Diese Seite bietet einen Endpunkt um existierende Nutzer abzufragen.

Der Endpunkt funktioniert folgendermaßen:
Indem man die Seite /challenge-6/?user=<username> besucht, bekommt man als Antwort, ob dieser Nutzer in der Datenbank existiert oder nicht.

Wollen wir beispielsweise überprüfen, ob der Nutzer admin existiert, so besuchen wir die Seite /challenge-6/?user=admin

Einem Forscher ist bereits aufgefallen, dass dieser Endpunkt anfällig für eine SQL-Injection ist. Leider bekommen wir das Ergebnis unserer Anfrage nicht auf der Seite angezeigt. Können wir trotzdem das Passwort des Nutzers admin herausfinden?

Ist es euch gelungen das Passwort des Benutzers admin zu stehlen, so könnt ihr es benutzen, um euch unter /login/ als admin anzumelden.

Tipp: Das Passwort des admin Nutzers besteht aus kleinen Buchstaben und Zahlen und ist 32 Zeichen lang.