web

Falhas comuns de aplicações web e métodos de ataques

Vejamos alguns métodos comuns de explorar as vulnerabilidades de uma aplicação ou site hospedado em um servidor web.

Misconfiguration

É muito fácil para o administrador inexperiente, mas bem-intencionado, configurar mal ou simplesmente se perder em uma configuração, que pode ser a opção que permite um ataque.

Para evitar que a configuração incorreta se torne um problema, certifique-se de que a função do servidor está corretamente definida. Planeje e avalie a configuração para garantir que ela irá fornecer a proteção necessária. Certifique-se também de rever as melhores práticas que fornecedores como a Microsoft oferecem sobre as etapas a serem tomadas para proteger um sistema.

Outra opção é usar scanners de vulnerabilidade para verificar possíveis problemas em um site ou aplicação da Web. Os scanners de vulnerabilidade podem fornecer orientação valiosa sobre onde os esforços devem ser concentrados. (mais…)

Vulnerabilidades em servidores e aplicações web

Aplicações e servidores Web têm muitas vulnerabilidades, mas algumas são exclusivas deste tipo de ambiente. Como sites, servidores e aplicativos são o lado da empresa que o público geralmente encontra, eles representam um alvo óbvio. Ampliando a questão, o é fato de que, ao contrário de alguns anos atrás, muitas empresas existem apenas na internet. Derrubar ou comprometer esses sistemas pode ser um golpe para o atacante e devastador para a empresa-alvo.

Web design com falhas

Uma maneira comum de explorar uma aplicação web ou site está no próprio código. Comentários e tags ocultos que são incorporados em uma página da Web pelo designer podem render informações para um invasor. Embora esses tipos de tags e informações não tenham a intenção de serem exibidos em um navegador Web, eles podem ser visualizados e analisados ??usando o recurso “Visualizar o código-fonte” presente na maioria dos navegadores.

O código fonte de uma página poderia revelar algo como: (mais…)

Entendendo as aplicações Web

Em essência, uma aplicação web é um software que é instalado em um servidor web e é projetado para responder a solicitações, processar informações, armazenar informações e dimensionar as respostas de acordo com a demanda e, em muitos casos, é distribuído em vários sistemas ou servidores.

Ao contrário de alguns anos atrás, as aplicações web vêm em três variações:

  1. Baseado em Navegador – Incluem código que pode ter sido parcialmente processado no servidor, mas é executado no próprio navegador Web. Tal aplicação tem a capacidade de acessar dados armazenados em um servidor, bem como no sistema local ou ambos, dependendo do design;
  2. Baseados no cliente – São essencialmente semelhantes às aplicações baseadas em navegador, mas em vez de serem executados dentro do navegador, são executados como aplicação própria. Aplicações que exigem que sejam instaladas do lado do cliente se encaixam nesta categoria;
  3. Aplicativos móveis – São, de longe, o tipo mais comum encontrado hoje em dia. Para ser incluído nesta categoria o aplicativo normalmente é executado em um sistema operacional móvel, como aqueles executados em smartphones e tablets, principalmente Android do Google ou iOS da Apple;

Então, o que todos esses tipos têm em comum? Cada um deles, tem alguma capacidade de processar informações em um servidor antes de fornecer as informações para o lado do cliente. (mais…)

SQL Injection (SQLi): Identificando o BD e extraindo dados com UNION

A maioria das técnicas demonstradas na primeira postagem sobre SQLi são efetivas contra todas as plataformas de banco de dados comuns e qualquer divergência podem ser ajustadas facilmente de acordo com a sintaxe. Entretanto, quando começamos a ver técnicas mais avançadas de exploração, as diferenças entre as plataformas começam a ser mais significante e você precisará ampliar seu conhecimento sobre o tipo de banco de dados que está sendo manipulado.

Você já viu como extrair a string de versão da maioria dos tipos de BD. Mesmo que você não consiga por algum motivo, normalmente é possível obter por outros métodos. Um dos mais viáveis é a forma que o BD concatena strings. Em uma consulta onde você controla a string de dados, você pode fornecer um valor particular em uma consulta e então testar diferentes métodos de concatenação para produzir uma string. Quando o mesmo resultado é obtido, você provavelmente identificou o tipo de BD que está sendo usado. Os próximos exemplos mostra como string pode ser construída para a maioria dos tipos de BD: (mais…)

Protocolo HTTP: Estrutura, solicitações, respostas, métodos e códigos de status

Hypertext transfer protocol (HTTP) é o protocolo de comunicações usado para acessar a World Wide Web e por todos os aplicativos da web de hoje. É um protocolo simples que foi originalmente desenvolvido para a recuperação de recursos estáticos baseado em texto. Desde então, foi ampliado e alavancado em várias maneiras para apoiar as complexas aplicações distribuídas que são agora comuns.

