Прохождение задания UNDER CONSTRUCTION на Google CTF 2023 | КАК ПРОЙТИ UNDER CONSTRUCTION GOOGLE CTF

Подписаться 24 тыс.

Просмотров 17 тыс.

50% 1

КАК РЕШИТЬ задание UNDER CONSTRUCTION на Google CTF 2023?
Привет! На связи Mekan aка MrCyberSec.
В этом видео я демонстрирую подход к решению задания UNDER CONSTRUCTION представленном на Google CTF 2023. В этом задании мы будем эксплуатировать разницу в парсинге параметров запроса у двух разных стеков: PHP и Python (Flask).
HTTP Parameter Pollution:
portswigger.net/web-security/...
Надеюсь, видео окажется вам полезным!
Если остались вопросы, задавайте их в комментариях - с радостью помогу!
------------------------------------------------------------------------------------------------------
Мои статьи и врайтапы: maddevs.io/blog/authors/mekan...
Заказать услуги: maddevs.io/cybersecurity/
Telegram: t.me/MrCyberSec_channel
Boosty.to: boosty.to/mrcybersec
X/Twitter: / _mrcybersec
HackTheBox: app.hackthebox.com/profile/70...
LinkedIn: / mekan-bairyev

Опубликовано:

3 янв 2024

Ссылка:

Скачать:

Готовим ссылку...

Добавить в:

Мой плейлист

Посмотреть позже

Комментарии : 60

@MrCyberSec 7 месяцев назад

Друзья, ютуб после загрузки усветлил мое видео почему-то. Не знаю с чем это связано.. Надеюсь, это не сильно скажется на удовольствии от просмотра.

@dansterdeeg494 7 месяцев назад

Возможно из-за HDR, но я не уверен

@factorealrus 5 месяцев назад

на маке в темноте смотреть невыносимо, глаза просто выжигает насколько ярко светит белый... и проблема только с твоими видео (не только с этим но и с последующими) и только на маке с oled экраном UPD: да, проблема в hdr

@MrCyberSec 5 месяцев назад

@@factorealrusПроблему исправил в последнем видео.

@yaalex25 5 месяцев назад

Офигеть, такая вещь как "с какого конца считывать параметры запроса", может привести к уязвимости... Как-то даже страшно теперь писать бекэнды)

@user-gu2eb8ct1b 4 месяца назад

А те то что. Пизды то девопс или безопасник, если имеется

@kup9l1508 7 месяцев назад

Попугай зарешал 😁 👍👍👍

@llevvt 7 месяцев назад

Спасибо огромное за видео! Мне иногда не хватает терпения сидеть и разбирать код, но после просмотра таких вот разборов становится понятно, что это не так сложно, как выглядит Спасибо за понятные объяснения!

@MrCyberSec 7 месяцев назад

Пожалуйста:)

@rockkley9159 5 месяцев назад

Спасибо! Наткнулся недавно на канал. Один из самых интересных, что я видел.

@maxbelov3458 4 месяца назад

Хвала рекомендациям! Спасибо за подробные объяснения, пока мало чего понимаю, но безумно интересно; сразу подписался)

@keiVision 7 месяцев назад

Контентище на высоте. Продолжай - буду смотреть

@ckandal 7 месяцев назад

Здорово!

@TheAgressor13 7 месяцев назад

очень годный контент, давай еще ! с:

@rayleon5696 7 месяцев назад

Спасибо большое, очень познавательно.

@ctaxegg 7 месяцев назад

Контент кайф, картинка космос! @MrCyberSec всегда приятно смотреть на твои размышления

@MaxVirtual-jl8kh 7 месяцев назад

контент огонь, подписка лайки

@CamelCase-dg6xp 7 месяцев назад

Всё прослушал и просмотрел. Весь видос смотрел на прекрасного попугайчика)))

@MrCyberSec 7 месяцев назад

:)))

@alexeyivanov4043 5 месяцев назад

Отличный канал, продолжайте

@user-el1ci9ek6y 5 месяцев назад

Шикарно. Спасибо

@dinissamigullin8619 7 месяцев назад

Спасибо. Подписался)))

@isthereanyvacantname 7 месяцев назад

Крутое видео!

@araratisraelyan 7 месяцев назад

Крайне интересно было смотреть

@vasopython1547 7 месяцев назад

с праздниками, отличный канал! но хотелось бы еще телегу, потому как ютуб ненадежен.

