AGENDA. Mejorando la Seguridad en Aplicaciones Web. Introducción. La Web Promesas y Amenazas. Asegurando la Red y el Servidor de Web

Tamaño: px
Comenzar la demostración a partir de la página:

Download "AGENDA. Mejorando la Seguridad en Aplicaciones Web. Introducción. La Web Promesas y Amenazas. Asegurando la Red y el Servidor de Web"

Transcripción

1 Universidad ORT Uruguay Mejorando la Seguridad en Aplicaciones Web Ing. Cecilia Belletti Ing. Angel Caffa, MSc Ing. Isaac Rodríguez IntegraTICs 7 de diciembre, 2006 AGENDA Introducción La Web Promesas y Amenazas Asegurando la Red y el Servidor de Web Conclusiones Preguntas Mejorando la Seguridad en Aplicaciones Web Caffa, Belletti, Rodríguez Defacing, Hacking, Pishing, Ingeniería Social... Mejorando la Seguridad en Aplicaciones Web Caffa, Belletti, Rodríguez Cuándo, Cómo, Dónde.. 1

2 [Seguridad Web] vs [Web Server Seguro] Crecimiento B2B... Cómo lo define el Usuario? Cómo lo define la Empresa? Cómo lo define el Proveedor del Servidor? 2

3 3

4 El Cliente Web Amenazas al Cliente Web Virus Controles ActiveX Spyware Applets Java Browser Hijacking Robo de Cookies Ingeniería Social XSS (Cross Site Script) 4

5 Amenazas al Cliente Web ROBO DE COOKIES Internet Explorer 5.01 (Mayo 2000) Amenazas al Cliente Web XSS Cross Site Scripting Contramedidas Cliente Web El Transporte.. 5

6 Amenazas a Nivel de Red Recolección de Información Sniffing Spoofing Recolección de Info HTTP FingerPrint El error 404, en Apache reporta "Not Found," mientras que en Microsoft IIS/5.0 reporta "Object Not Found. Apache # telnet target1.com 80 Trying target1.com... Connected to target1.com. Escape character is '^]'. HEAD /non-existent-file.txt HTTP/1.0 HTTP/ Not Found Microsoft-IIS/ # telnet target2.com 80 Trying target2.com... Connected to target2.com. Escape character is '^]'. HEAD /non-existent-file.txt HTTP/1.0 HTTP/ Object Not Found Server Recolección de Info Google "inurl:cgi-bin/printenv" Servidor Web, Base de Datos 6

7 Amenazas a Nivel del Servidor Web Autenticación Autorización Robo de Sesión Ejecución de Código Arbitrario Recolección de Información Maleware (Virus, Worms, Troyanos) Elevación de Privilegios Ataques por Validación de Entrada Contramedidas Contramedidas a Nivel del Servidor Web Firewall a nivel de Aplicación = Proxy Contramedidas a Nivel del Servidor Web MOD_SECURITY APACHE Es un módulo que agrega IDS & IPS en el Web Server. Debido a que esta entre el Cliente y el App. Server, puede denegar requests maliciosos. (http://www.modsecurity.org) 7

8 Contramedidas a Nivel del Servidor Web Contramedidas a Nivel del Servidor Web CARACTERÍSTICAS Filtrado de Peticiones: Utilizando regexp, se pueden eliminar las peticiones entrantes. Anti Evasión: Elimina Múltiples barras. Elimina directorios referenciados por si mismos. Tratamiento de \ y de / Decodificación URL. Comprensión a nivel fino del protocolo HTTP, se #Controlo el Campo Nombre del Formulario para que no sea puede examinar un formulario especifico de una mayor a 6 caracteres, #protección contra pagina en particular. #Buffer Overflow, si nuestro parámetro "nombre" esvulnerable. Análisis Post Payload: Intercepta y analiza el contenido enviado con POST Byte range Verification: Detecta y Bloquea Shell codes Audit Logging: Audita peticiones para análisis forense. #Con esta directiva indicamos la versión del Servidor Web. SecServerSignature "Microsoft II$/1.0" SecServerResponseToken Off # Aquí evitaremos ataques simples de XSS SecFilter "<(. \n)+>" SecFilter "<[[:space:]]*script" #SQL Injection SecFilter "delete[[:space:]]+from" SecFilter "insert[[:space:]]+into" SecFilter "select.+from" SecFilter ".*['%;\"]+.* SecFilterSelective ARG_nombre ".{6,}" "redirect:http://www.google.es #Regla que controla la respuesta del servidor web, #supongamos que hay un error en #el código de la aplicación que nos da el famoso error del SQLServer SecFilterSelective OUTPUT "ODBC SQL Server Driver redirect:http://www.mypage.com/error.php Contramedidas a Nivel del Servidor Web Honeypot + Proxy Amenazas al Servidor de Base de Datos SQL Injection DoS Acceso externo no autorizado Password Cracking Red Bloqueo de puertos SQL Aplicación Web Privilegios de cuentas Validación de entradas Network Eavesdropping Configuración Privilegios de usuarios 8

9 SQL Injection SQL Injection Ejemplo: SELECT <lista de atributos> FROM <lista de tablas> WHERE atributo = ; SELECT <lista de atributos> FROM <lista de tablas> WHERE atributo = pepe OR a = a ; Ejemplo: SELECT <lista de atributos> FROM <lista de tablas> WHERE atributo = pepe AND 1 = (SELECT COUNT(*) FROM tabla);-- ; SELECT <lista de atributos> FROM <lista de tablas> WHERE atributo = pepe ; DROP TABLE tabla;-- ; Contramedidas <input type="hidden" name="w0003mnuusr" value=""/> <input type="hidden" name="w0003sucurscod" value="0"/> <input type="hidden" name="w0003sucursnom" value=""/> <input type="hidden" name="w0003emprnom" value=""/> Validación de entradas Caracteres de escape para caracteres que tienen significado especial en SQL Bound Parameters Privilegios de los usuarios de la BD limitados Cifrado de datos sensibles Configuración de los reportes de error 9

