robots.txt et dossiers oubliés
La glacerie Polo Nord a un site simple et un glacier un peu naïf : il demande aux moteurs de recherche de ne pas regarder dans certains dossiers et croit qu'ils sont ainsi à l'abri. Explore le site, découvre ce qu'il voudrait cacher et rapporte le flag.
Laboratoire 1 sur 7 du parcours Web Exploitation. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 30 et 100 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- Cartographier les pages du site avec gobuster (50 XP)
- Lire le robots.txt (75 XP)
- Ouvrir le dossier « à ne pas indexer » (75 XP)
Thèmes : web, robots-txt, enumeration.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
gobuster: essaie automatiquement une liste de noms de dossiers et de pages sur un site web, pour trouver ce qu’aucun lien ne montre.curl: envoie des requêtes HTTP depuis le terminal et montre la réponse brute du serveur, en-têtes compris.
L’environnement simulé
La cible est un hôte imaginaire sur un réseau privé simulé : tu ne l'atteins que depuis le terminal du jeu.
La cible expose ces services :
- SSH: l’accès distant chiffré à la ligne de commande ; on le protège avec des clés plutôt que des mots de passe et sans connexion directe en root.
- Web (HTTP): un serveur web avec des pages, des API ou des panneaux d’administration : la partie la plus exposée de presque toute organisation.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Le robots.txt demande poliment aux moteurs de recherche de ne pas indexer certaines pages. Ce n'est pas une protection : c'est un panneau « entrée interdite » accroché à une porte ouverte, et comme il est public, il devient la carte des endroits intéressants. Leçon défensive : ce qui est privé se protège par un login et des permissions sur le serveur (les dossiers qui répondaient 403 ont tenu, le dossier ouvert non), on ne le liste pas dans le robots.txt et on ne laisse pas actif l'affichage du contenu des dossiers.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Cartographier un hôte (Recon & Scanning, facile)
Après ce laboratoire, tu peux passer à :
- Le cookie auquel on fait trop confiance (Web Exploitation, moyen)
- Le manuel du fabricant (Web Exploitation, moyen)
Le parcours Web Exploitation
Web Exploitation transpose les bases dans le monde des sites et des applications web, où se produit une part énorme des attaques réelles. Tu explores des sites imaginaires avec des requêtes HTTP depuis le terminal et tu découvres des dossiers que quelqu'un espérait cacher, des cookies auxquels le serveur fait trop confiance, des identifiants d'usine jamais changés, des commentaires oubliés dans le code de la page et des messages d'erreur trop bavards. Les leçons suivent les catégories de l'OWASP Top 10, comme Broken Access Control et les défaillances d'authentification, et chacune explique la correction.