Expositor: Rodrigo Barbosa Resumen: Definir la SEGURIDAD de una aplicación implica cubrir un amplio conjunto de situaciones. No todos los equipos cuentan con un departamento especializado en seguridad de software y se cae en el error de confiar o suponer que las aplicaciones desarrolladas, son seguras. Contar con prácticas de Dynamic Analysis Security Testing en nuestro plan de pruebas es crítico si somos el último bastión entre los desarrolladores y los usuarios. El taller invita al asistente a descubrir por qué incluir DAST en su plan de testing y estudiar por medio de ejemplos, las ventajas que esto representa de cara a la integridad de la aplicación. No son necesarios usuarios malintencionados, simplemente creativos para poner en riesgo la seguridad de una aplicación.

1. DYNAMIC ANALYSIS SECURITY
TESTING (DAST)
SEGURIDAD COMO TAREA
DE TESTING

2. DAST SAST
Análisis
Dinámico
Análisis
Estático
IAST
Análisis
Interactivo

3. DAST SAST
IAST

4. • Se ejecuta con la aplicación corriendo.
• No se tiene acceso al código, vemos lo mismo que el usuario.
• Flexible y escalable.
• Pruebas fáciles de integrar.
• Eficaz y eficiente.
Ventajas
*Testing Exploratorio.

5. • Formularios que interactúan con nuestros inputs.
• Formularios GET.
www.WebMail.com/resetUsuario.php?usuario=rodrigo@mail.com=rb@mail.com
Login, Contacto, Registro, etc...
• Archivos
Acceso a archivos no autorizados
www.WebMail.com/eliminarUsuario.php?id=1
Objetivos

6. Formulario de Login:
- Inicio de Sesión
- Registro
- Baja
Formulario de
contacto
Manual de uso
Actividad

7. URL: http://www.its.com.uy/TestingUY/indexTaller.php
WIFI: -
PASS: -
Descripción:
Ubicación:
Posible Solución:
Registro -
45 min.

8. Se puede obtener una lista de usuarios.
1. El usuario existe en la base de datos
1

9. 2. Campos vulnerables a inyecciones SQL1. El usuario existe en la base de datos
2. Campos vulnerables a inyecciones SQL
2Acceso no autorizado

10. 3Dar de baja a otro usuario

11. 4
Registrar Login
Base de Datos de la Página
TEST:
TEST:
<h1>test</h1>
<script>alert()
XSS: Cross-site scripting Persistente

12. 5
site:www.testing.uy filetype:pdf
Acceso no deseado a archivos

13. 6Phishing/Spam

14. • Se adapta a las tareas de testing fácilmente.
Conclusión:
• Herramientas como complemento.
• Análisis orientado a detectar amenazas externas.
• Detectamos bugs de seguridad.

15. Consultas?
Contacto:
mail: rbarbosa@its.com.uy
linkedIn: https://uy.linkedin.com/in/rbarbosait