Search for publications, researchers, or questions or Discover by subject area Recruit researchers Join for free Login

Download file PDF Read file Download citation Copy link

Presentation PDF Available

Introducción a la Metodología de Hacking Ético de OWASP

para mejorar la seguridad en aplicaciones Web Download file PDF

April 2016
Read file
DOI: 10.13140/RG.2.1.1059.9283
Project: Ethical Hacking for Web Applications

Authors:

Henry Raúl González Brito

University of Information Sciences

Figures (9)

Abstract and Figures

Discover the world's

Introducción a la Metodología de Hacking Ético de OWASP y la importancia de la realización
de esta actividad.
research
20+ million members
135+ million publications
700k+ research projects
+4
Join for free

No caption No caption No caption No caption No caption

available available available available available

Figures - uploaded by Henry Raúl González Brito Author content

Content may be subject to copyright.

Public Full-text 1

Content uploaded by Henry Raúl González Brito Author content

Content may be subject to copyright.

:\Introducción a la
:\Introducción
Metodología de Hacking Ético
de OWASP para mejorar la
seguridad en aplicaciones
Web>
Web >

Msc. Henry Raúl González

Brito
Metodólogo y Jefe de Proyectos de Hacking Ético para Aplicaciones Web
Dirección de Seguridad Informática
I nformática | Vicerrectoría
Vicerrecto ría de Tecnología
Universidad de las
l as Ciencias Informáticas
Inf ormáticas

Introducción
• Incremento de la utilización de las
Aplicaciones Web(ApWeb) en la
sociedad.
• Cualquier persona con mínima
preparación puede crear una ApWeb.
• En correspondencia: Incremento diario
del numero de vulnerabilidades,
amenazas, riesgos y daños causados.

2015 ACUNETIX REPORT

2015 ACUNETIX REPORT

¿Por qué las aplicaciones

Web son inseguras?
• Funcionan sobre protocolos sin estado.
• Dependen de muchos componentes
tecnológicos diversos en el
desarrollo, despliegue y utilización,
unidos para formar la ApWeb final.
• Son un blanco más frecuente de los
atacantes por ser más utilizadas por
las personas.

Ejemplo de Complejidad
Web

INFORME DE LOS COMPONENTES

COMPONENTES
DE UNA ApWeb.

PRESENCIA DE 7 FRAMEWORDS
DIFERENTES DE JAVASCRIPT

Ejemplo de Complejidad
Web

INFORME DE LOS COMPONENTES DE

UNA ApWeb.

PRESENCIA DE 1 FRAMEWORD DE
JAVASCRIPT CON 5 VERSIONES
DIFERENTES.
DIFERENTES .

Conceptos|
Conceptos |Vulnerabilidad
• Error que está presente
presente en el software y
puede ser usador
usador por un atacante para
acceder a una aplicación
aplicación informática
informática o
red de datos, violando las
las políticas de
seguridad informática
informática para
para ella
establecidas. U.
U.S.
S. NVD 2016

• Defecto o debilidad
debilidad en el
el Diseño,
Implementación,
Implementació n, Funcionamiento
Funcionamiento o
Administración
Administració n que puede de usado para
para
comprometer los
los objetivos
objetivos de seguridad
seguridad
sistema. “OWASP Testing
del sistema. Testing Guide”
Guide”
Versión 4.0 2014
2014

VENTANA DE RIESGO DE UNA VULNERABILIDAD

VULNERABILI DAD

DRUPAL 7.11
46
VULNERABILIDADES

DRUPAL 7.43
0
VULNERABILIDADES

Conceptos|
Conceptos |Amenaza
• Cualquier cosa (un atacante externo,
un usuario interno, un problema del
sistema) que puede comprometer los
componentes de una aplicación Web a
través de la explotación de una
vulnerabilidad.

Relación
Mientras más
VULNERABILIDADES mayores son los
tienen las RIESGOS
aplicaciones Web

que COMPROMETAN
los activos de de la ejecución de
nuestras AMENAZAS
aplicaciones Web

Otros Conceptos

Servidor Cliente Destruir definitivamente

definitivamente
los archivos, datos,
sustituir archivos, etc…
etc…
EXPLOIT Acciones concretas y
lineales.

