## [I am legend](https://cybertalents.com/challenges/web/iam-legend)

Level: easy
Solved : 5498 Times
Points : 50


Thử dùng burpsuite để nhập username và password thì không có gì đáng chú ý

Sau đó mình nhấn thử ctrl+u thì thấy có đoạn code lạ lạ

[][[[]+[][+[]]][+[]][++[++[++[++[[]][+[]]][+[]]][+[]]][+[]]]+[[]+[][+[]]][+[]][++[++[++[++[++[[]][+[]]][+[]]][+[]]][+[]]][+[]]]+[[]+[][+[]]][+[]][++[[]][+[...

Sau khi tìm hiểu thì mình biết đây chính là js fuck obfuscation nên mình dùng [tool](https://filipemgs.github.io/poisonjs/)



## [Secret Blog](https://cybertalents.com/challenges/web/secret-blog)

Level: medium
 
Solved: 969 Times

Points: 100

![image](https://hackmd.io/_uploads/BkGDsITGgg.png)
Mình thử ném vào burpsuite để kiểm tra và thấy một điều kì lạ
![image](https://hackmd.io/_uploads/HJBcj8TGgx.png)
`admin=False` mình sửa lại `True` thì có flag luôn @@

![image](https://hackmd.io/_uploads/SJeW2iU6Glg.png)

## [String highlighter](https://cybertalents.com/challenges/web/string-highlighter)

Level:hard
Solved:899 Times
Points:200


Mình thử dùng active scan của burp thì nó hiện cái này


Vậy là trang web này có thể XSS


Kiểm tra thử trang index.php thì có thể thực thi các lệnh php

Vậy là trang này có check php code trong đó và không cho ta thực thi

Đọc trang này một chút thì mình thử được payload echo `whoami`; thì code có thể thực thi được



`kshd125fddw`