Web - Client

Je suis un peu embêté avec ce chall, j’ai peut etre une idée pour leurrer le proxy, mais je ne vois pas comment je peux voir quelquechose au quel je n’ai pas accès, sans avoir non plus le moyen d’obtenir ce qu’il faudrait pour y accéder...
le chat qui se mord la queue... ou la carte de membre mais il faut déjà etre membre pour l’avoir ...

pour réduire un peu le champ de recherche :
– Est ce que c’est une faille spécifique à CE proxy ou c’est général aux proxy de ce type ?
– Est ce que les admins se connectent depuis internet ou uniquement de l’autre coté du proxy ?
– Est ce que le cache est identique pour les 2 cotés du proxy ?

merci

Bonjour.

J’ai réussi à envoyer l’injection, elle semble bien marcher car après avoir effacé mon cache et réinterroger le site, j’obtiens le code injecté. Du coup, je me demande si le bot de l’admin passe toujours et à quelle fréquence.

Merci d’avance 🙂

en fait, c’était dans ma question précédente, puisque j’arrive à faire la même chose, mais rien ne se passe... aucun gâteau en vu !

du coup je me demandais si le proxy n’était pas 2 proxies... soit 2 caches... (peu probables, mais pourquoi pas...)

J’ai aussi pas mal de pb avec mon cookie de session, j’ai souvent des "Bad spip_session cookie ! Bye !" sans trop savoir pourquoi, puisque mon cookie est bon !

Est-ce que je pourrais contacter en MP une des personnes ayant résolu ce challenge pour avoir un indice ? Après de nombreuse tentative, je ne comprends pas pourquoi mon injection échoue.

Le problème avec ce genre de challenge, avec un admin qui se "connecte" régulièrement, c’est qu’on a aucune info sur le contexte du client : est ce qu’il a accès à internet (ou juste en local), est ce que c’est juste un curl ? est ce que le javascript est activé ? est ce qu’il charge les images ? etc... en gros il faut beaucoup tâtonner.

Salut
A l’heure ou j’écris le service ne réponds plus...
http://challenge01.root-me.org:58002/ hs

Salut peyman, le challenge est à nouveau disponible !

Je suis dans la même situation.
J’injecte ***************** je retrouve bien ma page par la suite mais l’admin ne semble jamais venir.
Ou alors j’ai tout faux...

Quelqu’un peut vérifier si le challenge fonctionne svp ?

Salut gwen001, tu as déjà les bonnes étapes mais c’est juste qu’elles ne sont pas dans le bon ordre d’exécution.
Bon courage ;)

Ok, je vais réessayer, merci :)

Bonjour,

Je pense avoir tout compris mais mon exploit ne fonctionne pas, serait-il possible d’envoyer mon exploit à quelqu’un pour voir ce qui ne va pas ?

Merci

Bravo soka :), challenge validé !!

EDIT : si tu peux me dire en privé ce qui te bloquais :D