Se diseñan para aprovecharse

de vulnerabilidades
determinadas para

Dejar un payload que permita

permita controlar el
servidor. Ejemplo Redes Zombies

Busquemos Exploits para

Drupal 7.11

CVE-2014-3704: The expandArguments

CVE-2014-3704: expandArguments
function in the database
database abstraction API
in Drupal core 7.x before
before 7.32 does not
properly construct prepared
prepared statements,
which allows remote attackers
attackers to conduct
SQL injection attacks via
via an array
containing crafted keys.
keys.

#Drupal 7.x SQL Injection

Injection SA-CORE-2014-005
https://www.drupal.org/SA-CORE-2014-
https://www .drupal.org/SA-CORE-2014-005
005
#Creditz to https://www.reddit.com/
https://www.reddit.com/user/fyukyuk
user/fyukyuk

VEAMOS UN VIDEO

Mito: Mi portal nadie lo va

a atacar porque no es
importante.

Puede ser atacado para

controlar los
servidores y afectar
afectar
otros sistemas que si
son importantes

Hacking Ético
• Una práctica actual que consiste en
simular las acciones de un atacante con
el objetivo de comprobar el cumplimiento
de las políticas de seguridad
informática.
• Son una parte formal de los procesos de
Seguridad Informática de una
organización.
• Otras terminologías: Pruebas de
Penetración, Pentesting.

Alcance
Existe un límite hasta donde puede
llegar el especialista de Hacking
Ético
El atacante no tiene límites

Temporalidad
Refleja el estado de la apWeb y la
infraestructura de despliegue en
un instante de tiempo dado.

Procesos administrativos
No se analizan los procesos
administrativos relacionados con
la ApWeb

Conocimientos Requeridos
• Alto conocimiento de la programación
Web para exponer las vulnerabilidades
del sistema.
• Programación en general (python) para
automatizar tareas repetitivas de Web
scraping (recolección de usuarios,
ataques de fuerza bruta, mapeo de la
ApWeb)
ApWeb)
• Dominio de la terminal de Linux y
programación en Bash (u otro)

Habilidades
• Dominio del idioma inglés,
especialmente en la lectura.
• Pensamiento creativo. ¿Cómo puedo
aprovechar esta pieza de información?
• Investigación científica ¿Cómo
demuestro lo que encontré?

MOTIVACIÓN

¿y la Ética para qué?

• Tener habilidades para exponer los
errores de los demás sin que se vea
como una agresión u ofensa.
• Capacidad de comunicar claramente el
problema.
• Discreción total por dos motivos:
1. Mantener la reputación del
d el proyecto,
proyecto ,
centro, facultad,
facu ltad, universidad.
univer sidad.
2. La solución de los
lo s problemas no siempre
s iempre
es inmediata y toma tiempo.
tiem po.

Herramientas de Hacking
Ético
• Distribuciones de Linux (Kali Linux,
Parrot OS)
• Herramientas de Pago, Community
Edicion, Software Libre, Open Sources.
• Generales y específicas.
• Multiplataformas o para una sola
plataforma.
• Para hacer escaneos automáticos de
vulnerabilidades.

Citations (0) References (0)

ResearchGate has not been able to resolve any citations for this publication.

Recommendations Discover more

Project Project

Ethical Hacking for Web Applications Interoperabilidad de sistemas de información

Henry Raúl González Brito · Ramón Alexander Anglada José Carlos Del Toro Rios · Henry Raúl González Brito
Martínez · Dainys Gainza Reyes

View project
Ethical Hacking for Web Applications

View project

Project Project

Knowledge management Influence analysis in technological networks (SNA)

Henry Raúl González Brito · Yennis González Cádiz · Raynel Batista · Alieski Véliz Vega · Dairelys García
Naryana Linares Pons Rivas · [...] · Yadian Guillermo Pérez Betancourt

View project - The study aims to analyze the influence of culture in the diffusion of
innovations at entreprenuers´ social network, - explore aspects of social
structure that shape innovation, such as power, c ... [more]

