Web - Servidor
Estos retos te permitiran aprender técnicas intrusivas en la web. Desde explotación de vulnerabilidades de configuración hasta inyecciones de código lado servidor.
El objetivo de estas pruebas es formar a los usuarios el uso de lenguaje HTML, protocolo HTTP y otros mecanismos usados lado servidor. Es la serie de retos más accesibles que ayuda a entender el funcionamiento básico de diferentes mecanismos de autentificación, envío de variables en formularios, procesamiento realizado por las aplicaciones web, ...
Requisitos previos:
- Conocer el lenguaje HTML.
- Conocer el protocolo HTTP.
- Dominar el navegador web.
65 Retos
| Resultados | Nombre | Puntos  |
Dificuldad |
Autor o autora | Nota |
Solución | Data |
|
HTML - Source code | 5 | g0uZ |  |
2 | 3 de octubre de 2006 | |
|
|
HTTP - Open redirect | 10 | Swissky | |
2 | 2 de agosto de 2017 | |
|
|
HTTP - User-agent | 10 | g0uZ |  |
4 | 3 de octubre de 2006 | |
|
|
Weak password | 10 | g0uZ | |
1 | 3 de octubre de 2006 | |
|
|
PHP - Command injection | 10 | sambecks | |
1 | 20 de septiembre de 2017 | |
|
|
Backup file | 15 | g0uZ | |
1 | 27 de febrero de 2011 | |
|
|
HTTP - Directory indexing | 15 | g0uZ | |
1 | 7 de octubre de 2006 | |
|
|
HTTP - Headers | 15 | Arod | |
2 | 11 de enero de 2015 | |
|
|
HTTP - POST | 15 | Th1b4ud | |
4 | 14 de agosto de 2018 | |
|
|
HTTP - Improper redirect | 15 | Arod | |
2 | 26 de noviembre de 2014 | |
|
|
HTTP - Verb tampering | 15 | g0uZ | |
4 | 3 de febrero de 2011 | |
|
|
Install files | 15 | g0uZ | |
1 | 7 de octubre de 2006 | |
|
|
CRLF | 20 | g0uZ | |
2 | 31 de julio de 2011 | |
|
|
File upload - Double extensions | 20 | g0uZ | |
2 | 24 de diciembre de 2012 | |
|
|
File upload - MIME type | 20 | g0uZ | |
1 | 26 de diciembre de 2012 | |
|
|
HTTP - Cookies | 20 | g0uZ | |
1 | 7 de octubre de 2006 | |
|
|
Insecure Code Management | 20 | Swissky | |
2 | 29 de septiembre de 2019 | |
|
|
JSON Web Token (JWT) - Introduction | 20 | Kn0wledge | |
0 | 21 de agosto de 2019 | |
|
|
Directory traversal | 25 | g0uZ | |
1 | 31 de julio de 2011 | |
|
|
File upload - Null byte | 25 | g0uZ | |
1 | 26 de diciembre de 2012 | |
|
|
JSON Web Token (JWT) - Weak secret | 25 | Jrmbt | |
0 | 21 de agosto de 2019 | |
|
|
JWT - Revoked token | 25 | ArnC |  |
0 | 20 de marzo de 2020 | |
|
|
PHP - assert() | 25 | Birdy42 | |
2 | 26 de noviembre de 2016 | |
|
|
PHP - Filters | 25 | g0uZ | |
2 | 27 de febrero de 2011 | |
|
|
PHP - register globals | 25 | g0uZ | |
1 | 8 de octubre de 2011 | |
|
|
PHP - Remote Xdebug | 25 | mayfly | |
0 | 18 de marzo de 2020 | |
|
|
File upload - ZIP | 30 | ghozt | |
1 | 3 de agosto de 2017 | |
|
|
Command injection - Filter bypass | 30 | sambecks | |
2 | 20 de septiembre de 2017 | |
|
|
Java - Server-side Template Injection | 30 | righettod | |
