„Ein offengelegtes Website-Backup untersuchen“ ist ein praktischer Websicherheitskurs für Einsteiger. Du übernimmst die Rolle des Bereitschaftsingenieurs von Northstar, verfolgst einen ungewöhnlichen Download in den Nginx-Zugriffsprotokollen und schützt ein internes Archiv, ohne die Support-Website zu unterbrechen.
Der Kurs besteht aus einem angeleiteten Lab und einer Challenge. Das angeleitete Lab führt dich in drei Schritten von der Untersuchung zur Behebung. Die Challenge bietet ein zweites Portal mit einer anderen Verzeichnisstruktur und anderen Dateinamen, damit du dieselben Methoden selbstständig anwenden kannst.
Was du lernen wirst
Nach Abschluss des Kurses kannst du:
- die wichtigsten Felder eines Web-Zugriffsprotokolls lesen und einen erfolgreichen Dateidownload erkennen;
- mit
curlundtarprüfen, welche Inhalte eine Website tatsächlich öffentlich zugänglich macht; - die URL einer Anfrage dem öffentlichen Verzeichnis des Servers, dem Webroot, zuordnen;
- interne Daten außerhalb dieses öffentlichen Verzeichnisses aufbewahren;
- prüfen, ob der Download des privaten Archivs gesperrt ist, während öffentliche Seiten und freigegebene Downloads weiterhin funktionieren.
Für wen dieser Kurs geeignet ist
Dieser Kurs richtet sich an Sicherheitseinsteiger, Entwickler und angehende Systemadministratoren, die einen konkreten Fall öffentlich zugänglicher interner Website-Dateien untersuchen und beheben möchten.
Voraussetzungen: Grundlegende Vertrautheit mit dem Terminal, einschließlich der Eingabe von Befehlen und dem Erkennen von Dateipfaden. Erfahrung mit Nginx-Administration, Penetrationstests oder Programmierung ist nicht erforderlich. Der Kurs erklärt die in den Aufgaben verwendeten HTTP-, Protokoll- und Archivkonzepte.
Lernumgebung: Eine vorkonfigurierte Linux-Umgebung im Browser mit den Terminals Workstation und Web Server sowie einer Topology-Ansicht. Website, Beispieldaten und Anfrageverlauf sind vorbereitet; eine lokale Installation ist nicht nötig.
Häufig gestellte Fragen
Muss ich einen Webserver einrichten?
Nein. Die Website und beide Terminals sind beim Start des Labs einsatzbereit. Du kannst dich auf die Untersuchung und Behebung konzentrieren.
Muss ich Anwendungscode schreiben?
Nein. Du verwendest Terminalwerkzeuge, um Anfragen zu prüfen, die Konfiguration zu lesen, eine Datei zu verschieben und das Ergebnis zu testen.
Wie baut die Challenge auf dem angeleiteten Lab auf?
Sie verwendet dieselben Werkzeuge und dieselbe Vorgehensweise, aber eine andere Website-Struktur und einen anderen Archivnamen. Du entscheidest, welcher Download interne Daten enthält, und behebst das Problem ohne Schritt-für-Schritt-Anleitung. Wenn du nicht weiterkommst, steht eine vollständige Lösung mit Erklärungen bereit.
