Описание:

Переходим по ссылке сразу в Burp Suite:

Входим и видим, что расписания Швепса расписано на весь месяц, но нам нужно попасть к нему сегодня.

Попробуем записаться где свободно, получаем такой ответ:

Посмотрим какие вообще есть слоты, например в апреле:

Видим, что время слотов идет с 9:00 до 10:00, с 10:30 до 11:30, с 12:00 до 13:00, между ними есть промежуток в который можно попробовать записаться и посмотреть на ответ. Только нужно иметь ввиду, что записаться на прошедшее время не получится.

Получилось. Обновим страницу и получаем флаг.

Описание:

Переходим по ссылке, я это сделал сразу в Burp Suite.

Регистрируемся и входим

Здесь мы не найдем ничего интересного кроме куки (но еще можно переписываться)))

Переводим из Base64

В ней наш логин и хэш пароля:

Обратим внимание на вход и выберем Забыли пароль?, от нас потребуют username. Вводим того самого aura_farmer.

Открываем Burp и видим такой ответ:

Мы знаем логин мы знаем хэш пароля, можем получить сессию:

Но мы не входим в его аккаунт, нас встречает 2FA:

Нажимаем Потерял доступ к 2FA? и смотрим ответ:

Получаем в поле totp_secret Shared Secret в формате Base32, ключ, который используется для генерации одноразовых кодов OTP.

Получить код можно использовав онлайн генератор кодов 2FA, например https://2fa.fb.tools/.

Заходим в аккаунт aura_farmer и читаем флаг в одной из переписок.

Описание:

Переходим по ссылке

Начинаем листать трейлсы и замечаем, что в параметре vпередается файл trails1.mp4

Можно догадаться о возможной уязвимости LFI (Local File Inclusion), когда вместо trails1.mp4, мы можем подставить путь к системному файлу, например /etc/passwd и сервер может нам его выдать.

Проверим:

Уязвимость есть! В качестве значения я передал ../../../etc/passwd, так как пользователь под которым работает веб-сервер, который и отдал нам passwd, обычно имеет домашнюю папку в /var/www, поэтому мы поднимаемся в корень файловой системы ../../../ и из него читаем /etc/passwd

Таким образом можно прочитать много файлов, например иногда флаг находится в /proc/self/environ - переменные окружения, но там ничего не обнаружилось и я решил найти папку с исходниками приложения.

Она оказалась в ../../../app, то есть не всегда /var/www может быть домашней папкой, но круг поиска директорий обычно не большой

Не долго думая решил проверить app.py, пролистал код и увидел такой роут

Но для него важно быть админом. Посмотрим другой интересный файл users.db

Вот и пароль админа. Входим под админом и переходим по /d3a7f1c9b2e8. Получаем флаг.