не рекламы ради ссылку кидаю если что )
https://medium.com/@valeriyshevchenko/burpsuit-sqlmap-one-love-64451eb7b1e8

конечно, конечно )

сап, есть одна форма логина, которая выдаёт http 500, если в логине/пароле есть ; (не последним символом) либо %
на кавычки/бэкслеши не реагирует
у кого-то есть завиральные идеи, что это может быть?
[meta: сервис на go, возможно логин через корп учётку (читай ldap)]

Не знаю. Попробуй любые инъекции всего, что угодно, куда только можно ; и % пропихнуть

Отличный совет

(нет)

байтами пофаззь)

А я смотрю, мы лёгких путей не ищем

а чего сложного? интурдер запустить на %$$, а в нагрузки от 00 до ff. Может станет понятнее на что еще такое поведение. Потом до двух символов расшириться

А, я просто не понял, что именно ты хотел

заэскейпить эти символны н получается? типа \%

Вообще ошибки 500 это ещё не показатель, увы. Однако смею судить, что, будь там инжект команды какой-нибудь, то это вполне ожидаемое поведение. Потому что это может вот так предаваться в парсер:
username; echo username > db.sql
Где username это вводимые юзером данные, соответственно
В лучшем случае получается такой прикол:
username;; echo username; > db.sql
А в худшем это:
userna;me; echo userna;me > db.sql
В первом случае там просто пустая команда и в db.sql запишется ничего, а во втором команда me вообще не будет башем опознана

А на самом деле там может быть что угодно и поэтому на твоём @az0r3 месте я бы пофаззил на предмет любых слепых инъекций

нет, 0 реакции

значит всё равно падает?

вообще, надо фаззить, выискивать закономерности и прикидывать возможные технологии/ситуации внутри

ето так, просто оч хочется внутрь, верю в лучшее)
почему-то меня это навело на мысли о csv, только при чём тут %..
на инджект команд чёт не похоже, тоже про это подумал

Там очень косячный бэкенд, если в пароль нельзя ; вставить. И скорее всего, у юзеров пароли тоже косячные. Не были бы - админу бы мозг заебали, что "у меня из-за тебя точка с запятой в пароле не проходит!"

я не знаю, падает или нет, но мне прилетает точно такая же 500

в этом и вопрос. Было не ясно, что значит "0 реакции". теперь понятно

пффт, как будто в корпорате кого-то волнуют страдания юзеров) такая парольная политика и точка

люди, которые регились на OWASP Meetup, указывайте пожалуйста свои реальные ФИО в заявке. Я понимаю что мы тут все кул мега хацкеры, за которыми охотится ФСБ, КГБ и ЦРУ, но мы делаем для вас пропуска, здесь достаточно строгая пропускная система, через которую мы НЕ сможем вас провести, если не будет заявки от нас заранее+при проходе понадобится паспорт/водительские права, подтверждающие что вы это действительно тот на кого оформили заявку.