ВЗЛАМЫВАЕМ "Гипнолуч" | TINKOFF CTF 2024 | EASY WEB

Подписаться 24 тыс.

Просмотров 12 тыс.

50% 1

Привет, в данном задании мы проэксплуатируем уязвимости:
- inadequate login check | неадекватная проверка входа
- authentication bypass | обход аутентификации
"Учёные разработали шлем полной защиты от психоизлучателей. На финальном испытании по шлему ударили гипнолучом максимальной мощности. Шлем выдержал, но отразил луч в одного из учёных. Помогите извлечь из его сознания все пакеты гипнотических данных."
------------------------------------------------------------------------------------------------------
Мои статьи и врайтапы: maddevs.io/blog/authors/mekan...
Заказать услуги: maddevs.io/cybersecurity/
Telegram чат: t.me/+ls1duJayGB44YTFi
Telegram канал: t.me/MrCyberSec_channel
Boosty.to: boosty.to/mrcybersec
X/Twitter: / _mrcybersec
HackTheBox: app.hackthebox.com/profile/70...
LinkedIn: / mekan-bairyev
#hacking #linux #ctf #tinkoff #idor #websecurity #coding #programming

Опубликовано:

13 май 2024

Ссылка:

Скачать:

Готовим ссылку...

Добавить в:

Мой плейлист

Посмотреть позже

Комментарии : 62

@user-ym9fp2je8u 22 дня назад

Круто! Хорошо, что исходники приложения тоже дают. Иначе не понятно как можно было бы догадаться про такую уязвимость... Спасибо большое за красивое решение!

@hydrozyk 22 дня назад

Тоже сначала не понят откуда сорс взялся.

@user-zw2lz2zj2x 21 день назад

За фонк на фоне отдельный лайк :)

@user-pf8yr8rz2g 22 дня назад

Спасибо большое, очень приятно вас смотреть, не останавливайтесь

@106axi 22 дня назад

Просто и понятно! Спасибо!

@XZ-cp7wh 21 день назад

Мекан, спасибо за ролик и за задачку в конце ;) Здорово придумано!

@NicolyaLS 21 день назад

За пасхалку - отдельное спасибо 🤣👍

@City_illusions 22 дня назад

Класс!

@MR_Ebobo 22 дня назад

О, интерактивчик подъехал! Давай еще =)

@wkzshixd 22 дня назад

Мегаимба!

@iJaVolo 22 дня назад

Mekan, привет! Спасибо большое за видео! Очень интересно, совсем из другой темы IT для меня, поэтому выглядит как запрещённая магия)) Люблю такое)) Есть просьба. Если не сложно, то в моментах как на 4:00-4:10, например, сделай, пожалуйста больше шрифт/приблизь, чтобы текст было крупнее видно. Даже в очках приходится либо ноутбук к носу подносить, либо приглядываться (хотя в очках зрение 1:1) Люблю твои видео, спасибо, что делаешь их!

@MrCyberSec 22 дня назад

Спасибо! Да, хорошо, буду делать крупнее)

@albertmataev6863 20 дней назад

Аее! по делу ничего не скажу, но в целом подача звук фонк заебись 🤘🏼

@photocanonn 20 дней назад

мемотавр останется вечно в нашей памяти, за решение спасибо - поломал мозг над ней в соревновании но понял что я не вывезу - не силен я в вебе.

@Rulezzz3 21 день назад

Очень нравилась комба кепка + попугай

@misterprada 20 дней назад

Голос - ASMR, контент - великолепный

@maratkhalikov83 22 дня назад

Лайк за Рика:)

@andd3dfx 21 день назад

Превьюшка - топ)

@user-dx8gn1nm6t 22 дня назад

Красиво👍

@user-fg5tg7gw2t 22 дня назад

Всегда с удовольствием смотрю твои CTF, так держать! Скинь фонк в ответ, дружище)

@MrCyberSec 22 дня назад

Эти треки из библиотеки CapCut. Объеденил в один и экспортнул в mp3. drive.google.com/file/d/1KKbgsXz520KanDIjaO3X--vKvS7U6Bdh/view?usp=sharing

@alexeizhukov9972 22 дня назад

Все пляски по ходу с проблемой крутились вокруг ci-collation у СУБД

@smartbyte2760 22 дня назад

Очень интересно, как обычно, но в этот раз как то без огонька объяснение действий.

