Una presentacion sobre la seguridad web. Esta aplica a todo tipo de aplicaciones.

1. Seguridad en Aplicaciones Web 2.0 Pablo Víquez Noviembre, 2009

2. 2 Acerca de… Pablo Viquez SeniorDeveloper @ Schematic Co-Fundador de la comunidad Costa Rica PHP www.pabloviquez.com @pabloviquez

4. Seguridad, ¿por qué?

5. Reglas básicas

6. Ataques y vulnerabilidades comunes

8. 5 Web 2.0 “El término “Web 2.0” es comúnmente asociado con aplicaciones web que facilitan interactivamente el intercambio de información, interoperabilidad, diseño centrado en el usuario y colaboración”

9. 6 Web 2.0 "Yo creo que Web 2.0 es pura basura, ni siquiera nadie sabe que significa" "I think Web 2.0 is of course a piece of jargon, nobody even knows what it means" Tim Berners-Lee

10. 7 Web 2.0 “No se refiere a un cambio técnico, sino a las maneras en que los desarrolladores y los usuarios hacen uso de las aplicaciones en la web”

11. 8 Web 2.0 Crear software y distribuirlo Crear servicios basados en información

12. 9

13. 10 Seguridad

14. 11 "70% de los 100 sitios mas populares, han hospedado contenido malicioso ó han contenido redireccionamientospara víctimas de sitios legítimos a sitios maliciosos" (Websense, 2009)

15. 12 Seguridad

16. 13 Reglas Básicas nuncaconfíeen el usuario filtre todo el input, limpie todo el output evite las excusas! piense como hacker! deje que la seguridadsea parte de su diseño

17. 14 Ataques y vulnerabilidades comunes

18. 15

19. 16

20. 17 SQL Injection Inserción de datos adicionales en un “string” que eventualmente será ejecutado en la base de datos

21. SQL Injection :: Ejemplo 18

22. SQL Injection :: Ejemplo 19 $_POST[‘usuario’] = usuario123$_POST[‘clave’] = 123456 Página de login DB

23. SQL Injection :: Ejemplo $login=$_POST['login']; $password=$_POST['password']; $sql="SELECT * FROM user WHERE login = '$login‘ AND password = '$password'"; 20 lo anterior dacomoresultado: "SELECT * FROM user WHERE login = 'admin‘ AND password = '123456’";

24. SQL Injection :: Ejemplo 21

25. SQL Injection :: Ejemplo 22 SELECT * FROM user WHERE login = '$login'AND password = '$password' lo anterior dacomoresultado: SELECT * FROM user WHERE login = 'admin' AND password = '1' OR 1=1 OR ''=''

26. 23 SQL Injection Inyección de consultas ?val=(DELETE FROM table); Recolección de datosarbitrarios ?id=column_name Denial of Service ?val=(BENCHMARK(100000000, MD5(RAND())); Modificación de Datos ?val=(UPDATE users SET is_admin=1);

27. Filtrar la entrada del usuario. addslashes("Admin’ or 1=1"); Usar las funciones específicas de la base de datos mysqli_real_escape_string("Admin’ or 1=1"); Usarsentenciaspreparadas (prepared statements) 24 SQL_Injection::Soluciones

28. 25 XSS

29. XSS 26

30. XSS Consiste en inyectar código ejecutable en el navegador. Este ataque puede ser llevado a cabo utilizando: HTML JavaScript VBScript ActiveX Flash Cualquier otra tecnología que ejecute el cliente 27

31. XSS 28

32. XSS 29 (link con contenido malicioso) v v Víctima Atacante etc… ejecuta contenido malicioso Roba datos del usuario Sito web con vulnerabilidad

33. XSS 30

34. 31

35. 32 XSS http://www.apple.com/itunes/affiliates/download/?artistName=MSG1&thumbnailUrl=http://url.jpg&itmsUrl=http://www.url.com&albumName=MSG

36. 33

37. 34

38. Stored XSS 35 pone contenido malicioso en el sitio Accesa el sitio con el problema v v Víctima Atacante ejecuta contenido malicioso y roba los datos del usuario Sito web con vulnerabilidad

39. Stored XSS 36 }

40. XSS – Robo de sesión 37

41. XSS – Robo de claves 38

42. XSS – Robo de claves 39

43. XSS - Prevención 40

44. XSS - FIEO 41

45. XSS - FIEO 42 Hola Mundo<script>alert('Hola Mundo');</script>

46. XSS - FIEO 43 Hola Mundo<script>alert('Hola Mundo');</script>

47. 44 CSRF

48. CSRF – Como funciona 45

49. 46 “Cualquier aplicación que acepta pedidos HTTP (HTTP Request) de un usuario autenticado sin tener algún tipo de control para verificar que el pedido HTTP es único a la sesión del usuario, esta expuesto a un ataque.”

50. CSRF – Ejemplos 47 Llena el formulario y envía un correo.

51. CSRF – Ejemplos 48 <formmethod=“post”action=“email.php”><input type=“hidden”name=“para”value=“soporte@sitio.com” /> ….</form>

52. CSRF – Ejemplos 49 Atacante <formmethod=“post”action=“email.php”><input type=“hidden”name=“para”value=“usr@dominio.com” /> …</form>

53. 50 CSRF::Soluciones Token de solo 1 uso:

54. CSRF::Soluciones 51 $_POST ¿Tiene un “token” en la sesión y es válido? Atacante Pedido denegado

55. 52 AtaquesLógicos

56. Ataquelógico – Ejemplos 53

57. Ataquelógico – Ejemplos 54 <form>…<inputtype=“hidden”name=“total”value=“199.00” />…</form>

58. Ataquelógico – Ejemplos 55 <form>…<inputtype=“hidden”name=“total”value=“0” />…</form>

59. 56 Referencias Open Web Application Security Project http://www.owasp.org Chris Shiflett http://www.shiflett.orgGuia de Seguridad PHP http://php.net/manual/en/security.intro.phpBlack Hat http://www.blackhat.com Yahoo Search http://search.yahoo.com Google Search http://www.google.com

60. 57 ¡Gracias!