HTTP usa um modelo baseado na mensagem em que um cliente envia uma mensagem de solicitação e o servidor retorna uma mensagem de resposta. O protocolo é essencialmente sem conexão (connectionless): embora HTTP usa o protocolo TCP stateful como o seu mecanismo de transporte, cada troca de solicitação e resposta é uma transação autônoma e pode usar uma conexão TCP diferente. (mais…)

Introdução ao Burp Suite

“Burp Suite é uma plataforma integrada para a realização de testes de segurança em aplicações web. Suas diversas ferramentas funcionam perfeitamente em conjunto para apoiar todo o processo de testes, de mapeamento e análise de superfície de ataque de uma requisição inicial até encontrar e explorar vulnerabilidades de segurança.”
(Fonte: https://portswigger.net/burp/)

Em testes de segurança em aplicações web, podemos usar um proxy para capturar pedidos e respostas entre o nosso navegador e a aplicação web para que possamos ver exatamente quais dados estão sendo transmitidos. Kali Linux vem com a versão gratuita do Burp Suite, uma plataforma de testes para aplicações web que inclui um recurso de proxy. Burp inclui outros componentes úteis, tais como Burp Spider, que pode rastrear através da aplicação o conteúdo web e suas funcionalidades, e o Burp Repeater, que permite que você manipule e reenvie pedidos para o servidor. Por enquanto, vamos nos concentrar na Burp Proxy.

Para iniciar o Burp Suite no Kali Linux, vá para Aplicativos no canto superior esquerdo e clique em Aplicativos > Web Application Analysis > burpsuite. (mais…)

Organizações querem tornar a Web mais segura, criptografando todos os sites

Mozilla Corporation, Cisco Systems, Akamai Technologies, Electronic Frontier Foundation, IdenTrust, e a Universidade de Michigan estão por trás da fundação da autoridade certificadora Let’s Encrypt. O objetivo é tornar a Web mais segura, facilitando e acelerando o uso do protocolo HTTPS (HyperText Transfer Protocol Secure ou protocolo de transferência de hipertexto seguro), uma implementação do protocolo HTTP sobre uma camada adicional de segurança que permite que os dados sejam transmitidos por meio de uma conexão criptografada e que se verifique a autenticidade do servidor e do cliente por meio de certificados digitais. (mais…)

CERT.br faz texto sobre privacidade na web

São Paulo – O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) lançou o fascículo de sua Cartilha de Segurança dedicado aos cuidados que se deve ter para preservar a privacidade na internet.

A publicação foi lançada no dia 5 de fevereiro, Dia Mundial da Internet Segura. O CERT.br é mantido pelo Núcleo de Informação e Coordenação do Ponto BR (NIC.br), órgão ligado ao Comitê Gestor da Internet no Brasil (CGI.br).

Segundo o CERT.br, o Brasil é um dos países com o maior número de usuários de internet e de redes sociais. Com o aumento do uso da rede mundial de computadores e da adesão a esses serviços, cresce também a preocupação com a privacidade, não somente no compartilhamento de informações como na manipulação de dados pessoais, de forma geral. (mais…)

Três dicas para melhorar sua reputação na Web

Para gerenciar sua marca pessoal na internet não basta apenas monitorar sua reputação. É importante alcançar reconhecimento e visibilidade dentro da empresa em que atualmente se trabalha, além de se posicionar para futuras oportunidades. A opinião é do especialista em marcas pessoais Dan Schawbel, autor do best seller “Me 2.0: Four Steps to Building Your Future” (ainda sem tradução para o português).

“No mundo de hoje, você precisa vender a marca para a carreira que almeja e não para a carreira que tem”, diz Schawbel. “A questão é visibilidade, predicado capaz de atrair grandes oportunidades. Mas o trabalho de posicionamento deve ser feito de acordo com o nicho desejado, para atrair as oportunidades certas”, completa. (mais…)

EUA estudam web ultrarrápida em todo país até 2015

São Paulo – Em três anos, os Estados Unidos devem ter internet ultrarrápida em todas as cidades do país.

Esse é o desejo do governo e, principalmente, do FCC. O principal executivo da agência que regulamenta as telecomunicações dos EUA, Julius Genachoski, revelou que ampliar a web de altíssima velocidade é, hoje, o grande desafio dele.

Ele tem conversado com prestadores de serviços, empresas desenvolvedoras de tecnologias para telecomunicações, provedores de internet e até empresas pontocom para conseguir o objetivo. Ele diz que as empresas precisam ter em mente que uma rede de alta velocidade faz toda a diferença para um país, pois traz agilidade aos negócios e melhorias na educação – do ensino básico ao superior. (mais…)