UNIVERSIDAD TECNOLGICA

DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

ASIGNATURA:
Desarrollo de Aplicaciones Web

Docente:
Luis Alfredo Isidro Metelin

Unidad Temtica I:
Ingeniera Web

Nombre de la actividad:
Seguridad y vulnerabilidad de sitios Web

Alumno:
T.S.U. Jess Yair Cruz Martnez

Grado y Grupo:
9no A

San Antonio Crdenas Carmen Campeche a 14 de Mayo de 2017

 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

Introduccin

El acceso a internet y en concreto a las tecnologas web de forma ubicua es toda

una realidad hoy en da. Cada vez es ms comn encontrarse con aplicaciones
web, en lugar de aplicaciones nativas, dando estas primeras soporte a una mayor
cantidad de dispositivos y plataformas.

Una de las mayores implicaciones que tiene este hecho es que se pasa del
modelo de datos descentralizado que suelen tener las aplicaciones nativas a un
modelo centralizado donde todos los datos de los usuarios y de la aplicacin
estarn en un mismo servidor o grupo de servidores.

Claramente es un conjunto sustancial de ventajas respecto a las aplicaciones

nativas tambin pone de manifiesto una serie de inconvenientes. Cualquier tipo de
incidencia en materia de seguridad podra afectar la confidencialidad, integridad o
disponibilidad de todos los datos asociados a la aplicacin o a los usuarios de
sta.

Por lo tanto adems del anlisis de la seguridad en aplicativos web con especial
atencin en las vulnerabilidades se propone el desarrollo de un ligero proxy de
peticiones HTTP que es considerada una de las herramientas ms tiles para la
evaluacin de vulnerabilidades por ser permitir trabajar de una forma muy grfica a
un nivel muy bajo.
 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

Seguridad Web
Sin lugar a dudas uno de los temas lgidos en la web es el de la seguridad de las
transacciones e informacin que en general se distribuye en la misma.
A continuacin se detalla los principales protocolos de seguridad que se manejan
actualmente:

Secure Socket Layer (SSL)

Secure Sockets Layer (SSL) es el estndar mundial de la seguridad en la Web. La
tecnologa SSL se enfrenta a potenciales problemas derivados de la visualizacin
no autorizada de informacin confidencial, la manipulacin de datos, la
apropiacin de datos, el phishing y los dems tipos de amenazas en los sitios
Web. Para ello, se cifra la informacin confidencial a fin de que slo los
destinatarios autorizados puedan leerla. Adems de evitar la manipulacin de la
informacin confidencial, SSL contribuye a que los usuarios tengan la seguridad
de acceder a un sitio Web vlido.
Los principales sistemas operativos, aplicaciones Web y hardware del servidor son
compatibles con SSL, lo que significa que esta poderosa tecnologa de cifrado de
SSL ayuda a implementar en cada empresa una manta de seguridad que limita la
responsabilidad para todo el sistema con el fin de afianzar la seguridad de los
clientes, incrementar el porcentaje de transacciones finalizadas y optimizar los
resultados finales. Gracias a los avances recientes obtenidos en la tecnologa
SSL, existe una amplia variedad de tipos de SSL.

Transport Layer Security (TLS)

Para intentar corregir las deficiencias observadas en SSL v3 se busc un nuevo
protocolo que permitiera transacciones seguras por Internet, sobre todo teniendo
en cuenta que SSL es propiedad de la empresa Nestcape. El resultado de esta
bsqueda fue el protocolo TLS, que permite una compatibilidad total con SSL
siendo un protocolo pblico, estandarizado por el IETF.
 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

TLS busca integrar en un esquema tipo SSL al sistema operativo, a nivel de la

capa TCP/IP, para que el efecto "tunel" que se implement con SSL sea realmente
transparente a las aplicaciones que se estn ejecutando.

Protocolo S-HTTP
El protocolo Secure HTTP fue desarrollado por Enterprise Integration
Technologies, EIT, y al igual que SSL permite tanto el cifrado de documentos como
la autenticacin mediante firma y certificados digitales, pero se diferencia de SSL
en que se implementa a nivel de aplicacin. Se puede identificar rpidamente a
una pgina web servida con este protocolo porque la extensin de la misma pasa
a ser .shtml en vez de .html como las pginas normales.

Protocolo SET
SET se basa en el uso de certificados digitales para asegurar la perfecta
identificacin de todas aquellas partes que intervienen en una transaccin on-line
basada en el uso de tarjetas de pago, y en el uso de sistemas criptogrficos de
clave pblica para proteger el envo de los datos sensibles en su viaje entre los
diferentes servidores que participan en el proceso. Con ello se persigue mantener
el carcter estrictamente confidencial de los datos, garantizar la integridad de los
mismos y autenticar la legitimidad de las entidades o personas que participan en la
transaccin, creando as un protocolo estndar abierto para la industria que sirva
de base a la expansin del comercio electrnico por Internet.

