Asignatura Datos del alumno Fecha

Apellidos:
Seguridad en Bases
de Datos y
Almacenamiento de
Nombre:
Datos Masivos

Actividades

Laboratorio: Explotación de vulnerabilidades de inyección de

SQL en la BD WAVSEP

Objetivos

Comprobar la explotación de vulnerabilidades por medio de inyección SQL en la

instancia de BD del proyecto WAVSEP de MySQL.

Descripción

Deberás preparar un laboratorio en tu PC o Laptop para que puedas probar y remediar

las vulnerabilidades de tipo inyección SQL que contiene el proyecto WAVSEP. Para la
practica deberás probar 3 casos de prueba de inyección de SQL referentes a
vulnerabilidades de http 200 con texto erróneo. Los casos particulares son:

Case01-InjectionInLogin-String-LoginBypass-With200Errors.jsp
http://localhost:8080/wavsep/active/SQL-Injection/SInjection-Detection-
Evaluation-POST-200Error/Case01-InjectionInLogin-String-LoginBypass-
With200Errors.jsp

Case02-InjectionInSearch-String-UnionExploit-With200Errors.jsp
http://localhost:8080/wavsep/active/SQL-Injection/SInjection-Detection-
Evaluation-POST-200Error/Case02-InjectionInSearch-String-UnionExploit-
With200Errors.jsp

Case05-InjectionInSearchOrderBy-String-
BinaryDeliberateRuntimeError-With200Errors.jsp
http://localhost:8080/wavsep/active/SQL-Injection/SInjection-Detection-
Evaluation-POST-200Error/Case05-InjectionInSearchOrderBy-String-
BinaryDeliberateRuntimeError-With200Errors.jsp

TEMA 1 – Actividades © Universidad Internacional de La Rioja. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos:
Seguridad en Bases
de Datos y
Almacenamiento de
Nombre:
Datos Masivos

Para evidenciar la preparación del laboratorio deberás compartir cada una de las
pantallas del proceso de instalación de cada una de las herramientas que se utilizaste en
el mismo (Instalación Java, Apache, Instalación y ejecución de WAVSAP y MYSQL,
etc.). Lograda la preparación del laboratorio es requerido probar las tres
vulnerabilidades como lo indica el mismos WAVSEP y compartir la pantalla que
evidencia que fue probada.

Finalmente, entendida probada y entendidas las tres vulnerabilidades deberás

documentar la remediación de estas y volver a documentar con pantallas tanto
remediación como del aplicativo que ya no es vulnerable.

Requisitos para el ambiente a ser auditado «Instancia de BD WAVSEP»

Descarga e instalación de Java 8.X: https://www.java.com/es/download/

Descarga e instalación de Tomcat 7.X: https://tomcat.apache.org/download-70.cgi
Descarga e instalación MySQL 5.5.X:
https://downloads.mysql.com/archives/community/
Descarga coloca el archivo de WAVSEP.war 1.5 en la carpeta de X:\Program Files
(x86)\Apache Software Foundation\Tomcat X.0\webapps y reinicia el servidor de
Apache:
https://sourceforge.net/projects/wavsep/files/WAVSEP-v1.5/wavsep.war/
download
Ejecuta el script de instalación de WAVSEP: http://localhost:8080/wavsep/wavsep-
install/install.jsp
Accede al aplicativo WAVSEP: http://localhost:8080/wavsep/

Requisitos para instalar Scuba de Imperva para revisar «Instancia de BD

WAVSEP»

Descarga e instalación de SCUBA de IMPERVA:

https://www.imperva.com/resources/freeevaluationtools
Ejecuta un Análisis de vulnerabilidades con la herramienta SCUBA garantizando que
Scuba tiene el conector JDBC y se le establecen los parámetros correctos de la
instancia IP, puerto usuario y contraseña.

TEMA 1 – Actividades © Universidad Internacional de La Rioja. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos:
Seguridad en Bases
de Datos y
Almacenamiento de
Nombre:
Datos Masivos

Entrega

Deberás documentar paso a paso la preparación del laboratorio, al igual que

documentar la ejecución de las 3 vulnerabilidades de inyección de SQL previo a la
remediación, su remediación y las pruebas de corrección de estas. La memoria debe
incluir un índice, desarrollo, conclusiones y referencias consultadas. Puedes adjuntar
los anexos que estimen oportunos. La fuente debe ser Georgia 11 e interlineado 1,5.

Referencias:

Instrucciones detalladas WESEP

https://github.com/sectooladdict/wavsep/wiki/WAVSEP-Installation-and-
Deployment

TEMA 1 – Actividades © Universidad Internacional de La Rioja. (UNIR)