ROE / Regole di ingaggio
Restate nel laboratorio
L’attività allena osservazione e correlazione. Non è una gara a chi rompe più forte.
Consentito
- Guardare il sorgente pagina.
- Aprire file pubblici dentro
/huntit/. - Usare DevTools, decoding semplice e lettura log.
- Testare solo il laboratorio XSS controllato.
Non consentito
- Uscire dalla cartella
/huntit/. - Usare brute force, scanner aggressivi o payload distruttivi.
- Modificare o attaccare il portale Day0 reale.
- Confondere flag con report: una flag senza spiegazione vale poco.
Primo indizio
Alcune informazioni sono in file normalmente pubblici ma spesso ignorati. La prima evidenza non sempre è visibile nella pagina renderizzata.