10 Contramedidas Sentencia s = connection.createstatement() ResultSet rs = s.executequery( SELECT atributo1 FROM tabla WHERE atributo2 = + campoform); SentenciaPreparada sp = connection.preparestatement( SELECT atributo1 FROM tabla WHERE atributo2 =? ); Sp.setString(1, campoform); ResultSet rs = sp.executequery(); CONCLUSIONES La WEB Promesas y Amenazas MUCHAS GRACIAS!! Mejorando la Seguridad en Aplicaciones Web Caffa, Belletti, Rodríguez 10

ISEC Lab #4. Firewall de Aplicación con Mod_Security. Christian Martorella cmartorella@isecauditors.com

ISEC Lab #4. Firewall de Aplicación con Mod_Security. Christian Martorella cmartorella@isecauditors.com ISEC Lab #4 Firewall de Aplicación con Mod_Security Christian Martorella cmartorella@isecauditors.com Índice 1.Introducción...3 2. Qué es y para que sirve?...4 3.Ventajas... 5 4.Características y Funcionalidades...6

Más detalles

Seguridad en Aplicaciones Web

Seguridad en Aplicaciones Web Seguridad en Aplicaciones Web Leandro Meiners lmeiners@cybsec cybsec.comcom Septiembre de 2005 Buenos Aires - ARGENTINA Temario Temario Introducción al Protocolo HTTP: Arquitectura, carácterísticas, autenticación,

Más detalles

Web : Ataque y Defensa. Claudio Salazar Estudiante Ing. Civil Informática UTFSM Pinguinux Team

Web : Ataque y Defensa. Claudio Salazar Estudiante Ing. Civil Informática UTFSM Pinguinux Team Web : Ataque y Defensa. Claudio Salazar Estudiante Ing. Civil Informática UTFSM Pinguinux Team Temario 1. Introducción 2. Cross Site Scripting (XSS) 3. Inyección SQL 4. Nuestro código en el servidor 5.

Más detalles

SECURITY DAY PERU. Ataques a las Aplicaciones Web. Explotación de Aplicaciones Web. Technologies SOLUTIONS FOR KEEPING YOUR BUSINESS UP

SECURITY DAY PERU. Ataques a las Aplicaciones Web. Explotación de Aplicaciones Web. Technologies SOLUTIONS FOR KEEPING YOUR BUSINESS UP SOLUTIONS FOR KEEPING YOUR BUSINESS UP Email: info@ximark.com Tel. +(507) 271 5951 Tel. +(1) 928 752 1325 Aptdo. 55-0444, Paitilla. Panama City, Panama SECURITY DAY PERU Ataques a las Aplicaciones Web

Más detalles

Hacking Ético Web. I Jornadas Tecnológicas CEEPS 27-03-2012 Carlos García García i52gagac@uco.es ciyinet@gmail.com. @ciyinet

Hacking Ético Web. I Jornadas Tecnológicas CEEPS 27-03-2012 Carlos García García i52gagac@uco.es ciyinet@gmail.com. @ciyinet Hacking Ético Web I Jornadas Tecnológicas CEEPS 27-03-2012 Carlos García García i52gagac@uco.es ciyinet@gmail.com @ciyinet Índice Introducción OWASP OWASP Top 10 (2010) Demostración ataques Inyección SQL

Más detalles

Seguridad en servidores Web. Módulo mod_security

Seguridad en servidores Web. Módulo mod_security Erica Lloves Calviño Francisco José Ribadas Pena elloves@uvigo.es ribadas@uvigo.es Departamento de Informática Universidade de Vigo Seguridad en servidores Web. Módulo mod_security Ferramentas de seguridade

Más detalles

Desarrollo seguro en Drupal. Ezequiel Vázquez De la calle

Desarrollo seguro en Drupal. Ezequiel Vázquez De la calle Sobre mi Estudios Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Experto en Seguridad de las TIC - US Experiencia Aficiones 3+ años como desarrollador web, casi 2 en Drupal

Más detalles

Web: Ataque y Defensa. my kung fu is stronger than yours, The lone Gunmen

Web: Ataque y Defensa. my kung fu is stronger than yours, The lone Gunmen Web: Ataque y Defensa. my kung fu is stronger than yours, The lone Gunmen Web: Ataque y defensa Introducción. Cross Site Scripting (XSS). SQL Injection. Programador? quien yo?. Ataques NG. Prevención.

Más detalles

Su Seguridad es Nuestro Éxito

Su Seguridad es Nuestro Éxito Su Seguridad es Nuestro Éxito c. Santander, 101. Edif. A. 2º I 08030 Barcelona I Tel.: 93 305 13 18 I Fax: 93 278 22 48 I info@isecauditors.com I www.isecauditors.com OWASP Conference 2007 Barcelona, Julio

Más detalles

Ataques XSS en Aplicaciones Web

Ataques XSS en Aplicaciones Web Ataques XSS en Aplicaciones Web Education Project Antonio Rodríguez Romero Consultor de Seguridad Grupo isoluciones antonio.rodriguez@isoluciones.es Copyright 2007 The Foundation Permission is granted

Más detalles

Capítulo 2.- Vulnerabilidades en aplicaciones web.

Capítulo 2.- Vulnerabilidades en aplicaciones web. Capítulo 2.- Vulnerabilidades en aplicaciones web. En este capítulo se explican algunas vulnerabilidades en aplicaciones web que pueden ser explotadas por software o por personas malintencionadas y como

Más detalles

SQL INJECTION. Benitez, Marcelo Chinikailo, Cristian De la Cruz, Leonardo Klas, Julián. 66.69 Criptografía y Seguridad Informática.

