Web - Client

Bonjour à tous je bloque sur ce chall mais pourtant je suis tout proche .
J’ai compris la faille CSP inline code, j’ai trouvé comment bypass le filtre, j’arrive donc à injecter du code javascript dans la page.
J’ai trouvé comment bypass le filtre pour la redirection, j’arrive donc à rediriger vers la page de mon choix
Là où ça coince c’est quand je dois extraire le flag du contenu de la page, j’ai d’abord pensé à une expression régulière le soucis c’est que je ne peux pas vraiment la créer puisque je ne sais pas à quoi ressemble le flag. J’ai ensuite essayé d’envoyer le contenu de la page en entier (par l’url grâce à ma redirection). Là ça fonctionne mais seulement de mon côté le bot ne semble pas faire de requête vers mon serveur. Je me suis alors dit que c’est parcequ’il y avait trop de caractères à faire passer par l’url j’ai donc essayé d’extraire la partie de la page qui indique le pseudo pour ainsi récupérer le pseudo du bot mais là encore, ça fonctionne de mon côté mais pas pour le bot. Je suis un peu en manque d’idées, avez -vous des indices ? Merci d’avance

Il peut être astucieux d’encoder le contenu de la page en base64 pour faciliter son exfiltration

je vais tester ça merci

Merci de ton conseil, j’ai validé le challenge cependant je ne comprends pas pourquoi j’étais obligé d’encoder en base64 car quand je faisais les tests avec moi sans encoder, mon serveur recevait bien la page, tandis que quand c’était le bot, il ne faisait même pas la requête.

tu m’as vraiment aider et merci