Module
Auch in diesem Modul hilft bei einer Aufgabe Recherche bzw. Social Engineering – nicht jede Lücke steckt im Code.
Irgendwo in der Anwendung liegt eine Datei mit sensiblen Informationen.
Links und Pfade der Anwendung analysieren – vor allem solche, die direkt eine Datei ausliefern.
Die gesuchte Datei ist nicht weiter geschützt. Wer den Pfad kennt, kann sie abrufen.
Im Verzeichnis mit den vertraulichen Dateien aus der vorherigen Aufgabe lassen sich nicht alle Dateien herunterladen. Diesen Schutz umgehen.
Dateien mit anderer Endung als .md oder .pdf blockiert die Anwendung. Es gibt einen klassischen Trick, die „richtige“ Endung vorzugaukeln – Stichwort Poison Null Byte.
Das %-Zeichen muss URL-kodiert sein, sonst interpretiert die URL es falsch.
Wenn das Easter Egg da ist: auch die anderen Backup-Dateien anschauen. Die werden später noch gebraucht.
Als MC SafeSearch (mc.safesearch@juice-sh.op) mit dem ursprünglichen Passwort anmelden. SQL Injection und andere Bypasses zählen nicht.
MC SafeSearch ist Rapper; der Song „Protect Ya ‘Passwordz“ erklärt Passwort- und Datenschutz ziemlich klar.
Nach dem Musikvideo sollte das Passwort klar sein.
Eine der schwereren Aufgaben im Juice Shop. Beim Checkout gibt es ein Coupon-Feld für Rabatt auf die gesamte Bestellung. Ziel: mindestens 80 % Rabatt. Solche Gutscheine werden nicht veröffentlicht – eigene Codes bauen.
Ein Weg: die Coupon-Generierung reverse-engineeren und mit derselben (oder einer sehr ähnlichen) Logik einen 80-Prozent-Coupon erzeugen.
Alternativ viele existierende Coupons sammeln und nach Mustern suchen – oder in der Cloud recherchieren.
Wenn nichts hilft, bleibt blinde Brute-Force auf das Gutscheinfeld. Das ist der unangenehmste Weg.
Dem Shop einen Algorithmus oder eine Bibliothek melden, die er so definitiv nicht verwenden sollte. Meldung über Kontakt / Customer Feedback.
Fünf Antworten gelten als richtig. Eine davon reicht.
Es geht um die Verwendung, nicht um exotische Angriffe: veraltete Hash-Verfahren, falsch benutzte Bibliotheken, selbstgebaute Verschlüsselung.
Krypto-Funktionen, die nur für das Easter Egg gebraucht werden, zählen nicht – das ist ein Entwicklerscherz, kein Sicherheitsproblem.
Wer den Coupon-Code aus der Aufgabe darüber schon zerlegt hat, kennt bereits einen guten Kandidaten.
