לפרסם unintended או לשמור לתחרות?

Question

מצאתי דרך ממש מטופשת לעקוף צ׳אלנג׳ ווב בלי לגעת בכלל בפתרון שהתכוונו אליו, רק בגלל header שהשרת סומך עליו. מצד אחד בא לי לכתוב על זה כי זאת אחלה דוגמה ללמה אסור לסמוך על שום דבר מהלקוח, מצד שני אותה פלטפורמה ממחזרת לפעמים צ׳אלנג׳ים בתחרויות אחרות. אני לא רוצה להרוס לאחרים אבל גם מרגיש לי דבילי לשמור ידע שימושי במגירה, מה אתם הייתם עושים

OriTech · Accepted Answer

הייתי מחכה שהתחרות תיגמר ואז מפרסם, ככה גם לא הורס לאחרים וגם משתף ידע שימושי.

שווארמה · Answer

שווארמה שלי, אל תפרסם לפני שפנית למארגנים, לא הורסים תחרות לאחרים בשביל כמה לייקים

אמא של גל · Answer

חד משמעית לא לפרסם לפני שמדווחים למארגנים ונותנים להם זמן לתקן, אחרת זה סתם הורס תחרויות לאחרים. אחרי שתוקן, תעלה אחלה writeup על למה אסור לסמוך על header מהלקוח.

גלCTF · Answer

מבין אותך לגמרי, הייתי מחכה שהתחרות תיגמר או בודק עם המארגנים ואז מפרסם writeup בלי פרטים שיכולים להרוס לאחרים.

talya · Answer

הייתי שולחת למארגנים דיווח פרטי ושואלת מתי מבחינתם סבבה לפרסם. בינתיים אפשר לכתוב פוסט על העיקרון של לא לסמוך על headers מהלקוח, בלי לציין את הפלטפורמה או פרטים שמאפשרים לשחזר את ה-unintended

לפרסם unintended או לשמור לתחרות?

תגובות (9)

הוסף תגובה

פוסטים קשורים

מישהו מכיר מתחרה CTF ישראלי שמוכן לעזור למתחיל מוחלט

מישהו עושה CTF ויכול לספר

איך מתחילים עם OSINT למי שאין לו רקע טכנולוגי בכלל

מישהו יודע על XSS

איך מתחילים עם reverse engineering ללא ניסיון קודם?