De entrada teníamos una página que nos pedía introducir una alerta permanente. Sólo contábamos con un formulario de login y de registro así que teníamos que sacarle provecho... Después de intentos de SQLi sin éxito, sólo nos quedaba probar la función de registrar e intentar registrar nuestro nick y correo en la web. Una vez hecho esto, recibimos el siguiente correo:
Nos dice que no se pudo completar el registro por que está deshabilitado y que no nos ha hecho perder el tiempo... Así que obvio ese mensaje tenía algo de especial. Si nos fijamos está marcado en rojo desde donde ha sido enviado... Un email hecho expresamente para el reto, algo sospechoso si es XD. Podemos pensar que es el email del administrador, así que como buenos h4x0rs vamos a intentar robárselo de la forma mas rápida! (no, no digo con el programa Hotmail Password Cracker v2 (?)) sino intentando adivinar la respuesta a la pregunta secreta (un clásico):
Como dije en el reto "en determinada ocasión necesitarán alguna información de mi", así que esa pregunta de "seguridad" es un tanto vulnerable para alguien que tiene twitter y pone su localización:
Probamos la respuesta "Alicante" y, ¡bien!, hemos juackeado la cuenta. Ahora tenemos que encontrarle una utilidad... Algunos quizás se dieron cuenta... Otros no. Pero como buen login, al decimo intento de usuario/contraseña incorrecto, nos ofrece recuperar la cuenta:
Ahí probaremos a introducir el correo robado, y listo, nos salta una alerta diciendo que se envió el correo. (No servia introducir cualquier correo). Ahora tendremos un nuevo mail en el correo robado "[email protected]":
Perfecto, "Hola admin", ya sabemos el usuario, y nos ofrece un link para activar una nueva contraseña. Entramos y listo, contraseña cambiada y ya podemos hacer login. Al loguearse nos llevaba a "admin.php":
Y ya estaríamos en el super panel de administración donde permite cambiar el título del reto. Como el reto era introducir una alerta, obviamente explotaremos un XSS persistente. Había un simple filtro para evitar palabras como "script" y cualquier comilla, pero nada dificil de bypassear:
Y listo. Sencillito y corto, pero un poco con trampa jejeje. Animo a quien lo intentó, el próximo lo voy a poner mas dificil para que no nos haga owned Pr0ph3t tan pronto XD
Saludos!
