Das Cookie, dem zu sehr vertraut wird
FitNova, das Fitnessstudio mit der Mitglieder-App, entscheidet anhand eines Cookies, wer du bist. Du bist ein beliebiges Mitglied: Kommst du dorthin, wo nur das Personal hinkommt? Beweise, dass ein normales Mitglied zum Admin werden kann, und hol dir das Flag.
Labor 2 von 7 im Lernpfad Web Exploitation. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 40 und 120 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Herausfinden, welches Cookie die Seite sendet (Header) (100 XP)
- Mit deinem Cookie in den Mitgliederbereich gelangen (100 XP)
- Vom Personalbereich abgewiesen werden (100 XP)
- In den Personalbereich gelangen (150 XP)
Themen: web, cookie, owasp-a01.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
curl: stellt HTTP-Anfragen aus dem Terminal und zeigt die rohe Antwort des Servers samt Headern.
Die simulierte Umgebung
Das Ziel ist ein erfundener Host in einem simulierten privaten Netzwerk: Du erreichst ihn nur über das Terminal des Spiels.
Das Ziel bietet diese Dienste an:
- SSH: der verschlüsselte Fernzugang zur Befehlszeile; man schützt ihn mit Schlüsseln statt Passwörtern und ohne direkte root-Anmeldung.
- Web (HTTP): ein Webserver mit Seiten, APIs oder Verwaltungsoberflächen: der am stärksten exponierte Teil fast jeder Organisation.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Der Server hat die Rechte anhand eines Werts entschieden, der vom Client kommt, und den Client kontrolliert, wer ihn benutzt: Ein Cookie lässt sich in einer Sekunde mit curl oder den Entwicklertools des Browsers ändern. Ein Klassiker von OWASP A01 (Broken Access Control). Lektion für die Verteidigung: Vertraue niemals Daten, die der Nutzer ändern kann. Ins Cookie gehört nur eine zufällige Sitzungskennung (oder ein vom Server signiertes Token); die Rolle liest der Server bei jeder Anfrage aus der Sitzung.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- robots.txt und vergessene Ordner (Web Exploitation, leicht)
Nach diesem Labor kannst du weitermachen mit:
- Aurora — Web Breach (Web Exploitation, mittel)
- Hinweise im Code der Seite (Web Exploitation, mittel)
Der Lernpfad Web Exploitation
Web Exploitation überträgt die Grundlagen auf Webseiten und Webanwendungen, wo ein großer Teil der echten Angriffe stattfindet. Du erkundest erfundene Seiten mit HTTP-Anfragen aus dem Terminal und entdeckst Ordner, die jemand verstecken wollte, Cookies, denen der Server zu sehr vertraut, nie geänderte Werkspasswörter, vergessene Kommentare im Seitenquelltext und Fehlermeldungen, die zu viel verraten. Die Lektionen folgen den Kategorien der OWASP Top 10, etwa Broken Access Control und Fehler bei der Authentifizierung, und jede erklärt die Korrektur.