Todos os posts em Desafios

Passatempo WebSegura + ESET

Ainda na digestão do anterior passatempo, fica o convite para ganhar um voucher de 50% desconto para qualquer produto da loja ESET. É só responderes a uma simples pergunta. Participa!

Vencedores:

  • Paulo Novais
  • André Flores
  • Nuno Assis
  • Maria Oliveira
  • João Correia

Resposta:
Com uma simples pesquisa no Google, podem verificar que a resposta correcta é 1986.

Resultado do passatempo WebSegura.net

Fico satisfeito pela participação que o primeiro (de muitos) passatempo obteve.

O vencedor foi o Miguel Almeida que, em apenas algumas horas, enviou a solução correcta:

  1. Transferir o ficheiro desafio01.zip;
  2. Com a dica que foi sugerida para descobrir a password do ficheiro, assumir que está codificada em Base64 (por causa do terminador ‘=’ ) e descodificá-la;
  3. Com a descodificação Base64 de OGVhYmQ3YzQzMjZjOWU2NDJhNTA1N2RjMWNjNDEzYTY= obtemos 8eabd7c4326c9e642a5057dc1cc413a6;
  4. O valor obtido parece uma hash MD5. Tentar decifrar esse valor com um cracker. Por exemplo, http://passcracking.com;
  5. password do ficheiro é figueira;
  6. O arquivo contém um ficheiro PHP: desafio01.php;
  7. Analisando o código, parece possível introduzir XSS no campo utilizador;
  8. Na prática, a primeira iteração da página ainda não tem o cookie utl activo (porque a variável utilizador ainda não tem qualquer valor atribuído);
  9. Quando introduzimos um valor nessa variável – utilizador – o cookie utl ganha vida e, em seguida, por causa disso, é impresso no ecrã;
  10. Para explorarmos o XSS, basta introduzirmos no campo utilizador o sequinte: <script>alert(String.fromCharCode(86,101,110,99,105,32,111,32,100,101
    ,115,97,102,105,111,32,48,49,32,100,111,32,87,101,98,83,101,103,117,
    114,97,46));</script>

(Screenshot enviado por Miguel Almeida)

Nuno Mendes e Artur Vidal também completaram com sucesso e, como sou um mãos largas, vão receber um voucher de €15,00 da Amazon.co.uk cada um.

Espero que tenham gostado.

Passatempo WebSegura.net – ganha um voucher da Amazon

A partir deste momento já está disponível o desafio que proponho a todos os utilizadores do WebSegura.net a ultrapassar.

Para tal, basta ir a página oficial do blogue no Facebook e clicar na tabulação Passatempo.

Para qualquer informação adicional não hesitem em comentar este artigo.

Notas:

  • O voucher é de 30,00€ e de uso exclusivo para a loja Amazon.co.uk;
  • O desafio é moderado e é necessário algum conhecimento em segurança web;
  • Poderei colocar algumas pistas ou dicas aqui nos comentários;
  • Ao colocarem alguma dúvida nos comentários, tenham em atenção os spoilers

Desafio ‘Jotto The Game’. És capaz?

Recebi hoje a notificação de um novo desafio para ganhar entradas para o OWASP AppSec EU 2011 e, como até gosto de desafios, decidi participar e divulgar.

O quiz é uma versão alterada do vicnum e permite explorar falhas web na aplicação.

Eu estou presente na lista dos que hackaram a base de dados e deixo aqui o desafio para também experimentarem.

Entrar aqui.