PicoGym: GET aHEAD#

Navegando pelos desafios de web do picoCTF, o desafio escolhido se chama “GET aHEAD”, o que deve significar algo sobre requisições de páginas web, talvez uma requisição GET, ou algo envolvendo um parâmetro ou resposta do cabeçalho (Head).

Primeiro, vamos olhar como é a página:

É uma página simples que muda a cor de fundo.
Se o usuário clicar no botão “Choose Red”, a cor de fundo muda pra vermelho.
Se o usuário clicar no botão “Choose Blue”, a cor de fundo muda pra azul.

Primeiro, vamos checar as requisições no Postman, talvez eu consiga achar algo de interessante lá.

Primeiro eu fiz uma requisição GET, mas nada de útil veio no header da resposta. Brincando um pouco mais com as opções, Eu encontrei a opção de requisição “HEAD”, selecionei ele e tentei mandar uma requisição padrão:

Só com essa mudança, a resposta da requisição tem a flag no header:

picoCTF{r3j3ct_th3_du4l1ty_70bc61c4}

Essa flag foi simples, a intenção é fazer o usuário aprender que não existe somente requisições GET e POST.