Web - Client

Bonjour je bloque depuis plusieurs heures ici : http://challenge01.root-me.org/web-client/ch26/
J’ai trouvé ça : http://challenge01.root-me.org/web-client/ch26/?p=OhCaMarchePas et j’essaie désespérément de passer un lien... sur lequel l’admin n’a jamais cliqué :(. Un indice ?
Merci !

La réponse est ici : https://www.w3schools.com/TAGs/ref_eventattributes.asp

Bon courage ;)

Merci beaucoup !
Je regarde ça et je vous tiens au courant ;)

Voici 2 heures que je ne trouve toujours pas 🙁.
Peut-on m’expliquer pourquoi ceci : NOPE ne fonctionne pas ?

Tu es sur la bonne voie. Essaie de modifier ta xss et surtout regarde son rendu dans le code source.

Bonjour !
J’ai réussi à exploiter la faille XSS, j’arrive à m’affcher des alerts ou me redirger vers un autre endpoint... Cependant je ne sais pas si le bot admin utilise une souris simulée... Bref si quelqu’un pourrait me guider, ou même voir mon exploit, ça serait sympa ;)

Nous sommes sur une xss assez réaliste ici. Ne vous bloquez pas à certaines xss. Essayez tous ce que vous connaissez vous aurez de bonnes surprises ;)

Bonjour je pense comprendre ce qu’il faut faire seulement chrome bloque certaines adresses (XSS auditor) (des qu’elles contiennent un event attribute) et Mozilla ne réagit pas du tout de la même manière...

Il est très facile de désactiver la ’’protection’’ contre les XSS de chrome je te laisse chercher. Pour ce qui est firefox, soit tu n’as pas une version à jour, soit tu ne sais pas t’en servir  🙂

Bonjour,

J’essaie ce challenge depuis un petit moment j’arrive a lancer une alert et une redirection mais j’ai testé presque tous les events cité plus haut mais rien n’y fait je n’arrive pas a déclencher mon alert autrement qu’avec une action utilisateur ,j’ai testé tous ce que je savais et même lancé un petit xsser tellement je tourne en rond .

Si vous avez un autre indice je suis preneur mais je vais quand même re-chainer tous les events pour être sur car l’indice donné plus haut est claire . Surement j’ai du rater un chapitre . Ce challenge est vraiment bien.

Bon courage a ceux qui passe par ce post .

L’action utilisateur est une bonne piste. Les outils automatisés sont inutile. Courage ! :)

« L’XSS » que j’ai trouvée fonctionne avec l’attribut mouseover (ou tout autre attribut de souris). Mais j’imagine bien que le bot n’a pas de souris.

La réponse est ici : https://www.w3schools.com/TAGs/ref_eventattributes.asp

Bon courage ;

Ce que je comprends de cet indice c’est qu’il faut s’orienter vers d’autres attributs cependant après les avoir tous testé je n’obtiens pas plus de résultats. Ai-je bien compris ?

EDIT : Chall résolu, le problème ne venez pas de l’event

Bonsoir,

J’ai penser a raccoucir le lien avec bit.ly comme une exploitation "classique"

suis-je sur le bon chemin ?

Non pas du tout

Donc il y a bien un payload qui fonctionne sans avoir à le cacher.

[Th1b4ud : spoil. Tu es sur la bonne piste]

Le bot doit-il être immédiatement rediriger vers notre serveur ? ou doit-on utiliser une action de l’utilisateur précise ?

Dernière question. Est-ce que www.requestbin.com a banni root-me ?

Il ne faut plus utiliser requestbin. Une alternative comme https://beeceptor.com/ est disponible

Bonjour,

J’aurais besoin d’un renseignement, je pense que j’ai trouvé le bon code, sauf que quand j’essai d’exécuter mon code final, il me réinitialise la page.
’Ce site est inaccessible’

J’ai essayé différent outil pour ma requête, dont beeceptor, j’ai changé de réseau, de navigateur.

Je ne comprends vraiment pas le problème. Pourtant ma requête est bonne à mon sens il devrait m’afficher une erreur que je devrais pouvoir valider...
Je n’ai pas de problème réseau et je peux contrôler totalement mon environnement donc pas de blocage à mon sens.

J’espère ne pas avoir spoiler je pense que les connaisseurs vont comprendre l’étape qui me bloque.

J’ai pensé que peut être le problème venait du HTTP / HTTPS ? Entre les deux sites rootme>requestbin (Ou les autres sites) ?

Auriez vous une idée ? Une piste ?

Cordialement.

https://lmgtfy.com/?q=chrome+disable+xss+auditor&s=l

Ah merci je ne connaissais pas ce sujet !!

Tu me sauves !!!!! :)

Cordialement.