Web | 7Rocky

HTB CA 2024. HA-Proxy. HTTP request smuggling mediante WebSocket. Server-Side Request Forgery. MongoDB Wire Protocol. Protocolo Gopher. Inyección Cypher (neo4j). Inyección de comandos. RCE

CTF

Testimonial

Go. gRPC. Verificación en el lado cliente. Navegación de directorios. Escritura de archivos arbitrarios. Server-side Rendering

CTF

emoji voting

Boolean-based SQLi en ORDER. Extracción de la flag automatizada

CTF

E.Tree

Inyección XPATH. Extracción de la flag automatizada

CTF

Wild Goose Hunt

MongoDB. Inyección NoSQL. Extracción de la flag automatizada

CTF

Watersnake

Java. CVE. Deserialización insegura en SnakeYAML

CTF

Lazy Ballot

CouchDB. Inyección NoSQL. Bypass de autenticación

CTF

Toxic

Deserialización de PHP. Inclusión de Archivos Locales. Envenenamiento de Logs

CTF

CurlAsAService

Inyección de parámetros. Lectura de archivos locales

CTF

Templated

Flask. Server-Side Template Injection. RCE

CTF

Trapped Source

Inspección de código HTML

CTF

AbuseHumanDB

Cross-Site Search. Exfiltración evitando Same-Origin Policy

CTF

ExpressionalRebel

Server-Side Request Forgery. Denegación de Servicio mediante expresiones regulares

CTF

TrapTrack

Deserialización insegura en pickle. SSRF en Redis

CTF

Spybug

Carga de archivos maliciosos. SSTI a XSS. Bypass de CSP

CTF

Didactic Octo Paddles

JWT. Server-Side Template Injection

CTF

Orbital

Inyección de código SQL. Navegación de directorios. Lectura de archivos locales

CTF

Passman

GraphQL. IDOR

CTF

Kryptos Support

Cross-Site Scripting. Insecure Direct Object Reference

CTF

baby breaking grad

JavaScript. Prototype Pollution

CTF

baby website rick

Deserialización insegura en pickle

CTF

baby todo or not todo

Broken Access Control

CTF

BatchCraft Potions

Ataque de GraphQL batching. Bypass de OTP y límite de peticiones. JWT. CSP. DOM Clobbering. XSS

CTF

The Magic Informer

Navegación de directorios. Lectura de archivos locales. JWT. Broken Access Control. SSRF. Inyección de comandos. RCE

CTF

baby WAFfles order

Inyección de Entidades Externas XML

CTF

Cursed Secret Party

XSS. Bypass de CSP

CTF

Juggling facts

PHP. Type Juggling

CTF

Horror Feeds

Inyección de código SQL (Stack-based)

CTF

Spookifier

Server-Side Template Injection

CTF

baby nginxatsu

nginx. Listado de directorios

CTF

Userland City

PHP. Exploit de Laravel

CTF

baby BoneChewerCon

PHP. Depurador de Laravel

CTF

Letter Dispair

PHP. Ejecución remota de comandos. PHPMailer (CVE)

CTF

baby interdimensional internet

Inyección de código. Lectura de archivo remoto

CTF

Spiky Tamagotchi

Bypass de autenticación. Inyección de código JavaScript

CTF

Intergalactic Post

SQLi en SQLite hacia RCE en PHP

CTF

Red Island

SSRF. Navegación de directorios. Protocolo Gopher. RCE en Redis

CTF

Mutation Lab

Lectura de archivos mediante imágenes SVG. Falsificación de cookies de sesión

CTF

Amidst Us

Python. Dependencias de terceros. Inyección de código. RCE

CTF

BlinkerFluids

Node.js. Dependencias de terceros. Inyección de código. RCE

CTF

baby ninja jinja

SSTI con caracteres limitados

CTF

baby CachedView

SSRF mediante iframe

CTF

sanitize

Inyección de código SQL. Bypass de autenticación

CTF

baby auth

Cookies de sesión. Bypass the autenticación

CTF

Full Stack Conf

Cross-Site Scripting

CTF

looking glass

Inyección de comandos. Ejecución remota de comandos

CTF

Gunship

Prototype Pollution. AST Injection

CTF

Slippy

Navegación de directorios con TAR. Server-Side Template Injection