Ton premier hack, en 60 secondes
Chaque Hack du jour fonctionne pareil : lis le briefing, regarde les indices, tape la réponse. Essaie ici d'abord - sans XP, sans pression.
Les développeurs laissent parfois dans le code source d'une page des notes que les visiteurs ne voient jamais. Cette page de connexion en contient une. Lis le code ci-dessous et trouve le mot de passe du staff.
<form action="/login" method="post">
<input name="user" placeholder="Username">
<input name="pass" type="password" placeholder="Password">
<!-- TODO : retirer avant la mise en ligne - le mot de passe du staff est "sunrise" -->
<button>Sign in</button>
</form>
M2F14M3
Résolu par
L'origin à qui il a fait confiance
L'API de compte de Halcyon répond aux requêtes du navigateur depuis sa propre application web, et pour que ça fonctionne sur plusieurs domaines, l'équipe a laissé le serveur décider à chaque requête. Il lit l'en-tête Origin envoyé par le navigateur et, s'il ressemble à l'un des leurs, le renvoie tel quel comme origine autorisée en indiquant que les credentials sont acceptés. La page d'un attaquant peut envoyer l'Origin qu'elle veut. Remplace l'Origin par le site de l'attaquant et lis ce que l'API lui renvoie.
Joue librement - inscris-toi pour valider ta réponse et gagner de l'XP.
Bien joué !
Inscris-toi gratuitement pour réclamer tes +10 XP et lancer ta série.
Réclamer +10 XP - inscription gratuite