AlpacaHack Logo

Challenges

Sign InSign Up

Rows:

CHALLENGEAUTHORS

SOLVES

(CURRENT)

SOLVE RATE

(AT CONTEST TIME)

Welcome
Misc

admin

1368

solves

-

Daily AlpacaHack

1028

solves

-

Daily AlpacaHack

639

solves

-

AlpacaHack Round 2 (Web)

548

solves

Top 28%

= 84/300 users

Daily AlpacaHack

447

solves

-

Daily AlpacaHack

419

solves

-

Daily AlpacaHack

380

solves

-

echo
Pwn

AlpacaHack Round 1 (Pwn)

329

solves

Top 32%

= 56/174 users

Daily AlpacaHack

287

solves

-

Daily AlpacaHack

273

solves

-

Daily AlpacaHack

264

solves

-

Daily AlpacaHack

263

solves

-

AlpacaHack Round 7 (Web)

260

solves

Top 15%

= 71/458 users

Daily AlpacaHack

256

solves

-

Daily AlpacaHack

255

solves

-

🐈
Web

Daily AlpacaHack

247

solves

-

Daily AlpacaHack

245

solves

-

qrime
Crypto

AlpacaHack Round 3 (Crypto)

244

solves

Top 38%

= 91/239 users

Daily AlpacaHack

239

solves

-

Encoding Basics
Misc
Crypto

Daily AlpacaHack

224

solves

-

Rows:

Animal Viewer

Daily AlpacaHack
95 solves
Web

Author:

🦙🐻🐈️🐕️🐘

初心者向けヒント: Client-Side 問(追記)
  • Client-Side 問は、 Web ブラウザ上で実行される処理(JavaScript, DOM, CSS 等)に起因する脆弱性を突く問題です。
  • このタイプの問題では、 Web アプリケーションのインスタンスに加えて、 Admin Bot と呼ばれるインスタンスが与えられます。
  • Admin Bot はフラグ等のシークレットを持ち、 Headless Chrome 等のブラウザを使ってクライアント側の処理を自動的に実行します。
  • クライアント側の処理には、例えばページの閲覧やフォームの送信があります。
  • Client-Side 問のゴールは、主にクライアント側で起こる処理の脆弱性を突いて、クライアント側が持つシークレットを奪取することです。
  • 今回の問題では Admin Bot はフラグを Cookie にセットして、任意のページを閲覧する機能を持っています。
  • また、詰まりやすいポイントとして、 Admin Bot に指定する URL の形式があります。
  • Admin Bot は Cookie のドメインに animal-viewer を指定していますが、 Docker Compose の仕組みで Admin Bot から http://animal-viewer:3000 経由で問題の Web アプリケーションにアクセスできます。
  • そのため、 Admin Bot に指定する Web アプリケーションの URL は、問題文で与えられている IP アドレスではなく、 Cookie のドメインに一致する http://animal-viewer:3000 を指定する必要があります。
animal-viewer.tar.gz
descriptionsolveswriteups