View project

Article Article

Estudo da estabilidade de pequenas barragens de terra Hackers en linux : secretos y soluciones para la
compactadas em três teores de umidade DOI: 10.... seguridad de linux / Brian Hatch, James Lee, George...
February 2008 · Exacta Brian Hatch · James Lee · George Kurtz
David Carvalho · Joao Alexandre Paschoalin Filho
Traducción de: Hacking linux exposed: linux security secrets and solutions
Incluye índice
Nesta pesquisa, apresentam-se os fatores de segurança para aterros
compactados com solo residual de diabásio. Para a determinação desses
Read more
fatores, foram simula¬das duas seções hipotéticas de barragens com altura
de 5 metros (m) e presença de elementos drenantes e filtrantes. Com o
intuito de simular condições de baixo controle de compactação, estudaram-
se as seções nos seus teores ótimos de ... [Show full abstract]

Read more

Presentation Full-text available Presentation Full-text available

Configuration Management - Fase 2 de la Metodología Information Gathering - Fase 1 de la Metodología de

de OWASP para la realización de Hacking Ético en... OWASP para la realización de Hacking Ético en Ap...
May 2016 May 2016

Henry Raúl González Brito Henry Raúl González Brito

OTG-CONFIG-001 | CONFIGURACIÓN DE LA INFRAESTRUCTURA OTG-
CONFIG-002 | REVISIÓN DE LA CONFIGURACIÓN DE LA PLATAFORMA
DE LA APLICACIÓN WEB OTG-CONFIG-003 | DESCUBRIMIENTO DE
INFORMACIÓN SENSIBLE MEDIANTE LA MANIPULACIÓN DE
EXTENSIONES OTG-CONFIG-004 | DESCUBRIMIENTO DE
INFORMACIÓN SENSIBLE EN FICHEROS NO REFERENCIADOS Y DE
SALVAS OTG-CONFIG-005 | DESCUBRIMIENTO DE VISTAS DE
ADMINISTRACIÓN DE LA ... [Show full abstract]
Fase 1 de la Metodología de OWASP para la realización de Hacking Ético
en Aplicaciones Web OTG-INFO-001 | RECONOCIMIENTO MEDIANTE
MOTORES DE BÚSQUEDA OTG-INFO-002 | DESCUBRIMIENTO DEL
WEBSERVER POR SU MARCA DIGITAL OTG-INFO-003 | REVISIÓN DE
LOS FDR BASES DEL WEBSERVER PARA ENCONTRAR FUGAS DE
INFORMACIÓN OTG-INFO-004 | DESCUBRIMIENTO DE APLICACIONES
EN EL WEBSERVER OTG-INFO-005 | DESCUBRIMIENTO ... [Show full
abstract]

View full-text View full-text

Conference Paper Full-text available Conference Paper Full-text available

EL PAPEL DE LA VIGILANCIA TECNOLÓGICA EN LA Estudio del impacto de las cookies en la seguridad de

DISMINUCIÓN DE INCIDENTES DE las aplicaciones web
CIBERSEGURIDAD EN APLICACIO... June 2017
May 2017
Henry Raúl González Brito · Marcos Enrique Zúniga
Henry Raúl González Brito · Ramón Alexander Anglada Solórzano
Martínez · Dainys Gainza Reyes
Resumen - Este paper trata sobre el impacto que pueden tener las cookies
para comprometer la seguridad de las aplicaciones web. Se aborda de
En la actualidad, muchas entidades cubanas utilizan portales y aplicaciones
forma sistémica los posibles ataques que pueden desarrollar los
web para publicar contenidos de diversos tipos y propósitos, acceder a los
ciberdelincuentes mediante las cookies, entre los cuales están: Las cookies
servidores de comunicación institucionales como el correo electrónico o la
mensajería instantánea e incluso realizar procesos de comercio electrónico, como objetivo para detectar la tecnología base, las cookies como blancos
de los secuestros de sesión, ataques contra ... [Show full abstract]
esto contribuye a incorporar valor añadido a los procesos y mejorar su
gestión. Sin embargo, ... [Show full abstract]
View full-text
View full-text

Company Support Business solutions

About us Help Center Advertising

News Recruiting

Careers

© 2008-2021 ResearchGate GmbH. All rights reserved. Terms · Privacy · Copyright · Imprint