Curso básico seguridad web: Práctica XSS

2. No Comercial (Non commercial): La explotación de la obra queda limitada a usos no comerciales.

3. Compartir Igual (Share alike): La explotación autorizada incluye la creación de obras derivadas siempre que mantengan la misma licencia al ser divulgadas.

4. SEGURIDAD Y APLICACIONES WEB Practica XSS Práctica XSS

5. SEGURIDAD Y APLICACIONES WEB Practica XSS Para la realización de las prácticas vamos a utilizar una suite de aprendizaje que consiste en un una imagen virtualbox que contiene instaladas varias aplicaciones vulnerables y algunas herramientas para facilitar la realización de ataques sobre ellas. Esta imagen se llama Web Security Dojo. Ha sido preparada por Maven Security y se puede encontrar en: http://www.mavensecurity.com/web_security_dojo/

7. Google's gruyere

8. Damn Vulnerable Web App

9. Hacme Casino

10. OWASP Insecure WebApp

11. W3af's test website

13. w3af

14. sqlmap

15. arachni

16. metasploit

17. Zed Attack Proxy

18. OWASP Skavenger

19. OWASP Dirbuster

21. Ratproxy

22. skipfish

23. websecurify

24. davtest

25. J-Baah

26. JBroFuzz

27. Watobo

28. RATS

29. helpful Firefox add-ons Herramientas:

32. Arrancamos DVWA en la imagen DOJO

33. admin/password

34. Vamos a la opción XSS reflected

35. Introducimos algún valor en el formulario y vemos como tras pulsar en submit aparece dicho valor en pantalla.

36. Cuando una aplicación tiene esta funcionalidad es posible que tenga una vulnerabilidad de XSS

38. <img src=&quot;http://mailamonkey.com/blog/wp-content/uploads/2010/09/monkey_glasses.jpg&quot;/>

39. SEGURIDAD Y APLICACIONES WEB Practica XSS

40. SEGURIDAD Y APLICACIONES WEB Practica XSS Probemos con algunas entradas más: <script>alert(“hola”)</script> <script>alert(document.cookie)</script> En la última prueba acabamos de obtener la cookie de sesión del usuario con lo que logandonos desde otro lugar con esa cookie tendríamos acceso a la cookie mientras el usuario legitimo no cierre sesión.

41. SEGURIDAD Y APLICACIONES WEB Practica XSS

42. SEGURIDAD Y APLICACIONES WEB Practica XSS

43. SEGURIDAD Y APLICACIONES WEB Practica XSS En esta práctica practicaremos xss almacenado, la diferencia con la anterior (reflejado) es que en esta ocasión combinaremos el ataque con un inyección sql para que el valor quede guardado en la BD y el ataque XSS aparezca cada vez que la aplicación muestre dicho data a cualquier usuario.

45. La aplicación guarda en bd los datos que vamos enviando y como respuesta devuelve todo lo almacenado hasta el momento

46. Si introducimos un XSS en alguno de los campos este será ejecutado en los navegadores de todos los usuarios que entren en la página

48. <script> alert (“Estoy en BD”)</script>

49. Una vez enviado aparece cada vez que refresquemos la página o que enviamos un nuevo mensaje

51. <script> alert (“Estoy en BD”)</script>

52. Una vez enviado aparece cada vez que refresquemos la página o que enviamos un nuevo mensaje

53. SEGURIDAD Y APLICACIONES WEB Practica XSS

55. Pulsamos en el botón view source

56. Pulsamos en compare

57. Revisamos los cambios al ir aumentando el nivel de seguridad....

58. SEGURIDAD Y APLICACIONES WEB Practica XSS

61. Una función especial que retira todos los caracteres HTML

63. Filtrar todos los datos de salida desde la aplicación