Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Impacto sobre o Negócio da Exploração de Vulnerabilidades de Injeção em Aplicações Web

7,379 views

Published on

Título: Impacto sobre o Negócio da Exploração de Vulnerabilidades de Injeção em Aplicações Web

Descrição: O uso de aplicações web vem crescendo de maneira significativa e é quase uma obrigação para organizações de fins diversos ter uma página que divulgue o portfólio. Por outro lado, a cada dia novas falhas e formas de exploração estão surgindo à todo momento, trazendo risco à manutenção de tais páginas na Internet sem o devido cuidado e proteção.

Esta palestra tem por finalidade avaliar quanto risco a exploração de uma vulnerabilidade em aplicações web por trazer ao negócio de uma organização. Além disto, demonstrar que os riscos associados a estas explorações vão muito além de prejuízo financeiro, podendo afetar, principalmente, a reputação da organização em questão.

Palestrante: Henrique Ribeiro dos Santos Soares

Henrique Ribeiro dos Santos Soares é analista da Clavis Segurança da Informação. Graduou-se Bacharel em Ciência da Computação (2010) e Mestre em Informática na área de Redes de Computadores e Sistemas Distribuídos (2012) pela UFRJ. Participou do Grupo de Resposta a Incidentes de Segurança (GRIS-DCC-UFRJ), onde atuou na área de resposta a incidentes e auditorias. Atuou como professor de Segurança em Redes sem Fio no curso de pós-graduação Gerência de Redes de Computadores e Tecnologia Internet do Instituto Tércio Pacitti de Aplicações e Pesquisas Computacionais (MOT-iNCE-UFRJ) e nos cursos de graduação Redes sem Fio do Departamento de Ciência da Computação da Universidade Federal do Rio de Janeiro (DCC-IM-UFRJ) e do Departamento de Sistemas de Informação da Universidade do Grande Rio (DSI-ECT-UNIGRANRIO). Atualmente atua como analista de segurança na equipe técnica da Clavis Segurança da Informação, participando de projetos de Teste de Invasão em redes, sistemas e aplicações web.

Published in: Technology
  • Be the first to comment

Impacto sobre o Negócio da Exploração de Vulnerabilidades de Injeção em Aplicações Web

  1. 1. Impacto sobre o Negócio da ExploraçãoImpacto sobre o Negócio da Exploraçãode Vulnerabilidades de injeção emde Vulnerabilidades de injeção emAplicações WebAplicações WebHenrique SoaresHenrique SoaresAnalista de SegurançaAnalista de Segurança
  2. 2. $ whoami• Analista do Grupo Clavis• Mestre em Informática pela UFRJ• Detecção e resposta a incidentes desegurança• Testes de invasão em redes, sistemas eaplicações.
  3. 3. AgendaInjeções•Descrição•Impactos• Como se Prevenir
  4. 4. InjeçõesDescrição
  5. 5. Descrição• Ocorre quando a aplicação envia dadosnão tratados para algum serviço interno.• Pode ser feita via SQL, LDAP, Xpath,comandos de sistema operacional,argumentos de programas, etc.• O que “vai ser injetado” depende datecnologia adotada no back end.
  6. 6. Descrição•Descoberta através de varredurasidentificando e manipulando vetores deentrada•Tais vetores podem ser implícitos ouexplícitos
  7. 7. Descrição•Representa falta de aderência com boaspráticas de programação.•Ou seja, também pode ser detectado emprocessos de revisão/auditoria de código.
  8. 8. InjeçõesImpactos
  9. 9. Impactos• Dependendo do tipo de injeção os danoscausados podem ser de vários tipos.• A injeção serve como porta de entrada, falhasde configuração do sistema/serviço podemagravar o problema.
  10. 10. ImpactosPerda ou corrupção de dados•Instruções a banco de dados para remoção oualteração de dados.•Remoção, alteração ou Substituição dearquivos no servidor.
  11. 11. ImpactosNegação de Serviço•Remoção de Arquivos Críticos.•Consultas altamente custosas.•Loops infinitos arbitrários.•Esgotamento de Recursos.
  12. 12. ImpactosFalhas de autenticação•Manipulação de Campos Condicionais.•Uso de usuários legítimos ou bypass.
  13. 13. ImpactosExecução arbitrária de código•Integração do backend com o sistemaoperacional.• Comprometimento Total do Sistema.
  14. 14. InjeçõesComo se Previnir
  15. 15. Como se Prevenir• Política de uso / desenvolvimento.• Implantação de Firewall de Aplicação.• Monitoramento de submissões do usuário.
  16. 16. Conclusões• Injeções são falhas que podem impactar emmuito mais do que a aplicação.• Boas práticas em vários níveis podem conteros impactos.• É preciso a cooperação entredesenvolvimento, processos e infraestrutura.
  17. 17. Siga a Clavis
  18. 18. Henrique SoaresHenrique SoaresAnalista de SegurançaAnalista de SegurançaMuito Obrigado!Muito Obrigado!

×