Cette épreuve est relativement simple, mais tire sa difficulté dans le fait qu'elle a été release dans la dernière demi heure avant la fin du CTF.

Le site web est constitué d'un simple formulaire authentification, composée d'un champ de Login / Password.


Il s'agissait d'une épreuve où il était possible de faire du [[https://www.owasp.org/index.php/XPATH_Injection|XPath injection]] d'après les messages d'erreurs renvoyés lorsqu'un caractère ' était rentré dans un des champs.


En rentrant le login suivant, on peut se connecter en admin :
    ' or 'a'='a


On accède à partir de là à un formulaire de recherche d'utilisateurs, dans lequel on peut rentrer un ID et qui nous retourne le login, password, et autres infos de l'utilisateur.

[A compléter]