Habla de la seguridad olvidada de las aplicaciones web desde el punto de vista del programador. Se revisan ataques de inyección SQL, XSS, Spam, Exposición de recursos, Base de Datos, etc.

1. {IN} SEGURIDAD WEB
.com

7. Php
C#
Java
Pyton
SQL Server
My SQL
Oracle
Postgresql
XMLHTML 5, CSS 3, JavaScript
http
https
SQL
XML
LDap

8. http
https
SQL
XML
LDap
Php
C#
Java
Pyton
SQL Server
My SQL
Oracle
Postgresql
XMLHTML 5, CSS 3, JavaScript

9. La mayoría de los problemas de seguridad en
los sistemas web se encuentran a nivel de
aplicación y son el resultado de escritura
defectuosa de código. (malas prácticas por
parte de los programadores).
Programar aplicaciones web seguras, no es una tarea fácil.

10. ¿Por qué?

11. ¿Cuál es la probabilidad que un mono se siente delante de una
máquina y escriba una poesía? ...

12. ¿Cuál es la probabilidad que un mono se siente delante de una
máquina y escriba una poesía? ...
NO ES CERO!!!

14. El mundo nos demanda software, pero…

15. Concordancia del Software Desarrollado
con los Requerimientos Funcionales
explícitamente establecidos, con los
estándares explícitamente documentados y
con toda característica (escalabilidad, robustez,
confiabilidad, seguridad, etc.) implícita que se
espera un buen software

16. NO SOLO SE TRATA DE PROGRAMAR ARTESANALMENTE !!!
Entonces…

17. No es lo mismo construir, esto…

18. No es lo mismo construir, esto…
Que…

19. No es lo mismo construir, esto…
Que…
o…

20. TENEMOS QUE APLICAR INGENIERIA
A NUESTROS PROYECTOS
¿cuál de las ingenierías?

21. Conjunto de Métodos, Técnicas y
Herramientas para Desarrollar y
Mantener Software de Calidad (y su
documentación asociada) de modo Fiable,
Rentable y que trabaje en máquinas
reales.

22. Ingeniería
de
Software
Proceso | Metodología
RUP
AUP
Scrum
XP
Cascada
Notación
- UML
- BPMN
- Leng. Estructurado
Herramientas
- Visual Studio, Eclipse, Netbeans
- Enterprise Architect,
- C#, PHP, Pyton, MySQL, etc.

23. Pero desarrollar software de calidad… No es una tarea fácil.
Pero no siempre sucede esto….
No existe un manual que te diga como desarrollar aplicaciones web 100% seguras
El software no solo debe cumplir con
los requerimientos funcionales,
sino que también deben ser seguros

24. Principales
Vulnerabilidades
Owasp TOP 10
(errores de pogramación)
https://www.owasp.org

25. Principales
Vulnerabilidades
Owasp TOP 10
(errores de pogramación)
https://www.owasp.org

26. ATAQUESDE
FINGERPRITING

27. https://w3dt.net/tools/httpreconHTTPRecon
https://www.owasp.org/index.php/Main_Page
http://tools.whois.net/
https://wappalyzer.com

28. Php
Asp.Net

30. php.ini
Web.config
ASP.Net

33. Top 1 OWASP
https://www.mozilla.org/es-ES/firefox/developer/
http://sourceforge.net/projects/sqlmap/?source=typ_redirect
http://www.sqlpowerinjector.com/download.htm

34. Inyección SQL:

35. Inyección SQL:
V y V = V

36. Inyección SQL:
F y F o V

37. Inyección SQL:
F y F o V = V

38. Inyección SQL:

39. Inyección SQL:
' OR ''='
' or true --
' OR '1'='1' --

40. Inyección SQL:

41. No es complicado buscar aplicaciones web con este tipo de errores,
Solamente usando google

47. http://jcarlosrendon.morelosplaza.com/herramientas/ofuscador.php
http://sourceforge.net/projects/sqlmap/?source=typ_redirect