SQL INJECTION. Benitez, Marcelo Chinikailo, Cristian De la Cruz, Leonardo Klas, Julián. 66.69 Criptografía y Seguridad Informática. SQL INJECTION Benitez, Marcelo Chinikailo, Cristian De la Cruz, Leonardo Klas, Julián Grupo 5 66.69 Criptografía y Seguridad Informática Introducción 2 Ataque basado en inyección de código Explota omisiones

Más detalles

S E G U R I D A D E N A P L I C A C I O N E S W E B

S E G U R I D A D E N A P L I C A C I O N E S W E B H E R R A M I E N T A S A V A N Z A DA S D E DE S A R R O L L O D E S O F T W A R E 2 0 0 7-2 0 0 8 S E G U R I D A D E N A P L I C A C I O N E S W E B X S S Y S Q L I N J E C T I O N G R U P O 2 4 S A

Más detalles

Testing de Seguridad de Aplicaciones Web

Testing de Seguridad de Aplicaciones Web Testing de Seguridad de Aplicaciones Web Julio C. Ardita, CISM. jardita@cybsec.com 16 de Noviembre de 2013 Coatzacoalcos - MEXICO Temario - Protocolo HTTP - Herramientas de Testing Web. - Vulnerabilidades

Más detalles

Inseguridad de los sistemas de autenticación en aplicaciones web

Inseguridad de los sistemas de autenticación en aplicaciones web Barcelona, 18 de Marzo Inseguridad de los sistemas de autenticación Vicente Aguilera Díaz vaguilera@isecauditors.com Contenido 0. Introducción al sistema de autenticación 2. Medidas de protección 3. Referencias

Más detalles

Gastón Toth gaston.toth@owasp.org. Lic. en Computación CEH Pentester Desarrollador @OWASP_Patagonia

Gastón Toth gaston.toth@owasp.org. Lic. en Computación CEH Pentester Desarrollador @OWASP_Patagonia Gastón Toth gaston.toth@owasp.org Lic. en Computación CEH Pentester Desarrollador @OWASP_Patagonia Dónde queda OWASP Patagonia? Webapp pentesting...desde un enfoque no muy técnico Penetration testing

Más detalles

Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Máster en Seguridad de las TIC - US

Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Máster en Seguridad de las TIC - US Sobre mi Formación Ingeniero Técnico en Informática - UCA Máster en Ingeniería del Software - US Máster en Seguridad de las TIC - US Experiencia Aficiones 4+ años como desarrollador web, más de 2 en Drupal

Más detalles

Certified Ethical Hacker (CEH) v8

Certified Ethical Hacker (CEH) v8 Certified Ethical Hacker (CEH) v8 Curso que ofrece a los asistentes los contenidos y habilidades necesarios para analizar la seguridad de los sistemas de seguridad. El curso cubrirá los conceptos de escaneo,

Más detalles

Roberto Garcia Amoriz. Iniciándose en XSS. c_b_n_a. Leganés 6-7 Febrero 2014

Roberto Garcia Amoriz. Iniciándose en XSS. c_b_n_a. Leganés 6-7 Febrero 2014 Roberto Garcia Amoriz Except where otherwise noted, this work is licensed under: http://creativecommons.org/licenses/by-nc-sa/3.0/ c_b_n_a QUIEN SOY Roberto García Amoriz: trabajaba como Administrador

Más detalles

Catalogo cursos de Seguridad Informática

Catalogo cursos de Seguridad Informática Catalogo cursos de Seguridad Informática 1. Curso de Desarrollo Web Seguro Tema 1 El entorno Web 1.1 Introducción Introducción Arquitectura Web Problemas de seguridad más habituales: Comprensión de las

Más detalles

Sesión 13. Seguridad en la web. Luisa Fernanda Rincón Pérez 2015-1

Sesión 13. Seguridad en la web. Luisa Fernanda Rincón Pérez 2015-1 Sesión 13. Seguridad en la web Luisa Fernanda Rincón Pérez 2015-1 Qué vimos la clase pasada? 1. Características de MongoDB 2. Colecciones - documentos 3. Consulta, inserción, modificación, eliminación

Más detalles

Certified Ethical Hacker Training

Certified Ethical Hacker Training Pág. 1 de 6 CONTENIDO DETALLADO Certified Ethical Hacker Training Descripción del Curso El Hacker Ético es la persona que lleva a cabo intentos de intrusión en redes y/o sistemas utilizando los mismos

Más detalles

La inmensa mayoría de las páginas son vulnerables, a unos u otros fallos.

La inmensa mayoría de las páginas son vulnerables, a unos u otros fallos. Introducción a la seguridad Web: La inmensa mayoría de las páginas son vulnerables, a unos u otros fallos. El gran problema no está en que esas páginas sean vulnerables y con ello podamos pasar un rato

Más detalles

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Julio 2005 Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas

Más detalles

LOS 7 PECADOS DEL DESARROLO WEB & TENTACIÓN DEL USUARIOS EN APLICACIONES MOVILES. www.owasp.org

LOS 7 PECADOS DEL DESARROLO WEB & TENTACIÓN DEL USUARIOS EN APLICACIONES MOVILES. www.owasp.org LOS 7 PECADOS DEL DESARROLO WEB & TENTACIÓN DEL USUARIOS EN APLICACIONES MOVILES www.owasp.org Quien soy? Ing. Elvin Vidal Mollinedo Mencia Profesional de seguridad + 9 años de experiencia en desarrollo

Más detalles

Seguridad de un Portal

Seguridad de un Portal Seguridad de un Portal 5 de noviembre, 2010 Gabriel Fernández NyF@agesic.gub.uy Qué debemos proteger? Información Disponibilidad http://moplincom.moplin.com/wp-content/uploads/2009/08/joke-redes1.jpg 2

Más detalles

Seguridad en Home Banking. Tendencias de la Tecnología en Seguridad Informática Argentina 2010

Seguridad en Home Banking. Tendencias de la Tecnología en Seguridad Informática Argentina 2010 Seguridad en Home Banking Tendencias de la Tecnología en Seguridad Informática Argentina 2010 1 Agenda 1. Proyecto Home Banking 2. Confección de equipos de trabajo 3. Arquitectura integral de seguridad

