Curso básico seguridad web 3: Vulnerabilidades web

2. No Comercial (Non commercial): La explotación de la obra queda limitada a usos no comerciales.

3. Compartir Igual (Share alike): La explotación autorizada incluye la creación de obras derivadas siempre que mantengan la misma licencia al ser divulgadas.

4. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Vulnerabilidades WEB

5. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web

6. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web SQL Injection

9. Fuerza bruta

10. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web SQL INJECTION Es un método de infiltración de código que se vale de una vulnerabilidad informática presente en una aplicación en el nivel de validación de las entradas para ejecutar querys contra la base de datos de la aplicación.

14. La aplicación presenta información en pantalla devuelta por la query

15. La aplicación presenta una pantalla de error genérica cuando la query falla

20. Resultados de la query: Nos permiten obtener de vuelta los resultados de la query

21. Pantalla de error genérica: Nos fuerza a realizar Blind SQL Injection (Inyección SQL ciega)

23. Ejecución de exploits sobre la BD que nos permita realizar una escalada de privilegios

25. En java utilizar la clase PreparedStatement.

26. El usuario de BD configurado en el servidor debe tener los mínimos privilegios posibles.

27. Controlar todos los errores que se puedan devolver presentando en todos los casos una pantalla de error genérica que no de ninguna información sobre el sistema y/o error.

29. Javascript NO SIRVE para securizar la entrada

30. Da igual que los datos vayan por POST o por GET

31. Se pueden inyectar TODOS los datos que viajan del navegador al servidor.

32. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web JavaScript NO APORTA NINGUNA PROTECCIÓN

34. Escapar la entrada del usuario

35. Usuario de BD de la aplicación con mínimos privilegios

37. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Se deben aplicar todos estos métodos Estas políticas se implementarán SIEMPRE del lado servidor

40. sql->bind_param

41. mysql_real_escape_string para mysql

43. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Algunas referencias en la web: http://es.wikipedia.org/wiki/Inyección_SQL https://www.owasp.org/index.php/Preventing_SQL_Injection_in_Java https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API

44. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web ¡No debemos olvidar que el simple hecho de seguir estas recomendaciones no aporta una seguridad absoluta! Se debe codificar el acceso a base de datos con la seguridad en mente.

45. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web XSS Cross Site Scripting

47. Persistente

49. Si no es así la denominará XSS no persistente

51. Http ://www.eu2010.es/en/resultadoBusqueda.html?query= %3Cscript%3Edocument.write%28%27%3Cimg%20src%3D%22http%3A%2F%2Fblog.tmcnet.com%2Fblog%2Ftom-keating%2Fimages%2Fmr-bean.jpg%22%20%2F%3E%27%29%3C%2Fscript%3E& index=buscadorGeneral_en

52. <script>document.write('<img src=”http /../mr-bean.jpg”/>')</script>

54. Sucede cuando la inyección realizada por el atacante es guardada en el servidor y usada para componer la página atacada cada vez que es solicitada por algún usuario.

56. Se pueden robar credenciales de los servicios en los que este acreditado el usuario en el momento de ejecución del script (cookies de sesión , …)

57. También se pueden ejecutar exploits que aprovechen vulnerabilidades del navegador pudiendo llegar a tener el control sobre el equipo de la víctima.

59. Validar TODAS las salidas de datos de la aplicación que provengan de datos introducidos anteriormente por un usuario

61. Javascript NO SIRVE para securizar la entrada

62. Da igual que los datos vayan por POST o por GET

63. Se pueden inyectar TODOS los datos que viajan del navegador al servidor.

65. Escapar la salida antes de devolverla al cliente

67. String description = request.getParameter(&quot;description&quot;);

68. description = description.replaceAll(&quot;<&quot;, &quot;&lt;&quot;).replaceAll(&quot;>&quot;, &quot;&gt;&quot;);

69. description = description.replaceAll(&quot;eval((.*))&quot;, &quot;&quot;);

