Ottenere un invito per Hack The Box

Ci sono tanti siti che insegnano a diventare un penetration tester, ma un sito che consiglio a tutti è Hack The Box.

Il problema principale è quello di ottenere un invito per entrare. Vediamo come fare 😉

Andiamo sul sito: https://www.hackthebox.eu/ e poi in alto a destra click su individuals, poi scorriamo la pagina fino alla fine click su JOIN

Qui andremo ad inserire il nostro codice di invito… ma da dove si ricava?

Utilizzando Chrome, premiamo Ctrl + Shift + I e andiamo a spulciare il codice sorgente della pagina.Scendiamo su js e poi su inviteap.min.js

Esaminando il codice contenuto…

Non mi interessa capire tutto il codice, ma vedo eval () all’inzio, il che significa che verranno eseguiti dei comandi e presumibilmente, ognuna di queste è un comando.
makeInviteCode, alla fine, salta all’occhio e traducendo sembra che potrebbe generare un codice di invito.

Proviamo… da Chrome chiudiamo il precedente editor con Ctrl + Shift + I e apriamo una console con Ctrl + Shift + J

C’è un simpatico cursore che lampeggia e si aspetta un comando… scriviamo makeInviteCode() e vediamo cosa succede:

otteniamo un success ! Click sul triangolino nero e si espande il contenuto. Tra le virgolette notiamo una frase che non significa nulla 🙂 ma alla fine del rigo troviamo enctype: “ROT13″… forse un tipo di codifica???

Da google digitiamo ROT13 e otteniamo, al primo risultato, un sito: https://rot13.com/ andiamoci e incolliamo tutto il testo contenuto dalle virgolette.

Abbiamo già un modulo sulla pagina che invia richieste POST, quindi usiamolo. Andiamo su https://www.hackthebox.eu/invite e click con il tasto destro (posizionando il mouse a destra del tasto Sign Up sul grigio) e poi Ispezione e notiamo che il modulo invia una richiesta POST :

Editiamo con un doppio click e scriviamo al posto del precedente link:
https://www.hackthebox.eu/api/invite/generate

Ora nel form sulla sinistra scriviamo quello che vogliamo.. ad esempio ciao e poi click su Sign Up

Otteniamo il codice…

Presi dall’euforia, lo inseriamo nel campo Invite Code e…. sopresa, il codice non è valido… dove abbiamo sbagliato?

È in un formato codificato! Una delle codifiche più comuni (e che termina regolarmente in =) è base64. Quindi andiamo su base64decode.org per ottenere il nostro codice:

Proviamo con questo nuovo codice:

Perfetto… ora possiamo registrarci sul sito e proseguire con la navigazione.
BUON DIVERTIMENTO