CTF

0xBOverchunked

Inyección de código SQL de tipo Boolean-based. Transfer-Encoding chunked

CTF

A little something to get you started

Código fuente de página web

CTF

AbuseHumanDB

Cross-Site Search. Exfiltración evitando Same-Origin Policy

CTF

Almost SSTI

ImaginaryCTF 13/07/2022. 50 puntos. Server-Side Template Injection. Consola de Flask

CTF

Amidst Us

Python. Dependencias de terceros. Inyección de código. RCE

CTF

baby auth

Cookies de sesión. Bypass the autenticación

CTF

baby BoneChewerCon

PHP. Depurador de Laravel

CTF

baby breaking grad

JavaScript. Prototype Pollution

CTF

baby CachedView

SSRF mediante iframe

CTF

baby interdimensional internet

Inyección de código. Lectura de archivo remoto

CTF

baby nginxatsu

nginx. Listado de directorios

CTF

baby ninja jinja

SSTI con caracteres limitados

CTF

baby todo or not todo

Broken Access Control

CTF

baby WAFfles order

Inyección de Entidades Externas XML

CTF

baby website rick

Deserialización insegura en pickle

CTF

Bad JWT

SECCON CTF Quals 2023. Node.js. JWT. Prototype Pollution

CTF

BatchCraft Potions

Ataque de GraphQL batching. Bypass de OTP y límite de peticiones. JWT. CSP. DOM Clobbering. XSS

CTF

BatchCraft Potions

HTB UniCTF 2022. Ataque de GraphQL batching. Bypass de OTP y límite de peticiones. JWT. CSP. DOM Clobbering. XSS

CTF

BlinkerFluids

Node.js. Dependencias de terceros. Inyección de código. RCE

CTF

Breaking Bank

Open Redirect. JWKS y falsificación de JWT. Bypass de OTP

CTF

Breaking Bank

HTB UniCTF 2024. Open Redirect. JWKS y falsificación de JWT. Bypass de OTP

CTF

CandyVault

MongoDB. Inyección NoSQL

CTF

Cookies

picoCTF 2021. 40 puntos. Modificar cookies

CTF

CurlAsAService

Inyección de parámetros. Lectura de archivos locales

CTF

Cursed Secret Party

XSS. Bypass de CSP

CTF

Cursed Secret Party

XSS. Bypass de CSP

CTF

Didactic Octo Paddles

JWT. Server-Side Template Injection

CTF

Didactic Octo Paddles

HTB CA 2023. JWT. Server-Side Template Injection

CTF

Don't Bump Your Head(er)

HTTP request headers

CTF

E.Tree

Inyección XPATH. Extracción de la flag automatizada

CTF

emoji voting

Boolean-based SQLi en ORDER. Extracción de la flag automatizada

CTF

Evaluation Deck

Python. Inyección de código

CTF

ExpressionalRebel

Server-Side Request Forgery. Denegación de Servicio mediante expresiones regulares

CTF

Fasting

ImaginaryCTF 28/09/2022. 50 puntos. Documentación de API

CTF

Flag Command

API. Herramientas de desarrollador

CTF

Full Stack Conf

Cross-Site Scripting

CTF

funnylogin

DiceCTF 2024 Quals. SQLi. Atributos de objetos en JavaScript

CTF

GET aHEAD

picoCTF 2021. 20 puntos. Método HEAD

CTF

GhostlyTemplates

Go. Server-Side Template Injection. Lectura de archivos locales

CTF

Gobustme 👻

Fuzzing de rutas

CTF

Guglu v2

HackOn CTF 2024. Exfiltración de datos mediante oráculo

CTF

Gunship

Prototype Pollution. AST Injection

CTF

HauntMart

Server-Side Request Forgery. Bypass de dirección IP

CTF

Horror Feeds

Inyección de código SQL (Stack-based)

CTF

Horror Feeds

Inyección de código SQL (Stack-based)

CTF

HTBank

HTTP Parameter Pollution

CTF

Insp3ct0r

picoCTF 2019. 50 points. HTML, CSS y JS

CTF

Intergalactic Post

SQLi en SQLite hacia RCE en PHP

CTF

jscalc

JavaScript. Inyección de código

CTF

Juggling facts

PHP. Type Juggling

CTF

Juggling Facts

PHP. Type Juggling

CTF

KORP Terminal

Inyección de código SQL. Descifrado de hashes de contraseñas

CTF

Kryptos Support

Cross-Site Scripting. Insecure Direct Object Reference

CTF

Lazy Ballot

CouchDB. Inyección NoSQL. Bypass de autenticación

CTF

Letter Dispair

PHP. Ejecución remota de comandos. PHPMailer (CVE)

