ACTIVIDAD DE
APRENDIZAJE 2: IDENTIFICACIÓN DE LAS
VULNERABILIDADES DE SEGURIDAD MÁS IMPORTANTES.
Aprendices:
Rafael Arturo Daza Noriega - Eberto Luis Benjumea Mendoza
IDENTIFICACION
DE UN ATAQUE DE SEGURIDAD
Utilizando estas direcciones de internet:
TOP 25 DE ERRORES DE VULNERABILIDAD (CWE)
CWE: Enumeración de debilidad Común.
Existe una lista de
25 errores (CWE), que permiten saber si el software posee vulnerabilidad. La lista es el
resultado de la colaboración entre el Instituto SANS, MITRE, y muchos expertos
más destacados de software de seguridad en los EE.UU. y Europa.
Tenemos 3
categorías de este top de errores de vulnerabilidad:
·
Interacción
insegura entre componentes:
Estas deficiencias están relacionadas con formas
de inseguridad en la que los datos son enviados y recibidos entre los distintos
componentes, módulos, programas, procesos, hilos o sistemas.
·
Gestión de
los Recursos Risky:
Las debilidades
de esta categoría están relacionadas con las formas en que el software no
maneja correctamente la creación, uso, transferencia o destrucción de los
recursos importantes del sistema.
·
Defensas
porosos:
Las debilidades
de esta categoría están relacionadas con las técnicas de defensa que a menudo
son utilizados incorrectamente, o simplemente ignoradas sin formato.
Finalmente, escogí una de las 25, es:
CWE-79: Neutralización de entrada inadecuada durante
la generación de la pagina Web (Cross-site Scripting).
Cross-site Scripting es
un tipo de inseguridad informática o agujero de seguridad típico de las aplicaciones
Web, que permite a otros inyectar en páginas Web vistas por el usuario, código
JavaScript evitando medidas de control.
Si no
tenemos el cuidado suficiente, los atacantes insertan JavaScript u otro
navegador ejecutable contenido en una página Web que su aplicación genera. Por
lo tanto, la Web nuestra es usada por otros usuarios, cuyos navegadores
ejecutan ese script malicioso como si fuera nuestro, y de repente, nuestro
sitio Web esta cumpliendo el código que usted no escribió.
El
atacante puede usar varias técnicas para conseguir la entrada directa en el
servidor, o usar una victima involuntaria.
XSS
puede ser utilizado para robar información delicada, secuestrar sesiones de
usuario, y comprometer el navegador, dominando fuertemente el sistema.
Esta
vulnerabilidad puede estar presente de las siguientes formas:
XSS Indirecto:
Supongamos
que un sitio Web tiene la siguiente forma: http://www.example.com/home.asp?frame=menu.asp y al acceder a esta
Web se creara un documento HTML enlazado con un frame. El peligro es que la
victima no podrá saber si el enlace es peligroso pues posee el mismo dominio y
creerá que es confiable, como resultado obtiene un bucle infinito de mensajes.
Un atacante en realidad trataría de
colocar un script que robe las cookies de la victima, para después poder
personificarse como con su sesión, es decir, el atacante podría ejecutar
acciones con los permisos de la victima sin siquiera necesitar su contraseña.
Otro uso es hacer phishing, o sea que
la victima ve en la barra de direcciones un sitio, pero en realidad es otro, la
victima usa su contraseña y se la envía es al atacante.
XSS Directo:
Funciona localizando puntos débiles en la programación de los filtros
de HTML si es que existen, para publicar contenido ya sea como Blogs, Foros,
etc.
Normalmente el atacante trata de insertar tags, que casi siempre
están permitidos, y es poco conocida su capacidad de ejecutar código, De esta
forma, podría ejecutar código malicioso.
AJAX:
El uso de
AJAX para ataques de XSS no es tan conocido, pero es peligroso. Se trata en
usar cualquier tipo de vulnerabilidad de XSS para insertar un objeto XMLHttp y
usarlo para enviar contenido sin conocimiento del usuario.
Es muy popular
gusanos de XSS que se encargan de replicárselo por medio de vulnerabilidades de
XSS persistentes.
No hay comentarios:
Publicar un comentario