HackTheBox. Прохождение Falafel. Уровень — Сложный

[artyombykov461]

У нас в Тинькофф на внутренних pentest-воркшопах тоже гоняли подобные сценарии (SQL injection через формы авторизации). Забавно, но в реальном коде чаще всего дыры вылезают НЕ в явных input'ах, а в фильтрах типа ordering/sorting в Django ORM, где разработчики напрямую подставляют параметры из request.GET в .order_by(). За три года code review нашел таких мест штук пять у junior'ов. А с CTF основная проблема — они учат искать дыры, но не учат правильно закрывать их в production-коде (prepared statements и ORM вместо string concatenation).

[000-Vladimir-000]

Читая подобные статьи с прохождением, у меня всегда возникает вопрос: где обучают подобным вещам?

[Yashechka]

Привет. Вступай в академию HTB, там всему этому учат.

[seobuster]

Интересная тачка. Флаг рута вообще изи, но сама тачка в целом не сказать чтобы слишком хардовая. Интересные решения, уязвимость wget необычная, такую не встречал ранее. А вот sql инъекция, обход загрузки файлов с помощью magic bytes и подмены расширений впринципе известные вещи. Также немаловажно при использовании sqlmap указать нужные параметры, иначе он может не отработать и можно уйти вообще в другой вектор, а решение было под носом.

[Yashechka]

Добрый день. Спасибо за Ваш комментарий.