Райтап на задачу «Альтушка с БАГуслуг»

БАГуслуги сильно сбоят, а саппорт игнорит. Им точно доходит фидбек?

Посетим данный нам узел. Вдоволь налюбовавшись Пикси и обнаружив, что Альтушки нам не светят, проверим, какой вообще есть рабочий функционал.

Формы фидбека в CTF часто ведут нас в сторону XSS-уязвимостей, но пока об этом говорить рано, сперва посмотрим, что и куда она отправляет — перехватим запрос в Burp и посмотрим на его содержимое:

Поле Chat_id не представлено на исходной форме, странно, нужно посмотреть код страницы. И действительно, в отправке на /feedback захардкожен некий id:

Пользователи Telegram знают, что id юзеров и ботов — положительные значения, а id групп — отрицательные, значит, наша форма отправляет данные в какой-то чат, но в какой? Осмотрев страничку более внимательно, видим:

Зайдём в гости к боту:

Ну, раз мы на правильном пути, тогда начнём эксперименты! Проверим стандартные команды, вдруг бот на что-нибудь ответит?

Но в ответ — тишина. Вернёмся к сайту. Попробуем поиграться с chat_id:

Окак! Отправка данных с некорректным chat_id вызывает ошибку, да ещё и 500, а значит, сервер не обработал возникшую ошибку корректно. А что если попробовать отправить свой Telegram ID вместо чата? Тоже ошибка?

Ошибки нет, получаем 200. Одновременно с успешной отправкой запроса слышим звоночек, открываем входящие, а там:

Получается, бекенд без каких-либо проверок доверяет переданному нами chat_id и просто отправляет сообщение в указанный чат.

С самих БАГуслуг написали :) Сдаёмся.