Más detalles

TEMARIO. Introducción o Las evaluaciones de seguridad o El hacker ético o Metodología de ataque o Entregables o Bibliografía

TEMARIO. Introducción o Las evaluaciones de seguridad o El hacker ético o Metodología de ataque o Entregables o Bibliografía TEMARIO Introducción o Las evaluaciones de seguridad o El hacker ético o Metodología de ataque o Entregables o Bibliografía Fundamentos de seguridad de la información o Conceptos y definiciones o Fuga

Más detalles

Año 2012 ENHACKE ENHACKE CERTIFICATE IN WEBAPP PENTESTING. Curso Oficial de Certificación ENHACKE CURSOS

Año 2012 ENHACKE ENHACKE CERTIFICATE IN WEBAPP PENTESTING. Curso Oficial de Certificación ENHACKE CURSOS Año 2012 ENHACKE ENHACKE CERTIFICATE IN WEBAPP PENTESTING Curso Oficial de Certificación ENHACKE CURSOS enhacke Certificate in WebApp Pentesting ECWAP OBJETIVO GENERAL Capacitar al asistente con los conceptos

Más detalles

Especificaciones Técnicas para Ethical Hacking

Especificaciones Técnicas para Ethical Hacking Especificaciones Técnicas para Ethical Hacking OBJETIVO PRINCIPAL El BANCO DEL ESTADO, requiere efectuar un estudio de Ethical Hacking sobre su infraestructura, que permita identificar y corregir las vulnerabilidades

Más detalles

Bypass WAFs KUNAK CONSULTING. Automatizando SQLi con Python. Omar Palomino. omarc320@gmail.com. opalomino@kunak.com.pe. http://www.el-palomo.

Bypass WAFs KUNAK CONSULTING. Automatizando SQLi con Python. Omar Palomino. omarc320@gmail.com. opalomino@kunak.com.pe. http://www.el-palomo. Bypass WAFs KUNAK CONSULTING Automatizando SQLi con Python Noviembre, 2013 Omar Palomino omarc320@gmail.com opalomino@kunak.com.pe ÍNDICE 1.Inyecciones SQL 2.Inyecciones manuales vs herramientas 3.Nuevos

Más detalles

Tu Educación en Manos de Profesionales

Tu Educación en Manos de Profesionales La Universidad Nacional de Ingeniera (UNI) a través de la Dirección de Posgrado, tiene el agrado de invitarlos a la Segunda Convocatoria de cursos especializados de capacitación y actualización continua

Más detalles

Seguridad en Aplicaciones Web

Seguridad en Aplicaciones Web Seguridad en Aplicaciones Web Fabian Portantier Consultor en Seguridad Informática Instructor y Escritor sobre el tema Coordinador de la Carrera de Seguridad www.portantier.com Aplicaciones Web Actuales

Más detalles

Ataques más comunes. Virginia Armas Alejandro Do Nascimiento

Ataques más comunes. Virginia Armas Alejandro Do Nascimiento Ataques más comunes Virginia Armas Alejandro Do Nascimiento 1 Introducción Los ataques a desarrollar en la exposición son: HTTP Tunneling Suplantación de contenido Local File Inclusion Remote File Inclusion

Más detalles

Seguridad en el ciclo de vida del desarrollo de software

Seguridad en el ciclo de vida del desarrollo de software Seguridad en el ciclo de vida del desarrollo de software Lic. Pablo Milano 12 de Septiembre de 2007 Buenos Aires - Argentina Introducción Introducción n a la seguridad en el SDLC Actualmente

Más detalles

Ecyware GreenBlue Inspector

Ecyware GreenBlue Inspector Ecyware GreenBlue Inspector Guía de usuario Versión 1.0 Copyright Ecyware Solutions. All rights reserved, Ecyware 2003-2004. Tabla de contenido TABLA DE CONTENIDO 2 INTRODUCCIÓN 4 CARACTERÍSTICAS 5 ECYWARE

Más detalles

OWASP Top 10 2013 Los diez riesgos más importantes en aplicaciones web. The OWASP Foundation. Felipe Zipitría

OWASP Top 10 2013 Los diez riesgos más importantes en aplicaciones web. The OWASP Foundation. Felipe Zipitría OWASP Top 10 2013 Los diez riesgos más importantes en aplicaciones web Felipe Zipitría OWASP/ GSI- Facultad de Ingeniería felipe.zipitria@owasp.org Copyright The OWASP Foundation Permission is granted

Más detalles

Lección 7: INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL

Lección 7: INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL Lección 7: INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL Chema Alonso chema@informatica64.com Informática 64 Microsoft MVP en Enterprise Security Incidentes de Seguridad I: Kaspersky 2 Incidentes de Seguridad

Más detalles

CONFIDENCIALIDAD Y MANEJO SEGURO DE LA INFORMACION. Mario Caycedo

CONFIDENCIALIDAD Y MANEJO SEGURO DE LA INFORMACION. Mario Caycedo CONFIDENCIALIDAD Y MANEJO SEGURO DE LA INFORMACION Mario Caycedo HACKERS HACKERS Programadores de código libre Aficionados y entusiastas de computación casera Personas que rompen la seguridad de las empresas

Más detalles

About Me. Mario Robles Tencio

About Me. Mario Robles Tencio About Me Mario Robles Tencio Profesional de seguridad +10 años de experiencia en tema de seguridad de redes, desarrollo de aplicaciones web, seguridad de aplicaciones web, PenTesting (Ethical Hacking)

Más detalles

S31_CompTIA Mobile App Security+ for Android

S31_CompTIA Mobile App Security+ for Android S31_CompTIA Mobile App Security+ for Android Presentación Este curso enseña el conocimiento y las habilidades necesarias para crear de forma segura una aplicación móvil Android nativo, al tiempo que garantiza

Más detalles

CRSP - OWASP! Motivación! Arquitectura de despliegue Mod_Security! Conclusiones!!

