OWASP - A6 Open Web Application Security Project Riesgo por: Configuración Defectuosa de Seguridad Guillermo David Vélez Álvarez C.C. 71' 763,346.

Presentación del tema: "OWASP - A6 Open Web Application Security Project Riesgo por: Configuración Defectuosa de Seguridad Guillermo David Vélez Álvarez C.C. 71' 763,346."— Transcripción de la presentación:

1 OWASP - A6 Open Web Application Security Project Riesgo por: Configuración Defectuosa de Seguridad Guillermo David Vélez Álvarez C.C. 71' 763,346

2 Faltan actualizaciones que corrigen defectos en la aplicación. OWASP – A6: Escenario #1 Se encuentra la versión de la aplicación y luego se consulta vulnerabilidades conocidas.

3 OWASP – A6: Escenario #2 La consola de administración del servidor de aplicaciones está instalada y no ha sido removida. Las cuentas predeterminadas no han sido cambiadas. Los atacantes descubren que las páginas de administración están activas, se registran con las claves predeterminadas y toman posesión de los servicios.

4 OWASP – A6: Escenario #2 Se descubre que existe una cuenta de administrador, se crea una cuenta nueva cualquiera;

5 OWASP – A6: Escenario #2 se descubre defecto al modificar la cuenta lo cual permite apropiarse de la cuenta de administrador y...

6 OWASP – A6: Escenario #2 obtener toda la información a la que se pueda acceder con ella, como informe de transacciones con numeros de cuenta bancaria,

7 OWASP – A6: Escenario #2 listado de usuarios con contraseñas...

8 OWASP – A6: Escenario #2 que pueden ser descifradas,

9 OWASP – A6: Escenario #2 hacer copia de la información, etc.

10 OWASP – A6: Escenario #3 El listado del contenido de los directorios no está deshabilitado en el servidor. Los atacantes descubren que pueden encontrar cualquier archivo simplemente consultando el listado de los directorios. Los atacantes encuentran y descargan las clases java compiladas. Dichas clases son desensambladas por ingeniería reversa para obtener su código. A partir de un análisis del código se pueden detectar defectos en el control de acceso de la aplicación.

11 OWASP – A6: Escenario #3 Se descubren directorios observando los enlaces y directorios comunes como el de imágenes.

12 OWASP – A6: Escenario #3 Se revisan los archivos temporales encontrando codigos (java script)

13 OWASP – A6: Escenario #3 … y se leen en busca de información que puede usarse,

14 OWASP – A6: Escenario #3 por ejemplo para validar cuentas bancarias y hacer transaccion es gratis.

15 OWASP – A6: Escenario #4 La configuración del servidor de aplicaciones permite que los mensajes de la pila sean retornados a los usuarios. Eso potencialmente expone defectos en la aplicación. Los atacantes adoran la información de error que dichos mensajes proveen.

16 OWASP – A6: Escenario #4 Se digitan codigos (SQL) en los campos de entrada, obteniendo información sobre los aplicativos y BD.