Mission jouable · Accès libre

Hacking Web · de la faille au shell

Une application e-commerce « maison » accumule les raccourcis de développement. Sept cibles pour voir jusqu'où ça craque, de la page au shell.

Votre accès part par mail : un lien à usage unique, valable sept jours. Aucun mot de passe à créer.

Le briefing

7 objectifs, 7 lieux

Chaque cible est un lab réel : vous apprenez la technique en la pratiquant, pas en la lisant.

01
Boutique en ligne, Lyon
45.7640 N, 4.8357 E
Découverte de contenu
Remonte l'arborescence pour lire les fichiers que la boutique croyait hors de portée.
02
Avis clients, Milan
45.4642 N, 9.1900 E
Cross-site scripting (XSS)
Dépose une charge dans un avis client et fais-la exécuter dans le navigateur du prochain visiteur.
03
Catalogue produits, Madrid
40.4168 N, 3.7038 O
Injection SQL
Empoisonne une donnée qui reviendra plus tard dans une requête : la SQLi de second ordre ouvre la base.
04
Serveur de fichiers, Prague
50.0755 N, 14.4378 E
Inclusion de fichier (LFI/RFI)
Force l'application à inclure un fichier qu'elle n'aurait jamais dû charger et lis ses secrets.
05
Passerelle paiement, Lisbonne
38.7223 N, 9.1393 O
Injection de commande
Glisse un métacaractère dans un paramètre de la passerelle et fais exécuter ta commande par le serveur.
06
Espace vendeur, Istanbul
41.0082 N, 28.9784 E
Webshell
Dépose un fichier piégé dans l'espace vendeur et transforme-le en shell interactif.
07
Relais orbital GOLF
Orbite · satellite 1
Chaînage jusqu'au shell
Fixe une session, rebondis par un IDOR, puis injecte ta commande : la chaîne complète jusqu'au shell.