# Категория web. Начнем с азов. Часть 1

> На платформе [overtheware](https://overthewire.org/wargames/natas/) есть много задач для получения практики в администрировании, вебе и пр. Рекомендуется конечно же прорешать самостоятельно таски и использовать эту статью исключительно, как набор из подсказок или вектор для дальнейшего решения.

Мы будем решать задачи, посвященные прокачки базовых навыков веба. Всего 33 таска, от простого к более сложному и нетривиальному.

# Natas0:

http://natas0.natas.labs.overthewire.org

переходим, указывая пароль и логин natas0.

На странице нет никакого флага, идем проверять исходный код страницы. Видим флаг, который закомментирован в коде, используем его для перехода на natas1, как пароль.

# Natas1:

Правый клик заблокирован, но исходный код мы можем посмотреть и сочетанием клавиш (Ctrl+U) или прописав в URL в самое начало "view-source:"

> viev-source:natas1.natas.labs.overthewire.org


Забираем наш флаг и идем дальше.
# Natas2:

Проверим точно также исходный код страницы, мы можем обнаружить только файл png, который размещен на сайте, это маленький белый пиксель, но он нас не интересует, больше всего привлекает информация о том, что картинка взята из локального хранилища /files, которое нам может быть доступно.

Перейдем в директорию /files, где обнаружим, что кроме картинки хранится и какой-то текстовый файл, изучаем его и получаем наш флаг.

# Natas3:

В исходном коде нет ничего интересного на первый взгляд.

Прочитав комментарий, я решил, что может быть Chrome мне больше информации удастся найти, предполагая, что от меня скрыта нужая информация, так как я зашел не с Chrome, но это было бы слишком просто для тех, кто решает в нем, а также предположение неверно, так как для меня бы тогда скорее всего не была бы доступна сама страница, потому что мне бы заблокировали контент, зная данные из User-Agent. Небольшая справка:

> При посещении сайтов ваше устройство, направляет веб-серверу информацию о себе, например: информация из заголовка User-Agent очень полезна (в нем содержатся данные о типе и версии использующегося браузера, операционной системе и установленном в системе языке). Эта информация используется для того, что автоматически отдавать вам страницу на том языке, который у вас используется в системе, а также формировать веб-контент с учетом используемого вами устройства.

Но мы можем проверить файл, который отвечает за индексацию сайта для поисковых систем - robots.txt. Файл содержит инструкции для поисковых роботов, запрещающие индексировать определенные файлы сайта, его документы, папки, страницы т.д. В общем, robots.txt ограничивает ботам поисковых систем доступ к содержимому сайта. Добавим в конец URL /robots.txt

http://natas3.natas.labs.overthewire.org/robots.txt

Для всех поисковых систем отключена индексация файла /s3cr3t/, проверим его вручную.

# Natas4:

Путь лежит только через natas5, нам не нужно знать данные от входа Natas5, мы должны каким-то образом отправить на веб-сервер информацию о том, что мы пришли с http://natas5.natas.labs.overtheware.org/, используем инструмент Burp Suite для этого.

Для его использования в браузере в параметрах соединения указываем прокси 127.0.0.1 port: 8080 (по дефолту в burp suite используется)

Перезагружаем страницу на платформе с таском, мы перехватили запрос веб-серверу на чтение страницы:

Нас интересует строка Referer:

> Referer — в протоколе HTTP один из заголовков запроса клиента. В нм содержится информация о источнике запроса. Если перейти с одной страницы на другую, referer будет содержать адрес первой страницы.
>
Попробуем изменить Referer с natas4 на natas5, как от нас и просят.

Referer: http://natas5.natas.labs.overthewire.org/, отправляем запрос и получаем ответ в виде флага.

# Natas5:

Нам прямым текстом говорят, что мы не авторизованы, что мы можем заметить и в самом запросе.

Cookie: loggedin=0

На сайте появились [куки](https://vk.com/@perm_ctf-kategoriya-web-uroven-0?anchor=cookies), в которых содержится информация об авторизации клиента (авторизован или нет). Заменим «0» на «1» и отправим запрос.

Вот так будет выглядеть куки после внесения изменений:

Продолжение в следующих частях статьи…