Betabeers Sevilla - Hacking web con OWASP

Hacking web con OWASP
Ezequiel V´zquez De la calle
a

a


Sobre mi
Estudios
Ingeniero Tćnico en Inform´tica - UCA
e
a
M´ster en Ingenier´ del Software - US
a
ıa
Experto en Seguridad de las TIC - US
Experiencia
3+ aõs como desarrollador web
n
Actualmente: DevOps Drupal
Python, C++, GNU/Linux, network programming. . .
Aficiones
Rock’n’Roll (guitarrista) y videojuegos
Narrativa fant´stica, rol, cine. . .
a
a


´
Indice

1

Introducci´n
o

2

OWASP Testing Guide

3

Miscel´nea
a

4

Conclusiones

5

Referencias

a


Seguridad

¿Y esto de qu´ va?
e
Seguridad web
Exposici´n a internet
o
Vulnerabilidades
Explotaci´n
o
¿Hackers?
...
Dinero

a


OWASP

Open Web Application Security Project
Fundaciń sin ńimo de lucro
o
a
Multitud de proyectos: algo ca´tico
o
Colaboraciń a nivel mundial, grupos locales
o
Metodolog´ de an´lisis de seguridad web
ıa
a

a


OWASP

M´s de 36000 colaboradores
a
Conferencias por todo el mundo, durante todo el aõ
n
En Espaã: Asociaciń de profesionales
n
o
Libros, merchandising, etc.

a


Proyectos de OWASP

https://www.owasp.org/index.php/Category:OWASP Project
a


Proyectos de OWASP
142 proyectos, a lo largo del mundo
OWASP Code Review
OWASP DNIe
OWASP Google Hacking
OWASP SQLiBench
OWASP Testing guide [!]
OWASP Top Ten
OWASP WebScarab
OWASP WebSlayer
OWASP Zed Attack Proxy
...

a


OWASP Testing Guide

Consideraciones previas
Enfoque de caja negra,
pero incluye pruebas de
todo tipo
Divide las pruebas en fases
asociadas al ciclo de vida
¡No s´lo pentesting!
o
Disponible como libro,
PDF y wiki

a


OWASP Testing Guide

Etapas
1

Antes del desarrollo
Revisar pol´
ıticas, estńdares, etc.
a
Definir m´tricas y criterios de evaluaciń
e
o

2

Durante la definiciń y el diseõ
o
n
Revisar requisitos de seguridad
Revisar diseõ y arquitectura
n
Crear y revisar modelos de amenazas

a


OWASP Testing Guide

Etapas
3

Durante el desarrollo
Revisar el c´digo junto con los desarrolladores
o

4

Durante el despliegue
Realizar test de penetraciń [!]
o
Analizar la gestiń de la configuraciń
o
o

5

Durante el mantenimiento
Revisar la gestiń de operaciones
o
Pruebas peri´dicas del estado de salud
o
Asegurar la verificaciń de cambios
o

a


OWASP Testing Guide

a


Pentesting con OWASP

Adquisiciń de informaciń
o
o
An´lisis de fuentes p´blicas sobre el sitio web
a
u
An´lisis de la ayuda del propio sitio
a
Uso de spiders, robots y crawlers (puntos de entrada)
An´lisis de metadatos de los ficheros descargables (FOCA)
a
a



Google (Bing y Shodan) Hacking
Utilizaciń de operadores avanzados del buscador.
o
site: Limitar la b´squeda a un unico dominio
u
´
cache: Buscar en la cach´ de Google
e
inurl: Resultados que contienen un valor en la URL
ext:, filetype: Buscar ficheros con la extensiń indicada
o
a



Revisiń de la configuraciń
o
o
Uso de SSL (Man In The Middle y SSLStrip a un cliente)
Conexiń a BBDD (Conexiones remotas)
o
Sistema operativo del servidor
Configuraciń del servidor web (Versiń vulnerable)
o
o
M´todos HTTP permitidos por el servidor (PUT, DELETE)
e
a



