Zu gesprächige Fehlermeldungen
Das Intranet der Konditorei Dolcemela ist sehr höflich: Wenn du dich falsch anmeldest, erklärt es dir sogar, was du falsch gemacht hast. Zu höflich? Finde heraus, wer wirklich ein Konto hat, und such dann den Weg in den geschützten Bereich.
Labor 6 von 7 im Lernpfad Web Exploitation. Wenn du feststeckst, hast du 3 Hinweise, vom vagesten bis zum genauesten: Sie kosten 0, 50 und 120 XP.
Was du lernst
Die Ziele erfüllen sich von selbst, während du im Terminal arbeitest; jedes bringt Erfahrungspunkte:
- Die Namen der Mitarbeiter auf der Seite finden (75 XP)
- Herausfinden, welcher Name ein Konto hat (150 XP)
- Ein falsches Passwort eingeben: Das Portal sperrt dich nicht (75 XP)
- In den geschützten Bereich gelangen (150 XP)
Themen: web, user-enumeration, owasp-a07.
Die Befehle, die du brauchst
Das Terminal ist simuliert und versteht etwa vierzig Linux-Befehle. In diesem Labor brauchst du vor allem diese:
curl: stellt HTTP-Anfragen aus dem Terminal und zeigt die rohe Antwort des Servers samt Headern.cat: gibt den Inhalt einer Datei aus: der direkteste Weg, Konfigurationen, Notizen und Logs zu lesen.
Die simulierte Umgebung
Das Ziel ist ein erfundener Host in einem simulierten privaten Netzwerk: Du erreichst ihn nur über das Terminal des Spiels.
Das Ziel bietet diese Dienste an:
- SSH: der verschlüsselte Fernzugang zur Befehlszeile; man schützt ihn mit Schlüsseln statt Passwörtern und ohne direkte root-Anmeldung.
- Web (HTTP): ein Webserver mit Seiten, APIs oder Verwaltungsoberflächen: der am stärksten exponierte Teil fast jeder Organisation.
Die Lektion zur Abwehr
Ist das Labor gelöst, erklärt der Bericht, was schiefging und wie man sich schützt:
Das Portal sagte „Passwort falsch“ bei Konten, die existieren, und „Benutzer unbekannt“ bei den anderen: Zwei unterschiedliche Antworten machen die Anmeldeseite zur Liste gültiger Konten (User Enumeration, OWASP A07). Ohne Begrenzung der Versuche erledigte eine kurze Liste gängiger Passwörter den Rest. Lektion für die Verteidigung: dieselbe allgemeine Meldung („Ungültige Zugangsdaten“) und dieselbe Antwortzeit in jedem Fall, ein Limit für Versuche mit vorübergehender Sperre, starke Passwörter mit Zwei-Faktor-Authentifizierung und Warnungen bei auffälligen Versuchen.
Vor und nach diesem Labor
Um es zu öffnen, musst du gelöst haben:
- Das Handbuch des Herstellers (Web Exploitation, mittel)
Nach diesem Labor kannst du weitermachen mit:
- Das komplette Portal (Web Exploitation, schwer)
Der Lernpfad Web Exploitation
Web Exploitation überträgt die Grundlagen auf Webseiten und Webanwendungen, wo ein großer Teil der echten Angriffe stattfindet. Du erkundest erfundene Seiten mit HTTP-Anfragen aus dem Terminal und entdeckst Ordner, die jemand verstecken wollte, Cookies, denen der Server zu sehr vertraut, nie geänderte Werkspasswörter, vergessene Kommentare im Seitenquelltext und Fehlermeldungen, die zu viel verraten. Die Lektionen folgen den Kategorien der OWASP Top 10, etwa Broken Access Control und Fehler bei der Authentifizierung, und jede erklärt die Korrektur.