No cON Name CTF 2014 Final

[ki11obyte]

А может в demDROID предполагалось что участники сделают http запрос через xxe, а подходящий пароль — глупое недоразумение?

[Dor1s]

Да, мне тоже это кажется самым вероятным сценарием, что просто кто-то из организаторов не вовремя ввел пароль, а потом не удалил из истории.

Или еще один вариант, чуть более хардкорный — .bash_history вообще не должен был быть доступен, нужно было прочитать /etc/hosts и затем перебрать через XXE порты хостов Wopr и Osiris, т.к. с наших IP адресов эти хосты не были доступны.

[perfectdaemon]

Увлекательно, и вместе с тем, вполне понятно для тех, кто далек от информационной безопасности!

[Dor1s]

Жаль, что за social engineering не начисляли баллы. Похоже, что мы бы получили first blood, т.к. в самом начале услышали объявление от организаторов, что Интернет доступен через Wi-Fi, а через Ethernet — только игровая сеть.