CRSP - OWASP! Motivación! Arquitectura de despliegue Mod_Security! Conclusiones!! Motivación Arquitectura de despliegue Mod_Security Conclusiones Introducción Definiciones IT = TI Actores Entes reguladores Clientes Proveedores Población General GRAFO DE INTERRELACIONES DE ACTORES Publicación

Más detalles

Hacking ético y Seguridad en Red

Hacking ético y Seguridad en Red TFC: Administración de Redes y Sistemas Operativos Hacking ético y Seguridad en Red Alumno: Cristiano Dias Consultor: José Manuel Castillo Pedrosa 1 Índice Introducción... 3 Perfil del Hacker ético...

Más detalles

Seminario de SEGURIDAD WEB. Pedro Villena Fernández www.consultoriainnova.com

Seminario de SEGURIDAD WEB. Pedro Villena Fernández www.consultoriainnova.com Seminario de SEGURIDAD WEB Pedro Villena Fernández www.consultoriainnova.com Algunas cosas antes de empezar... Este seminario NO tiene la intención de piratear otras webs. Los ataques que aprenderemos

Más detalles

Instalación de un escudo de aplicación

Instalación de un escudo de aplicación Instalación de un escudo de aplicación Objetivos: Mod Security Angel Alonso Párrizas - 1 de 9 - Índice 1. Introducción... 3 1.1. Objeto... 3 1.2. Definiciones y funcionamiento... 3 2. Instalación y configuración

Más detalles

Firewalls, IPtables y Netfilter

Firewalls, IPtables y Netfilter Firewalls, IPtables y Netfilter Dastugue, Juan Cristobal, Leandro Temario Políticas de diseño de un Firewall Definición Qué es un Firewall? Es un sistema o conjunto de sistemas, ubicado entre dos redes.

Más detalles

Servicio de Protección Total Web

Servicio de Protección Total Web Servicio de Protección Total Web Prevención de Fraude Inspecciones de Procesos, Tecnología, Personas y Lugares, Ethical hacking, Concientización y Capacitación en Seguridad Detección de Fraude Ambientes

Más detalles

Inyección SQL. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012

Inyección SQL. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Inyección SQL Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Introducción Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro

Más detalles

Quienes somos. Eduardo Arriols (@_Hykeos) Roberto Lopez (@leurian)

Quienes somos. Eduardo Arriols (@_Hykeos) Roberto Lopez (@leurian) CON Quienes somos Eduardo Arriols (@_Hykeos) Roberto Lopez (@leurian) Estudiantes de Ing. Informática en la EPS de la UAM y apasionados del mundo de la seguridad informática y el hacking. Fundadores del

Más detalles

UNIVERSIDAD TECNICA DE MANABI Facultad de Ciencias Informáticas Ingeniería en sistemas. SEGURIDAD INFORMATICA Tema: Mysql Injection

UNIVERSIDAD TECNICA DE MANABI Facultad de Ciencias Informáticas Ingeniería en sistemas. SEGURIDAD INFORMATICA Tema: Mysql Injection UNIVERSIDAD TECNICA DE MANABI Facultad de Ciencias Informáticas Ingeniería en sistemas SEGURIDAD INFORMATICA Tema: Mysql Injection Autora: Doris María Mera Mero Curso: 7mo A Fecha: Martes 30 de Julio del

Más detalles

Ataques específicos a servidores y clientes web y medidas preventivas. Problemas de seguridad Web

Ataques específicos a servidores y clientes web y medidas preventivas. Problemas de seguridad Web Problemas de seguridad Web Ataques específicos a servidores y clientes web y medidas preventivas. junio de 2014 Problemas de seguridad Web 1 ATAQUES Consiste en aprovechar alguna debilidad o vulnerabilidad

Más detalles

66.69 Criptografía y Seguridad Informática FIREWALL

66.69 Criptografía y Seguridad Informática FIREWALL 66.69 Criptografía y Seguridad Informática Qué es un Firewall? = Cortafuegos Qué es un Firewall? = Cortafuegos Qué es un Firewall? = Cortafuegos Elemento de hardware o software utilizado en una red de

Más detalles

Desarrollo y servicios web

Desarrollo y servicios web Desarrollo y servicios web Luisa Fernanda Rincón Pérez 2015-1 Qué vimos la clase pasada? 1. Fin tutorial HTML 2. Nombres de dominio 3. URLs 3 Sesión 4. Método GET - POST Qué haremos hoy? 1. Tipos de solicitudes

Más detalles

OWASP: Un punto de vista. aplicaciones web seguras

OWASP: Un punto de vista. aplicaciones web seguras OWASP: Un punto de vista pragmático para el desarrollo de aplicaciones web seguras Armando Carvajal (armando.carvajal@globalteksecurity.com) Gerente Arquitecto Soluciones Globaltek Security Master en seguridad

Más detalles

Agenda. I. Presentación II.Antecedentes III.Distintos ámbitos IV.A jugar

Agenda. I. Presentación II.Antecedentes III.Distintos ámbitos IV.A jugar Agenda I. Presentación II.Antecedentes III.Distintos ámbitos IV.A jugar Juan Antonio Calles (@jantoniocalles) Quiénes somos? Jefe de Proyectos de Seguridad en everis www.flu-project.com elblogdecalles.blogspot.com

Más detalles

Seguridad Informática

Seguridad Informática Universidad Rey Juan Carlos Grado en Ingeniería Informática Seguridad Informática Curso 2012/13 Prueba 3 - Seguridad en es Lea detenidamente las instrucciones del examen antes de comenzar: El examen consta

Más detalles

info.uruguay@isec-global.com 4342-4685 4342-2079 4342-5440 www.isec-global.com

info.uruguay@isec-global.com 4342-4685 4342-2079 4342-5440 www.isec-global.com thical Ethical La permanente exposición al riesgo de robo, extravío, alteración o delitos sobre la información confidencial de las empresas, las sitúa en una posición bastante delicada y critica, por lo

Más detalles

Certified Information Security Professional

Certified Information Security Professional Descripción y Contenido Certified Information Security Professional Contenido obligatorio de la carrera CGSD y del ESMSE (otorga 3 créditos) Descripción del curso El curso para la certificación CISP tiene

Más detalles

ARE YOUR WEB VULNERABLE?

