Estoy probando una caja negra en un sitio web vulnerable. Se accede al sitio web en cuestión mediante HTTP y, para llegar a su contenido, se le solicita un campo para ingresar la contraseña (presumiblemente establecida por el administrador) en la página de inicio. Si ingreso una contraseña incorrecta, recibo la notificación de "contraseña incorrecta".
Sin embargo, después de ingresar la ruta URI /index.html , se ve el contenido, sin ingresar ninguna contraseña. Si hago clic en cualquier enlace allí y me refiero a http://website.com/page.php , me vuelven a solicitar el campo de autenticación, pero si reemplazo .php con .html , veo el contenido que se supone está protegido por contraseña. También se me permite acceder al directorio images .
Desde el punto de vista del desarrollo, ¿qué se hace mal aquí que permite omitir la autenticación y cómo debería solucionarse?