Lo que vas a hacer
Casi todas las lecciones de WebGoat te piden mirar lo que tu navegador envía y recibe. La herramienta para eso ya está en tu navegador: las herramientas de desarrollo. En esta lección las conoces y ves la misma petición desde tu terminal.
La regla única
Advertencia
Este laboratorio ejecuta una web insegura a propósito. Ataca solo esa web y nada más. Es tu copia privada y no tiene salida a internet, así que nadie más puede verse afectado. No pruebes nunca estas cosas en una web que no sea tuya: en el Reino Unido es un delito según la ley británica Computer Misuse Act 1990 (sobre el uso indebido de ordenadores).
Antes de empezar
Nota
Pulsa Iniciar el laboratorio en la barra de arriba de esta lección y espera a que diga que está en marcha. WebGoat es un programa de Java y sigue arrancando alrededor de un minuto después de que la barra diga que está en marcha: si su página aún no se abre, espera un minuto y vuelve a intentarlo. Cada botón Ejecutar de abajo escribe su comando en el terminal de tu laboratorio, uno detrás de otro y en la misma sesión. Para verlos, o para escribir los tuyos, pulsa Abrir el terminal (pestaña nueva) en la barra.
1. Abre la lección de las herramientas de desarrollo
Pulsa el primer enlace de la barra del laboratorio, WebGoat, y entra (o regístrate, si aún no lo has hecho en Fundamentos de WebGoat). Abre General en el menú de la izquierda y después Developer Tools (herramientas de desarrollo). Lee la primera página: explica cómo abrir las herramientas.
2. Abre las herramientas
Haz clic con el botón derecho en cualquier parte de la página y elige Inspect (inspeccionar), o pulsa Ctrl + Shift + I (Cmd + Option + I en un Mac). Las herramientas se abren junto a la página. La pestaña Elements muestra el HTML de la página: pasa el ratón por una línea y la parte de la página que dibuja se pone azul. La lección sigue con las otras pestañas, y cada ejercicio se marca solo cuando lo haces bien.
3. Mira una respuesta desde el terminal
La pestaña Network (red) lista cada petición que hace el navegador y lo que respondió el servidor. El terminal también puede pedir una página. -I muestra solo la primera parte de la respuesta, las cabeceras: la primera línea dice 200, "aquí lo tienes", y el resto dice qué tipo de página es. Es lo que enseña la pestaña Network debajo de una petición.
curl -s -I http://web/WebGoat/loginSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Para el profesorado
Consejo
Esta lección es un pequeño ejemplo de una lección practicada en un laboratorio: los pasos y los botones Ejecutar son la lección, y el laboratorio es la copia propia de cada alumno. Las herramientas de desarrollo son lo primero que aprende un alumno de seguridad web, y WebGoat las enseña dentro del laboratorio. El laboratorio no le envía nada a usted: pida una captura de la pestaña Network con una petición abierta. Puede copiar la lección en su propio módulo y cambiarla, o crear otra desde cero con el menú Laboratorio del creador de lecciones.