Diapositivas de la charla impartida por Enrique Rando en la Hackers Week de la Universidad de Málaga de 2015

1. (In)seguridad en componentes
cliente de aplicaciones web
UMA Hackers Week
Málaga, 24 de marzo de 2015
Enrique Rando González

2. Antes

3. Ahora...

4. Antes...
Fuente: http://reports.its.uiowa.edu/farewell-old-friend

5. Ahora...

6. Entorno cliente
<script>
for(var i = 1; i<p.size;i++) {
…
…
...
}
</script>

7. Y aquí comienzan los
problemas

8. HTTP (1)
GET http://webserver.example.com/aplicacion/mensajes.php?
orden=carga_mensaje&id=7 HTTP/1.1
Accept: */*
Referer: http://webserver.example.com/aplicacion/mensajes.php
Accept-Language: es-ES
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:
11.0) like Gecko
Proxy-Connection: Keep-Alive
DNT: 1
Cookie: PHPSESSID=aaltjlqrnj63452rq5skj1fvf0
Host: webserver.example.com

9. HTTP (2)
HTTP/1.1 200 OK
Date: Thu, 12 Mar 2015 23:39:09 GMT
Server: Apache/2.4.10 (Win32) OpenSSL/1.0.1i PHP/5.6.3
X-Powered-By: PHP/5.6.3
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0,
pre-check=0
Pragma: no-cache
Content-Length: 431
Content-Type: text/html; charset=UTF-8
{"id":"7","remite":"El usuario malicioso","asunto":"Cambio de fondo de
escritorio","texto":"Hola. Hay un nuevo fondo de escritorio
corporativo. Por favor visita el enlac...

10. Demo
Altas / Bajas / Modificaciones
Ataques de diccionario
SOP - onload

11. Protecciones
● Pedir constantemente la contraseña
● Constantes mensajes de aviso
● Uso de cabeceras
…
● Tokens anti CSRF

12. Demo 4
Logos corporativos
Alta de admins

13. Protecciones
No te dejes meter en un IFRAME
● Scripts
● Cabeceras HTTP
● Avisos
if (self != top) {
top.location.href = self.location.href;
}
X-Frame-Options: SAMEORIGIN // DENY // ALLOW FROM uri

15. Demo
Hola, mundo
Almacenando
DOM
Acceso a datos
Notas finales

16. Protecciones
Content Security Policy
Content-Security-Policy: "default-src 'none';
script-src 'self' webserver1.example.com;
object-src 'self';
style-src 'self' 'unsafe-inline';
img-src 'self';
media-src 'self' *.youtube.com;
frame-src 'self';
font-src 'self';
connect-src 'self'"
Programar bien...

17. Muchas gracias