Цепочка прокси

Прогресс комнаты 0 / 4

Задание 1Введение

Цель: Разбирать заголовок X-Forwarded-For и скрытые каналы в адресах.

В заголовке X-Forwarded-For спрятано сообщение: последний октет каждого адреса — код символа.

Задание 2Теория и инструменты

X-Forwarded-For перечисляет цепочку прокси. Клиент может подделать его и спрятать данные в октетах адресов.

Здесь данные кодирует последний октет каждого адреса.

Инструменты

Python: split, chr()
Анализ логов веб-сервера

Больше теории — в разделе «Обучение: Сети».

Задание 3Практика: найдите флаг

Данные задания410 символов

GET /img.png HTTP/1.1
Host: tracker.example
X-Forwarded-For: 10.0.0.67, 10.0.1.84, 10.0.2.70, 10.0.3.123, 10.0.4.120, 10.0.5.95, 10.0.6.102, 10.0.7.48, 10.0.8.114, 10.0.9.119, 10.0.10.52, 10.0.11.114, 10.0.12.100, 10.0.13.51, 10.0.14.100, 10.0.15.95, 10.0.16.102, 10.0.17.48, 10.0.18.114, 10.0.19.95, 10.0.20.51, 10.0.21.120, 10.0.22.49, 10.0.23.108, 10.0.24.125
(последний октет каждого прокси — код символа)

Вопрос: какой флаг спрятан в данных? Войдите, чтобы ответить

Пошаговый план — открывайте по одному шагу

1
Разберите список адресов по запятой.
2
Возьмите последний октет каждого адреса.
3
chr() каждого октета и склейте.

Подсказки — каждая до решения стоит −50 очков

Войдите, чтобы открыть подсказку 1

Войдите, чтобы открыть подсказку 2

Задание 4Как защититься

Не доверяйте X-Forwarded-For от клиента; задавайте его только на доверенном прокси.

Разборы участников

Разборы открываются после того, как вы решите комнату, — чтобы не спойлерить ответ.