Как мы вместе с Юрием Рядниной (circuit) провели CTF «для начинающих» на PHDays Fest и что пошло не так

Во-первых, пришли участвовать далеко не начинающие. Во-вторых, платформа была написана в ChatGPT (и код был не идеальным). А в остальном все прошло отлично!

Конкурс состоял из пяти легких тасков:

• XSS: найти reflected XSS в параметре comment.

• Ошибка округления: накрутить себе денег в интерфейсе, схожем с банковским.

• SSRF: использовать баг в форме загрузки аватарки, чтобы получить локальный файл с флагом.

• Утечка флага: найти флаг, который неожиданно оказался спрятан прямо в коде страницы.

• IDOR: найти уязвимость в мессенджере и пробраться в чат.

Как участники с этим справились — читайте на Хабре.

Спасибо всем, кто пришел! К следующему PHDays Fest подготовим еще что-то интересное 🎉