                          __                           __  .__               _____.__                  
      ____ _____  _______/  |_ __ _________   ____   _/  |_|  |__   ____   _/ ____\  | _____     ____  
    _/ ___\\__  \ \____ \   __\  |  \_  __ \\_/ __ \  \   __\  |  \_/ __ \  \   __\|  | \__  \   / ___\ 
    \  \___ / __ \|  |_> >  | |  |  /|  | \/\  ___/   |  | |   Y  \  ___/   |  |  |  |__/ __ \_/ /_/  >
     \___  >____  /   __/|__| |____/ |__|    \___  >  |__| |___|  /\___  >  |__|  |____(____  /\___  / 
         \/     \/|__|                           \/             \/     \/                   \/\/_____/

De enige echte CTF Portaal

Welkom! Start elke challenge en deel de poorten. Deze apps zijn opzettelijk kwetsbaar — voor educatieve doeleinden in een sandbox. Bugs op de site zijn features met ambitie.

Dien je key in

▶ Starters

1) Onveilige login (SQLi)

Omzeil de login met SQL-injectie. De vlag verschijnt wanneer je ingelogd bent als admin.

Openen login-sqli

2) Zwakke JWT

Misbruik een zwakke geheime sleutel, word admin en haal de vlag op.

Openen jwt-weak

3) Statische geheimen

Zoek naar aanwijzingen en vergeten bestanden. Hints zijn optioneel.

Openen static-secrets

▶ Advanced

4) Command Injection

Een netwerk diagnostiek tool die ping commando's uitvoert. Kun je meer dan alleen pingen?

Openen command-injection

5) SSRF Internal

Een URL preview service. Welke interne endpoints kun je bereiken?

Openen ssrf-internal

6) XML XXE

Een XML import service. XML parsers kunnen gevaarlijk zijn...

Openen xml-xxe

7) SSH Brute Force

Een SSH server met zwakke credentials. Gebruik tools zoals hydra of nmap.

⚠ Tijdelijk buiten gebruik

ssh -p 2222 ctfuser@35.210.32.202

▶ Hacking God

8) Container Breakout (docker.sock)

SSRF naar de Docker Remote API op een interne dind-host. Start een container met bind-mount van / en lees de host-flag.

Openen container-breakout

Elke service heeft een health-endpoint op /healthz.

📖 Bekijk oplossingen (spoilers!)