فرم لاگین ساده‌ای دارید که نام کاربری و رمز عبور را بدون پارامتر در کوئری SQL می‌سازد. با SQL Injection وارد حساب ادمین شوید. پرچم فقط در صفحهٔ پروفایل ادمین (/admin) نمایش داده می‌شود، نه در پاسخ لاگین.
۱. برای شروع آزمایشگاه ثبت‌نام کنید و وارد محیط شوید.
۲. حمله مورد نظر را اجرا کنید و فلگ را در محیط سرور پیدا کنید.
۳. فلگ را در پنل کاربری خود وارد کنید تا آزمایشگاه تکمیل شود.
برای دسترسی به محیط ایزوله و شروع تمرین، ثبت‌نام کنید.
قبلاً ثبت‌نام کرده‌اید؟ وارد شوید