Retos web y de criptografía

Web y criptografía son los dos puntos de entrada más comunes a los CTF.

• Los desafíos web le proporcionan una aplicación web en ejecución y le piden encontrar un fallo en la forma en que gestiona las entradas, la autenticación o la confianza.
• Los desafíos de criptografía le proporcionan texto cifrado, un esquema y, a veces, código fuente, y le piden recuperar el texto plano o una clave aprovechando un fallo en el uso de la criptografía.

Ambos premian la observación metódica. Esta lección aborda los rompecabezas recurrentes de cada categoría.

Antes de explotar nada, haga un mapa de la aplicación. Consulte el código fuente, inspeccione las respuestas y explore el contenido oculto.

La inyección SQL se produce cuando la entrada del usuario se concatena en una consulta de base de datos sin separar el código de los datos.

Un inicio de sesión que construye una consulta como SELECT * FROM users WHERE name='INPUT' puede manipularse mediante una entrada que cierre la cadena y altere la lógica:

Los CTF le enseñan a romper la inyección para que pueda prevenirla. La defensa correcta consiste en utilizar consultas parametrizadas (sentencias preparadas), que mantienen los datos del usuario completamente fuera de la estructura de la consulta.

El XSS se produce cuando una aplicación refleja o almacena una entrada controlada por el atacante y un navegador la ejecuta como script. En CTF, un desafío de XSS suele implicar un bot que visita su payload mientras conserva la flag en una cookie.

• Reflejado — la carga útil de la solicitud se devuelve directamente.
• Almacenado — la carga útil se guarda y se ejecuta para visitantes posteriores.
• Basado en DOM — el JavaScript del lado del cliente escribe la entrada en la página de forma insegura.

La defensa consiste en codificar la salida según el contexto, además de utilizar una Content-Security-Policy. Una prueba como <script>alert(1)</script> confirma si la entrada se escapa.

Otros dos elementos básicos de la seguridad web:

• Falsificación de solicitudes del lado del servidor (SSRF) — engaña al servidor para que realice solicitudes en su nombre, a menudo a direcciones de uso interno como http://127.0.0.1 o a un endpoint de metadatos de la nube, con el fin de acceder a la flag.
• Recorrido de rutas — sale del directorio previsto mediante secuencias como ../ para leer archivos fuera de la raíz web, por ejemplo ../../../../etc/passwd.

Ambos problemas se deben a confiar en la entrada del usuario para elegir un recurso. Las defensas consisten en listas de permitidos estrictas y en canonicalizar las rutas antes de validarlas y utilizarlas.

La trampa criptográfica más común para principiantes es confundir la codificación con el cifrado. La codificación puede revertirla cualquiera sin necesidad de una clave, por lo que no proporciona ninguna confidencialidad.

Aprenda a reconocer los formatos a simple vista:

• Base64 — letras, dígitos, + / y, a menudo, relleno =.
• Hex — solo 0-9 a-f.
• ROT13 / Caesar — estructura legible y letras desplazadas.

Muchos desafíos de criptografía utilizan cifrados históricos débiles o cifrados modernos implementados de forma descuidada:

• Caesar / Vigenere — cifrados por desplazamiento que se rompen mediante análisis de frecuencia o probando los 25 desplazamientos.
• XOR de un solo byte — todo el mensaje se combina mediante XOR con un solo byte; pruebe por fuerza bruta las 256 claves y elija la salida legible.
• XOR con clave repetida — se rompe encontrando la longitud de la clave y resolviendo después cada byte de la clave como un XOR de un solo byte.

La lección es clara: una cifra personalizada o clásica no ofrece seguridad real frente a un analista.

RSA solo es seguro cuando sus parámetros se eligen correctamente. Los CTF de criptografía suelen presentar una instancia defectuosa:

• Módulo pequeño — si n es lo bastante pequeño, factorícelo directamente para recuperar la clave privada.
• Exponente diminuto, sin relleno — con e=3 y un mensaje corto, el texto cifrado puede ser un cubo perfecto que se puede recuperar mediante una raíz cúbica entera.
• Factores compartidos — si dos claves públicas comparten un primo, el máximo común divisor de sus módulos lo revela al instante.

La defensa en el mundo real: utilice una biblioteca validada, con claves grandes y un relleno adecuado (OAEP); nunca implemente la criptografía por su cuenta.

Cuando un reto le proporciona el hash de una contraseña, el objetivo es recuperar la entrada original. No puede invertir un hash, pero sí probar entradas y compararlas.

Integre todo mediante un ciclo coherente para ambas categorías:

• Observe — lea el enunciado, consulte el código fuente e identifique la codificación o el esquema.
• Formule hipótesis — determine la familia de vulnerabilidades más probable.
• Haga una prueba pequeña — envíe una carga útil de prueba y observe la respuesta exacta.
• Explote — convierta la prueba que funciona en una carga útil completa que proporcione la flag.
• Documente — registre la carga útil y el razonamiento mientras los tenga frescos.

Este ciclo evita que se pierda en callejones sin salida y produce un informe casi sin esfuerzo adicional.

Ha estudiado los retos recurrentes de web y criptografía:

• Web: haga primero un mapa y después busque inyección SQL, XSS, SSRF y path traversal; todos se basan en confiar de forma insegura en la entrada del usuario y se solucionan separando el código de los datos.
• Criptografía: distinga codificación de cifrado, rompa cifrados clásicos y XOR débiles, aproveche errores en los parámetros de RSA y crackee hashes con listas de palabras.
• Un único ciclo de observar, formular hipótesis, probar, explotar y documentar funciona para ambas.

A continuación, pasará a la ingeniería inversa y la explotación de binarios.