Diversión con Banderas:
un CTF completo con la cara de Sheldon Cooper
CTF y laboratorios prácticos | unfantasmaenelsistema.com
La mayoría de máquinas CTF en Docker que circulan por ahí resuelven la parte web con lo mínimo imprescindible: una página de login, un formulario suelto, poco más que la vulnerabilidad desnuda. Funciona, pero no invita a quedarse. «Diversión con Banderas» nace de la pregunta contraria: ¿y si la máquina fuera, además, un sitio en el que apetece perder el tiempo? El resultado es un contenedor único con el sitio personal del Dr. Sheldon Cooper —Contrato de Convivencia incluido— y diez flags escondidas en diez fallos de seguridad distintos, de recon puro a criptografía.
Qué te vas a encontrar
Un único contenedor Docker, autocontenido, sin dependencias externas ni conexión a internet · 10 flags, cada una una frase real de Sheldon Cooper, escondida detrás de una vulnerabilidad distinta · Dificultad progresiva: de un vistazo al código fuente hasta una cadena de decodificación en varias capas · Un verificador de flags integrado en la propia web, con barra de progreso 0/10 en vivo · Ambientación completa del universo de The Big Bang Theory, no solo una skin encima de un CTF genérico
1. Por qué un CTF con la cara de Sheldon Cooper
El nombre es literal: en la serie, el programa de streaming amateur de Sheldon se llama «Fun with Flags». Aquí la broma se toma en serio y se convierte en la columna vertebral de toda la máquina. No hay una landing genérica con un formulario de login perdido en medio de una página en blanco: hay un sitio con secciones reconocibles para cualquiera que haya visto la serie, cada una construida para esconder de forma coherente una pieza distinta del reto.
Esa ambientación no es solo estética. Cambia cómo se aborda cada reto: no basta con lanzar un escáner contra una IP y esperar resultados, hay que leer la página, entender qué sección representa y pensar qué tipo de fallo encajaría ahí de forma natural. Es el mismo ejercicio mental que exige una auditoría real, solo que con Sheldon de por medio explicando, sin darse cuenta, por qué el sofá tiene un sitio fijo.
2. Diez flags, diez categorías distintas
Cada flag vive detrás de una técnica diferente, y la dificultad sube de forma progresiva a lo largo de los diez retos: se puede jugar en orden como una escalera de aprendizaje, o saltar directamente a la categoría que se quiera reforzar.
| Categoría | Qué pone a prueba |
|---|---|
| Reconocimiento web | Leer con atención lo que el servidor expone sin que nadie te lo señale |
| Forense de metadatos | Mirar más allá del contenido visible de un archivo |
| Esteganografía | Encontrar un mensaje que no está oculto por cifrado, sino a simple vista mal mirada |
| Control de acceso (IDOR) | Cuestionar si el servidor comprueba de verdad lo que el cliente le pide |
| Inyección SQL | El clásico que sigue apareciendo en aplicaciones reales, sin escáner automático |
| Cross-Site Scripting | Conseguir que otro navegador ejecute código que tú escribiste |
| Inyección de comandos | De una entrada de texto inocente a ejecución arbitraria en el servidor |
| Tokens JWT | Un fallo de verificación de firma clásico, muy presente en APIs reales |
| Criptografía / codificación | Distinguir ofuscación reversible de cifrado real, y deshacerla |
Sin spoilers a propósito
Esta tabla dice qué categorías hay, no dónde vive cada una ni cómo se explota. Encontrar la sección del sitio que corresponde a cada técnica es, literalmente, la primera mitad del reto
3. Cómo se juega
El laboratorio se descarga como un paquete único (imagen Docker ya construida + script de arranque) y se levanta con un solo comando, sin necesidad de tocar código ni de tener nada más instalado que Docker. Todo el ataque ocurre contra tu propio contenedor en local: no hay nada que atacar fuera de él, ni falta que hace.
# Un único comando para desplegar todo el laboratorio bash startlab.sh diversionconbanderas.tar # La web queda en tu máquina, por ejemplo: # http://localhost:8080
Cada flag encontrada se pega en el verificador integrado en la propia web, que confirma al momento si es correcta y lleva la cuenta de 0 a 10 sin salir del navegador. Las herramientas que hacen falta son las de siempre —navegador con DevTools, curl o Burp Suite, algo que lea metadatos de un PDF, Python para un par de scripts cortos— nada exótico ni específico de esta máquina en concreto.
Conclusión
«Diversión con Banderas» no pretende sustituir a las plataformas de CTF grandes, pretende otra cosa: que una máquina de práctica se sienta como un sitio real en el que investigar, no como un ejercicio pelado. Diez técnicas distintas, una sola ambientación coherente, y ni una sola pista de más en este artículo.
Si el objetivo es entrenar reconocimiento, forense ligero, un par de inyecciones clásicas y un fallo de JWT en una sola sesión, sin montar nada más que un contenedor, esta es la máquina para esa tarde.
Descarga el laboratorio en GhostAcademy
«Diversión con Banderas» está disponible en la sección GhostLabs de GhostAcademy, junto al resto de laboratorios Docker vulnerables de la plataforma, listo para descargar y desplegar en local.
Ver el laboratorio en GhostAcademy →Referencias
La sección GhostLabs de GhostAcademy reúne el resto de laboratorios Docker de un solo fallo, por si «Diversión con Banderas» se queda corto y apetece más · El curso completo de Burp Suite de GhostAcademy, útil para varias de las categorías de esta máquina, especialmente la inyección SQL y el XSS almacenado
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)