Blog - Supabase
·
如何攻破基地！
💡
原文英文，约2900词，阅读约需11分钟。
📝
内容提要
此次黑客挑战吸引了近300人参与，共有291人注册，184人成功找到至少一个标志，22人捕获了所有九个标志。文章详细介绍了获取标志的方法，包括使用的工具和技术。
🎯
关键要点
- 此次黑客挑战吸引了近300人参与，共有291人注册，184人成功找到至少一个标志，22人捕获了所有九个标志。
- 参与者在挑战开始前几天就得到了通知，社区参与度令人印象深刻。
- 获取标志需要安装特定工具，包括cURL、Web浏览器、psql客户端和Burp Suite（可选）。
- 第一个标志隐藏在HTML的一个隐藏div中，可以通过浏览器的检查工具找到。
- robots.txt文件提供了网站的访问规则，参与者需要通过访问该文件找到一个未引用的页面的路径。
- 通过查询域名的TXT记录可以获取一个标志，使用dig命令进行反向查找。
- 观察Web应用的请求可以发现PostGREST端点，通过修改请求可以找到标志。
- 客户端验证存在漏洞，参与者可以通过修改DOM来绕过注册限制。
- 通过修改请求的Accept-Profile头部，可以查询到信息架构，从而获取数据库表的信息。
- 最后一个标志涉及到数据库的角色和权限，参与者需要通过EC2连接到数据库并查询特定表。
- 参与者可以利用互联网档案馆的Wayback Machine来查找被捕获的URL。
- 挑战的最后一个标志需要通过复杂的步骤来获取，包括连接到数据库和查询特定的秘密表。
➡️
