Indizi nel codice della pagina
La Pizzeria Vesuvio ha un sito per prenotare i tavoli, fatto di corsa da uno sviluppatore ottimista. Una pagina web è un documento che il server consegna a chiunque: leggila per intero, anche le parti che il browser non ti mostra.
Laboratorio 5 di 7 del percorso Web Exploitation. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 40 e 120 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Leggere il codice sorgente della home (75 XP)
- Aprire il file JavaScript indicato dalla pagina (125 XP)
- Raggiungere l'endpoint interno dimenticato (150 XP)
Argomenti: web, information-disclosure, owasp-a05.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
curl: fa richieste HTTP dal terminale e mostra la risposta grezza del server, intestazioni comprese.
L'ambiente simulato
Il bersaglio è un host inventato in una rete privata simulata: lo raggiungi solo dal terminale del gioco.
Il bersaglio espone questi servizi:
- SSH: l'accesso remoto cifrato alla riga di comando; si protegge con le chiavi al posto delle password e senza login diretto come root.
- Web (HTTP): un server web con pagine, API o pannelli di gestione: la parte più esposta di quasi ogni organizzazione.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Tutto ciò che il server manda al browser (HTML, commenti, JavaScript) è pubblico: i commenti e gli appunti dello sviluppatore li legge chiunque, e un indirizzo «interno» che nessuna pagina collega è comunque raggiungibile da chi lo conosce. Nascondere un indirizzo non è una difesa (security through obscurity). Lezione difensiva: ripulire commenti e riferimenti interni prima della messa online, togliere dalla produzione gli endpoint di prova e far passare ogni API da autenticazione e controlli lato server.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Il cookie di cui ci si fida troppo (Web Exploitation, medio)
Dopo questo laboratorio puoi passare a:
- Il portale completo (Web Exploitation, difficile)
Il percorso Web Exploitation
Web Exploitation porta le basi nel mondo dei siti e delle applicazioni web, dove avviene una parte enorme degli attacchi reali. Esplori siti inventati con richieste HTTP dal terminale e scopri cartelle che qualcuno sperava di nascondere, cookie di cui il server si fida troppo, credenziali di fabbrica mai cambiate, commenti dimenticati nel codice della pagina e messaggi d'errore che dicono troppo. Le lezioni seguono le categorie dell'OWASP Top 10, come Broken Access Control e gli errori di autenticazione, e ognuna spiega come si corregge.