An army of hackers has stolen the flag from our rabbits. Security experts have failed to capture the flag and some have even gone mad. Please…GIMME THE FLAG!!
http://web1.ctf.followthewhiterabbit.es:8001/
En este reto nos encontramos con la siguiente web:
Una de las primeras cosas que siempre pruebo en webs nuevas es ver si existe un robots.txt, y efectivamente:
La abrimos y nos encontramos esta web:
Si nos fijamos en la url veremos que esta incluyendo un archivo, muy probablemente estemos ante un LFI, pero no sabemos la ubicación de la flag, así que vamos con el siguiente paso lógico, mirar el código de la página y ¡sorpresa!:
Ya hemos localizado el path de key2, editamos la url para que nos abra dicho archivo y obtenemos esto:
Vale, pero nos falta localizar key1, viendo la cantidad de comentarios que hay en la web referentes a key me puse a leer el todo el código que pude encontrar en la web, primero html, y luego css … y mirar lo que me encontré en uno de ellos:
¡Ya tenemos las dos keys! Solo nos falta introducirlas en el formulario y obtenemos la flag y una chic chic chica muy guapi:
Como comentario final decir que los comentarios se pueden extraer todos juntos utilizando el engagement de burp, find comments de forma automática lo que facilita esta prueba. Gracias Patatas por el tip.
Una anécdota curiosa de este reto fue que lo terminé en cama con el móvil, ya había sacado key2 desde el portátil pero ya era tarde y me fui a la cama; en lugar de leer un libro como la gente normal, me puse a leer el código de la web desde el propio movil jeje Para los que no lo sepan, yo utilicé firefox en Android y simplemente añadiendo view-source: al principio de la url os mostrará el código de la web.
yo tambien me lei los css pero justo ese no, y lo de los robots.txt se me paso, pero al menos iba un poco bien!