OWASP TOP 10

Vulnerabilidades
Para Dummies
 Qué es el OWASP TOP 10

El OWASP TOP 10 es una iniciativa de la organización sin ánimo de lucro

Open Web Application Security Project (OWASP)
que tiene como objetivo identificar y difundir las 10 vulnerabilidades de seguridad
más críticas que afectan a las aplicaciones web.

El OWASP TOP 10 se basa en el análisis de datos de cientos de organizaciones

y miles de vulnerabilidades reportadas
por expertos en ciberseguridad de todo el mundo.

El propósito del OWASP TOP 10 es concienciar a los desarrolladores,

administradores, auditores y usuarios
sobre la importancia de aplicar medidas de seguridad
en el diseño, desarrollo, implementación y mantenimiento de las aplicaciones web.

1
01 Control de acceso roto

El control de acceso roto se produce cuando un problema con el control de acceso

permite a un usuario realizar una acción fuera de los límites del usuario.

abc.com

Intercepta la petición 123 y la cambia a 987

María Javier

Usuario Normal Usuario Admin

ID de Usuario: 987 ID de Usuario: 123

Por ejemplo, un atacante puede ser capaz de explotar un fallo en una aplicación con la
intención de obtener acceso elevado a datos para los que no tiene permisos y de este
modo poder realizar acciones no autorizadas.

2
02 Fallo criptográfico

Un fallo criptográfico puede producirse cuando se almacenan o transmiten datos en

texto claro o se intenta proteger los datos con un cifrado antiguo o encriptación débil.

1
Monitoriza la red

Hacker abc.com

2
Roba las cookies

3
Hackea la sesión &
accede a datos personales

Sesión Cookie

Por ejemplo, un sitio web que no impone TLS para todas las páginas. Un atacante roba
la cookie de sesión del usuario y luego replica esta cookie y secuestra la sesión
(autenticada) del usuario, accediendo o modificando los datos privados de este.

3
03 Inyección

Los ataques de inyección son un tipo de vulnerabilidad de seguridad que surge cuando
se entra a una aplicación de forma insegura.

1
Envía consulta SQL a
la entrada de usuario

Servidor Web

2
select user, password
from user_data where
user=join

Hacker

3
Recupera información confidencial robada

Sl No | User Name | Password Servidor de Base de datos

1 | John | ABC123

Los ataques de inyección son uno de los ataques más peligrosos, donde un atacante
simplemente envía datos maliciosos para hacer que que la aplicación lo procese y
ejecute algo que no se debería ejecutar.

4
04 Diseño inseguro

Diseño inseguro expresado como "ausencia o ineficacia del diseño de control".

Si el diseño de un sistema o producto no es seguro, puede considerarse un diseño
inseguro.

1
Bloquea 15 productos

Hacker Portal de reserva

2
Bloquea 600
productos

Por ejemplo, un atacante podría reservar 600 entradas de cine para un periodo
concreto, impidiendo que los demás puedan reservar. Esta situación podría haberse
evitado si el diseño del sistema hubiera limitado las reservas a sólo 15 entradas.

5
05 Configuración de seguridad incorrecta

Las vulnerabilidades de mala configuración son debilidades de configuración que

pueden existir en componentes del software o que pueden tener habilitados servicios
innecesarios, como la administración remota.

1
Accede a la página de login

Hacker Consola de usuario

2
Login con credenciales
predeterminadas

Servidor de Base de datos

Por ejemplo, el software del servidor web puede venir con cuentas de usuario
predeterminadas que un atacante puede utilizar para acceder al sistema.
O el software puede contener archivos de ejemplo, tales como archivos de
configuración y scripts que un atacante puede explotar.

6
06 Componentes con vulnerabilidades
conocidas

El término componentes "vulnerables" o "anticuados" se utiliza para describir el

software susceptible de ser violado, pirateado o comprometido de alguna otra forma.

1
Accede a la red interna

Hacker
2
Usa herramientas
para encontrar
sistemas desactualizados

3
Explota fallos en sistemas
obsoletos e instala
código malicioso

Recursos internos

Un atacante puede explotar las vulnerabilidades de los componentes y obtener acceso

a información no autorizada, modificar datos o causar una denegación de servicio
(DoS). Los componentes pueden incluir sistema operativo, base de datos, API y
servidor, etc.

7
07 Fallos de identificación y autenticación

Los fallos de identificación y autenticación pueden producirse cuando funciones

relacionadas con la identidad de un usuario, la autenticación o la gestión de sesiones
no se implementan correctamente.

Hacker Credenciales robadas

Suplantación de las víctimas Bots

Los atacantes pueden aprovechar los fallos de identificación y autenticación

comprometiendo contraseñas, claves, tokens de sesión o explotar otros fallos de
implementación para asumir la identidad de otros usuarios.

8
08 Fallos de software e integridad de datos

Los fallos en la integridad del software y los datos están relacionados con el código y la
infraestructura que no protege contra las violaciones de integridad o utilizan software
de fuentes no fiables.

3
Consigue acceso a la res a
través del código malicioso

Hacker Usuario

Developer Instala código

1 malicioso en el
programa
2

TEST / BUILD DEPLOY

Repositorio de código fuente CI / CD Pipeline Aplicación

Un proceso CI/CD Pipeline inseguro puede crear la posibilidad de acceso no

autorizado, código malicioso o compromiso del sistema.

9
09 Fallos de registro y seguimiento

Si no se registran, supervisan o notifican asiduamente los eventos de seguridad, es

difícil detectar comportamientos sospechosos y aumentan en gran medida las
posibilidades de que un atacante se aproveche con éxito de tu aplicación.

1
Consigue acceso a la red interna

Hacker Firewall

Escanea sistemas vulnerables

y obtiene datos sensibles 2

Brecha sin detectar 3

Sistemas internos

El operador del sitio web de un proveedor de planes de salud infantil no pudo detectar
una infracción por falta de supervisión y registro.
El atacante había accedido y modificado miles de historiales médicos confidenciales.

10
10 Ataques de falsificación de peticiones
del lado del servidor

Los ataques de falsificación de peticiones del lado del servidor (SSRF) se utilizan para
llegar a sistemas internos que están detrás de firewalls y no son accesibles desde la
red externa.

1
Identifica una aplicación vulnerable

Hacker Firewall

4
Devuelve la 2
información sensible Petición HTTP
con SSRF payload

3
Servidor procesa la petición
SSRF a recursos internos

Recursos internos Cookie

En un ataque SSRF normal, el atacante podría hacer que el servidor se conecte a

recursos internos explotando servicios como SSH, localhost, FTP, etc. y así robar los
datos.

11
 Espero que esta guía te haya ayudado a descubrir nuevas oportunidades
en este fantástico mundo digital.

La realidad es que ahora puede que te sientas abrumado y sin claridad

sobre qué hacer o cómo empezar a implementar lo aprendido.
Tener una ruta de aprendizaje en este campo, es complicado
pero solo necesitas un buen guía en este nuevo camino.

La mayoría de estudiantes se atascan buscando la ruta más rápida y corta.

En rinku.tech somos muy fans del "se hace camino al andar” empieza YA.
No esperes a encontrar el curso perfecto, la ruta perfecta o la oportunidad idónea.
Empieza con lo que tengas y ve paso a paso.

Si quieres implementar de forma inteligente todo el contenido de ciberseguridad

en tu carrera profesional, síguenos en nuestros canales de formación gratuita.

Comparte esta guía en redes sociales

y etiquétame @rinkutech_ para así compartirlo
y llegar a más gente a la que poder ayudar.