Seu primeiro hack, em 60 segundos
Todo Hack Diário funciona igual: leia o briefing, olhe as evidências, digite a resposta. Experimente aqui primeiro - sem XP, sem pressão.
Desenvolvedores às vezes deixam no código-fonte de uma página notas que os visitantes nunca veem. Esta página de login traz uma. Leia o código abaixo e encontre a senha da equipe.
<form action="/login" method="post">
<input name="user" placeholder="Username">
<input name="pass" type="password" placeholder="Password">
<!-- TODO: remover antes do lançamento - a senha da equipe é "sunrise" -->
<button>Sign in</button>
</form>
A origem em que ele confiou
A API de contas da Halcyon responde a requisições do navegador vindas do próprio app web e, para funcionar em alguns domínios, a equipe deixou o servidor decidir a cada requisição. Ele lê o header Origin que o navegador envia e, se parecer um dos seus, devolve esse valor direto como a origem permitida e diz que credenciais são bem-vindas. A página de um atacante pode enviar qualquer Origin que quiser. Mude o Origin para o site do atacante e leia o que a API devolve para ele.
Jogue à vontade - cadastre-se para enviar sua resposta e ganhar XP.
Mandou bem!
Cadastre-se grátis para resgatar seus +10 XP e começar sua sequência.
Resgatar +10 XP - cadastro grátis