Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de...
Transcript of Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de...
![Page 1: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/1.jpg)
Asegúrate de que estás “seguro”
Alberto Moro aka “Mandingo”Roman Medina aka “RoMaNSoFt”
- test de intrusiones en aplicaciones Web -Parte II
Madrid, 4 de octubre de 2007
![Page 2: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/2.jpg)
¿cómo empezar?
“ponte cómodo y ten tus todas tus herramientas a mano”
![Page 3: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/3.jpg)
pero antes...
![Page 4: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/4.jpg)
¿qué hay detrás de la WWW ?
•personas que controlan:
- tecnologías (soft, hard)- información (pública o no)- negocios ($$$)- ideas e ilusiones :)- ...
![Page 5: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/5.jpg)
T1: Todo ser humano es imperfecto
C1: Las creaciones humanas son imperfectas/inseguras
T2: formación+recursos+ dedicación: mayor perfección
C2: seguridad (WWW)≈ T2
![Page 6: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/6.jpg)
Ahora que somos conscientes de la existencia
de estas imperfecciones, naveguemos por este
“mundo digital” imperfecto...
click here -> WWW :)
![Page 7: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/7.jpg)
SQL InjectionCross Site Script.Path TransversalSSI InjectionXPath InjectionLDAP InjectionCode Injection OS Injection DoSDirectory Index. Code Review DNSMiM Attacks Session Fixation ...Format Strings Overflows Social Eng. Brute force: datta tampering,Cache poisoning guessing, etc.
WWW
tecnologías
Información$$$
personas
personas
80 / 443
tecnologías
tecnologías
![Page 8: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/8.jpg)
“tools for the trade”
![Page 9: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/9.jpg)
- Herramientas semi-automáticas:- burp suite (proxy+crawler+...)- sqlibf (sql injection)- pipper (bf)- (private tools)
- Herramientas automáticas gratuitas:- nikto- nessus- perl, python, php, gcc... ;)
- Herramientas de pago:- WebInspect- Qualys- AppScan- ...
![Page 10: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/10.jpg)
“auto” vs “human”
![Page 11: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/11.jpg)
+ Adaptable a situaciones poco homogéneas o nuevas; análisis experto -> nuevas vulns?
+ Permite trabajo en equipo - f(t,recursos)
t=1/f(conocimientos, habilidades)
+ personas * -> + recursos físicos + recursos humanos
(*) los conocimientos y habilidades no crecen de forma lineal si se aumenta
el número de personas...
![Page 12: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/12.jpg)
metodología
veamos que hay detrásde este http://...
![Page 13: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/13.jpg)
- Localizar páginas dinámicas* identificar parámetros: tipo, posible
uso -> injecciones, bf, etc.* identificar paneles administrativos
* “file uploads” -> cmdshell- Localizar páginas no enlazadas
* revisión código html* buscadores: google/msnsearch* webcaches* mensajes de error* fuerza bruta: diccionarios
f ( identificar tecnología usada, idioma, extensiones, etc. )
- Revisar código fuente (si disponible)
![Page 14: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/14.jpg)
consejos
como proceder
qué hacer si nos quedamos atascados
perseverancia
![Page 15: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/15.jpg)
1. Guardar todas las evidencias y pistas: cuaderno, freemind, txt, etc.2. Si estamos bloqueados: hacer un paréntesis - olvidarse del ordenador - pasear o descansar (“siesta time”) - volver manos a la obra...3. Revisar: ¿qué tenemos? ¿qué necesitamos?4. Proverbio: “No dejes que los árboles te impidan ver el bosque”5. Organizar las ideas: hablar con alguien siempre ayuda6. No descartar nada... 7. Documentarse más...8. Meditar con la almohada (><)
![Page 16: Asegúrate de que estás seguro Alberto Moro aka Mandingo Roman Medina aka RoMaNSoFt - test de intrusiones en aplicaciones Web - Parte II Madrid, 4 de octubre.](https://reader036.fdocumento.com/reader036/viewer/2022081811/54a38dcca95467c30c8b4c87/html5/thumbnails/16.jpg)
hablemos de “pipper”
”cómo vamos de tiempo Chema?” ^^