CTF // SUPPORT TERMINAL

MISSION SUPPORT

Zit je vast? Gebruik de hints stap voor stap. Open niet meteen alles — probeer na iedere hint eerst zelf verder te komen.

01

FLAG 1

Er is meer dan je ziet...

Hint 1
Niet alles wat een website naar jouw browser stuurt, zie je direct op het scherm.
Hint 2
Een webpagina bestaat uit HTML-code. Die code kun je van bijna elke website gewoon bekijken. We noemen dit de "broncode" of "Sourcecode" van de pagina.

Zoek op hoe dit moet.
Hint 3 — bijna het antwoord
Klik met rechts ergens op de pagina en kies Paginabron weergeven of View Page Source.

Zie je daar iets geks tussen staan?
02

FLAG 2

Wat gebeurt er op de achtergrond?

Hint 1
Websites kunnen op de achtergrond bestanden en informatie ophalen zonder dat je dit direct op het scherm ziet.

Hoe kun je zien wat een website allemaal op de achtergrond doet?
Hint 2
Je browser heeft "tools" waarmee je kunt bekijken welke bestanden en requests een website gebruikt.

Deze tools heten vaak Developer Tools. Kijk of je kunt vinden hoe je deze opent.

Waar kan je zien welke bestanden er allemaal worden opgehaald?
Hint 3
Druk op F12 en open het tabblad Network.

Vernieuw daarna de pagina. Wat zie je allemaal, valt er een bestand op?
Hint 4 — bijna het antwoord
In de Network tab zie je als je de pagina ververst (F5) dat er een bestand wordt opgehaald met de naam: hiddenfiles.json

Bekijk daarna de inhoud van deze request. Daar vind je het pad waar dit bestand op de website te vinden is. Vul dit in en kijk wat er gebeurd!
03

FLAG 3

Geheimen...

Hint 1
Heb je alles uit het json bestand gehaald wat je hebt gevonden bij FLAG 2?
Hint 2
In het json bestand staat "hidden-folder": "/secret/",, kan je daar iets mee?
Hint 3 — bijna het antwoord
Kijk in de map /secret/ en bekijk de bestanden die daar staan.

Staat daar iets interessants tussen?
04

FLAG 4

Kun jij toegang krijgen?

Hint 1
Voor de laatste flag moet je succesvol kunnen inloggen.

De makers van deze website zijn niet erg veilig bezig geweest. Ergens op de website staat informatie waarmee je een geldige gebruikersnaam en wachtwoord kunt vinden.
Hint 2
Het internet zit vol met automatische programma's die websites bezoeken.

Denk bijvoorbeeld aan zoekmachines zoals Google. Deze gebruiken robots die pagina's automatisch bekijken en indexeren.

Kijk eens of je meer informatie kunt vinden over zulke robots en hoe ze werken.
Hint 3
Websites kunnen een speciaal tekstbestand gebruiken om zulke robots instructies te geven.

Daarin kan bijvoorbeeld staan welke mappen een zoekmachine beter niet moet bezoeken.

Dat betekent natuurlijk niet dat die mappen echt beveiligd zijn...

Deze website heeft ook zo'n bestand. Kun jij het vinden?
Hint 4
Het bestand waar je naar zoekt heet: robots.txt Open dit bestand vanaf de root van de website en kijk goed welke map daar wordt genoemd.

Een Disallow-regel betekent dat zoekmachines worden gevraagd die map NIET te bezoeken.
Hint 5 — bijna het antwoord
In robots.txt staat een verwijzing naar: /data/ Open die map en bekijk de bestanden die daar staan.

Eén van die bestanden bevat gebruikersnamen en wachtwoorden.

Gebruik één van die accounts op de loginpagina om de laatste flag te vinden.

MISSION COMPLETE?

Noteer bij iedere flag waar je hem vond, hoe je hem vond en waarom dit een beveiligingsprobleem is.