THB CTF Team Qualification :  Challenge #02 - Race Against Trust

📜 قوانین (Rules of Engagement)

✅ Black-box :

کد سورس داده نمیشه، فقط اپلیکیشن در دسترسه

✅ محدوده تست: فقط خود اپلیکیشن وب

❌ خارج از محدوده: سیستم‌عامل هاست، Docker engine، یا هر زیرساخت خارج از خود وب‌ اپ

✅ استفاده از اسکنر خودکار مجازه، ولی این چالش نیاز به تحلیل دستی رفتار اپلیکیشن، روابط بین Objectها، و تایمینگ درخواست‌ها داره : اسکنرها به‌تنهایی حلش نمیکنن

🏁 فرمت فلگ: THB{...}

⚠️ فلگ هر بار که کانتینر اجرا میشه، تازه تولید میشه. فلگ تو هیچ فایلی، تو این ZIP، یا تو ایمیج Docker وجود نداره فقط داخل حافظه‌ی کانتینر در حال اجرا ساخته میشه، و فقط بعد از تکمیل زنجیره حمله‌ی موردنظر روی یه instance زنده قابل دسترسیه.

یه اکانت برای خودتون بسازید نیازی به حدس‌زدن یا brute-force کردن اکانت‌های موجود نیست.