Des messages d'erreur trop bavards
L'intranet de la pâtisserie Dolcemela est très poli : quand tu te trompes de connexion, il t'explique même ce que tu as raté. Trop poli ? Découvre qui a vraiment un compte, puis trouve le chemin vers l'espace réservé.
Laboratoire 6 sur 7 du parcours Web Exploitation. Si tu bloques, tu as 3 indices, du plus vague au plus précis : ils coûtent 0, 50 et 120 XP.
Ce que tu apprends
Les objectifs se valident tout seuls pendant que tu travailles dans le terminal ; chacun rapporte des points d’expérience :
- Trouver les noms des employés sur le site (75 XP)
- Découvrir quel nom a un compte (150 XP)
- Se tromper de mot de passe : le portail ne te bloque pas (75 XP)
- Entrer dans l'espace réservé (150 XP)
Thèmes : web, user-enumeration, owasp-a07.
Les commandes que tu utiliseras
Le terminal est simulé et comprend une quarantaine de commandes Linux. Dans ce laboratoire, tu auras surtout besoin de celles-ci :
curl: envoie des requêtes HTTP depuis le terminal et montre la réponse brute du serveur, en-têtes compris.cat: affiche le contenu d’un fichier : la façon la plus directe de lire configurations, notes et journaux.
L’environnement simulé
La cible est un hôte imaginaire sur un réseau privé simulé : tu ne l'atteins que depuis le terminal du jeu.
La cible expose ces services :
- SSH: l’accès distant chiffré à la ligne de commande ; on le protège avec des clés plutôt que des mots de passe et sans connexion directe en root.
- Web (HTTP): un serveur web avec des pages, des API ou des panneaux d’administration : la partie la plus exposée de presque toute organisation.
La leçon de défense
Une fois le laboratoire résolu, le compte rendu explique ce qui a mal tourné et comment se protéger :
Le portail répondait « mot de passe incorrect » pour les comptes qui existent et « utilisateur inconnu » pour les autres : deux réponses différentes transforment la page de connexion en liste de comptes valides (user enumeration, OWASP A07). Sans limite de tentatives, une courte liste de mots de passe courants a fait le reste. Leçon défensive : le même message générique (« identifiants invalides ») et le même temps de réponse dans tous les cas, une limite de tentatives avec blocage temporaire, des mots de passe solides avec double authentification et des alertes en cas de tentatives anormales.
Avant et après ce laboratoire
Pour l’ouvrir, tu dois avoir résolu :
- Le manuel du fabricant (Web Exploitation, moyen)
Après ce laboratoire, tu peux passer à :
- Le portail complet (Web Exploitation, difficile)
Le parcours Web Exploitation
Web Exploitation transpose les bases dans le monde des sites et des applications web, où se produit une part énorme des attaques réelles. Tu explores des sites imaginaires avec des requêtes HTTP depuis le terminal et tu découvres des dossiers que quelqu'un espérait cacher, des cookies auxquels le serveur fait trop confiance, des identifiants d'usine jamais changés, des commentaires oubliés dans le code de la page et des messages d'erreur trop bavards. Les leçons suivent les catégories de l'OWASP Top 10, comme Broken Access Control et les défaillances d'authentification, et chacune explique la correction.