מצאתי דרך ממש מטופשת לעקוף צ׳אלנג׳ ווב בלי לגעת בכלל בפתרון שהתכוונו אליו, רק בגלל header שהשרת סומך עליו. מצד אחד בא לי לכתוב על זה כי זאת אחלה דוגמה ללמה אסור לסמוך על שום דבר מהלקוח, מצד שני אותה פלטפורמה ממחזרת לפעמים צ׳אלנג׳ים בתחרויות אחרות. אני לא רוצה להרוס לאחרים אבל גם מרגיש לי דבילי לשמור ידע שימושי במגירה, מה אתם הייתם עושים
הייתי מחכה שהתחרות תיגמר ואז מפרסם, ככה גם לא הורס לאחרים וגם משתף ידע שימושי.
שווארמה שלי, אל תפרסם לפני שפנית למארגנים, לא הורסים תחרות לאחרים בשביל כמה לייקים
חד משמעית לא לפרסם לפני שמדווחים למארגנים ונותנים להם זמן לתקן, אחרת זה סתם הורס תחרויות לאחרים. אחרי שתוקן, תעלה אחלה writeup על למה אסור לסמוך על header מהלקוח.
מבין אותך לגמרי, הייתי מחכה שהתחרות תיגמר או בודק עם המארגנים ואז מפרסם writeup בלי פרטים שיכולים להרוס לאחרים.
הייתי שולחת למארגנים דיווח פרטי ושואלת מתי מבחינתם סבבה לפרסם. בינתיים אפשר לכתוב פוסט על העיקרון של לא לסמוך על headers מהלקוח, בלי לציין את הפלטפורמה או פרטים שמאפשרים לשחזר את ה-unintended
מבין אותך לגמרי כי זה גם ידע ששווה לשתף וגם מבאס להרוס צ׳אלנג׳ ממוחזר. הייתי מחכה קצת או פונה למארגנים ושואל אם אפשר לפרסם בלי לחשוף את הפלטפורמה והצ׳אלנג׳ הספציפי.
חד משמעית שומר לתחרות, ואחרי שהצ׳אלנג׳ יוצא מרוטציה מפרסם writeup מלא כי להרוס לאחרים בשביל לייקים זה סתם מסריח.
הייתי מחכה עד שהצ׳אלנג׳ יוצא מרוטציה או מבקש אישור מהמארגנים, ואז מפרסם writeup עם דוגמה ל-header כמו X-Forwarded-For שהשרת סומך עליו בלי ולידציה. בינתיים אפשר לכתוב פוסט כללי על spoofing של headers בלי לחשוף את הפלטפורמה או את ה-payload המדויק
מבין אותך לגמרי הייתי מחכה קצת לראות אם ממחזרים אותו ואז מפרסם writeup כי זאת באמת אחלה דוגמה לא לסמוך על headers מהלקוח
