Arco 04SeguridadMisión 13Pendiente

Hackea la app de papá

Nada. Hoy no construyes: rompes. Papá hizo una app con tres huecos de seguridad escondidos.

Temario de esta misión

Concepto
Pensar como atacante
Probar a propósito lo que no deberías poder hacer. Es la única forma de encontrar los huecos.
Concepto
Secretos en el historial
Una llave borrada hoy sigue viva en los commits viejos. Se busca con git log -p.
Concepto
Permisos rotos
Cambiar un número en la URL y acabar viendo lo de alguien más. Es de los huecos más comunes que existen.
Concepto
XSS
Meterle código a un campo de texto que no lo limpia, para que la página lo ejecute.
Herramienta
Escapar el HTML
Tratar lo que escribe la gente como texto, nunca como etiquetas. Ése es el arreglo.

La gente que protege sistemas es la que sabe cómo se rompen. Hoy te toca el otro lado: buscar, probar, romper. Y después tapar lo que encontraste.

Desafío jefe · Tres banderas

Encuentra las tres banderas y después arregla los tres huecos. Encontrarlas es media misión; taparlas es la otra media.

1
Clona el repo de papá y échale un ojo completo antes de tocar nada.
2
Bandera 1: hay un secreto en algún lugar del historial. Busca en los commits viejos, no sólo en el código de hoy.
3
Bandera 2: hay algo que puedes ver o cambiar aunque no deberías. Prueba cambiar números en la URL.
4
Bandera 3: hay un campo de texto que no limpia lo que escribes. Intenta meterle código.
5
Anota cómo encontraste cada bandera, como una detective.
6
Ahora tapa los tres huecos y explica por qué tu arreglo funciona.

Misión 13 de 20