Баланс: 0 ₽

Магазин кибер-гаджетов будущего

Официальная витрина технологий 2026 года. Нейрочипы, квантовые накопители и оборудование для этичного взлома.

🎯 Учебный полигон для начинающих белых хакеров

Этот магазин создан специально, чтобы ты научился находить уязвимости. Никаких сложных терминов — всё наглядно и с подсказками!

⚠️ Ответ базы данных (SQL Engine):

📦

Каталог товаров

🛡️

Центр обучения взлому

Прогресс миссий: 0 из 7 Стажёр
Уровень 1 • Очень просто В процессе

Бесплатный флагман (Подмена цены в коде)

В корзине лежит легендарный Кибер-Шлем за 999 999 ₽, а на твоём счету 0 ₽, и кнопка оплаты заблокирована. Обойди проверку прямо в браузере и забери шлем бесплатно!

Ты можешь изменять всё, что видишь на экране своего браузера! Браузер пользователя полностью под твоим контролем.
Открой корзину. Нажми клавишу F12 (или кликни правой кнопкой мыши по кнопке «Оплатить заказ» и выбери «Посмотреть код» / «Inspect»).
1. В инспекторе элементов найди кнопку <button id="btnCheckout" disabled data-price="999999">.
2. Дважды кликни по слову disabled и сотри его (нажми Backspace и Enter). Кнопка станет активной!
3. Также найди скрытое поле <input id="cartHiddenPrice" value="999999"> и измени значение на 0 (или в кнопке data-price="0").
4. Нажми «Оплатить заказ» и получи секретный флаг в чеке!
Главное правило безопасности: «Никогда не доверяй клиенту!». Цену товара всегда должен проверять сервер из базы данных, а не принимать её из браузера покупателя.
Уровень 2 • Просто В процессе

Забытый промокод (Секрет в комментариях)

Разработчики часто оставляют комментарии и заметки для себя прямо в коде страницы, забывая, что любой посетитель может их прочесть. Найди промокод на скидку 100%!

Каждый сайт передает в твой браузер исходный текст страницы на HTML. Ты можешь посмотреть его целиком.
Нажми комбинацию клавиш Ctrl + U на клавиатуре (на Mac: Cmd + Option + U), чтобы открыть исходный код страницы.
1. Нажми Ctrl + U.
2. Нажми Ctrl + F для поиска по тексту и напиши слово промокод.
3. Найди зеленый комментарий с промокодом CYBER_ZERO_100.
4. Введи его в поле промокода в корзине магазина и нажми «Применить».
HTML-комментарии <!-- ... --> не видны обычному посетителю, но отправляются в браузер целиком. Никогда не оставляйте в коде пароли, секретные ссылки или ключи!
Уровень 3 • Базовый В процессе

Я здесь начальник (Манипуляция Cookie)

В верхнем меню есть кнопка «Панель Директора», но при нажатии сайт пишет, что вы обычный покупатель (customer). Стань администратором!

Сайты используют Cookies (куки) — небольшие текстовые метки, которые сохраняются в твоем браузере, чтобы помнить, кто ты такой.
Нажми F12 -> перейди на вкладку Application (в русскоязычном Chrome это «Приложение», в Firefox — «Хранилище») -> в меню слева открой Cookies -> выбери сайт vzlom.ae0.ru.
1. Найди куку с именем user_role (сейчас там значение customer).
2. Дважды кликни на слово customer и измени его на admin.
3. Нажми в меню сайта кнопку «🏢 Панель Директора» и получи флаг!
Если сайт хранит роль пользователя в открытой куке без криптографической подписи (JWT/HMAC), любой пользователь может объявить себя директором за 3 секунды.
Уровень 4 • Криптография В процессе

Шпионская записка (Декодирование Base64)

В подвале сайта лежит забытый файл backup.log. Внутри хранится «зашифрованная» строка. Расшифруй её!

