CTF #nullcon 2012: Web 5

February 1, 2012
tuxotron
Cyberlab, Seguridad, Hacking

En la quinta y última prueba de esta categoría nos encontramos con:

Do You Have What IT Takes to Break into the World’s Most Secure Login System?

El sistema más seguro del Login del mundo. Cuando vamos a la página de Login nos encontramos con:

Y aunque en esta prueba no nos dan ninguna pista en el código de la página, si que nos la dan en el nombre de la “empresa” que creó esta pantalla de Login: MERASEQUEL. Automáticamente asumí de que se trataba de una inyección de SQL.

Después de ponerme a meter basura como un loco, la página detecta y evita los espacios en blanco y la igualdad (=). A mi me dio el flag introduciendo en username: ’!=‘1’– y en el password: ’!=‘1

Luego por curiosidad hice otras pruebas y cosas como: ’<>‘1 también se las tragaba. Al final nuestro flag era: 47c1b025fa18ea96c33fbb6718688c0f