03/09/15 Neomoloch à réussi via du social engineering à avoir l'identitée réelle de deux administrateurs du site. Bravo à Neomoloch ;)
19/02/14 Onemore & Julesi ont exploité une faille sur le forum. Ils ont réussi spoofer l'identité d'un admin et défacer la première e page. Ci-joint, le photomontage utilisé pour signer la déface! Encore bravo à eux deux!
09/02/14 Julesi & Onemore ont réussis à injecter une backdoor sur le site. Il ont ainsi fais une petite deface en remplaçant certaines images sur http://hackbbs.org et http://dev.hackbbs.org. Ils ont désormais les privilèges du serveur web. Encore bravo à eux deux! L'illustration à droite est un souvenir.
07/02/14 Onemore à exploité une sqli sur une des shootbox. Il ne s'en ai cette fois pas servi pour une XSS et à donc contourné les protections bien spécifique qui y étaient déployées.
07/02/14 Onemore à exploité une sqli sur un challenge en exploitant un des champ dans un header http.
05/02/14 Onemore à exploité une des sqli qu'il avait sous la main pour defacer un de nos blog qui utilise la même base de donné. Il a analysé les donnés, puis à spoofé l'identité d'un des journalistes pour forger un article publique sur le blog.
31/01/14 Onemore à codé un exploit pour une "Error Based Blind SQLi".
31/01/14 Onemore à codé un exploit pour une "Time Based sqli" en exploitant un des paramètres d'un header HTTP. Ce n'est pas dans un cookie. Son exploit est également en ligne.
30/01/14 Onemore à exploité une "Time Based sqli" contre un challenge dont l'une des requete n'était pas protégé. La faille se situe dans un cookie et était présente sur le site depuis plus de 4 ans. Bravo à lui! Il a également publié sa preuve de concept.
08/01/14 Onemore à exploité une sqli sur un challenge. Il as également réalisé une élévation de privilèges via le système d'élection collaborative de contributeur. Il a réussi à dump l'id des utilisateurs, puis s'en ai servi pour détourner le système de vote en sa faveur. Il est ainsi passé notificateur.
15/08/12 Shiney à exploité une SQLI à l'aide de l'outil sqlmap sur un des challenges. L'outil lui a permis de récupérer les différentes bases de données présentent sur le serveur. Un poc est donnée sur le forum. La faille du poc est désormais corrigée, mais 3 autres sont toujours disponible.
02/04/12 Shiney à exploité une SQLI pour récuprérer des données en base. L'exploit consiste en une simple injection dans l'url de l'une des pages membres du site.
13/01/12 ZadYree et tlk ont eux aussi exploité une Blind SQLI pour récuprérer des données en base. Ils ont alors développé un exploit que nous avons publié dans nos articles..
17/12/11 red-hacker à exploité une Blind SQLI pour récuprérer des données en base. Il a réussi à spoofer certains comptes. La faille repose sur une requète SQL construite à partir d'un cookie du site.
15/06/11 TITOR$ à exploité une faille dans un challenge et peut à tout moment s'ajouter des points au classement.
08/06/11 Iggy à réussi à introduire une BackDoor sur le serveur en usant de social engeneering. Il a eu un accès complet à la BDD ainsi que les droits du processus apache.
14/03/11 Suite à la découverte de la faille du 07/03,Shiney à réussi à se valider des challenges en insérant lui même ses n-upplets dans la table appropriée.
08/03/11 Shiney à découvert et exploité une XSS persistente sur le challenge LOST (Faille non corrigée à ce jour.) ainsi que 2 SQI sur rodeo1 et 2.
07/03/11 Shiney à réussi une Blind-SQI sur la page de validation des challenges.
20/02/11 Shiney à réussi une Blind-SQI via l'interface administrateur de la shootbox. (Faille non corrigée à ce jour.)
20/02/11 Shiney réussi une SQI contre un des scripts d'authentification.
20/12/10 Shiney à exploité une faille SQL sur la shootbox PRINCIPAL ce qui lui a permis de récupérer le schema de la base de donnée et le contenu de certaines tables. Il l'a ensuite utilisé comme faille XSS, défacer la page en phishing pour récupérer les pass en clair de certains membres.
