSS, quels sont les vecteurs classiques d'attaque pour ce genre de faille, et de bien faire attention à tout ce qui est proposé sur le site de l'épreuve.

Rien n'a été laissé au hasard.

OK merci je viens de réussir à faire une alert  :twisted: c'est bien parti :)

Dsl de demander encore une fois mais est ce que l'épreuve est réaliste au point que l'administrateur puisse interagir avec le mail ?

https://www.newbiecontest.org/forums/index.php?topic=647.msg41030#msg41030


Je t'ai pourtant dit de lire les 25 pages.

Ok c'est bon merci d'avoir pris le temps de me répondre j'ai réussi ^^

Bonsoir !
J'ai réussi à exploiter la faille, à récupérer ce qu'il faillait. Mais bizarrement le champs p**s de ce que je récupère est vide: bug ou défaut de mon exploit ?
Merci de votre réponse ! :)

EDIT: J'ai réessayé aujourd'hui: ça fonctionne ! C'était donc bien un bug ! :)

Bonjour,

L'administrateur clique-t-'il toujours sur les liens qui lui sont envoyés ?

J'ai l'impression que non... il est parti en vacances ou c'est moi ?  =D

newgames

Salut !
Il clique (c'est automatisé heureusement !)
Bon courage

Ça fonctionne toujours ? L'admin ne clique sur aucun des liens que je lui envoie par le formulaire, même quand je lui fais un beau message tout bien écrit...

J'utilise Firefox et le lien envoyé exploite correctement la XSS, ça fonctionne bien de mon côté.

Hello,

Après vérification, le chall est toujours fonctionnel sur FF (version 54.patate) :)

Enjoy

The lsd

Bonjour,

Quelqu'un pourrait t'il me contacter en privé pour que je lui expose mon code car j'ai un petit doute depuis 3 jours dessus  :/

Merci par avance :)

Salut !
Envoie-le moi sur discord ou irc :)

Merci :)