OverTheWire Natas - Seguridad Web
Natas te enseña los fundamentos de la seguridad web del lado del servidor. Cada nivel presenta una vulnerabilidad diferente que debes explotar.
¿Cómo Funciona?
A diferencia de Bandit (SSH), Natas se juega en el navegador. Cada nivel tiene una URL:
http://natasX.natas.labs.overthewire.org
Donde X es el número del nivel.
Credenciales Iniciales
Niveles del Tutorial
Fundamentos (0-5)
Inyección y Bypass (6-10)
Herramientas Recomendadas
Navegador
- DevTools (F12): Inspeccionar código, red, cookies
- View Source (Ctrl+U): Ver código fuente
- Extensión: Cookie Editor o EditThisCookie
Línea de Comandos
# Peticiones HTTP
curl -u natas0:password http://...
# Con headers
curl -H "Referer: http://..." http://...
# Ver solo headers
curl -I http://...
Herramientas Especializadas
- Burp Suite: Proxy para interceptar peticiones
- OWASP ZAP: Alternativa open source
- sqlmap: Automatización de SQL injection
Conceptos que Aprenderás
| Concepto | Descripción |
|---|
| Inspección de código | Ver HTML/JS del cliente |
| HTTP Headers | Referer, Cookie, User-Agent |
| LFI | Local File Inclusion |
| RFI | Remote File Inclusion |
| Command Injection | Ejecutar comandos del sistema |
| SQL Injection | Manipular consultas SQL |
| XSS | Cross-Site Scripting |
| Path Traversal | Acceder a archivos fuera del directorio |
Reglas Importantes
- Cada nivel tiene su propia contraseña para el siguiente
- Guarda las contraseñas que encuentres
- Lee el código fuente - casi siempre hay pistas
- Experimenta - no hay penalización por intentos fallidos
Recursos