EVI$ION 러닝 세션 과제

일단 뇌풀기로 간단한 문제를 풀어보았다.

Carve Party

Description 할로윈 파티를 기념하기 위해 호박을 준비했습니다! 호박을 10000번 클릭하고 플래그를 획득하세요!

dreamhack.io

일단 문제는 이렇다

10000번을 직접 클릭하면 플래그를 얻을 수는 있지만

우리는 고등 생명체이기 때문에

HTML 파일을 수정하거나 콘솔에서 코드를 입력해

자동으로 10000번을 클릭하게 해보자

개발자 모드를 잘 사용하지 못하는 관계로

HTML 코드를 수정해보겠다.

누가봐도 이 부분을 수정하면 될 것 같다

반복문을 사용해서 수정해보자!

이렇게 고쳐주었다.

플래그가 나타나지 않는다...

콘솔창을 이용해서 해보자...

for(i=0; i<=10000; i++){
 $('#jack-target').trigger("click")
}

이 코드를 콘솔창에 복붙해주었다

킹받는 표정의 호박과 플래그가 나왔다...

command-injection-chatgpt

특정 Host에 ping 패킷을 보내는 서비스입니다. Command Injection을 통해 플래그를 획득하세요. 플래그는 flag.py에 있습니다. chatGPT와 함께 풀어보세요! Reference Webhacking Roadmap

dreamhack.io

사보개에서 배운 ping 패킷을 보내는 문제라길래 풀어보았다.

일단 이렇게 아무 주소나 입력하고 ping을 누르니 이렇게 ping 패킷이 보내지는 것을 확인할 수 있다.

일단 문제에서 Command Injection 문제라고 알려주었고

flag는 flag.py에 들어있다고 알려주었다.

파일의 내용을 확인하는 cat 명령어를 통해서 flag.py의 내용을 읽어오면 될 것 같고

& 기호를 통해서 ping 명령이 성공하면 뒤에있는 cat 명령어도 같이 실행되도록 만들면 될 것 같다.

단순히 cat flag.py를 입력할 경우 ping 명령어와 이어져서

ping -c 3 cat flag.py라는 명령어가 실행될 것이기에 &나 |, ; 와 같은 기호를 앞에 넣고

cat 명령어를 입력해주어야한다.

플래그를 얻었다!

whatthehack!