Blind NoSQL Injection - niteCTF 2024 (ITA)

Ciao! In questo video descrivo la soluzione della challenge web Tammy's Tantrums della uniCTF 2024 (https://play.nitectf2024.live/) La challenge consiste nell'analisi di una applicazione nextJS. La vulnerabilità da sfruttare è una Blind NoSQL injection, che permette di leggere la flag dal database andando ad effettuare dei delay condizionali. Ho già discusso di come sfruttare le blind SQL injections nella serie di DVWA. Ho giocato la CTF con il team hAOckers_TV (https://ctftime.org/team/362432) ------------------------- TIMESTAMP 00:00 Introduzione 02:35 Analisi dinamica 05:00 Analisi traffico HTTP 10:40 Analisi codice 33:15 Scopriamo la vulnerabilità 36:00 Creazione del payload 44:35 Script automatico ------------------------- RIFERIMENTI - Material: https://github.com/LeonardoE95/yt-it/tree/main/src/2024-12-16-sicurezza-ctfs-nitectf-2024-blind-nosql-inj - Video sulle Blind SQLi: https://www.youtube.com/watch?v=ZmnktwOQAzM - NiteCTF: https://play.nitectf2024.live/ - hAOckers_TV: https://ctftime.org/team/362432 ------------------------- CONTATTI - Blog: https://blog.leonardotamiano.xyz/ - Github: https://github.com/LeonardoE95?tab=repositories - Support: https://www.paypal.com/donate/?hosted_button_id=T49GUPRXALYTQ