70. description = description.replaceAll(&quot;[amp;quot;apos;][s]*((?i)javascript):(.*)[amp;quot;apos;]&quot;, &quot;amp;quot;amp;quot;&quot;);

71. description = description.replaceAll(&quot;((?i)script)&quot;, &quot;&quot;);

74. http://wpl.codeplex.com/

75. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web ¡No debemos olvidar que el simple hecho de seguir estas recomendaciones no aporta una seguridad absoluta! Se debe codificar la entrada y salida de datos de la aplicación teniendo la seguridad en mente

76. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web XSRF Cross Site Request Forgery

77. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Cross Site Request Forgery (XSRF) Consiste en forzar al navegador web validado de una víctima a enviar una petición a una aplicación web vulnerable, la cual entonces realiza la acción elegida a través de la víctima. Se entiende que todo esto sin el consentimiento ni conocimiento de dicha víctima

80. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web ¿Que se puede conseguir al explotar una vulnerabilidad XSRF? Realizar cualquier acción que no requiera validación del usuario en las aplicaciones web en que este autenticado en dicho momento.

82. Configurar tiempos de expiración del token razonablemente cortos.

84. No tener varias pestañas abiertas en el navegador.

85. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Abuso de funcionalidad

86. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Es una técnica que usa las funcionalidades de la aplicación web para atacarla aplicación, al usuario de la misma o atacar a otros.

89. Algo habitual es poder conseguir nombre de usuarios o direcciones de correo validas, una vez conseguidas las mismas se pueden lanzar ataques de fuerza bruta sobre las claves.

91. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Fuerza bruta

94. Clave wifi (wpa y wep)

95. Usuario de una aplicación web

96. Contraseña de un archivo cifrado

97. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web ¿Es efectivo este sistema? Bastante: Las claves suelen ser muy cortas y predecibles

99. Mayúsculas, minúsculas, números, caracteres especiales

100. No basada en diccionario ni en datos fácilmente predecibles

101. Cambiarlas periódicamente

102. Usar algún software que nos permita gestionarlas (keepass)

104. Inhabilitar cuentas tras n intentos fallidos

105. Introducir un retardo variable tras cada fallo al intentar introducir la contraseña

107. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web DOS Denial Of Service Denegación de servicio

108. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Es un ataque contra la disponibilidad de la aplicación Consiste en explotar alguna vulnerabilidad de la aplicación o servidor para hacer que dicha aplicación no este disponible para los usuarios

111. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web La idea subyacente es conseguir agotar con peticiones especiales alguno de los recursos de los cuales dispone el servidor (memoria, disco, procesador, …) de tal forma que dicho servidor no pueda atender al resto de usuarios. Dada la potencia de los servidores frente a la potencia disponible para un único atacante el ataque debe ser realizado aprovechando alguna vulnerabilidad del lado servidor.

114. Guardar ficheros que envía el usuario

115. ….

116. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web DDOS Distributed Denial Of Service DOS distribuido

117. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web El ataque tiene la misma base técnica que el DOS. La única diferencia es que se ejecuta dicho ataque DOS desde un numero grande de equipos facilitando el éxito del ataque

118. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Cuando el número de atacantes distribuidos es muy grande, por ejemplo, 1 millón de equipos no tiene porque ser necesaria la explotación de una vulnerabilidad para que tenga éxito. El simple acto de solicitar una página de un servidor web de manera rápida y sostenida por un número elevado de atacantes dejará indisponible dicho servidor para el resto de usuarios legítimos y en determinados casos podría producir su caída alargando consecuentemente su indisponibilidad

120. SEGURIDAD Y APLICACIONES WEB Vulnerabilidades Web Como hemos visto es importante tener en cuenta la seguridad tanto en la creación aplicaciones web ya que se pueden crear involuntariamente agujeros que afecten a la seguridad de toda la organización. El mejor consejo: Tener la seguridad tan en cuenta como se puedan tener el rendimiento o la funcionalidad de una aplicación.