Chapristi 1/2 (Web) - FCSC2022

Principe:
Exploiter une SQL injection (via SQLmap parce qu'on n'a pas lu la FAQ)

Infos (cf menu latéral):
🚩 Flaggué! +100 points gagnés — 💾 Téléchargez les fichiers du challenge
FCSC{1D32671928B0DFD5E0B92B57871B1D49}

Le challenge

Il faut trouver un meme chaché… heu, caché!

Partie 1: SQL(map)injection

Le site, avec des chats, et un champ de recherche
Si on cherche l'apostrophe, on trouve une erreur
Comme il s'agit d'une erreur SQL (et que je n'avais pas lu la FAQ), je me suis tourné vers SQLmap
Qui confirme la SQLi (postgresql)
Il suffit alors de lister les tables, et on trouve celle de memes
Avec un meme caché (le 1er), via sqlmap -D public -T memes --dump -u '…/?search=lexluthor'
On retourne sur le site et on affiche l'image d'un des memes au pif pour avoir l'URL de base
Et en la remplaçant par l'URL du meme caché 3f5ce7b380dd03c3e71a29b2560323d058ce481fc7f3cdd505b02526af7d484e.jpg on trouve le flag

Flag: FCSC{1D32671928B0DFD5E0B92B57871B1D49}