Phantom API
במהלך בדיקת אבטחה שגרתית, גילית API לא מתועד שרץ על השרת הפנימי. ה-API משרת ספריית עובדים, אבל משהו פה לא מסתדר. נקודות קצה נסתרות, headers חשודים, ופרצות גישה מצביעים על דלת אחורית.
⚠️ האתגר הזה דורש שימוש ב-DevTools (Network tab), curl, או כל HTTP client. הדגל לא נמצא בקוד הדף, הוא מגיע רק מהשרת.
לפני שמתחילים
התחל בקריאת ההקדמה והראיות. אפשר לשמור עותק של ראיות הטקסט להמשך עבודה. השתמש רק בנתוני התרגיל ובסביבה המיועדת באתר, ולא במערכות חיצוניות. את התשובה הסופית יש להזין במלואה בשדה הבדיקה.
עזרה בהכנה
- זהה איזה סוג נתונים מוצג בכל ראיה.
- עבוד על כל ראיה בנפרד ושמור את הממצאים.
- בדוק את פורמט התשובה לפני הגשה.
עבוד על עותק של הראיות ושמור את המקור ללא שינוי. תעד מה בדקת, ואל תסיק שהתרגיל הושלם רק מפני שהעמוד נפתח או שהשרת קיבל תשובה.
מפת השלבים
- שלב 1
גלו endpoint נסתר דרך response headers
- שלב 2
נצלו IDOR כדי למצוא משתמש נסתר + קוד גישה
- שלב 3
התאמתו ופרצו את הכספת עם JWT + PIN
- שלב 4
הרכיבו את הדגל מגוף התגובה + header
הגשת הדגל
ניסיונות: 0יש להגיש את הדגל המלא בפורמט flag{...}, כולל הסוגריים.
טיפים לפתרון
- פתחו את DevTools (F12) → Network tab לפני שאתם שולחים בקשות
- בדקו את ה-Response Headers של כל תשובה, יש שם רמזים
- השתמשו ב-curl, Postman, או console של הדפדפן לשליחת POST requests
- אל תסתפקו ב-IDs שמוצגים, נסו IDs שלא ברשימה
- הדגל מורכב משני חלקים: גוף תשובה + response header