robots.txt e cartelle dimenticate
La Gelateria Polo Nord ha un sito semplice e un gelataio un po' ingenuo: dice ai motori di ricerca di non guardare in certe cartelle e pensa che così siano al sicuro. Esplora il sito, scopri cosa vorrebbe nascondere e portati a casa il flag.
Laboratorio 1 di 7 del percorso Web Exploitation. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 30 e 100 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Mappare le pagine del sito con gobuster (50 XP)
- Leggere il robots.txt (75 XP)
- Aprire la cartella «da non indicizzare» (75 XP)
Argomenti: web, robots-txt, enumeration.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
gobuster: prova in automatico un elenco di nomi di cartelle e pagine su un sito web, per trovare ciò che nessun link mostra.curl: fa richieste HTTP dal terminale e mostra la risposta grezza del server, intestazioni comprese.
L'ambiente simulato
Il bersaglio è un host inventato in una rete privata simulata: lo raggiungi solo dal terminale del gioco.
Il bersaglio espone questi servizi:
- SSH: l'accesso remoto cifrato alla riga di comando; si protegge con le chiavi al posto delle password e senza login diretto come root.
- Web (HTTP): un server web con pagine, API o pannelli di gestione: la parte più esposta di quasi ogni organizzazione.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Il robots.txt chiede gentilmente ai motori di ricerca di non indicizzare certe pagine: non è una protezione, è un cartello «vietato l'ingresso» appeso a una porta aperta, e siccome è pubblico diventa la mappa dei posti interessanti. Lezione difensiva: ciò che è riservato si protegge con login e permessi sul server (le cartelle che rispondevano 403 hanno retto, quella aperta no), non si elenca nel robots.txt e non si lascia attivo l'elenco dei file di una cartella.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Mappare un host (Recon & Scanning, facile)
Dopo questo laboratorio puoi passare a:
- Il cookie di cui ci si fida troppo (Web Exploitation, medio)
- Il manuale del produttore (Web Exploitation, medio)
Il percorso Web Exploitation
Web Exploitation porta le basi nel mondo dei siti e delle applicazioni web, dove avviene una parte enorme degli attacchi reali. Esplori siti inventati con richieste HTTP dal terminale e scopri cartelle che qualcuno sperava di nascondere, cookie di cui il server si fida troppo, credenziali di fabbrica mai cambiate, commenti dimenticati nel codice della pagina e messaggi d'errore che dicono troppo. Le lezioni seguono le categorie dell'OWASP Top 10, come Broken Access Control e gli errori di autenticazione, e ognuna spiega come si corregge.