OWASP - A6 Open Web Application Security Project Riesgo por: Configuración Defectuosa de Seguridad Guillermo David Vélez Álvarez C.C. 71' 763,346

Faltan actualizaciones que corrigen defectos en la aplicación. OWASP – A6: Escenario #1 Se encuentra la versión de la aplicación y luego se consulta vulnerabilidades conocidas.

OWASP – A6: Escenario #2 La consola de administración del servidor de aplicaciones está instalada y no ha sido removida. Las cuentas predeterminadas no han sido cambiadas. Los atacantes descubren que las páginas de administración están activas, se registran con las claves predeterminadas y toman posesión de los servicios.

OWASP – A6: Escenario #2 Se descubre que existe una cuenta de administrador, se crea una cuenta nueva cualquiera;

OWASP – A6: Escenario #2 se descubre defecto al modificar la cuenta lo cual permite apropiarse de la cuenta de administrador y...

OWASP – A6: Escenario #2 obtener toda la información a la que se pueda acceder con ella, como informe de transacciones con numeros de cuenta bancaria,

OWASP – A6: Escenario #2 listado de usuarios con contraseñas...

OWASP – A6: Escenario #2 que pueden ser descifradas,

OWASP – A6: Escenario #2 hacer copia de la información, etc.

OWASP – A6: Escenario #3 El listado del contenido de los directorios no está deshabilitado en el servidor. Los atacantes descubren que pueden encontrar cualquier archivo simplemente consultando el listado de los directorios. Los atacantes encuentran y descargan las clases java compiladas. Dichas clases son desensambladas por ingeniería reversa para obtener su código. A partir de un análisis del código se pueden detectar defectos en el control de acceso de la aplicación.

OWASP – A6: Escenario #3 Se descubren directorios observando los enlaces y directorios comunes como el de imágenes.

OWASP – A6: Escenario #3 Se revisan los archivos temporales encontrando codigos (java script)

OWASP – A6: Escenario #3 … y se leen en busca de información que puede usarse,

OWASP – A6: Escenario #3 por ejemplo para validar cuentas bancarias y hacer transaccion es gratis.

OWASP – A6: Escenario #4 La configuración del servidor de aplicaciones permite que los mensajes de la pila sean retornados a los usuarios. Eso potencialmente expone defectos en la aplicación. Los atacantes adoran la información de error que dichos mensajes proveen.

OWASP – A6: Escenario #4 Se digitan codigos (SQL) en los campos de entrada, obteniendo información sobre los aplicativos y BD.