Webb- och kryptoutmaningar

SQL-injektion inträffar när användarinmatning sammanfogas med en databasfråga utan åtskillnad mellan kod och data.

En inloggning som bygger en fråga som SELECT * FROM users WHERE name='INPUT' kan kringgås med indata som avslutar strängen och ändrar logiken:

CTF lär er att bryta injektioner så att ni kan försvara mot dem. Det korrekta försvaret är parameteriserade frågor (prepared statements), som håller användardata helt utanför frågans struktur.

XSS inträffar när en app återspeglar eller lagrar angriparkontrollerad indata och en webbläsare kör den som skript. I CTF innebär en XSS-utmaning ofta en bot som besöker er payload medan den har flaggan i en cookie.

• Reflekterad — payloaden i begäran återges direkt.
• Lagrat — payloaden sparas och körs för senare besökare.
• DOM-baserad — JavaScript på klientsidan skriver indata till sidan på ett osäkert sätt.

Försvaret är kontextmedveten outputkodning samt en Content-Security-Policy. En testprobe som <script>alert(1)</script> bekräftar om indata escapas.

Två andra grundpelare inom webbsäkerhet:

• Server-Side Request Forgery (SSRF) — ni lurar servern att göra förfrågningar åt er, ofta till adresser som endast är interna, som http://127.0.0.1 eller en slutpunkt för molnmetadata, för att nå flaggan.
• Path traversal — ni tar er ut ur en avsedd katalog med sekvenser som ../ för att läsa filer utanför webbroten, till exempel ../../../../etc/passwd.

Båda beror på att användarindata får välja resurs. Försvaret består av strikta allowlistor samt att först kanonisera och sedan validera sökvägar innan de används.

Den vanligaste kryptofällan för nybörjare är att förväxla kodning med kryptering. Kodning kan återställas av vem som helst utan nyckel och ger därför ingen sekretess alls.

Lär er att känna igen formaten direkt:

• Base64 — bokstäver, siffror, + / och ofta utfyllnaden =.
• Hex — endast 0-9 a-f.
• ROT13 / Caesar — läsbar struktur och förskjutna bokstäver.

Många kryptoutmaningar använder svaga historiska chiffer eller slarvigt konstruerade moderna varianter:

• Caesar / Vigenere — skiftchiffer som kan knäckas med frekvensanalys eller genom att prova alla 25 skiftningar.
• Single-byte XOR — hela meddelandet XOR:as med en byte; prova alla 256 nycklar och välj det läsbara resultatet.
• Repeating-key XOR — bryts genom att hitta nyckellängden och sedan lösa varje nyckelbyte som en XOR med en byte.

Lärdomen är att ett egenkonstruerat eller klassiskt chiffer inte ger någon verklig säkerhet mot en analytiker.

RSA är bara säkert när parametrarna väljs korrekt. CTF-krypto ger er gärna en trasig instans:

• Liten modul — om n är tillräckligt litet kan ni faktorisera det direkt för att återskapa den privata nyckeln.
• Minimal exponent, ingen padding — med e=3 och ett kort meddelande kan chiffertexten vara en perfekt kub som kan återskapas med en heltalskubikrot.
• Gemensamma faktorer — om två publika nycklar delar ett primtal avslöjar den största gemensamma delaren av deras moduli det direkt.

I verkligheten är försvaret att använda ett väl beprövat bibliotek med stora nycklar och korrekt padding (OAEP) – uppfinn aldrig egna lösningar.

När en utmaning ger dig en lösenordshash är målet att återskapa det ursprungliga värdet. Du kan inte göra en hash baklänges, men du kan gissa indata och jämföra.

Knyt ihop det med en konsekvent loop för båda kategorierna:

• Observera — läs uppgiften, visa källkoden och identifiera kodningen eller schemat.
• Formulera en hypotes — ange den troliga sårbarhetsfamiljen.
• Testa småskaligt — skicka en testpayload och studera det exakta svaret.
• Utnyttja — bygg ut den fungerande testpayloaden till en fullständig payload som ger flaggan.
• Dokumentera — skriv ned payloaden och resonemanget medan det fortfarande är färskt.

Den här loopen håller dig borta från återvändsgränder och ger dig nästan automatiskt en writeup.

Du har gått igenom de återkommande webb- och kryptopusslen:

• Webb: kartlägg först och testa sedan efter SQL-injektion, XSS, SSRF och path traversal – alla bygger på osäker tillit till användarindata och åtgärdas genom att skilja kod från data.
• Kryptografi: skilj kodning från kryptering, knäck svaga klassiska chiffer och XOR-chiffer, utnyttja felaktiga RSA-parametrar och knäck hashvärden med ordlistor.
• En gemensam loop med att observera, formulera en hypotes, testa, utnyttja och dokumentera fungerar för båda.

Nästa steg är reverse engineering och binär exploatering.