Ton premier hack, en 60 secondes
Chaque Hack du jour fonctionne pareil : lis le briefing, regarde les indices, tape la réponse. Essaie ici d'abord - sans XP, sans pression.
Les développeurs laissent parfois dans le code source d'une page des notes que les visiteurs ne voient jamais. Cette page de connexion en contient une. Lis le code ci-dessous et trouve le mot de passe du staff.
<form action="/login" method="post">
<input name="user" placeholder="Username">
<input name="pass" type="password" placeholder="Password">
<!-- TODO : retirer avant la mise en ligne - le mot de passe du staff est "sunrise" -->
<button>Sign in</button>
</form>
M2F14M3
Résolu par
Le cookie qui était un objet
L'application Java de Pennywharf stocke votre session dans un cookie et lui fait confiance au retour. Le cookie n'est ni un token signé ni du JSON : c'est l'objet de session brut, encodé. Cela a son importance, car si le serveur reconstruit un objet directement à partir d'octets envoyés par un client, c'est le client qui choisit ce qui est construit. Décodez le cookie dans le workbench et lisez la signature tout au début. Nommez le format dans lequel ce cookie se trouve réellement.
Joue librement - inscris-toi pour valider ta réponse et gagner de l'XP.
Bien joué !
Inscris-toi gratuitement pour réclamer tes +10 XP et lancer ta série.
Réclamer +10 XP - inscription gratuite