Nuit Du Hack CTF Quals 2014

[Enigma]

Misc-150: Onion Rings

"A new black market has appeared and has been targeted by the FBI. After checking for suspicious posts on stackoverflow and finding nothing, they give up and are offering a bounty to anyone who can get information on the server that is hosting the hidden service.

http://mq72g4732yorslzf.onion/"

Для посещения ресурса в сети TOR я решил использовать веб-гейт: https://mq72g4732yorslzf.tor2web.org

По этому адресу распологается нелегальный интернет магазин. В правом верхнем углу страницы замечаю картинку. Кликаю по ней и получаю предложение сменить аватар. Сначала была идея залить шелл, и я стал смотреть как работает этот скрипт с загруженными картинками. Выяснилось что в файловую систему ничего не сохраняется: сервер получает содержимое файла, затем вставляет его в страницу как data base64.

<img src="data:base64...

Тут я замечаю, что кроме возможности загружать файл со своего компьютера можно делать это с произвольного URL. Я понял что мы имеем простую SSRF. Указав как URL http://127.0.0.1/, я получил и декодировал содержимое по этому адресу. Это была html страница содержащая в себе ИП сервера: 212.83.153.197.

По этому адресу находится блог создателя магазина. В одном из его постов мы находим флаг: 0hSh1t1r4n0ut0fn00dl35

Потом я понял, что флаг был доступен сразу в полученном содержимом, и заходить на сайт по IP было не обязательно.

Альтернативное решение описываемое во всех прочитанных мной врайтапах: вставить URL своего сайта, посмотреть с какого адреса придёт запрос и посетить его.