Görev ve Zafiyet Senaryosu
Sistem yöneticisi, arama motorlarının taramasını istemediği /admin_secret_portal veya /backup dizinlerini robots.txt içine Disallow olarak eklemiştir. Ancak bu durum erişim denetimi sağlamaz; aksine saldırgana altın tepside hedef listesi sunar.
Hedef (Objective)
🎯 Görev: Hedef sunucunun /robots.txt dosyasını ziyaret edin, Disallow direktifinde gizlenen gizli yönetim portalını keşfedin ve portala sızarak bayrağı teslim alın.
Adım Adım Çözüm Metodolojisi
robots.txt Sorgulama
Tarayıcı adres çubuğuna /robots.txt yazarak arama motoru direktiflerini inceleyin.
Gizli Dizin Tespiti
Disallow kurallarında listelenen gizli dizinleri ve yedek yollarını not edin.
Yönetim Portalı Erişimi
Keşfedilen gizli yönetim URL sine giderek yetkisiz erişim sağlandığını ve bayrağın açıldığını teyit edin.
Örnek Payload ve İstismar Kalıpları
/robots.txt/admin_secret_portal/backup//config/
Güvenli Kodlama ve Savunma Mekanizmaları
Zafiyet Nasıl Kapatılır?
- robots.txt dosyasını bir güvenlik mekanizması olarak kullanmayın; erişim kısıtlamalarını gerçek kimlik doğrulama ile sağlayın.
- Yönetim panelleri IP beyaz listesi (whitelisting), VPN veya güçlü çok faktörlü kimlik doğrulama (MFA) arkasına alınmalıdır.
- Yedek ve konfigürasyon dosyalarını web sunucusunun root dizini dışında tutun.
Uygulamaya Başlamaya Hazır mısınız?
SiberAdam interaktif arenasında hedef tarayıcı, DevTools ve CyberTerminal ile bayrağı hemen yakalayın.
Şimdi Çözmeye Başla ⚡