В lactf я смог решить задачу веб/метавселенной.
Ниже приведен исходный код, предоставленный здесь
Из исходного кода видно, что флаг — это отображаемое имя администратора.
И мы можем видеть только если админ добавит нас в друзья
Мы можем опубликовать, используя раздел ниже
Если я попытаюсь добавить JavaScript в сообщение, оно будет выполнено
Как мы видим, мы можем добавить кого-то в друзья, сделав запрос на публикацию.
в /friend с нашим именем пользователя
поэтому мы создаем сообщение с приведенной ниже полезной нагрузкой js
fetch("/friend",{method:"POST",body:"username="+encodeURIComponent("darkcheftar"),headers:{"Content-Type":"application/x-www-form-urlencoded"}}).then(e=>e.text().then(t=>{if(200!==e.status){document.querySelector(".error")?.remove();let r=document.createElement("p");r.innerText=t,r.classList.add("error"),document.body.insertAdjacentElement("afterbegin",r)}else location.reload()}))
поделившись ссылкой на админ-бота он добавляет нас в друзья.
теперь мы можем видеть флаг
Наконец, флаг:
лактф {пожалуйста_метагет_мне_вне_из_здесь}