Решили с mailbrush баловать вас заданиями. Предлагаю всем желающим пройти моё задание, в финале которого вы не только получите опыт работы с видом атаки под названием Length Extension Attack, но и заработаете баллы репутации. Дано: Antichat.Bank https://antichat.team/tasks/bank/ Вид атаки: Length Extension Attack Вам необходимо авторизоваться под админом и получить флаг. Решение принимаю личным сообщением, от вас флаг и само решение(скрипт), после этого отписываете свои пожаления/отзывы в этой теме и получаете репутацию. Задание пройдено: <Cyber-punk> yarbabin blackbox Felis-Sapiens Га-Ноцри t0ma5
Прошел, круто, понравилось, но слишком "по инструкции", т.е. чувак гуглит, качает тулу, вбивает данные и получает ответ Сделай таск многоуровневым, чтобы до финальной атаки (которая тебе в итоге и дает флаг), нужно было идти не в два запроса) Можно, например, взять реальные CVE, которые были актуальны пару лет назад, и с помощью них пускай участники и получают нужные для решения задания данные. Это только пожелание, не более. Ну типа, "условия, приближенные к реальности" и все такое
Изя, ты предлагаешь найти коллизию? Какой алгоритм шифрования хоть?Даже для мускула <5 это серьёзная задача... P.S. Что удлинять-то конкретно нужно? ху...? доходит вроде... подпись в банке Античат... ток Ребз у стариков забрал подписи сцука....
решение(скрипт) - точно не по мне, писать ничего не буду, даже инструменты искать не буду, если во втором задании надо POST отправлять, темки поддержал уже думаю не плохо, стимулы не те для меня, а спать уже охота, в любом случае после зимней спячки полезность для многих... P.S. Я сегодня вспоминал/искал куда файл дампится из Phpmayadmin, о каких тут квестах об атаках таймшифт и лонгмессадж может идти речь - слышу в первый раз.
Может кто-то помочь разобраться с этим "очень легким" заданием? скрипты я находил, но хотелось бы понять уязвимость!
Есть просьба\пожелание. Не надо все-таки оказывать "помощь" тем кто проходит задание и выкладывать сигнатуры подписи, дальше уже совсем тогда никто не будет шевелить мозгами, тем более что самими скриптами под атаку весь гитхаб пестрит.
Очень интересное задание, спасибо больше автору) Буду ждать следующее. В качестве предложения внесу следующую мысль: может завести страничку где будет видно кто решил какой таск ? И таскам присвоить некоторую стоимость, что-бы сделать топ со временем. Иными словами сделать долго-текущий ctf со скорбоардом
Спасибо за повод почувствовать себя тупым! Ещё раз убедился что криптография не моё. Локалхост и метод тыка рулят
Встречал такое на практике в приложениях под андроид. Всегда обращайте внимание на HMAC, когда изучаете исходники.
Даже не знал об этой атаке, до текущего таска, копался 3 дня. В итоге вся соль оказалось в том что пробел не учитывал. Автору спасибо.
