Сплошные проценты
Прогресс комнаты
0 / 4
Задание 1Введение
Цель: Раскодировать процентное кодирование.
Параметр запроса закодировали полностью, даже буквы.
Задание 2Теория и инструменты
В URL небезопасные символы записываются как % и два hex-символа. Кодировать можно и обычные буквы.
Фильтры, которые ищут слово в исходном виде, пропускают такие строки. Поэтому вход нормализуют перед проверкой.
Инструменты
- Python:
urllib.parse.unquote(s) - CyberChef: URL Decode
Больше теории — в разделе «Обучение: Веб».
Задание 3Практика: найдите флаг
%43%54%46%7B%70%65%72%63%65%6E%74%5F%65%76%65%72%79%74%68%69%6E%67%7D
Пошаговый план — открывайте по одному шагу
- 1Каждая тройка
%XX— один байт. - 2Раскодируйте строку.
- 3Сдайте флаг.
Подсказки — каждая до решения стоит −10 очков
Задание 4Как защититься
Проверяйте вход после декодирования и только один раз, иначе двойное кодирование обойдёт фильтр.
Разборы участников
Разборы открываются после того, как вы решите комнату, — чтобы не спойлерить ответ.