Vulnerabilidad
1. Inyeccin Ocurre cuando a nuestro sistema entra informacin no
confiable a travs de formularios o comandos que son interpretados por
queries en nuestra base de datos. Puede resultar en robo o prdida de
 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

nuestra informacin. Solucin: Validar y limpiar todo lo que el usuario

ingrese a nuestro sistema antes de realizar cualquier proceso adems de
usar Prepared statements y stored procedures.
2. Secuencias de comandos en sitios cruzados (Cross-site scripting,
XSS). Esta falla permite desplegar en el navegador datos no confiables
proporcionados por usuarios, generalmente inyectando cdigo javascript
malicioso. Estos datos pueden secuestrar tu sitio web, permitiendo que tus
usuarios sean re direccionados a sitios maliciosos o descarguen malware.
Solucin: Validar y escapar cualquier dato a ser impreso en tu sitio, trata
siempre de usar herramientas de templates los cuales te permitan optimizar
este proceso (Freemarker o Smarty).
3. Autenticacin rota. Se presenta cuando es posible suplantar la identidad
del usuario al obtener acceso a datos como contraseas o identificadores.
Un ejemplo es poder modificar el id de la sesin en la cookie y obtener as
acceso como un administrador o cambiar el perfil de acceso. Solucin:
Verificar los procesos de autenticacin, usar mecanismos y libreras ya
existentes. No guardar informacin sobre permisos o identidad en cookies.
4. Solicitudes falsificadas en sitios cruzados. El atacante engaa a la
vctima a enviar solicitudes HTTP que no desea lo que permite al atacante
ejecutar operaciones que el usuario no desea. Solucin: Controlar el flujo
de los procesos usnados tokens nicos por sesin y por solicitud
5. Referencias directas e inseguras a objetos. Exponer referencias a
objetos de implementacin interna como archivos, directorios y base de
dato por lo que pueden ser manipulados. Por ejemplo si usamos un script
de descarga que recibe como parmetro el nombre del archivo, puede ser
usado para enviar al atacante nuestro documento de configuracin con la
clave de nuestra Base de Datos.Solucin: Usar siempre controles de
acceso y no ofrecer datos sobre la implementacin interna.
 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

6. Configuracin errnea de seguridad. Un parmetro mal especificado

puede permitir el acceso a nuestras aplicaciones. Solucin: Definir todos los
elementos de seguridad y no usar atributos por defecto (por ejemplo el
usuario y password root), mantener nuestras aplicaciones, servidores y
libreras siempre actualizados.
7. Almacenamiento inseguro: Si un atacante tuviera acceso a nuestra
informacin y esta no se encontrar asegurada, podra acceder a
contraseas y datos de tarjeta de crdito de usuarios y clientes entre otra
informacin sensitiva. Solucin: Encriptar informacin sensible en nuestra
base de datos.
8. Fallas al restringir acceso URL. Una pgina en nuestro sitio que no sea
no validada puede permitir el acceso reas restringidas mediante la
manipulacin de la URL otorgando permisos administrativos a un atacante.
Por ejemplo tener una pgina admin.php como centro de control y no
validar su acceso. Solucin: Validar todas las pginas o controladores, usar
mtodos de autenticacin incorporados en el servidor.
9. Insuficiente proteccin en la capa de transporte. Todo el trfico en
internet puede ser escuchado, y al enviar informacin sensitiva como
contraseas, nmeros de tarjeta o documentos sin
su apropiada autenticacin y encriptacin, alguien puede tener acceso a
esa informacin. Solucin: Usar SSL y TSL y evitar enviar informacin
sensitiva que pueda ser accedida por un escuchante.
10. Forwards y Redirects no validados. El permitir que tu aplicacin envi a
tus visitantes a otra pgina o sitio sin validar puede dejarlos caer en sitios
de phising o malware. Solucin: Valida y lleva un control sobre los links y
forwards que aparecen en tu pgina.
 UNIVERSIDAD TECNOLGICA
DE CAMPECHE
INGENIERIA EN TECNOLOGIAS DE LA
INFORMACION

Conclusin
La seguridad en aplicaciones Web involucra principalmente al desarrollador,
aunque con gran frecuencia se encuentran defectos que pueden ser
aprovechados por atacantes en las tecnologas en que se basan los sistemas web
(Sistemas Operativos, Servidores Web, Servidor de Base de Datos, etc.) la
atencin principal debe dirigirse a los defectos propios al desarrollo nuestras
aplicaciones.
Todo programador debe estar consciente que el manejo de las peticiones, para
aceptarlas o rechazarlas, deben estar los datos o variables recibidas no cumplan
con las caractersticas esperadas o predefinidas. Todas las entradas del sistema
deben pasar por el filtrado de los datos contenidos para confirmar su usabilidad.
Adems para el programador debe ser claro y fcil de identificar cuando una
variable ya ha sido sometida al proceso de limpieza, de esta forma evitaremos
tener que confiar en la memorizacin o tener que hacer un mapa de los procesos
ejecutados por cada lnea de cdigo ejecutada de manera previa.
Otro aspecto importante a considerar son los procesos de salida de la informacin
del sistema. Es importante siempre considerar el significado que pueda tener la
informacin enviada en su nuevo contexto, y en el caso de poder crear problemas
de interpretacin de las salidas, escaparlas para preservarlas. Al igual que en el
proceso de filtrado, es importante mantener un control sobre la codificacin que
tienen los datos antes de enviarlos a su nuevo contexto.