robots.txt y carpetas olvidadas
La heladería Polo Nord tiene una web sencilla y un heladero algo ingenuo: pide a los buscadores que no miren en ciertas carpetas y cree que así están a salvo. Explora el sitio, descubre qué quiere esconder y llévate el flag.
Laboratorio 1 de 7 de la ruta Web Exploitation. Si te atascas tienes 3 pistas, de la más vaga a la más precisa: cuestan 0, 30 y 100 XP.
Qué aprendes
Los objetivos se completan solos mientras trabajas en el terminal; cada uno vale puntos de experiencia:
- Mapear las páginas del sitio con gobuster (50 XP)
- Leer el robots.txt (75 XP)
- Abrir la carpeta «que no se debe indexar» (75 XP)
Temas: web, robots-txt, enumeration.
Los comandos que usarás
El terminal es simulado y entiende unos cuarenta comandos de Linux. En este laboratorio te servirán sobre todo estos:
gobuster: prueba automáticamente una lista de nombres de carpetas y páginas en un sitio web, para encontrar lo que ningún enlace muestra.curl: hace peticiones HTTP desde el terminal y muestra la respuesta en bruto del servidor, cabeceras incluidas.
El entorno simulado
El objetivo es un host inventado en una red privada simulada: solo lo alcanzas desde el terminal del juego.
El objetivo expone estos servicios:
- SSH: el acceso remoto cifrado a la línea de comandos; se protege con claves en lugar de contraseñas y sin inicio de sesión directo como root.
- Web (HTTP): un servidor web con páginas, API o paneles de gestión: la parte más expuesta de casi cualquier organización.
La lección de defensa
Con el laboratorio resuelto, el informe explica qué falló y cómo protegerse:
El robots.txt pide amablemente a los buscadores que no indexen ciertas páginas. No es una protección: es un cartel de «prohibido el paso» colgado en una puerta abierta, y como es público se convierte en el mapa de los sitios interesantes. Lección defensiva: lo privado se protege con login y permisos en el servidor (las carpetas que respondían 403 aguantaron, la abierta no), no se enumera en el robots.txt y no se deja activo el listado de archivos de una carpeta.
Antes y después de este laboratorio
Para abrirlo debes haber resuelto:
- Mapear un host (Recon & Scanning, fácil)
Después de este laboratorio puedes pasar a:
- La cookie en la que se confía demasiado (Web Exploitation, medio)
- El manual del fabricante (Web Exploitation, medio)
La ruta Web Exploitation
Web Exploitation lleva la base al mundo de los sitios y las aplicaciones web, donde ocurre una parte enorme de los ataques reales. Exploras sitios inventados con peticiones HTTP desde el terminal y descubres carpetas que alguien esperaba esconder, cookies en las que el servidor confía demasiado, credenciales de fábrica nunca cambiadas, comentarios olvidados en el código de la página y mensajes de error que dicen demasiado. Las lecciones siguen las categorías del OWASP Top 10, como Broken Access Control y los fallos de autenticación, y cada una explica cómo se corrige.