48. Inyección XSS:

49. Inyección XSS:

50. Inyección XSS:

51. Inyección XSS:

52. Asp.Net
Php

53. Exposición de
Credenciales de ACCESO
y Ataques Semánticos

54. No es complicado buscar aplicaciones web con este tipo de errores,
Solamente usando google

55. JavaScript
http://www.danstools.com/javascript-obfuscate/index.php
http://www.daftlogic.com/projects-online-javascript-obfuscator.htm
HTML
http://encriptarcodigos.blogspot.com/
http://www.programasprogramacion.com/encriptar.php

56. PHP
http://es.phpencode.org/
http://elhappy.net/happy_proyectos/ofuscador/
http://php.net/manual/es/function.blenc-encrypt.php

57. Exposición insegura de
RECURSOS

58. No es complicado buscar este tipo de errores,
Solamente usando google

59. .htaccess
Robots.txt

60. SEGURIDAD DE
BASES DE DATOS

61. Las contraseñas nunca se
guardan en texto plano.
md5(“miclave”)
Sha1(“miclave”) …
(encriptación solo de ida)

62. Las contraseñas nunca se
guardan en texto plano.
md5(“miclave”)
Sha1(“miclave”) …
(encriptación solo de ida)
Usuarios y Privilegios.
Usuarios solo con los privilegios necesarios

63. Las contraseñas nunca se
guardan en texto plano.
md5(“miclave”)
Sha1(“miclave”) …
(encriptación solo de ida)
Replicación de Datos.
Servidores de Base de datos con réplica
Usuarios y Privilegios.
Usuarios solo con los privilegios necesarios

64. Las contraseñas nunca se
guardan en texto plano.
md5(“miclave”)
Sha1(“miclave”) …
(encriptación solo de ida)
Replicación de Datos.
Servidores de Base de datos con réplica
Federación de Datos.
Base de Datos federados
(solo estructura)
Usuarios y Privilegios.
Usuarios solo con los privilegios necesarios

65. W A F
Web Application Firewall
https://www.modsecurity.org/

66. USABILIDAD <> SEGURIDAD
Sabemos que nuestros sistemas deben ser seguros,
pero no deben afectar la usabilidad de los usuarios legítimos
La seguridad implementada en las aplicaciones web deben ser transparentes al usuario final

67. ¿Se imaginan como podría ser el mejor sistema de seguridad del mundo?

68. Entendamos como funcionan las Aplicaciones Web para
conocer que tipo de ataques nos pueden realizar y así saber
cómo defendernos
Mantener actualizados nuestros sistemas
Cambia periódicamente tus credenciales de acceso
Adoptar buenas prácticas de programación
Aplica normas y estándares de seguridad (OWASP, ISO27001, ISO 27002, etc.)

69. Usabilidad y Seguridad no son proporcionales,
llegue a un punto de equilibrio (transparencia)
Personas y Procesos sobre Herramientas
Filtra, valida tus entradas y escapa tus salidas
Propone Soluciones Inteligentes
Módulo Administrador (escritorio) – Módulo Cliente (aplicación web)

70. TODO ESTO SIRVE,
PERO….
¿CUÁL ES LA MEJOR HERAMIENTA DEFENSIVA?
Recuerda que la mayoría de los ataques a las aplicaciones web se deben a
errores de programación….. La culpa es de programador!!!

71. TÚ Y TU CEREBRO….
Certificaciones:
• CEH: Certified Ethical Hacking
• CompTIA Security+
• Cisco CCNA Security
• CISSP: Certified Information
System Security Professional
• Owasp

72. http://8dot8.org/
https://www.owasp.org/index.php/LatamTour2016
http://hacking-bolivia.blogspot.com/
http://hackmeeting.org.bo/
http://www.isaca.bo/

73. MD5(“GRACIAS”);
3 e 0 a 5 f 7 e f 3 a e 9 0 2 8 9 a b e 8 8 0 2 3 b 9 8 7 c d 9

74. “ cebdb288f4f5c43a9219ceab15a7556404675dd3 ”

75. Muña v0.9
Es una aplicación web vulnerable para
practicar ataques del tipo inyección sql, xss,
spam, base de datos, exposición de
credenciales, de recursos. etc.
Descargar:
www.somosdas.com/muna