An´lisis de autenticaciń
a
o
Enumeraciń de usuarios (M´dulo Views de Drupal)
o
o
Ataque de fuerza bruta o diccionario
Bypass del sistema de autenticaciń (SQLi)
o
Contraseãs suprayectivas
n

a



An´lisis de la gestiń de la sesiń
a
o
o
Exposiciń de variables de sesiń
o
o
Cookies no cifradas (modificaciń de atributos)
o
Cross Site Request Forgery
a



An´lisis de autorizaciń y l´gica de negocio
a
o
o
Acceso a ficheros
Escalado de privilegios
Fallos en la l´gica de la aplicaciń
o
o
An´lisis de mensajes de error
a

a



Validaciń de datos de entrada y salida
o
Cross Site Scripting (XSS)
Inyecciones (SQL, LDAP, XML, comandos del sistema, etc.)
Buffer overflow
Fuzzing (entrada aleatoria, y/o excesivamente grande)
a



Denegaciń de servicio
o
No liberaciń de recursos
o
Almacenamiento de demasiada informaciń en la sesiń
o
o
Bloqueo de usuarios
Entrada de usuario en un bucle
Gestiń de peticiones repetitivas (LOIC)
o
a


¿Y c´mo protejo mi web?
o

Buenas pr´cticas
a
Auditor´ de seguridad
ıas
peri´dicas
o
Integrar la seguridad en el
desarrollo desde el inicio
Asumir que siempre
habr´ fallos de seguridad
a
Si alguien va a por
ti. . . (APT)
Encontrar el equilibrio

a


OWASP Top Ten

Lista de vulnerabilidades
m´s comunes
a
Publicada cada tres a˜os
n
Cuarta versi´n en 2013
o
”Meter el miedo en el
cuerpo”
´
Util como referencia r´pida
a

a


OWASP ZAP

Proxy que intercepta peticiones y respuestas
Permite modiﬁcar el contenido de ambas
Detecta posibles superﬁcies de ataque
a


Nikto2

Esc´ner de vulnerabilidades
a
web
C´digo abierto (GPL)
o
Comprueba versiones
desactualizadas, m´todos
e
HTTP, etc.
No est´ dise˜ado como
a
n
herramienta stealth
http://www.cirt.net/nikto2

a


SQLMap

Automatiza la detecci´n y
o
explotaci´n de vulnerabilidades
o
SQLinjection
C´digo abierto (GPL)
o
Soporta muchos motores
(MySQL, Oracle, PostgreSQL,
MS SQL Server... ¡hasta Access!)
http://sqlmap.org/

a


OWASP Xenotix

Framework de detecci´n y explotaci´n de XSS
o
o
Analiza IE, Chrome y Firefox
Herramienta muy potente
a


Conclusiones

Realizar testing durante todo el ciclo de vida
¡El pentesting no es un juego! Permiso por escrito
¡Importante! Documentaciń con resultados obtenidos
o
Un buen an´lisis debe intentar cubrir el m´ximo de la
a
a
superficie de ataque
Ahorro o p´rdida de dinero, reputaciń, etc.
e
o
La importancia de la formaciń
o

a


Conclusiones

a


Referencias

OWASP oﬃcial webpage
https://www.owasp.org
Browser security handbook
https://code.google.com/p/browsersec/wiki/Main
Blog Flu Project
http://www.ﬂu-project.com
Blog Seguridad para Todos
http://www.seguridadparatodos.com
Una al d´
ıa
http://unaaldia.hispasec.com

a


Esto es todo, amigos...

¡Gracias!
¿Preguntas?
@RabbitLair
ezequielvazq[at]gmail[dot]com

a


Betabeers Sevilla - Hacking web con OWASP

Más contenido relacionado

La actualidad más candente (18)

Similar a Betabeers Sevilla - Hacking web con OWASP (20)

Más de zekivazquez (12)

Último (20)

Betabeers Sevilla - Hacking web con OWASP