Capstone

Versão "de produção" do serviço de prévia de imagem (preview-service.js): a lista de permissão agora é por host exato, só img.estancia.test passa. Parece fechado. Mas o serviço SEGUE até 5 redirecionamentos, e só confere o host da URL que você manda, nunca os destinos dos redirecionamentos.

O recon.txt conta o resto: o host permitido img.estancia.test tem um redirecionador aberto em /go?next=<url>, e o serviço de metadados da nuvem de brinquedo está em http://169.254.169.254/meta/v1/identity/credentials.

Junte tudo o que aprendeu: comece numa URL do host permitido, use o redirecionador aberto para saltar para os metadados, e pegue a flag. Confira com node oracle.mjs "<url>".

Formato: tocaia{...}. Exemplo com a mesma forma, que não é a resposta: tocaia{quase_capturei}.