Qué vas a hacer
WebGoat es un curso de seguridad web que funciona como una página web. Cada lección explica un fallo y después te pide que lo aproveches, y se marca sola cuando lo consigues. En esta lección te registras, abres tu primera lección y conoces WebWolf, la segunda página web que la acompaña.
La única regla
Advertencia
Este laboratorio ejecuta una página web insegura a propósito. Ataca solo esa web y nada más. Es tu copia privada, sin salida a internet, así que no puede afectar a nadie. No pruebes nunca estas cosas en una web que no sea tuya: en el Reino Unido es un delito según la ley británica Computer Misuse Act 1990.
Antes de empezar
Nota
Pulsa Iniciar el laboratorio en la barra de la parte superior de esta lección y espera hasta que diga que está en marcha. WebGoat es un programa de Java y sigue arrancando durante cerca de un minuto después de que la barra diga que está en marcha. Si en el paso 1 aparece 502 para WebGoat, espera un minuto y vuelve a pulsar Ejecutar. Cada botón Ejecutar de abajo escribe su comando en el terminal de tu laboratorio, uno detrás de otro y en la misma sesión. Para verlos, o para escribir los tuyos, pulsa Abrir el terminal (pestaña nueva) en la barra.
1. Comprueba que las dos páginas funcionan
WebGoat y WebWolf son dos páginas web en un mismo laboratorio. 200 significa que la página ha respondido con su pantalla de inicio de sesión. 502 significa que todavía está arrancando.
curl -s -o /dev/null -w "%{http_code}\n" http://web/WebGoat/loginSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
curl -s -o /dev/null -w "%{http_code}\n" http://web:9090/WebWolf/loginSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
2. Regístrate
Pulsa el primer enlace de la barra del laboratorio, WebGoat. Elige Register (registrarse), inventa un nombre de usuario y una contraseña (nadie más puede ver esta copia, así que vale cualquiera), acepta las condiciones y envía el formulario. Se abre la lista de lecciones.
3. Abre una primera lección
Abre Introduction en el menú de la izquierda y lee la página WebGoat. Después abre General y luego HTTP Basics. Léela, escribe tu nombre en la casilla y pulsa Go! (¡adelante!): el servidor le da la vuelta a tu nombre y te lo devuelve. Eso es una petición HTTP y su respuesta. La lección sigue con más ejercicios, y cada uno se marca solo en el menú cuando lo haces bien. WebGoat Basics 2 enseña a mirar la propia petición.
4. Visita WebWolf
Pulsa el segundo enlace de la barra del laboratorio, WebWolf, e inicia sesión con el mismo nombre de usuario y la misma contraseña. WebWolf es una segunda página web que hace de "la otra persona" en las lecciones que necesitan una, por ejemplo para recibir un mensaje o un archivo. Cada lección te dice cuándo usarla.
Para el profesorado
Consejo
Esta lección es un ejemplo pequeño de una lección practicada en un laboratorio: los pasos y los botones Ejecutar son la lección, y el laboratorio es la copia de cada alumno. WebGoat es un curso entero en un laboratorio, con una marca junto a cada lección que el alumno termina. El laboratorio no le envía nada: pida una captura de las lecciones marcadas y una frase, con sus propias palabras, sobre un fallo. Cópiela en su propio módulo y cámbiela, o cree una desde cero con el menú Laboratorio del editor de lecciones.