---
# System prepended metadata

title: 'Пин код [Duckerz CTF | WEB | WriteUp]'
tags: [WEB, CTF, DUCKERZ]

---

# ⚠️ Дисклеймер
Материал опубликован исключительно в образовательных и исследовательских целях. Вся информация демонстрируется на легальных площадках (HackTheBox, TryHackMe, Portswigger Labs) или собственных тестовых стендах. Автор не несет ответственности за любые противоправные действия третьих лиц, совершенные с использованием полученных знаний. Цель контента — помочь специалистам по информационной безопасности лучше понимать векторы атак для построения надежной защиты.

# Информация по заданию
- Платформа: Duckerz
- Категория: Web
- Сложность: Easy
- Название задачи: Пин код

# Описание задания
Мне кажется, я опять забыл свой пароль.

# Анализ веб-приложения

В задании «Пин код» дается ссылка на веб-страницу (рис. 1).

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/SyaOYUwFZl.png">
  <figcaption>Рисунок 1. Веб-страница.</figcaption>
</figure>

На странице находится форма аутентификации. Смотрим исходный код (рис. 2) — в комментариях нашлись учетные данные: `admin:admin`.

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/B1u9FIvFbg.png">
  <figcaption>Рисунок 2. Исходный код страницы.</figcaption>
</figure>

После входа открывается страница с формой для 4-значного PIN-кода (рис. 3).

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/ByEecLwKWx.png">
  <figcaption>Рисунок 3. Форма ввода PIN.</figcaption>
</figure>

Пробуем наугад `7777` — не подходит (рис. 4).

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/SJab5UDtZx.png">
  <figcaption>Рисунок 4. Неверный пин-код.</figcaption>
</figure>

Перехватим запрос с помощью `BurpSuite` (рис. 5).

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/HJxUqLDYbg.png">
  <figcaption>Рисунок 5. Перехваченный запрос.</figcaption>
</figure>

# Получение флага

Отправляем запрос в Intruder с настройками, как на рисунке 6.

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/Sys3cLPYWl.png">
  <figcaption>Рисунок 6. Настройки Intruder.</figcaption>
</figure>

После атаки фильтруем ответы по длине — находим подходящий PIN-код (рис. 7).

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/rJfwpLvYbe.png">
  <figcaption>Рисунок 7. Подобранный PIN код.</figcaption>
</figure>

Вводим `1337` (рис. 8) — флаг получен, +150 очков на платформе.

<figure style="text-align:center">
  <img src="https://hackmd.io/_uploads/ByJ-RIPtbx.png">
  <figcaption>Рисунок 8. Успешный PIN-код.</figcaption>
</figure>

# Выводы
Если честно, в первый раз я наугад ввел 1337, потому что это значение часто встречается на CTF. Зато в этот раз никаких случайностей — обычный суровый bruteforce.