Skip to main content

Mockexamen overzicht

Terug naar alle mockexamen vragen.

​
Vraag

Question 1 vroeg om de secret code in te vullen om verder te gaan. 
Enter the secret code to continue

​
Startpunt

Ik kwam op de eerste challenge terecht: 
https://mockexam.wpt.edu.technet.howest.be/challenge.php?challenge=1
De pagina vroeg om een secret code om verder te gaan.
Challenge 1 start page

​
Weg naar het antwoord

​
1. Page source

Ik begon met een simpele recon stap en opende de page source. Daar zag ik bij het inputveld meteen iets opvallends: 
<input type="text" name="pin" id=code:6Yd0P>
De pin stond dus rechtstreeks in het id attribuut. Ik kopieerde de waarde na code:.
Page source showing the pin in the input id

​
2. Submitten

Ik vulde de code in het tekstveld in: 
6Yd0P
Daarna klikte ik op Submit. De pagina bevestigde dat het antwoord correct was: 
Congratulations, challenge solved! Welcome to the next level.
Challenge 1 solved message

​
3. Kwetsbaarheid

Dit is vooral information disclosure via source code. De geheime waarde stond client-side in de HTML en kon dus gelezen worden zonder brute force of bypass.

​
Korte oplossing

  1. Ik opende de challenge en zag dat de pagina om een code vroeg.
  2. Ik deed eerst recon via de page source.
  3. In het inputveld zag ik id=code:6Yd0P.
  4. Ik kopieerde 6Yd0P, plakte die in het veld en klikte op Submit.

​
Antwoord

6Yd0P

​
Wat onthouden

Bij eenvoudige examenvragen altijd eerst de HTML source controleren. Secrets kunnen verstopt zitten in comments, hidden fields, id, name, value, class of andere attributen.