Zenk - Security

Cette épreuve est relativement simple, mais tire sa difficulté dans le fait qu'elle a été release dans la dernière demi heure avant la fin du CTF.

Le site web est constitué d'un simple formulaire authentification, composée d'un champ de Login / Password.

Il s'agissait d'une épreuve où il était possible de faire du XPath injection d'après les messages d'erreurs renvoyés lorsqu'un caractère ' était rentré dans un des champs.

En rentrant le login suivant, on peut se connecter en admin :

  ' or 'a'='a

On accède à partir de là à un formulaire de recherche d'utilisateurs, dans lequel on peut rentrer un ID et qui nous retourne le login, password, et autres infos de l'utilisateur.

[A compléter]