Спустись в самый низ страницы (подвал) и нажми на ссылку «📄 Резервная копия (backup.log)». Найди там строку из латинских букв со знаком = на конце.
Это вовсе не шифр, а алгоритм кодирования Base64. Символ = на конце — его классический признак. Кодирование не требует пароля!
1. Скопируй строку RkxBR3tiYXNlNjRfaXNfbm90X2VuY3J5cHRpb25fc2VjcmV0fQ==.
2. Открой сайт CyberChef (gchq.github.io/CyberChef) или напиши в Google «Base64 декодер онлайн».
3. Вставь строку в декодер и получи секретный флаг!
Частая ошибка новичков — путать кодирование (Base64, Hex, URL-encode) и шифрование (AES, RSA). Кодирование — это просто представление данных в другом алфавите, оно не защищает от взлома.
Уровень 5 • Хэширование В процессе

Пароль директора (Взлом хэша MD5)

В подвале сайта системный администратор оставил тикет с MD5-хэшем пароля директора. Восстанови пароль и войди через форму авторизации!

В подвале сайта найди блок «Тикет техподдержки #409-SEC». Там записан хэш: e10adc3949ba59abbe56e057f20f883e и логин: director@cyberbaza.local.
Хэш невозможно «развернуть» математически, но хакеры создали гигантские таблицы (Rainbow Tables), где посчитаны хэши для миллиардов популярных паролей.
1. Зайди на сайт crackstation.net (или загугли «MD5 decrypt online»).
2. Вставь e10adc3949ba59abbe56e057f20f883e и нажми «Crack Hashes».
3. Сервис покажет реальный пароль.
4. Нажми вверху сайта «🔐 Вход для сотрудников», введи логин и разгаданный пароль!
Алгоритм MD5 считается небезопасным уже более 15 лет. Пароли нужно хэшировать стойкими медленными функциями (bcrypt, Argon2) с солью (salt).
Уровень 6 • Веб-инъекции В процессе

Магическая кавычка (SQL Injection в поиске)

В каталоге магазина спрятан секретный прототип товара, который скрыт от обычных покупателей. Заставь базу данных отдать все секретные записи через строку поиска!

Когда ты вводишь текст в строку поиска, сервер формирует запрос к базе данных SQL: SELECT * FROM products WHERE name LIKE '%[ТВОЙ_ТЕКСТ]%'. Попробуй ввести просто символ одинарной кавычки: '.
Если ввести ', база выдаст ошибку, потому что кавычка сломала запрос. Нам нужно закрыть поиск и добавить условие, которое ВСЕГДА истинно: например 1=1.
1. Вставь в строку поиска: ' OR '1'='1 (или ' OR 1=1 --).
2. Нажми «Найти».
3. База данных вернет все товары, включая секретный прототип: «СЕКРЕТНЫЙ ПРОТОТИП: Нейро-передатчик v0.1».
4. В его описании найди секретный флаг!
SQL Injection входит в топ уязвимостей OWASP Top 10. Если не использовать параметризованные запросы (prepared statements), злоумышленник может скачать или удалить всю базу данных.
Уровень 7 • Логика доступа В процессе

Чужая посылка (IDOR - Подмена ID)

IDOR (Insecure Direct Object Reference) — уязвимость, когда сервер слепо верит номеру записи в ссылке. Найди самый первый заказ в магазине (#1) и перехвати секретный груз!

Перейди по ссылке в подвале «Мой последний заказ (#1337)» или открой в браузере страницу /order?id=1337.
В адресной строке твоего браузера написано: vzlom.ae0.ru/order?id=1337. Номер заказа передается прямо в параметре ?id=1337.
1. Кликни в адресную строку браузера.
2. Сотри цифру 1337 и напиши 1 (получится: /order?id=1).
3. Нажми Enter и посмотри накладную заказа #1 главного директора с флагом!
IDOR случается, когда разработчик просто делает SELECT * FROM orders WHERE id = $id, забывая проверить, принадлежит ли этот заказ авторизованному пользователю.
Уведомление