O ponto e vírgula
O netcheck.py da PampaCloud pega um host do formulário e roda ping -c1 <host> pelo shell, sem nenhum filtro. Como a linha inteira vai para o /bin/sh, um ; no meio do seu texto termina o ping e começa um segundo comando.
Você recebe o código e um simulador offline (simulate.py) que faz exatamente o que o app faria com o seu texto, sem rodar nada de verdade. Rode o simulador passando o que você digitaria no campo. Primeiro descubra quais arquivos existem, depois leia o que interessa. A flag está num deles.
Rode assim: python3 simulate.py "192.0.2.5; ls". A flag tem o formato tocaia{...}, por exemplo tocaia{exemplo_que_nao_e}.
Arquivos do desafio
Exemplo resolvido
Este desafio vem com a solução em passos. Abra um de cada vez e tente o próximo sozinho antes de abrir. Cada passo aberto conta como ajuda no seu rating.
Passo 1 Veja o comportamento normal
Passo 2 Emende um segundo comando
Passo 3 Leia o arquivo, decodifique e pegue a flag
Tudo se resolve com ferramentas gratuitas.
Entre para ver o assunto deste desafio.
A solução comentada aparece depois que você resolve.