https://blog.shiba.onl/tags/challenge/Recent content in Challenge on shibajutsuHugovn© shibajutsuWed, 09 Jul 2025 00:03:00 +0700https://blog.shiba.onl/posts/cachedweb/Wed, 09 Jul 2025 00:03:00 +0700https://blog.shiba.onl/posts/cachedweb/CachedWeb {% embed url=“https://app.hackthebox.com/challenges/503" %} Application Overview Truy cập trang thấy 1 form take screenshot từ url và lưu lại. Trong thư mục blueprints @api.route("/cache", methods=["POST"]) def cache(): if not request.is_json or "url" not in request.json: return abort(400) return cache_web(request.json["url"]) Hàm cache_web: def cache_web(url): domain = urlparse(url).hostname scheme = urlparse(url).scheme if not domain or not scheme: return flash(f'Malformed url {url}', 'danger') elif not is_scheme_allowed(scheme): return flash(f'Scheme {scheme} is not allowed', 'danger') elif not is_domain_allowed(domain): return flash(f'Domain {domain} is not allowed', 'danger') elif cache.https://blog.shiba.onl/posts/stylish/Mon, 09 Jun 2025 00:01:00 +0700https://blog.shiba.onl/posts/stylish/Stylish Dạo đầu Tìm điểm G Đầu tiên thì cứ phải quan sát để phân tích xem khai thác vào đâu. Vì challenges cung cấp cả mã nguồn nền sẽ dễ dàng hơn. Cái website nó trông thế này Tổng quan thì đây là một trang web cho phép ta upload 1 đoạn CSS lên xong sẽ có con bot admin nó review gì gì đó. Ngó qua file database.js thì thấy rõ mục tiêu là đọc flag trong database thông qua lỗ hổng SQL Injection.https://blog.shiba.onl/posts/htb-proxy/Wed, 14 May 2025 00:02:00 +0700https://blog.shiba.onl/posts/htb-proxy/HTB Proxy https://github.com/hackthebox/business-ctf-2024/ Application Overview localhost:1337 Truy cập vào /server-status cho phép ta xem được thông tin về machine. /server-status Phân tích source code ├── build_docker.sh ├── challenge │ ├── backend │ │ ├── index.js │ │ └── package.json │ └── proxy │ ├── go.mod │ ├── includes │ │ └── index.html │ └── main.go ├── config │ └── supervisord.conf ├── Dockerfile ├── entrypoint.sh ├── flag.txt Trong Dockerfile ta thấy được 1 vài thông tin như công nghệ machine sử dụng (nodejs, go, …) và các config cơ bản khác như mọi CTF challenges khác.