Curso de Hacking Aplicaciones Web

1. Descripcin:
Las Aplicaciones Web son en la actualidad el principal punto vulnerable para casi todas las
organizaciones. Los agujeros, fallas y malas configuraciones en estas provocan el robo de millones
de tarjetas de crdito, datos personales crticos, dao financiero y de reputacin en cientos de
empresas. En este curso se aprender el arte de explotar Aplicaciones Web de tal manera que se
puedan encontrar sus fallas antes de que los chicos malos lo hagan. Todo se realizada con
ejercicios prcticos, para aprender y comprender las tcnicas con herramientas que utilizan los
atacantes, mediante un proceso de cuatro fases para realizar una Prueba de Penetracin a las
Aplicaciones Web.

2. Objetivo
Las pruebas de seguridad a las Aplicaciones Web son extremadamente importantes, pero
por contraste algunas veces las ms ausentes. En el presente curso el participante aprender la
metodologa para realizar las pruebas, configurar y utilizar las herramientas para realizar pruebas
de seguridad web satisfactorias. Comprender como se realiza la comunicacin entre todas las
partes involucradas en una Aplicacin Web. Seleccionar y utilizar los diferentes mtodos y
tcnicas para realizar los ataques ms comunes, como por ejemplo SQL Injection (SQLi), Cross Site
Scripting (XSS), Cross Site Request Forgery (CSRF), entre otros. Se realizar una revisin al Top
10 de OWASP (The Open Web Application Security Project) con ejemplos prcticos.

3. Dirigido a
Profesionales de Seguridad de la Informacin
Administradores de Tecnologas de Informacin
Auditores en Tecnologas de Informacin
Profesionales en Pruebas de Penetracin y Hacking tico
Estudiantes de Institutos o Universidades de las carreras de Sistemas, Informtica, Redes
o similares.

4. Temario

Introduccin a la Seguridad de Aplicaciones Web

Qu son las Pruebas de Seguridad?
Qu son las Aplicaciones Web?
Los Fundamentos de una Aplicacin Web
Tecnologas utilizadas en Aplicaciones Web
[1]

Pruebas de Seguridad a Aplicaciones Web

Cmo hacer las Pruebas?

Metodologas OSSTMM, OWASP
Herramientas de anlisis
Samurai
Uso de Linux orientado al Hacking tico
Lenguajes de Scripting (Java, Perl, Python)
Instalacin y Configuracin de Herramientas de Anlisis
Tcnicas de explotacin de Aplicaciones Web
Criterios de evaluacin de Aplicaciones Web
Observando el Envo de Datos con WebScarab
Codificacin de Datos Orientado a Web
Reconociendo la representacin de Datos Binarios
Manipulando el Ingreso de Datos
Interceptando y Modificando Peticiones POST
Editando Cookies
Subiendo Archivos Maliciosos
Evadiendo Restricciones de la Interfaz de Usuario
Herramientas de anlisis automatizadas
Haciendo la rplica de un Sitio Web con wget
Escaneando un Sitio Web con Nikto
Automatizando Tareas con cURL
Buscando y Abusando Fallas de Diseo
Manipulando Sesiones
Analizando Identificadores de Sesin con Burp
Revisin de cdigo fuente
Introduccin a vulnerabilidades comunes en Aplicaciones Web
OWASP TOP 10 ( SQL Injection, XSS - Cross Site Scripting, Falsificacin de peticiones a
sitios cruzados, Almacenamiento Inseguro, Redirecciones y reenvos invlidos, Referencia
directa insegura a objetos, etc.)

5. Material
DVD conteniendo: Mquina Virtual de Samurai y Mquinas Virtuales para ejercicios (Windows &
GNU/Linux). Diapositivas del Curso, Herramientas, Ejercicios, Laboratorios y Documentos de
Referencia.

6. Fechas y Horario
El Curso completo tiene una duracin de 24 horas el cual incluye las horas para el desarrollo
de todo el temario, la evaluacin escrita y la evaluacin prctica.
[2]

7. Caractersticas del Laboratorio

El laboratorio de cmputo donde se dicte el curso debe cumplir con las siguientes
caractersticas
tcnicas mnimas.

Procesador Core 2 Duo o Superior.

Memoria RAM de 4GB o Superior
Disco Duro de 160GB, con espacio libre mnimo de 60 GB.
Lector de DVD.
Conectores USB.
Conexin de internet de 2MB mnimo y Cableada de preferencia.
Proyector, Ecram.
Una computadora para el Instructor idntica a la de los participantes.

8. Instructor
Alonso Eduardo Caballero Quezada es Brainbench Certified Network Security, Computer Forensics
(U.S.) & Linux Administration (General), CNHE, CNCF, CNHAW, GIAC SSP-CNSA y Miembro de
Open Web Application Security Project (OWASP). Cuenta con ms de diez aos de experiencia en
el rea y desde hace seis aos labora como Consultor e Instructor Independiente en las reas de
Hacking tico & Cmputo forense. Perteneci por muchos aos al grupo internacional de
Seguridad RareGaZz e integra actualmente el Grupo Peruano de Seguridad PeruSEC. Ha dictado
cursos en Per y Ecuador, presentndose tambin constantemente en exposiciones enfocadas a,
Hacking tico, Cmputo Forense, GNU/Linux y Software Libre. Su correo electrnico es
ReYDeS@gmail.com y su pgina personal est en: http://www.ReYDeS.com.

[3]