1 | 29 de noviembre de 2015 | |
|
|
JSON Web Token (JWT) - Public key | 30 | Jrmbt | |
0 | 21 de agosto de 2019 | |
|
|
Local File Inclusion | 30 | g0uZ | |
1 | 2 de octubre de 2011 | |
|
|
Local File Inclusion - Double encoding | 30 | zM_ | |
0 | 13 de junio de 2016 | |
|
|
PHP - Loose Comparison | 30 | ghozt | |
0 | 10 de enero de 2018 | |
|
|
PHP - preg_replace() | 30 | sambecks | |
0 | 2 de marzo de 2016 | |
|
|
PHP - type juggling | 30 | vic | |
0 | 10 de marzo de 2016 | |
|
|
Remote File Inclusion | 30 | g0uZ | |
2 | 25 de noviembre de 2015 | |
|
|
SQL injection - Authentication | 30 | g0uZ | |
1 | 27 de febrero de 2011 | |
|
|
SQL injection - Authentication - GBK | 30 | dvor4x | |
0 | 2 de diciembre de 2015 | |
|
|
SQL injection - String | 30 | g0uZ | |
0 | 24 de diciembre de 2012 | |
|
|
XSLT - Code execution | 30 | ghozt | |
0 | 16 de julio de 2017 | |
|
|
LDAP injection - Authentication | 35 | g0uZ | |
0 | 26 de mayo de 2013 | |
|
|
NoSQL injection - Authentication | 35 | mastho | |
1 | 31 de mayo de 2015 | |
|
|
PHP - Path Truncation | 35 | Geluchat | |
0 | 25 de marzo de 2015 | |
|
|
PHP - Serialization | 35 | Arod | |
0 | 3 de febrero de 2014 | |
|
|
SQL injection - Numeric | 35 | g0uZ | |
0 | 24 de diciembre de 2012 | |
|
|
SQL Injection - Routed | 35 | soka | |
0 | 24 de diciembre de 2016 | |
|
|
SQL Truncation | 35 | Geluchat | |
0 | 1ro de mayo de 2015 | |
|
|
XML External Entity | 35 | sambecks | |
0 | 20 de octubre de 2014 | |
|
|
XPath injection - Authentication | 35 | g0uZ | |
0 | 27 de diciembre de 2012 | |
|
|
GraphQL | 40 | CanardMandarin | |
0 | 20 de octubre de 2020 | |
|
|
Java - Spring Boot | 40 | dvor4x | |
0 | 24 de diciembre de 2016 | |
|
|
Local File Inclusion - Wrappers | 40 | sambecks | |
1 | 2 de marzo de 2016 | |
|
|
PHP - Eval | 40 | chmod | |
1 | 8 de noviembre de 2018 | |
|
|
PHP - Unserialize overflow | 40 | mayfly | |
0 | 4 de abril de 2020 | |
|
|
SQL injection - Error | 40 | sambecks | |
0 | 4 de marzo de 2015 | |
|
|
SQL injection - Insert | 40 | sambecks | |
0 | 23 de febrero de 2015 | |
|
|
SQL injection - File reading | 40 | Arod | |
0 | 19 de octubre de 2014 | |
|
|
XPath injection - String | 40 | g0uZ | |
0 | 26 de mayo de 2013 | |
|
|
NoSQL injection - Blind | 45 | ghozt | |
0 | 26 de noviembre de 2016 | |
|
|
SQL injection - Time based | 45 | ycam | |
0 | 11 de septiembre de 2015 | |
|
|
Server Side Request Forgery | 50 | sambecks | |
0 | 22 de junio de 2018 | |
|
|
SQL injection - Blind | 50 | g0uZ | |
0 | 27 de febrero de 2011 | |
|
|
LDAP injection - Blind | 55 | g0uZ | |
0 | 8 de junio de 2013 | |
|
|
XPath injection - Blind | 75 | g0uZ | |
0 | 27 de diciembre de 2012 | |
|
|
SQL injection - Filter bypass | 80 | sambecks | |
1 | 21 de julio de 2014 |
Resultados de los retos
