robots.txt und vergessene Ordner
Die Eisdiele Polo Nord hat eine einfache Website und einen etwas naiven Eismacher: Er sagt den Suchmaschinen, sie sollen in bestimmten Ordnern nicht nachsehen, und glaubt, damit seien sie sicher. Erkunde die Seite, finde heraus, was er verstecken will, und hol dir das Flag.
Labor 1 von 7 im Lernpfad Web Exploitation. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 30 und 100 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Die Seiten der Website mit gobuster kartieren (50 XP)
- Die robots.txt lesen (75 XP)
- Den Ordner „nicht indexieren“ öffnen (75 XP)
Themen: web, robots-txt, enumeration.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
gobuster: probiert automatisch eine Liste von Ordner- und Seitennamen auf einer Webseite aus, um zu finden, was kein Link zeigt.curl: stellt HTTP-Anfragen aus dem Terminal und zeigt die rohe Antwort des Servers samt Headern.
Die simulierte Umgebung
Das Ziel ist ein erfundener Host in einem simulierten privaten Netzwerk: Du erreichst ihn nur über das Terminal des Spiels.
Das Ziel bietet diese Dienste an:
- SSH: der verschlüsselte Fernzugang zur Befehlszeile; man schützt ihn mit Schlüsseln statt Passwörtern und ohne direkte root-Anmeldung.
- Web (HTTP): ein Webserver mit Seiten, APIs oder Verwaltungsoberflächen: der am stärksten exponierte Teil fast jeder Organisation.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Die robots.txt bittet Suchmaschinen höflich, bestimmte Seiten nicht zu indexieren. Das ist kein Schutz: Es ist ein „Zutritt verboten“-Schild an einer offenen Tür, und weil es öffentlich ist, wird es zur Karte der interessanten Orte. Lektion für die Verteidigung: Privates schützt man mit Login und Berechtigungen auf dem Server (die Ordner mit 403 haben gehalten, der offene nicht), man listet es nicht in der robots.txt auf und lässt die Dateiliste eines Ordners nicht aktiv.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Einen Host kartieren (Recon & Scanning, leicht)
Nach diesem Labor kannst du weitermachen mit:
- Das Cookie, dem zu sehr vertraut wird (Web Exploitation, mittel)
- Das Handbuch des Herstellers (Web Exploitation, mittel)
Der Lernpfad Web Exploitation
Web Exploitation überträgt die Grundlagen auf Webseiten und Webanwendungen, wo ein großer Teil der echten Angriffe stattfindet. Du erkundest erfundene Seiten mit HTTP-Anfragen aus dem Terminal und entdeckst Ordner, die jemand verstecken wollte, Cookies, denen der Server zu sehr vertraut, nie geänderte Werkspasswörter, vergessene Kommentare im Seitenquelltext und Fehlermeldungen, die zu viel verraten. Die Lektionen folgen den Kategorien der OWASP Top 10, etwa Broken Access Control und Fehler bei der Authentifizierung, und jede erklärt die Korrektur.