18/12/10 Shiney à injecté du code JavaScript sur le site dédié aux CaptureTheFlag.
17/12/10 Shiney à injecté du code JavaScript sur l'outil de paste de code du site ainsi que sur la page des cours. Il a par la même occasion développé un outils pour se constituer un dictionnaire de cookies des membres. Il a ensuite défacé la page pour faire du phishing et récupérer les mots de passe en clair.
16/12/10 Shiney à injecté une requete SQL sur un script du site(Lié au message privé). Il a ainsi récupéré certaines tables de la BDD.
16/12/10 Rayon-Gama exploite une XSS sur la page des cours.
15/08/10 Kev-1 à réussi à accéder aux résultats d'analyse d'une trap du site pour prendre le controle du wiki(host+bdd).
10/06/10 xJustiCe à trouvé une XSS sur http://svn.hackbbs.org/login
27/07/09 momito à exploité un accès sur un répertoire non protégé suite à une mise à jour du serveur. Il a ainsi eu accès à certains codes sources et aux identifiants de connection d'un challenge.
02/07/09 Lemuria à injecté du code dans la shootbox de test pour que la victime qui voit son code soit déconnecté du site.
24/12/08 Str4k3 à réalisé un backup partiel des fichiers sources du site. Accédé aux fichiers de configuration. Eu un accès admin sur la shootbox et découvert une faille XSS sur un des challenges.
04/12/08 Nebojsa accède au dédié et s'envoie un mail via celui-ci. Il pouvait donc le transformer en relai de spam.
20/10/08 Fredo2009 à réussi à defacer le site grace à une backdoor qu'il à installé après avoir trouvé une faille dans un script d'upload d'une fonctionalité du site.Il pouvait donc à loisir surfer dans l'arborescence et le code source des fichiers du site avec les droits d'apache.
07/07/08 Zero_Xan à réussis à accéder à une section privée du site que personne n'avait encore ateinte. Il à pour cela réussis à by-passer un .htaccess! Encore félicitation à lui!!!
23/06/08 FREDO2009 vient de coder un script permettant la validation en quelques minutes de l'intégralité des challenges. Il viens donc de recevoir un bonus de 250points. Félicitation et bonne continuation!!
19/03/08IMHACK a exploité une faille d'un accès admin et a prouvé qu'il pouvait:
25/02/08 Charles "Real" F. a trouvé deux XSS couvrant ainsi les deux serveurs principaux hackbbs.org et hackbbs.ovh.org. Il peut désormais voler les cookies de tout les joueurs qui se laisseront piéger par ses manipulations.
09/02/08 BYDOOWEEDOO a réussit à accéder à une partie admin, switcher la base de donnée actuelle avec la base sqlite3 qui n'était plus utilisée et donc rendre HackBBS hors de service. Il pouvait également injecter son propre code sur la page des challenges.
IMHACK a découvert un accès admin en manipulant ses cookies et pouvait manipuler les missions, nettoyer la shootbox, lire les MP, accéder aux stats, aux alarmes et bannir des ip
Mosquitox a réussi à voler pas mal de cookies et pouvait donc se connecter sous d'autres comptes. Il a également réussi à faire descendre ses adversaires au classement général en les inscrivant plusieurs fois à la mission spéciale. Enfin, redirection vers un lien externe grâce à une injection sur ta shootbox :P
Momito n'est pas là pour se vanter, mais il à réussi pas mal de trucs!
Un membre du site lsd a exploité une faille sur le pont entre le systeme d'inscription du site et du forum. (Que la honte s'abatte sur HackBBS). Les nouveaux membres à cette date étaient automatiquement promus admin du forum! Ils ont simplement mis un appel javascript au niveau du titre du forum afin de rediriger une seul fois chacun les visiteurs vers le site du lsd.
Jeudi 28 Juin 2007 LouleFlood sur la shootbox et vidéo à l'appui!
Samedi 2 Juin 2007 Lisa à réussi une injection de code javascript sur la shootbox principale. Les données n'étaient pas correctement transtypées et Lisa a injecté la fonction alert() de façon à afficher un popup au chargement de la page. Je n'ai pas le temps d'en dire plus pour le moment, mais un article est en cours de rédaction! Donc ce genre d'acte est vivement encouragé ici! A bientôt pour la suite des événements ;)