{"id":2453,"date":"2010-03-01T08:24:03","date_gmt":"2010-03-01T10:24:03","guid":{"rendered":"http:\/\/www.brainlabs.com.ar\/novedad\/?p=2453"},"modified":"2023-05-31T12:27:33","modified_gmt":"2023-05-31T15:27:33","slug":"tu-sitio-esta-bien-programado-o-es-potencialmente-peligroso","status":"publish","type":"post","link":"https:\/\/www.brainlabs.com\/novedad\/tu-sitio-esta-bien-programado-o-es-potencialmente-peligroso\/","title":{"rendered":"\u00bfT\u00fa sitio est\u00e1 bien programado o es potencialmente peligroso?"},"content":{"rendered":"

La empresa Cenzic<\/strong> ha elaborado un completo informe detallando las amenazas y los n\u00fameros relacionados con la seguridad Web\u00a0en 2009. Puedes descargar todo el documento en PDF desde aqu\u00ed.<\/p>\n

\"\"<\/a><\/p>\n

Voy a intentar hacer un peque\u00f1o res\u00famen con lo m\u00e1s interesante de este fant\u00e1stico art\u00edculo de Smashing Magazine<\/a>. Voy a mantener en ingl\u00e9s el nombre de los ataques para evitar confusiones, ya que es su terminolog\u00eda habitual.<\/p>\n

Lo primero es saber que significa URI<\/strong>: Uniform Resource Identifier<\/a>.\u00a0Es la forma en la que introduces la ruta de un fichero en una URL en tu navegador.<\/p>\n

ESQUEMA<\/em> DE URI :<\/strong> PARTE JERARQUICA<\/em> ?<\/strong> SOLICITUD<\/em> #<\/strong> FRAGMENTO<\/em><\/p>\n

Todas estas rutas son potencialmente accesibles, aunque algunas se bloquean para que no puedas acceder. Cada URI puede tener tambi\u00e9n par\u00e1metros, que son instrucciones que puedes enviar al script localizado en la URI colocando un s\u00edmbolo de ?<\/strong> y separados por &<\/strong>. \u00a0Por ejemplo, si quieres buscar en Google \u201ccachorros\u201d puedes usar la siguiente URI:<\/p>\n

http:\/\/www.google.com\/search?q=cachorros<\/a><\/code><\/p>\n

Y siquieres que busque por ejemplo a partir de los primeros 50 resultados:<\/p>\n

http:\/\/www.google.com\/search?q=cachorros&start=50<\/a><\/code><\/p>\n

Mirando el c\u00f3digo fuente de las p\u00e1ginas web puedes encontrar informaci\u00f3n sobre los par\u00e1metros que puedes insertar en estas URIs. Tienes que tener especial cuidado con tu p\u00e1gina web y con estos par\u00e1metros que se pueden ejecutar.<\/p>\n

Tipos de ataques<\/em><\/strong>:<\/p>\n

SQL Injection<\/a><\/strong>: un atacante accede a tu base de datos enviando unos comandos SQL a tu servidor v\u00eda URI o un formulario. Uno de los que m\u00e1s sabe sobre este tema es Chema Alonso, aqu\u00ed<\/a> puedes ver una charla en la Defcon<\/strong> sobre este tipo de ataque.<\/p>\n

Cross-Site Scripting (XSS):<\/strong> <\/a>posiblemente este sea el m\u00e1s com\u00fan de todos. Un atacante inyecta c\u00f3digo Javascript dentro de tus documentos web<\/strong> (c\u00f3digo) a\u00f1adiendose al final de la URI como si fuera un par\u00e1metro o un formulario. En el art\u00edculo original puedes ver un ejemplo pr\u00e1ctico de este tipo de ataques. En la web XSSED.org <\/a>puedes ver un\u00a0 listado de las webs vulnerables a este tipo de ataque.<\/p>\n

Path Traversal:<\/a><\/strong> permitir path o directory traversal en tu servidor es realmente una mala idea. Si no asignas bien los permisos de acceso a toda la estructura de tu p\u00e1gina web<\/strong>, un usuario podr\u00eda acceder y navegar por todas las carpetas<\/strong>. Un ejemplo pr\u00e1ctico en el art\u00edculo original.<\/p>\n

Cross-Site Request Forgery (CSRF):<\/strong> <\/a>es un exploit que permite acceder a ciertas funcionalidades sin comprobar ni saber qu\u00e9 usuario la ha iniciado. Aqu\u00ed tienes un completo FAQ sobre este tipo de ataque.<\/p>\n

Remote File Inclusion (RFI):<\/strong> <\/a>un atacante se aprovecha de un fallo en tu web para inyectar c\u00f3digo desde otro servidor para ejecutarlo en el tuyo. Es parecido al XSS pero m\u00e1s problem\u00e1tico porque tienes acceso completo a tu servidor<\/strong> por lo que cualquier c\u00f3digo inyectado podr\u00eda ejecutar comandos del servidor, bajar y subir ficheros, ver las contrase\u00f1as, etc \u2026<\/p>\n

Phishing<\/strong><\/a>:\u00a0es una t\u00e9cnica para enga\u00f1ar a un usuario para que introduzca datos en un sitio web falso que aparenta ser seguro. El m\u00e1s usado es el t\u00edpico correo que parece un banco solicitando tus datos de acceso al mismo.<\/p>\n

ClickJacking:<\/a><\/strong> es una forma de usar CSS y frames para enga\u00f1ar de nuevo a los usuarios para que hagan click sin saber que lo est\u00e1n haciendo. Uno de los m\u00e1s famosos ha sido el \u201cdont click me\u201d de Twitter<\/a>.<\/p>\n

Todo el documento con m\u00e1s informaci\u00f3n y consejos en: Smashing magazine<\/a>.<\/p>\n

En BrainLabs, brindamos servicios de auditoria web, para que no tenga estos problemas. Consultenos en webmaster@brainlabs.com.<\/p>\n","protected":false},"excerpt":{"rendered":"

La empresa Cenzic ha elaborado un completo informe detallando las amenazas y los n\u00fameros relacionados…<\/p>\n","protected":false},"author":10,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[48],"tags":[],"class_list":["post-2453","post","type-post","status-publish","format-standard","hentry","category-seguridad"],"featured_image_urls":{"full":"","thumbnail":"","medium":"","medium_large":"","large":"","1536x1536":"","2048x2048":"","covernews-featured":"","covernews-medium":""},"author_info":{"display_name":"Sergio Zamenfeld","author_link":"https:\/\/www.brainlabs.com\/novedad\/author\/sergio\/"},"category_info":"Seguridad<\/a>","tag_info":"Seguridad","comment_count":"0","_links":{"self":[{"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/posts\/2453","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/comments?post=2453"}],"version-history":[{"count":4,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/posts\/2453\/revisions"}],"predecessor-version":[{"id":7769,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/posts\/2453\/revisions\/7769"}],"wp:attachment":[{"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/media?parent=2453"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/categories?post=2453"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.brainlabs.com\/novedad\/wp-json\/wp\/v2\/tags?post=2453"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}