Blog - Supabase
·
如何攻破基地！
内容提要
此次黑客挑战吸引了近300人参与，共有291人注册，184人成功找到至少一个标志，22人捕获了所有九个标志。文章详细介绍了获取标志的方法，包括使用的工具和技术。
关键要点
-
此次黑客挑战吸引了近300人参与，共有291人注册，184人成功找到至少一个标志，22人捕获了所有九个标志。
-
参与者在挑战开始前几天就得到了通知，社区参与度令人印象深刻。
-
获取标志需要安装特定工具，包括cURL、Web浏览器、psql客户端和Burp Suite（可选）。
-
第一个标志隐藏在HTML的一个隐藏div中，可以通过浏览器的检查工具找到。
-
robots.txt文件提供了网站的访问规则，参与者需要通过访问该文件找到一个未引用的页面的路径。
-
通过查询域名的TXT记录可以获取一个标志，使用dig命令进行反向查找。
-
观察Web应用的请求可以发现PostGREST端点，通过修改请求可以找到标志。
-
客户端验证存在漏洞，参与者可以通过修改DOM来绕过注册限制。
-
通过修改请求的Accept-Profile头部，可以查询到信息架构，从而获取数据库表的信息。
-
最后一个标志涉及到数据库的角色和权限，参与者需要通过EC2连接到数据库并查询特定表。
-
参与者可以利用互联网档案馆的Wayback Machine来查找被捕获的URL。
-
挑战的最后一个标志需要通过复杂的步骤来获取，包括连接到数据库和查询特定的秘密表。
延伸解读
参与者的技术准备
此次黑客挑战要求参与者具备一定的技术基础，特别是熟悉使用cURL、Web浏览器和psql客户端等工具。对于新手来说，掌握这些工具的使用方法是成功获取标志的关键。此外，使用Burp Suite等工具可以帮助参与者更深入地分析网络请求，发现潜在的漏洞。
挑战的复杂性与策略
挑战中的标志获取方式多样，从简单的HTML元素到复杂的数据库查询，考验了参与者的技术能力和策略思维。特别是最后一个标志，需要通过EC2连接数据库并进行权限查询，显示了挑战的高复杂性。参与者需要灵活运用各种技术手段，才能成功完成挑战。
社区参与的重要性
此次挑战吸引了近300名参与者，显示了社区的活跃度和对网络安全的关注。参与者之间的互动和经验分享不仅提升了个人技能，也促进了整个社区的成长。对于未来的挑战，组织者可以考虑增加更多的互动环节，以进一步增强社区的凝聚力。
延伸问答
这次黑客挑战有多少人参与？
共有291人注册，184人成功找到至少一个标志，22人捕获了所有九个标志。
获取标志需要哪些工具？
需要安装cURL、Web浏览器、psql客户端和可选的Burp Suite。
如何找到第一个标志？
第一个标志隐藏在HTML的一个隐藏div中，可以通过浏览器的检查工具找到。
robots.txt文件有什么用？
robots.txt文件提供了网站的访问规则，参与者可以通过访问该文件找到一个未引用的页面的路径。
如何利用DNS查询获取标志？
通过查询域名的TXT记录，可以使用dig命令进行反向查找来获取标志。
最后一个标志的获取步骤是什么？
最后一个标志需要通过连接到数据库并查询特定表来获取。
