Vulnerabilidades web

Vulnerabilidades Web:Irrumpiendo por la puerta de entrada

Hack-ITInformation Technology

Luciano Laporta PodazzaCEO Hack-ITwww.Hack-IT.com.ar


Conceptos Amenazas Protegiendonos Conclusión EOF

¿Qué es la seguridad?

¿Quienes componen a la misma?

Hackers, crackers, lamers... la farándula del internet.

Amenazas

Protegiendonos

Conclusión

EOF(End Of File)

Lanzamiento de elementos contundentes hacia el disertante



Para que un sistema se pueda definir como seguro debe tener estas cuatro características:

* Integridad: La información sólo puede ser modificada por quien está autorizado y de manera controlada.

* Confidencialidad: La información sólo debe ser legible para los autorizados.

* Disponibilidad: Debe estar disponible cuando se necesita.

* Irrefutabilidad (No repudio): El uso y/o modificación de la información por parte de un usuario debe ser irrefutable, es decir, que el usuario no puede negar dicha acción.



¿Quienes la componen?

Seguridad...



Hackers.



Entonces...

¿Quienes son los “Hackers” realmente?



Richard M. Stallman(Creador del concepto de Software Libre y GNU)



Linus Torvalds(Kernel Linux)



John Von Neumann (Teoría de Juegos, Álgebra de von Neumann, Arq. De Von Neumann, Autómata Celular)



Ada Byron(Primera programadora, lenguaje ADA)



Vinton Gray "Vint" Cerf(Arquitecto del Internet)



Guglielmo Marconi(Radio)



Wolfgang Amadeus Mozart(Músico)



Albert Einstein(Teoría de la relatividad, movimiento browniano, efecto fotoeléctrico)



Dan KaminskyDNS Cache Poisoning, Rootkit Sony



Entonces...

Si ellos son los Hackers, ¿Quienes son los otros?



CrackersViolan la seguridad de software(cracks, keygens, etc). Ingresan a sistemas con fines destructivos

PhreakersViolan los sistemas telefónicos con diversos fines(fraude, anonimato, llamadas gratis, etc)

CardersRoban información de tarjetas de crédito para cometer actos ilícitos.

DefacersIngresan a sitios web para cambiar la pagina principal por algún mensaje personalizado.

Script KiddiesUsan scripts, exploits, etc; para atacar sistemas, sin tener conocimiento de cómo funcionan realmente.

LamersLo más repudiable de Internet, persona falta de habilidades técnicas, sociabilidad o madurez considerada un incompetente en una materia.



Gary McKinonn

6 años contra la extradición a los Estados unidos.70 años de cárcel2 millones de dólaresNASA, ejército estadounidense, marina estadounidense, departamento de defensa estadounidense, fuerzas aéreas estadounidenses, Pentágono.



●Los Hackers CONSTRUYEN y NUNCA DESTRUYEN.

●Para ser “Hacker” hay que dar el ejemplo y lograr el reconocimiento.

●Aplican sus descubrimientos e investigaciones para el BIEN y no para el MAL.

●Son personas que por sobre todas las cosas tiene mucha moral y ética.

●No son conformistas, siempre van más allá.

●Aman lo heróico y lo difícil.

Y un largo etc...



Amenazas



Y un largo etc...



Amenazas●XSS (Cross Site Scripting)●SQL Injection●CSRF (Cross Site Request Forgery)●RFI (Remote File Inclusion)●LFI (Local File Inclusion)●Insecure Direct Object Reference(directory enumeration)●Cifrados propios e inseguros●Falta de Cifrado en lugares sensibles de la aplicación●LDAP Injection●XML Injection●Debugging ON●Buffer Over Flow●HTTP Parameter Pollution

●Y un extremadamente LARGUÍSIMO etcétera...●DNS enumeration



Protegiendonos



Herramientas y métodos de protección

●Antivirus●WAF(Web Application Firewall)●Auditorías(penetration testing)●Cifrado.●Filtrado de datos (user input)●Sentido Común

●Etc...●Familia ISO 27000



Web Application Firewall



Auditorías



Cifrado Simétrico y Asimétrico



A clever person solves a problem. A wise person avoids it.Albert Einstein.



●Filtrado HTML/Javascript/CSS(XSS).●White lists en vez de Black lists.●Filtrado en variables de consulta(SQL).●Fuerte tipado de variables(caractér, número, etc)●+Diseño / - Parches.●Esperar lo inesperado(desconfiar del comportamiento del usuario).●Ingeniería Social.●Directory enumeration(admin path finding).●En lo posible, verificar contenidos de los archivos que suben los usuarios en busqueda de anomalías(código malicioso).●Roles/Privilegios(Base de datos, Sistema Web, etc).●ReCAPTCHA!(o Akismet en su defecto...)●Cifrado de passwords!(MD5 no!)●Bloqueo de sesiones por IP●Tokens(CSRF)●No usar cifrados propios!●Otro largo etc...



Conclusiones



¿Estoy seguro?



¿Porqué?



¿Existe alguna solución a esto?



Hack-IT“Internet Security Server”

(...CHIVO...)



Internet

Conexión Cifrada

Router/Firewall

Firewall

Servidor Seguro

Solución Antivirus



Black List

Filtro de Spam

Conexión Cifrada

Servidor de Actualizaciones



IDS/IPS

Servidor de Logs

Negros quemandose las pestañas leyendo logs y analizándolos

Servidor de Backup



Y Finalmente....

El usuario final!!!



¿Porqué la sorpresa?



<---- Soy Brad Pitt si haces click aquí me saco la estrellita!!!



●La seguridad es una utopía.

●No hay sistema 100% seguro(y el que diga lo contrario es un chanta).

●La seguridad es como una cadena: “Será tan fuerte como su eslabón más débil”(en este caso el usuario sin consciencia).

●Es más fácil destruir que construir.

●Los Hackers CONSTRUYEN y todos los demás DESTRUYEN.

●La seguridad no empieza y termina en una computadora...

●Celulares, satélites, cerraduras, sistemas políticos,económicos,sociales, etc...

Conclusiones



En resumen la solución definitiva contra la inseguridad es la EDUCACIÓN



Preguntas frecuentes por Eric Raymond



¿Me enseñas a hackear?



Aun si pudiera hacerlo, el hackeo es una actitud y habilidad que debes aprender por ti mismo. Te darás cuenta de que los hackers de verdad quieren ayudarte, pero no te respetarán si comienzas a rogarles que te alimenten en la boca con todo lo que saben.



¿Donde puedo aprender a hackear?



Leyendo en internet sobre Unix/Linux/BSD, aprendiendo (redes, programación, todo sobre lo que tengas curiosidad). Sumandote a un grupo de usuarios de Linux o software libre (LUG), ayudando a tu prójimo, etc.



¿Como le robo la contraseña a otra persona?



Eso es cracking. Desaparece, idiota.



¿Cómo puedo acceder/leer/monitorear el correo de otra persona?



Eso es cracking. Piérdete, imbécil.



EOF (End Of File)

¡Muchas gracias por su atención!

¡Arroje ahora elementos contundentes al disertante!



Luciano Laporta PodazzaCEO Hack-IT

www.Hack-IT.com.ar

blog.Hack-IT.com.ar lista.Hack-IT.com.ar

Happy Hacking!!! :)

[email protected]

Licencia:

Vulnerabilidades web

Technology

Transcript of Vulnerabilidades web