大会中、かなり粘って、何時間もかけたが解けなかったやつら。
Mob psycho
JADX で flag を検索しても答えが見つからなかった。
まさか、プログラムから使っていないリソースに隠すとは。
リソースに隠すのはいいけど、使えよ。と言いたい。
No Sql Injection
はまやんはまやん氏のサイト
に、{"id":"admin", "pw": {"$ne": "pass"}} のような否定のクエリを投げれば真になり結果が返ってくるとあったので、入力欄２か所に
{"$ne": "pass"}
{"$ne": "pass"}
と入力
Adminページが表示され、成功？と思ったが、
ソースを見てもフラグなし。
大会期間中は、ささってなかったのかと思い、別の方法を試したがダメ。
他の人にWriteupを見ると、トークンと書いてあったので、刺さってたと仮定して、もう一度よく探し回ってみると、
あった。ここかよ。やっぱ、刺さってたんだ。