ARE YOUR WEB VULNERABLE? CROSS-SITE SITE SCRIPTING: ARE YOUR WEB APPLICATIONS VULNERABLE? Alberto Calle Alonso Sebastián Marcos Miguel Mateo de la Puente Madrid, Febrero 2009 1 ÍNDICE Introducción Cross-site scripting HTTP y HTML

Más detalles

VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL. AUTOR: Chema Alonso

VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL. AUTOR: Chema Alonso VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL AUTOR: Chema Alonso Consultor de Seguridad en Informática 64. Microsoft MVP Enterprise Security

Más detalles

PLANEACIÓN DEL CURSO Y AVANCE PROGRAMÁTICO

PLANEACIÓN DEL CURSO Y AVANCE PROGRAMÁTICO SUBDIRECCIÓN ACADÉMICA DEPARTAMENTO DE Sistemas y Computacion Página 1 de 6 PLAN DE CURSO DEL PERIODO Agosto Diciembre 2010 MATERIA: Desarrollo de Sistemas HT 4 HP 2 CR 10 NO. UNIDADES 7 DOCENTE: Lunes

Más detalles

Seguridad WEB Inyección de código

Seguridad WEB Inyección de código Seguridad WEB Inyección de código Maestría en TICs 2015 Énfasis Auditoría y Seguridad Informática Seguridad en aplicaciones y base de datos Cristian Cappo (ccappo@pol.una.py) NIDTEC - Núcleo de Investigación

Más detalles

Máster Profesional en Tecnologías de Seguridad. Seguridad en la web

Máster Profesional en Tecnologías de Seguridad. Seguridad en la web Máster Profesional en Tecnologías de Seguridad Módulo VI - Programación Segura Seguridad en la web @josereyero http://www.reyero.net consulting@reyero.net Seguridad en la Web Introducción y objetivos Programa

Más detalles

==== Introducción. ==== Buscando un fallo

==== Introducción. ==== Buscando un fallo =============================== Horde/Imp: Cross Site Scripting in Email Subject =============================== FraMe - frame at kernelpanik.org http://www.kernelpanik.org ===============================

Más detalles

Recomendaciones de Seguridad para Web sites implementados bajo Joomla!

Recomendaciones de Seguridad para Web sites implementados bajo Joomla! Recomendaciones de Seguridad para Web sites implementados bajo Joomla! Dirigido a: Secretarías de Educación que hacen uso del servicio de Web Hosting proporcionado por el Ministerio de Educación Nacional

Más detalles

SEGURIDAD EN APLICACIONES WEB CON APACHE TOMEE. Ing. Javier Mantilla Portilla

SEGURIDAD EN APLICACIONES WEB CON APACHE TOMEE. Ing. Javier Mantilla Portilla SEGURIDAD EN APLICACIONES WEB CON APACHE TOMEE Ing. Javier Mantilla Portilla Acerca de mí Quien soy? Especialista en Ingenieria de Software 10 Años experiencia en desarrollo Desarrollador JAVA, PHP Autodidacta

Más detalles

XSSer. The Cross Site Scripting Framework (ES)

XSSer. The Cross Site Scripting Framework (ES) XSSer The Cross Site Scripting Framework (ES) / Cross Site Scripter / - Última versión: XSSer v1.6 Grey Swarm - Web del proyecto: http://xsser.sf.net - Qué es XSSer? - De dónde viene? - Quién puede usarlo?

Más detalles

Hacking Ético y Frameworks Opensource

Hacking Ético y Frameworks Opensource Hacking Ético y Frameworks Opensource Mariano Nuñez Di Croce mnunez@cybsec.com Febrero 11-13, 13, 2009 IX Seminario Iberoamericano de Seguridad en las Tecnologías de la Información La Habana,, Cuba Copyright

Más detalles

FORMACIÓN PRESENCIAL ESPECIALIZADA - SEGURIDAD EN ENTORNOS WEB - MODULO I ENTORNO DE DESARROLLO WEB. MYSQL+PHP AUDITOR DE SEGURIDAD EN ENTORNOS WEB.

FORMACIÓN PRESENCIAL ESPECIALIZADA - SEGURIDAD EN ENTORNOS WEB - MODULO I ENTORNO DE DESARROLLO WEB. MYSQL+PHP AUDITOR DE SEGURIDAD EN ENTORNOS WEB. FORMACIÓN PRESENCIAL ESPECIALIZADA - SEGURIDAD EN ENTORNOS WEB - AUDITOR DE SEGURIDAD EN ENTORNOS WEB. MODULO I ENTORNO DE DESARROLLO WEB. MYSQL+PHP AUDITOR DE SEGURIDAD EN ENTORNOS WEB. MODULO II - HACKING

Más detalles

SEGURIDAD GLOBAL. P o r t a d a. Vicente Aguilera / vaguilera@isecauditors.com Daniel Fernández / dfernandez@isecauditors.com. 27 de Noviembre de 2002

SEGURIDAD GLOBAL. P o r t a d a. Vicente Aguilera / vaguilera@isecauditors.com Daniel Fernández / dfernandez@isecauditors.com. 27 de Noviembre de 2002 SEGURIDAD GLOBAL P o r t a d a Vicente Aguilera / vaguilera@isecauditors.com Daniel Fernández / dfernandez@isecauditors.com 27 de Noviembre de 2002 Contenidos 2 Seguridad Global. Origen y Tipos de Ataques.

