====== Warcrypt ======

===== Overview =====

On a accès à une page web. Il faut jouer contre un bot qui visiblement cheat. 

{{http://i.imgur.com/zoXye.png}}

===== Résolution =====

On se rend vite compte que la vérification de qui gagne se fait par une requête ajax.

<code javascript>
function send() {
	var ajax = $.ajax({
		type: "POST",
		url: "ajax/send.php",
		data: "card="+$('.card:last').attr("alt")+"&sign="+$('.card:last').attr("id")
	});
	ajax.done(function(rep) {
		$('.card > img:last').remove();
		var json = eval('(' + rep +')'); 
		$('#score').html('Score : ' + json.score);
		$('.cheater_card').html('<img alt="'+json.adv_card+'" src="img/'+json.adv_card+'.png">');
		if ($('.card > img').length == 0) {
			$(location).attr('href','end.php');
		}
		$('.resultat').html(json.msg);
	});
}
</code>

Chaque carte possède un token pour la valider côté serveur. On remarque assez facilement que ce token est généré en fonction du nom de la carte. Par exemple, le token du 5 de coeur est ''NHGrjegtFmHu2'', son nom est ''05HEART''.

<code>
php > var_dump(crypt("05HEART","NH"));
string(13) "NHGrjegtFmHu2"
</code>

Il nous faut trouver une carte qui pourrait battre l'as de pique du bot. Lorsqu'on envoie n'importe quoi comme nom de carte, on a comme réponse ''{"msg":"Error : Unknown card"}''. Il y a donc une vérification sur le nom de la carte avant de vérifier le token.

La carte qui viendrait à l’esprit de tout le monde est bien évidemment le Joker. On met ''JOKER'' comme nom de carte et on reçoit comme réponse ''{"msg":"Error : sign not match"}''. Nice, la carte que l'on cherche est bien ''JOKER'' !

<code>
php > var_dump(crypt("JOKER","NH"));
string(13) "NHMTkwCoDsRC6"
</code>

On renvois la requête qui va bien

<code>
POST /ajax/send.php HTTP/1.1
Host: 109.232.238.5:8001
User-Agent: Mozilla/5.0 Gecko/20100101 Firefox/13.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: fr,fr-fr;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Cookie: PHPSESSID=2sk41kuhqosdg27ikft6j2h0a3
Content-Type: application/x-www-form-urlencoded
Content-Length: 29
card=JOKER&sign=NHMTkwCoDsRC6
</code>

Et ... on choppe un ''{"msg":"Error : sign not match"}''...

Si c'est pas le bon token, c'est que des caractères ont été rajoutés à la fin de ''JOKER''. On remarque que l'on peut ajouter autant de caractère que l'on veut derrière une carte classique, le token sera toujours le bon. La taille des noms des cartes classiques sont tous de la même taille : 7 chars. ''JOKER'' fait que 5 chars! Donc 2 chars ont été rajoutés derrière! Il ne nous reste plus qu'à tester toutes les possibilités :-) (pour cela, python!)

<code python>
#!/usr/bin/env python
# encoding: utf-8

import sys
import httplib
from crypt import crypt

def main():
    
    headers = {"Cookie":"PHPSESSID=2sk41kuhqosdg27ikft6j2h0a3;",
                "Content-Type":"application/x-www-form-urlencoded"}
    
    card = "JOKER"
    
    for char1 in range(31,127):
        for char2 in range(31,127):
            conn = httplib.HTTPConnection("109.232.238.5:8001")
            conn.request("POST","/ajax/send.php","card={card}&sign={0}".format(crypt(card+chr(char1)+chr(char2),"NH"),card=card),headers)
            rep = conn.getresponse()
            html = rep.read()
            if html.count("Error") < 1:
                print crypt("JOKER"+chr(char1)+chr(char2),"NH")
                print chr(char1)+chr(char2)
                print char1, char2
                sys.exit(0)
            else:
                print html
                print chr(char1)+chr(char2)


if __name__ == '__main__':
    main()

</code>

<code>
$ ./warcrypt.py
{"msg":"Error : sign not match"}
  
...
{"msg":"Error : sign not match"}
EP
...
NH3J7Hldb9sQg
P4
</code>

Well! Les deux caractères ajoutés après ''JOKER'' sont ''P4'' !
On se débrouille pour avoir un score de 27 (27 cartes gagnées) et on se rend sur ''end.php'' (redirection automatique normalement) et on choppe le flag :-)
''WIN the flag is H0UR4P0URL3C4SS0UL3T''

On valide avec md5("H0UR4P0URL3C4SS0UL3T") = **9b808110b3986a27019f2e153998e1e6**