@pu3an0v 7 месяцев назад

С попугаем хорошо!

@cheatsdetected 5 месяцев назад

Есть еще похожая история с X-Forwarded-For хедером, в котором передаются айпи всех прокси/гейтвеев/лоад балансеров и тд, через которые прошел реквест. Какие то веб-серверы считывают айпи из значения хедера начиная с начала, какие то с конца.

@MrCyberSec 5 месяцев назад

Хм, не знал об этом, спасибо!

@maxchernbiw 3 месяца назад

Отсылка к мортал комбату зашла 😂

@user-dw9mq9hy3f 7 месяцев назад

А сделай, пжл дорожную карту. Было бы отлично, подтянуться по правильному вектору

@MrCyberSec 7 месяцев назад

Рекомендую ознакомиться с академией веб-безопасности от портсвиггер: portswigger.net/web-security

@MaxZhukovVrn 7 месяцев назад

Не совсем понятен ход рассуждений 11:13. Это была угадайка? Можете пояснить как был сделан вывод, что raw_request будет по разному прочитан фласком и php?

@MrCyberSec 7 месяцев назад

@MaxZhukovVrn не совсем, ведь как я сказал дальше в видео, python возьмет первый параметр, а php второй и это был известный факт для меня. Поэтому когда я увидел что фласк в PHP передает все тело запроса, а не формирует его сам из тех параметров, которые получил через request.get, все стало понятно.

@Ground1981 5 месяцев назад

Пернатый подсказывал! Так не честно 😂

@MrCyberSec 5 месяцев назад

😂😂

@user-kn5wc9rw5d 5 месяцев назад

Мы валидировали (ввод пользователя), валидировали, да не вывалидировали... Это ж надо - пробросить raw-ввод (необработанный препроцессором текущего app!) ещё куда-то. Лень было сбилдить _новое тело_ запроса?) - ну то есть где значение параметра уже имеет значение, которое текущий обработчик посчитал валидным. jk jk это же все just 4 fun.

@MrCyberSec 5 месяцев назад

Ситуация в челленже утрирована для наглядности. В реальности подобное поведение встречается, но не настолько очевидно:)

@Mila_shirmina 7 месяцев назад

Попугайчик ❤️‍🔥

@user-gh3bs7xk1h 5 месяцев назад

а что для того что бы быть специалистом БП нужно знать языки программирования?

@MrCyberSec 5 месяцев назад

Неплохо бы

@the.astarta 7 месяцев назад

Вдвойне приятно смотреть- попугай 🔥

@saulgoodman2269 6 месяцев назад

Доброго времени суток! Некоторые видео удаляются, или мне показалось? Зашел пересмотреть видео прохождения Linux-машины (минут 30 было), но не нашел(

@MrCyberSec 6 месяцев назад

Доброго! К сожалению, пришлось видео с прохождением HTB машин на время скрыть, так как они нарушают некоторые правила платформы. Сейчас нахожусь в разъездах, но на следующей неделе обязательно продолжу выпускать новые прохождения.

@artemmarenko8555 5 месяцев назад

@@MrCyberSec , приветствую! Не хотите куда-то перезалить видео, которые скрыли? Например, телеграм, или быть может бусти. Что-то в таком роде.

@MrCyberSec 5 месяцев назад

@@artemmarenko8555 Приветствую, возможно так и сделаю..

@gunjeek 5 месяцев назад

Поддерживаю! За такой контент, готов оформить платную подписочку 😉

@JavangelionTV 7 месяцев назад

Куда делся ролик про Surveillance? Только вчера его лайкал, сегодня уже не могу его найти.

@MrCyberSec 7 месяцев назад

Ютуб удалил из-за нарушения авторских прав HackTheBox. Разбираюсь с этим..

@eeak 7 месяцев назад

@@MrCyberSec Еще кучу роликов удалено. Где посмотреть можно ?

@MrCyberSec 7 месяцев назад

@@eeak я их скрыл по запросу HTB, и буду возвращать назад по мере того, как машины будут переходить в статус "retired". Не беспокойтесь, следующее видео будет не менее интересным!

@user-gh3bs7xk1h 5 месяцев назад

я вот только не понял откуда взялись исходники

@MrCyberSec 5 месяцев назад

Перед началом задания предлагалось скачать.