Más detalles

Seguridad en Sitios Web de Alto Tráfico. Ing. Enrique Hurtarte Juárez

Seguridad en Sitios Web de Alto Tráfico. Ing. Enrique Hurtarte Juárez Seguridad en Sitios Web de Alto Tráfico Ing. Enrique Hurtarte Juárez Guatemala, 24 de Julio de 2014 XumaK Quienes somos XumaK es una empresa que fue fundada en 2003 por Marcos Andres como una de las primeras

Más detalles

Universidad Nacional de La Matanza Escuela Internacional de Informática

Universidad Nacional de La Matanza Escuela Internacional de Informática Universidad Nacional de La Matanza Escuela Internacional de Informática Curso 02 Días: de lunes 20 a viernes 24 de Octubre Horario: de 8:30 a 12:30 hs. Horas totales del curso: 20 con evaluación Cantidad

Más detalles

ACADEMIA CISCO - ESPOL. Ethical Hacking

ACADEMIA CISCO - ESPOL. Ethical Hacking Ethical Hacking OBJETIVOS En este curso se introduce a los estudiantes a los conceptos básicos del hacking y su aplicación a fin de encontrar vulnerabilidades en una red corporativa. Los estudiantes entenderán

Más detalles

Programando Aplicaciones Web con Base de Datos y Python

Programando Aplicaciones Web con Base de Datos y Python Sé diferente, intégrate Mca041 Programando Aplicaciones Web con Base de Datos y Python Autor: Orlando Gutiérrez Fecha: 01/01/2010 Prohibida la reproducción total o parcial, derechos reservados, Instituto

Más detalles

Auditoría de Seguridad

Auditoría de Seguridad Auditoría de Seguridad Introducción Tipos auditoría Externa Caja Negra Interna Caja Blanca Informes Valoración sistema Oferta y Tarificación Recursos Formación - certificaciones Auditoría de Seguridad

Más detalles

El Hacking Ético y los Grupos Hackitivistas Anonymous y Lulzsec

El Hacking Ético y los Grupos Hackitivistas Anonymous y Lulzsec Metodología. www.dsteamseguridad.com La Metodología de la charla esta guiada por el concepto de cada una de las fases de ataque, con su respectiva demostración Arquitectura de Red (Laboratorio Virtual)

Más detalles

PONTIFICIA UNIVERSIDAD JAVERIANA Módulo Seguridad Firewall, Proxy

PONTIFICIA UNIVERSIDAD JAVERIANA Módulo Seguridad Firewall, Proxy PONTIFICIA UNIVERSIDAD JAVERIANA Módulo Seguridad Firewall, Proxy Diplomado Desarrollo de Aplicaciones para Internet Ingeniero Germán A. Chavarro F., M.Sc Pontificia Universidad Javeriana Julio 2004 Qué

Más detalles

Webinar Gratuito OWASP WebScarab

Webinar Gratuito OWASP WebScarab Webinar Gratuito OWASP WebScarab Alonso Eduardo Caballero Quezada Consultor en Hacking Ético, Informática Forense & GNU/Linux Sitio Web: http://www.reydes.com e-mail: ReYDeS@gmail.com Jueves 30 de Enero

Más detalles

Seguridad en aplicaciones Web Alberto Escudero Pascual aep@it46.se

Seguridad en aplicaciones Web Alberto Escudero Pascual aep@it46.se Seguridad en aplicaciones Web Alberto Escudero Pascual aep@it46.se 1 Nuevas amenazas... Los problemas más grande de seguridad se han desplazado a capas superiores El código de la capa de aplicación es

Más detalles

MÁSTER UNIVERSITARIO EN INGENIERÍA WEB. Guía de Aprendizaje Información al estudiante

MÁSTER UNIVERSITARIO EN INGENIERÍA WEB. Guía de Aprendizaje Información al estudiante MÁSTER UNIVERSITARIO EN INGENIERÍA WEB Datos Descriptivos Guía de Aprendizaje Información al estudiante Escuela Técnica Superior de Ingeniería de Sistemas Centro responsable Informáticos Titulación: Máster

Más detalles

100% Laboratorios en Vivo

100% Laboratorios en Vivo 100% Laboratorios en Vivo Sabemos que la única forma de aprender es haciendo. Por lo mismo todos los laboratorios son con desafíos de hacking en un ambiente en vivo. Con servidores y servicios dentro de

Más detalles

XPERTO EN DISEÑO DE PÁGINAS WEB

XPERTO EN DISEÑO DE PÁGINAS WEB Curso ICA de: EXPERTO EN DISEÑO DE PÁGINAS WEB Módulo 1: Program. cliente: JavaScript Estudia el lenguaje JavaScript para crear guiones o scripts que se incluyen en las páginas web y que son ejecutados

Más detalles

UD 4: Instalación y administración de servicios Web SRI

UD 4: Instalación y administración de servicios Web SRI Instalación y administración de servicios Web SRI RESULTADOS DE APRENDIZAJE Administra servidores Web aplicando criterios de configuración y asegurando el funcionamiento del servicio. Introducción - WWW

Más detalles

Existe una solicitud disponible a tal efecto en la url: http://cms.ual.es/ual/universidad/serviciosgenerales/stic/servicios/servicio/servicio1 4774

Existe una solicitud disponible a tal efecto en la url: http://cms.ual.es/ual/universidad/serviciosgenerales/stic/servicios/servicio/servicio1 4774 1. Conceptos Generales. Un cortafuegos o firewall lo que hace es filtrar el tráfico de red entrante (desde un PC de fuera al nuestro) o saliente (desde nuestro PC hacia fuera). Este tráfico se puede filtrar

Más detalles

Ejemplo de aplicación PHP: Tienda

Ejemplo de aplicación PHP: Tienda Ejemplo de aplicación PHP: Tienda Aplicaciones Web/Sistemas Web Juan Pavón Mestras Dep. Ingeniería del Software e Inteligencia Artificial Facultad de Informática Universidad Complutense Madrid Material

Más detalles

MASTER EN HACKING ÉTICO

MASTER EN HACKING ÉTICO MASTER EN HACKING ÉTICO Máster Hacking Ético Titulación Universitaria 1. Descripción: IDO Business School (Iberoamericana de Desarrollo Organizacional), en colaboración con la Universidad Internacional

Más detalles

SEGURIDAD EN LA WEB.

