## https://sploitus.com/exploit?id=4BC33C90-6654-5AAB-936D-0A25BF80FE71
# BookSheetCTF - Web Security CheatSheet & Concept Guide
Selamat datang di **BookSheetCTF**, kamus dan panduan konseptual Web Security yang dirancang khusus untuk kompetisi CTF (Capture The Flag).
Berbeda dengan cheatsheet umum yang hanya menyajikan daftar payload (payload dump), repository ini mengusung pendekatan **"Concept-First, Technique-Driven, WAF-Mapped"** berbasis Bahasa Indonesia:
1. **Memahami Why It Works**: Mengapa suatu payload bekerja di bawah kap (under the hood).
2. **Atomic Techniques**: Membongkar payload kompleks menjadi teknik-teknik atomis (building blocks).
3. **WAF Bypass Matrix & Response Diagnostics**: Melakukan diagnosis percabangan cepat berdasarkan respon HTTP (Payload A vs Payload B, Expected HTTP Status Code, dan Error Log Analysis).
---
## Kategori & Taksonomi Modul
| No | Kategori Kerentanan | Deskripsi & Topik Utama | Link Modul |
| :---: | :--- | :--- | :--- |
| **01** | **SSTI (Server-Side Template Injection)** | Jinja2, Twig, Smarty, Thymeleaf, Python Object Model, WAF Bypass, Respon Diagnostics | [01-SSTI](file:///c:/Users/user/Nata/Project/BookSheetCTF/01-SSTI/README.md) |
| **02** | **SQL Injection (SQLi)** | Union-based, Error-based, Blind (Boolean/Time), WAF Bypass, Out-of-Band | *[Coming Soon]* |
| **03** | **XSS & Client-Side Attacks** | Reflected/DOM/Stored XSS, CSP Bypass, DOM Clobbering, XS-Leaks | *[Coming Soon]* |
| **04** | **LFI / RFI & PHP Wrappers** | Path Traversal, PHP Filters, Log Poisoning, RCE via Upload | *[Coming Soon]* |
| **05** | **Command Injection** | OS Command Injection, Blind (Out-of-band), Bad Characters Bypass | *[Coming Soon]* |
| **06** | **SSRF (Server-Side Request Forgery)** | Cloud Metadata, Protocol Smuggling (Gopher, Dict), Bypass IP Filter | *[Coming Soon]* |
| **07** | **Deserialization** | Python Pickle, PHP Gadgets, Node.js Serialize, Java Ysoserial | *[Coming Soon]* |
| **08** | **XXE (XML External Entity)** | In-band, Blind Out-of-band, DTD Parameter Entities | *[Coming Soon]* |
| **09** | **JWT & Auth Vulnerabilities** | Algorithm None, Key Confusion, Secret Bruteforce, JWKS Spoofing | *[Coming Soon]* |
| **10** | **Prototype Pollution** | Client-side & Server-side (Node.js) Object Prototype Manipulation | *[Coming Soon]* |
---
## Standar Format Dokumen
Setiap dokumen di repository ini disusun dengan format konseptual:
- **Tujuan & Prasyarat**: Kapan teknik dipakai.
- **Visual Flow / Diagram**: Alur kerja teknik.
- **Diagnostik Respon (Payload A vs Payload B)**: Percabangan skenario berdasarkan respon HTTP server.
- **Penjelasan Under the Hood**: Mekanisme internal engine.
- **Contoh Code & Penjelasan**: Snippet dengan penjelasan baris per baris.
- **Chaining Strategy**: Menggabungkan beberapa teknik menjadi eksploitasi penuh (RCE/Read File).
---
## Panduan Penggunaan saat CTF
1. **Identifikasi Vulnerability**: Tentukan kategori kerentanan (misal: SSTI Jinja2).
2. **Ketahui Constraints/WAF**: Tes karakter atau keyword apa saja yang di-filter (misal: `.` atau `_` diblok).
3. **Cek WAF Matrix**: Buka `README.md` pada modul terkait, cari tabel WAF Matrix untuk menemukan teknik alternatif yang pas.
4. **Rangkai Payload**: Gabungkan teknik atomis menjadi exploit chain penuh.