Дополнительные главы практической безопасности (2021)/Задания по XXE: различия между версиями

Материал из SecSem Wiki
Перейти к навигации Перейти к поиску
(Новая страница: «Первый флаг можно найти в приложении http://xxe-indirect.tasks.course.secsem.ru/, он в файле <code>/opt/src/flag</code>. В…»)
 
Строка 1: Строка 1:
Первый флаг можно найти в приложении http://xxe-indirect.tasks.course.secsem.ru/, он в файле <code>/opt/src/flag</code>. В этом приложении нет флагов кроме этого обязательного. Также, флаги стоит поискать в приложении http://xxe-oob.tasks.course.secsem.ru/ и в [http://xxe-shop.tasks.course.secsem.ru/ этом интернет-магазине]. В последнем 2 обязательных флага, для их получения стоит попробовать использовать error-based эксплуатацию XXE. Кроме того, для эксплуатации в последних двух сервисах может помочь такая особенность XML-парсера Java как выдача листинга директории при чтении её как файла.
+
Первый флаг можно найти в приложении http://xxe-indirect.tasks.course.secsem.ru/, он в файле <code>/opt/src/flag</code>. В этом приложении нет флагов кроме этого обязательного. Также, флаги стоит поискать в приложении http://xxe-oob.tasks.course.secsem.ru/ и в [http://xxe-shop.tasks.course.secsem.ru/ этом интернет-магазине]. В последнем 2 обязательных флага, подсказки где они стоит искать на главной странице, для их получения стоит попробовать использовать error-based эксплуатацию XXE. Кроме того, для эксплуатации в последних двух сервисах может помочь такая особенность XML-парсера Java как выдача листинга директории при чтении её как файла.

Версия 00:26, 8 марта 2021

Первый флаг можно найти в приложении http://xxe-indirect.tasks.course.secsem.ru/, он в файле /opt/src/flag. В этом приложении нет флагов кроме этого обязательного. Также, флаги стоит поискать в приложении http://xxe-oob.tasks.course.secsem.ru/ и в этом интернет-магазине. В последнем 2 обязательных флага, подсказки где они стоит искать на главной странице, для их получения стоит попробовать использовать error-based эксплуатацию XXE. Кроме того, для эксплуатации в последних двух сервисах может помочь такая особенность XML-парсера Java как выдача листинга директории при чтении её как файла.