CTF

Login Please

ImaginaryCTF 12/09/2022. 75 puntos. Hash MD5. Prototype Pollution

CTF

looking glass

Inyección de comandos. Ejecución remota de comandos

CTF

LoveTok

PHP. Inyección de código. Ejecución remota de comandos

CTF

Micro-CMS v1

Pentesting web básico. XSS, IDOR, SQLi

CTF

Model E1337 - Rolling Code Lock

Explotación web y criptoanálisis avanzado. XXE. Ingeniería inversa

CTF

Mutation Lab

Lectura de archivos mediante imágenes SVG. Falsificación de cookies de sesión

CTF

Neonify

Inyección de CRLF. Bypass de expresión regular. Server-Side Template Injection

CTF

One Time Pages

HackOn CTF 2025. XSS. Service Worker. Tabnabbing

CTF

OnlyHacks

Cross-Site Scripting. Cookie hijacking

CTF

Orbital

Inyección de código SQL. Navegación de directorios. Lectura de archivos locales

CTF

Orbital

HTB CA 2023. Inyección de código SQL. Navegación de directorios. Lectura de archivos locales

CTF

Passman

GraphQL. IDOR

CTF

Passman

HTB CA 2023. GraphQL. IDOR

CTF

Percetron

HTB CA 2024. HA-Proxy. HTTP request smuggling mediante WebSocket. Server-Side Request Forgery. MongoDB Wire Protocol. Protocolo Gopher. Inyección Cypher (neo4j). Inyección de comandos. RCE

CTF

Percetron

HTB CA 2024. HA-Proxy. HTTP request smuggling. Server-Side Request Forgery. MongoDB Wire Protocol. Protocolo Gopher. Inyección Cypher (neo4j). Inyección de comandos. RCE

CTF

POST Practice

Petición POST HTTP

CTF

ProxyAsAService

Server-Side Request Forgery. Bypass de localhost. HTTP Request URI

CTF

Public Pages

HackOn CTF 2025. SvelteKit. Modo desarrollo. Inyección de wildcard en SQL

CTF

PumpkinSpice

Cross-Site Request Forgery. Ejecución remota de comandos

CTF

Red Island

SSRF. Navegación de directorios. Protocolo Gopher. RCE en Redis

CTF

Robotic

ImaginaryCTF 04/11/2022. 50 puntos. robots.txt

CTF

sanitize

Inyección de código SQL. Bypass de autenticación

CTF

Saturn

Server-Side Request Forgery. TOCTOU

CTF

Secure

ImaginaryCTF 08/11/2022. 50 puntos. Certificado de HTTPs

CTF

Situated

ImaginaryCTF 03/11/2022. 50 puntos. Inspección de código HTML

CTF

Slippy

Navegación de directorios con TAR. Server-Side Template Injection

CTF

Spellbound Servants

Deserialización insegura en pickle

CTF

Spiky Tamagotchi

Bypass de autenticación. Inyección de código JavaScript

CTF

Spookifier

Server-Side Template Injection

CTF

Spookifier

Server-Side Template Injection

CTF

SpookTastic

Cross-Site Scripting

CTF

Spybug

Carga de archivos maliciosos. SSTI a XSS. Bypass de CSP

CTF

SpyBug

HTB CA 2023. Carga de archivos maliciosos. SSTI a XSS. Bypass de CSP

CTF

Templated

Flask. Server-Side Template Injection. RCE

CTF

Testimonial

Go. gRPC. Verificación en el lado cliente. Navegación de directorios. Escritura de archivos arbitrarios. Server-side Rendering

CTF

Testimonial

HTB CA 2024. Go. gRPC. Verificación en el lado cliente. Navegación de directorios. Escritura de archivos arbitrarios. Server-side Rendering

CTF

The Magic Informer

Navegación de directorios. Lectura de archivos locales. JWT. Broken Access Control. SSRF. Inyección de comandos. RCE

CTF

The Magic Informer

HTB UniCTF 2022. Navegación de directorios. Lectura de archivos locales. JWT. Broken Access Control. SSRF. Inyección de comandos. RCE

CTF

TimeKORP

Inyección de comandos

CTF

Toxic

Deserialización de PHP. Inclusión de Archivos Locales. Envenenamiento de Logs

CTF

Trapped Source

Inspección de código HTML

CTF

TrapTrack

Deserialización insegura en pickle. SSRF en Redis

CTF

TrapTrack

HTB CA 2023. Deserialización insegura en pickle. SSRF en Redis

CTF

Userland City

PHP. Exploit de Laravel

CTF

wafwaf

PHP. Inyección de código SQL basada en tiempo. Bypass de WAF

CTF

Watersnake

Java. CVE. Deserialización insegura en SnakeYAML

CTF

where are the robots

picoCTF 2019. 100 points. robots.txt

CTF

Wild Goose Hunt

MongoDB. Inyección NoSQL. Extracción de la flag automatizada