Investigando um vazamento de backup de site é um curso prático de segurança web para iniciantes. Você assumirá o papel de engenheiro de plantão da Northstar, rastreará um download incomum nos logs de acesso do Nginx e protegerá um arquivo interno sem interromper o site de suporte.
O curso combina um laboratório guiado e um desafio. O laboratório guiado conduz você da investigação à correção em três etapas. O desafio apresenta um segundo portal com outra estrutura de diretórios e outros nomes de arquivo, para que você aplique os mesmos métodos de forma independente.
O que você aprenderá
Ao concluir este curso, você será capaz de:
- ler os campos principais de um log de acesso web e identificar um download de arquivo bem-sucedido;
- usar
curletarpara inspecionar o que um site realmente expõe; - relacionar a URL de uma requisição ao diretório público do servidor, ou raiz web;
- preservar os dados internos fora desse diretório público;
- verificar se o download do arquivo privado está bloqueado enquanto as páginas públicas e os downloads autorizados continuam funcionando.
Para quem é este curso
Este curso é voltado a iniciantes em segurança, desenvolvedores e futuros administradores de sistemas que desejam investigar e corrigir um caso concreto de exposição de arquivos em um site.
Pré-requisitos: Familiaridade básica com o terminal, incluindo digitar comandos e reconhecer caminhos de arquivos. Não é necessária experiência com administração do Nginx, testes de invasão ou programação. O curso apresenta os conceitos de HTTP, logs e arquivos empacotados usados nas tarefas.
Ambiente de aprendizagem: Um ambiente Linux pré-configurado no navegador, com os terminais Workstation e Web Server e uma visualização Topology. O site, os dados de exemplo e o histórico de requisições já estão preparados; não é necessário instalar nada localmente.
Perguntas frequentes
Preciso configurar um servidor web?
Não. O site e os dois terminais estão prontos quando o laboratório começa. Você pode se concentrar na investigação e na correção.
Vou precisar escrever código de aplicação?
Não. Você usará ferramentas de terminal para inspecionar requisições, ler a configuração, mover um arquivo e testar o resultado.
Como o desafio dá continuidade ao laboratório guiado?
Ele usa as mesmas ferramentas e o mesmo método de correção, mas com uma estrutura de site e um nome de arquivo diferentes. Você decide qual download contém dados internos e aplica a correção sem instruções passo a passo. Se precisar de ajuda, há uma solução completa com explicações.
