[OWASP] – “There are at least 300 issues that affect the
overall security of a web application. These 300+ issues
are detailed in the OWASP Guide, which is essential
reading for anyone developing web applications today.“
Herramientas
semi-automáticas:
– burp suite (proxy+crawler+…)
– sqlibf (sql injection)
– pipper (bf)
– (private tools)
automáticas gratuitas:
– nikto
– nessus
– perl, python, php, gcc… 😉
de pago:
– WebInspect
– Qualys
– AppScan
Metodología
– Localizar páginas dinámicas
* identificar parámetros: tipo, posible
uso -> injecciones, bf, etc.
* identificar paneles administrativos
* “file uploads” -> cmdshell
– Localizar páginas no enlazadas
* revisión código html
* buscadores: google/msnsearch
* webcaches
* mensajes de error
* fuerza bruta: diccionarios
f ( identificar tecnología usada,
idioma, extensiones, etc. )
– Revisar código fuente (si disponible)
Método “manual”:
*Puerto 80 (HTTP)
-HTTP/1.0
-HTTP/1.1 (añadir cabecera “Host”)
*Puerto 443 (HTTPS)
Cliente SSL +Métodos HTTP
o con Plug-in Firefox:“Header Spy”.
Perseverancia
1. Guardar todas las evidencias y pistas:
cuaderno, freemind, txt, etc.
2. Si estamos bloqueados: hacer un paréntesis
– olvidarse del ordenador
– pasear o descansar (“siesta time”)
– volver manos a la obra…
3. Revisar: ¿qué tenemos? ¿qué necesitamos?
4. Proverbio: “No dejes que los árboles te
impidan ver el bosque”
5. Organizar las ideas:
hablar con alguien siempre ayuda
6. No descartar nada…
7. Documentarse más…
8. Meditar con la almohada
OWASP Top 10 2007
http://www.owasp.org/index.php/Top_10_2007
Solución Reto #3
http://www.rs-labs.com/papers/i64-retoIII-solve.txt
An Introduction to HTTP fingerprinting
http://net-square.com/httprint/httprint_paper.html
Back|Track 2. Herramientas
http://backtrack.offensive-security.com/index.php?title=Tools
Netcraft
http://netcraft.com/
XPath injection in XML databases
http://palisade.plynt.com/issues/2005Jul/xpath-injection/
Blind XPath Injection
http://packetstormsecurity.org/papers/bypass/Blind_XPath_I
njection_20040518.pdf
Mitigating XPath Injection attacks in .NET
http://www.tkachenko.com/blog/archives/000385.html
PeID
http://peid.has.it/
OllyDbg
http://www.ollydbg.de/