Mensajes de error demasiado charlatanes
La intranet de la pastelería Dolcemela es muy educada: cuando fallas el acceso, hasta te explica qué has hecho mal. ¿Demasiado educada? Descubre quién tiene de verdad una cuenta y luego encuentra el camino al área reservada.
Laboratorio 6 de 7 de la ruta Web Exploitation. Si te atascas tienes 3 pistas, de la más vaga a la más precisa: cuestan 0, 50 y 120 XP.
Qué aprendes
Los objetivos se completan solos mientras trabajas en el terminal; cada uno vale puntos de experiencia:
- Encontrar los nombres de los empleados en el sitio (75 XP)
- Descubrir qué nombre tiene una cuenta (150 XP)
- Fallar una contraseña: el portal no te bloquea (75 XP)
- Entrar en el área reservada (150 XP)
Temas: web, user-enumeration, owasp-a07.
Los comandos que usarás
El terminal es simulado y entiende unos cuarenta comandos de Linux. En este laboratorio te servirán sobre todo estos:
curl: hace peticiones HTTP desde el terminal y muestra la respuesta en bruto del servidor, cabeceras incluidas.cat: muestra el contenido de un archivo: la forma más directa de leer configuraciones, notas y registros.
El entorno simulado
El objetivo es un host inventado en una red privada simulada: solo lo alcanzas desde el terminal del juego.
El objetivo expone estos servicios:
- SSH: el acceso remoto cifrado a la línea de comandos; se protege con claves en lugar de contraseñas y sin inicio de sesión directo como root.
- Web (HTTP): un servidor web con páginas, API o paneles de gestión: la parte más expuesta de casi cualquier organización.
La lección de defensa
Con el laboratorio resuelto, el informe explica qué falló y cómo protegerse:
El portal decía «contraseña incorrecta» para las cuentas que existen y «usuario desconocido» para las demás: dos respuestas distintas convierten la página de acceso en una lista de cuentas válidas (user enumeration, OWASP A07). Sin límite de intentos, una lista corta de contraseñas comunes hizo el resto. Lección defensiva: el mismo mensaje genérico («credenciales no válidas») y el mismo tiempo de respuesta en todos los casos, límite de intentos con bloqueo temporal, contraseñas robustas con verificación en dos pasos y avisos ante intentos anómalos.
Antes y después de este laboratorio
Para abrirlo debes haber resuelto:
- El manual del fabricante (Web Exploitation, medio)
Después de este laboratorio puedes pasar a:
- El portal completo (Web Exploitation, difícil)
La ruta Web Exploitation
Web Exploitation lleva la base al mundo de los sitios y las aplicaciones web, donde ocurre una parte enorme de los ataques reales. Exploras sitios inventados con peticiones HTTP desde el terminal y descubres carpetas que alguien esperaba esconder, cookies en las que el servidor confía demasiado, credenciales de fábrica nunca cambiadas, comentarios olvidados en el código de la página y mensajes de error que dicen demasiado. Las lecciones siguen las categorías del OWASP Top 10, como Broken Access Control y los fallos de autenticación, y cada una explica cómo se corrige.