SEGURIDAD EN LA WEB. SEGURIDAD EN LA WEB. - ELEMENTOS DE PROTECCIÓN: Firewall Elemento de protección que sirve para filtrar paquetes (entrada o salida) de un sistema conectado a una red, que puede ser Internet o una Intranet.

Más detalles

Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web

Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web ASIT 20070501 CT Pautas de seguridad para aplicaciones web v1 2007-05-16 Documento de Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web Versión 01 ARCHIVO: ASIT 20070501

Más detalles

################## # Cross Site Scripting [XSS] # Autor: sl4xuz # Contact: sl4x.xuz@gmail.com ##################

################## # Cross Site Scripting [XSS] # Autor: sl4xuz # Contact: sl4x.xuz@gmail.com ################## ################## # Cross Site Scripting [XSS] # Autor: sl4xuz # Contact: sl4x.xuz@gmail.com ################## [~] Indice [~] 0x01 - Introducción 0x02 - Qué es XSS? 0x03 - Casos en que se presenta XSS

Más detalles

INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS

INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS Marco A. Lozano Merino Mayo 2012 Índice 1.Seguridad a nivel de usuario 1.Amenazas y protección 2.La realidad de la seguridad: hackers 3.Seguridad en redes

Más detalles

CodeSeeker Un Firewall de Nivel 7 OpenSource

CodeSeeker Un Firewall de Nivel 7 OpenSource Índice OWASP Proyectos de la OWASP: Desarrollo Documentación oportal VulnXML WAS-XML WebGoat Conceptos de Redes TCP/IP Firewalls Tipos de Firewalls CodeSeeker Funcionalidades actuales Funcionalidades futuras

Más detalles

Servidores WEB. Temario. Ing. Mauricio Rucci mauricior@ipp. ipp.com..com.ar. ! Tema 1. Introducción! Internet - La Historia! Algo de Terminología

Servidores WEB. Temario. Ing. Mauricio Rucci mauricior@ipp. ipp.com..com.ar. ! Tema 1. Introducción! Internet - La Historia! Algo de Terminología Servidores WEB Ing. Mauricio Rucci mauricior@ipp ipp.com..com.ar Temario! Tema 1. Introducción! Internet - La Historia! Algo de Terminología! Tema 2. Servidores web! Como funciona?! DNS! Algunos conceptos

Más detalles

Explotando un RFI en una WebApp Comercial

Explotando un RFI en una WebApp Comercial Explotando un RFI en una WebApp Comercial A. Alejandro Hernández (nitr0us) nitrousenador@gmail.com Safer Operations Consulting www.saferops.com.mx RTM Security Research Group www.zonartm.org Noviembre

Más detalles

La informática forense ayuda a detectar pistas sobre ataques informáticos, robo de información, conversaciones o pistas de emails, chats.

La informática forense ayuda a detectar pistas sobre ataques informáticos, robo de información, conversaciones o pistas de emails, chats. Qué es la informática forense? Es la aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica que permiten identificar, preservar, analizar y presentar datos que sean

Más detalles

TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros..

TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros.. TEMA 42 Principales amenazas para la seguridad de los SI s: Intrusiones, virus, phishing, spam y otros.. 1 Introducción... 1 2 Programas maliciosos... 3 2.1 Métodos de infección:...3 2.2 Métodos de prevención...4

Más detalles

CURSO DE EXPERTO EN GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN

CURSO DE EXPERTO EN GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CURSO DE EXPERTO EN GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN Objetivos Generales: Al término de esta acción formativa los participantes alcanzarán los siguientes objetivos: Formar al alumno en los conocimientos

Más detalles

Miguitas en el Ordenador Las cookies y su implicancia forense. Lic. Patricia Monica Delbono Perito Informatico

Miguitas en el Ordenador Las cookies y su implicancia forense. Lic. Patricia Monica Delbono Perito Informatico Miguitas en el Ordenador Las cookies y su implicancia forense Lic. Patricia Monica Delbono Perito Informatico 1 Hay ciertas pistas en la escena de un crimen que por su naturaleza nadie puede recoger o

Más detalles

GUÍA PARA LA INSTALACIÓN DE NÓMINA 2.0

GUÍA PARA LA INSTALACIÓN DE NÓMINA 2.0 1 GUÍA PARA LA INSTALACIÓN DE NÓMINA 2.0 Antes de instalar Nómina 2.0, verifique si se cumplen todos los Pre-requisitos de: Versiones de Windows Recomendadas: Internet Information Server (IIS) FrameWork

Más detalles

LOGO. Modulo 2. Carlos Villanueva

LOGO. Modulo 2. Carlos Villanueva SSO5501 Hardening de un Sistema Operativo de Red LOGO Modulo 2 Carlos Villanueva Introduccion Hardering, del ingles Endurecimiento, se refiere al proceso de segurizar un Sistema o Aplicación Objetivos

Más detalles

SEGURIDAD WEB: AUDITORÍAS Y HERRAMIENTAS. Daniel Firvida Pereira daniel.firvida@inteco.es Marzo de 2009

SEGURIDAD WEB: AUDITORÍAS Y HERRAMIENTAS. Daniel Firvida Pereira daniel.firvida@inteco.es Marzo de 2009 SEGURIDAD WEB: AUDITORÍAS Y HERRAMIENTAS Daniel Firvida Pereira daniel.firvida@inteco.es Marzo de 2009 Índice Seguridad Web: Auditorías y Herramientas 0. Presentación INTECO 1. Auditorías Web 1) Introducción

Más detalles