Hinweise im Code der Seite
Die Pizzeria Vesuvio hat eine Website zum Tischreservieren, in Eile gebaut von einem optimistischen Entwickler. Eine Webseite ist ein Dokument, das der Server jedem aushändigt: Lies sie vollständig, auch die Teile, die der Browser dir nicht zeigt.
Labor 5 von 7 im Lernpfad Web Exploitation. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 40 und 120 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Den Quelltext der Startseite lesen (75 XP)
- Die JavaScript-Datei öffnen, auf die die Seite verweist (125 XP)
- Den vergessenen internen Endpunkt erreichen (150 XP)
Themen: web, information-disclosure, owasp-a05.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
curl: stellt HTTP-Anfragen aus dem Terminal und zeigt die rohe Antwort des Servers samt Headern.
Die simulierte Umgebung
Das Ziel ist ein erfundener Host in einem simulierten privaten Netzwerk: Du erreichst ihn nur über das Terminal des Spiels.
Das Ziel bietet diese Dienste an:
- SSH: der verschlüsselte Fernzugang zur Befehlszeile; man schützt ihn mit Schlüsseln statt Passwörtern und ohne direkte root-Anmeldung.
- Web (HTTP): ein Webserver mit Seiten, APIs oder Verwaltungsoberflächen: der am stärksten exponierte Teil fast jeder Organisation.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Alles, was der Server an den Browser schickt (HTML, Kommentare, JavaScript), ist öffentlich: Die Kommentare und Notizen des Entwicklers kann jeder lesen, und eine „interne“ Adresse, die keine Seite verlinkt, ist trotzdem für jeden erreichbar, der sie kennt. Eine Adresse zu verstecken ist keine Verteidigung (Security through Obscurity). Lektion für die Verteidigung: Kommentare und interne Verweise vor dem Livegang entfernen, Test-Endpunkte aus der Produktion nehmen und jede API über Authentifizierung und serverseitige Prüfungen absichern.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Das Cookie, dem zu sehr vertraut wird (Web Exploitation, mittel)
Nach diesem Labor kannst du weitermachen mit:
- Das komplette Portal (Web Exploitation, schwer)
Der Lernpfad Web Exploitation
Web Exploitation überträgt die Grundlagen auf Webseiten und Webanwendungen, wo ein großer Teil der echten Angriffe stattfindet. Du erkundest erfundene Seiten mit HTTP-Anfragen aus dem Terminal und entdeckst Ordner, die jemand verstecken wollte, Cookies, denen der Server zu sehr vertraut, nie geänderte Werkspasswörter, vergessene Kommentare im Seitenquelltext und Fehlermeldungen, die zu viel verraten. Die Lektionen folgen den Kategorien der OWASP Top 10, etwa Broken Access Control und Fehler bei der Authentifizierung, und jede erklärt die Korrektur.