@MrCyberSec 22 дня назад

Что подразумеваете под огоньком?:)

@smartbyte2760 22 дня назад

@@MrCyberSec Вялый усталый от всего голос, еще более тихий чем всегда, мало разговоров, практически нет объяснения своих действий и предположений. Пожалуйста, моргните 5 раз в следующем видео, если Тинькоф держит вас в заложниках

@MrCyberSec 22 дня назад

@@smartbyte2760 Могу вас понять, но все мы люди, и не всегда у нас есть ресурс быть энергничными:)

@oocemb 13 дней назад

Чёртов Mysql

@Rom4ik4 22 дня назад

Долго ловил бинарный код в конце видео, чтоб сделать скриншот, благо что мак умеет распознавать текст по скрину, спасибо за Rick Astley - Never Gonna Give You Up

@MrCyberSec 22 дня назад

Хехе, круто что вы заморочились и достали рикрол:))

@semchs3000 21 день назад

Можно же 0,25 сделать. Можно с телефона снимать и потом по кадрам листать видео. Я так молнии ловил.

@adekakz9794 20 дней назад

Привет всем. Я новичок в ctf. Сам работаю джавистом. Хотелось бы узнать, всегда ли дают исходники?

@MrCyberSec 12 дней назад

Не всегда. Некоторые таски с исходниками, а некотоыре нет. От самого CTF тоже зависит.

@user-hq5zq2bt9l 22 дня назад

Мекан, уж сильно бил по голове фонк, либо тише его, либо все таки что то поспокойнее, как у других видео) спасибо за твои видео

@MrCyberSec 21 день назад

Иногда долбящий фонк, а порой медитативный расслабон. В этом весь я, люблю эксперименты:)

@wimp825 22 дня назад

А я чёт не понял, в конце видео флаг тот же что и в init-db, нельзя было его оттуда сразу взять?

@samoyed_3133 22 дня назад

Как?

@kostyalolua9703 22 дня назад

у тебя есть отдельно сайт на котором надо взломать и есть исходники, по исходникам понимаешь как получить тестовый флаг, а потом на реальном сайте делаешь также и получишь финальный

@semchs3000 21 день назад

Я понимаю, что человек вправе сам выбирать и вправе меняться, но считаю нужным сказать, что раньше (без музыки и со старой причёской) было лучше.

@CaiN805 22 дня назад

А сейчас уже нельзя воравться в эту CTF? Нужна была регистарция и после окончания нет доступа к заданиям?

@MrCyberSec 22 дня назад

К сожалению уже нет. Но можно участвовать в других CTF. Нынче почти каждую неделю проходят. Гляньте на ctftime.org

@CaiN805 22 дня назад

@@MrCyberSec большое спасибо за ссылку, будет полезной :)

@AlexBelyaev 22 дня назад

Непонятно, зачем делать еще какие-то телодвижения (кроме как с целью проиллюстрировать уязвимости), если флаг лежит плэйнтекстом в скрипте создания БД. Спасибо за работу!

@MrCyberSec 22 дня назад

С целью проиллюстрировать уязвимость, верно. На продакшн версии таска флаг нам не известен, а исходники в виде докер контейнера даются в самом задании, чтобы мы могли их анализировать и найти уязвимость.

@ligreman7888 22 дня назад

я попался на рикроллинг 😄

@MrCyberSec 22 дня назад

@user-mx2sy4kg7x 22 дня назад

Rick Astley - Never Gonna Give You Up (Official Music Video)

@greatdng 22 дня назад

Never gonna give you up Never gonna let you down :D

@antona5877 22 дня назад

Гайз, это где нужно обучиться на такую специальность?

@CaiN805 22 дня назад

Эта специальность называется Информационная Безопасность (или Cyber Security). Обучают где угодно, хоть на курсах, хоть в универе. Если хочешь делать вещи прямо как на видео, советую начать с академии HackTheBox потом перейти в лабу PortSwigger. Поймешь твое - не твое. Но нужен базовый английский.

@gvladimir5664 22 дня назад

А безопасный код существует?😁

@CaiN805 22 дня назад

Только во снах программистов😂

@kayman3415 22 дня назад

3:20 В init-db ведь уже прописан флаг, точно такой же как и в 12:05, или флаг не работает пока мы не залогинимся под доктора космодинамикова🙃?

@chasubavil 22 дня назад

В видео код запущен локально, настоящего флага нет в исходниках, он был во время соревнования прописан в базу на рабочем сервере.

@kayman3415 22 дня назад

@@chasubavil А, понял, спасибо, а я думал че таск то не открывается

@AlexBelyaev 22 дня назад

@@chasubavil Хм, тогда непонятно, как выйти на нужный логин. Или были исходники, но исключительно без флага?

@MrCyberSec 22 дня назад

Да, были исходники в которых прописан мок флаг, чтобы можно было локально потестить, достать флаг, а потом пробовать на продакшн версии таска. Юзернейм тот же.