Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (II)David García 18 marzo, 2019 La semana pasada publicamos la primera parte del ranking de mejores técnicas de 2018, y hoy os traemos la segunda. Recordemos, se trata de una clasificación ajena al OWASP Top 10, más enfocada a resaltar aquellas técnicas asociadas a las aplicaciones web que se publicaron a lo largo de 2018. La seguridad web es un campo en continuo movimiento y agitación. Cada día, salen a la luz nuevos fallos en frameworks, bibliotecas o aplicaciones conocidas y muy usadas; si bien muchas de ellas ni tan siquiera llegan al rango de obtención de un CVE, un grupo de ellas tiene el privilegio de descubrir una nueva técnica o mejorar ostensiblemente alguna de las existentes. 5.- Attacking ‘Modern’ Web Technologies El investigador Fran Rosen, presentó una charla dentro de las conferencias AppSec Europe, organizadas por la OWASP, en las que dio un repaso a las técnicas de explotación de las nuevas capacidades de lo que llamamos Modern Web; basadas sobre todo en las nuevas APIs de persistencia, websockets. Una charla que no te dejará indiferente, sobre todo porque te hace entender que estamos entrando en una nueva era donde las inyecciones clásicas o las inclusiones de archivos locales han quedado anticuadas (aunque por supuesto, no erradicadas). 4.- Prototype pollution attacks in NodeJS applications En este caso, Olivier Arteau, encuentra una interesantísima forma de ejecutar código arbitrario en aplicaciones NodeJS, lo cual nos lleva a lado del servidor, a través del abuso de la propiedad __proto__ del objeto predefinido ‘Object’ del lenguaje JavaScript; algo que hasta ahora solo se había considerado en el lado del cliente. 3.- Beyond XSS: Edge Side Include Injection En esta investigación, Louis Dion-Marcil, nos muestra la explotabilidad de ESI (Edge Side Include), un lenguaje basado en XML que permite indicar a los proxy caché qué partes de una página debe y no debe cachear. Un escenario que permitió al investigador abusar de esa funcionalidad para ejecutar ataques de SSRF (Server Side Requests Forgery) y evadir la protección HTMLOnly que impide la manipulación de las cookies con JavaScript. 2.- Practical Web Cache Poisoning: Redefining ‘Unexploitable La técnica número dos viene de James Kettle, empleado de PortSwigger, y aunque en un primer momento él mismo se autodescartó, la comunidad decidió que su calidad era merecedora de romper las reglas de la propia clasificación (que impiden que los empleados de PortSwigger compitan en el ranking con sus investigaciones). En este caso, James, muestra cómo explotar la caché web (exacto, la misma caché que la entrada anterior) para envenenarla y causar la inyección de contenido arbitrario en terceros. Interesante técnica e investigación con un gran impacto en la seguridad de las arquitecturas web actuales. 1.- Breaking Parser Logic: Take Your Path Normalization off and Pop 0days Out! El ganador de la edición de este año, presentado en la DEF CON pasada por Orange Tsai (presentación en slides disponible aquí). Una nueva técnica de explotación apoyada en la normalización de rutas que, aunque pretende adecuar el uso de URLs y rutas para evitar abusos, su inherente complejidad y múltiples implementaciones termina por pasarle factura. Desde frameworks, librerías, lenguajes de programación, etc, cada implementación propia de la normalización de rutas esconde un potencial problema de seguridad que puede ser explotado. Incluso en algunos casos con una tremenda simpleza, dando lugar a impactos que van desde la evasión de restricciones y controles de seguridad hasta la ejecución de código arbitrario. Por cierto, no perdáis de vista el trabajo de este investigador que también fue el ganador de la edición 2017 del ranking. Hasta aquí nuestro repaso a las mejores técnicas de 2018 en seguridad web. Como hemos comprobado, cada vez aumenta más la complejidad de este tipo de técnicas, en consonancia con el vertiginoso progreso de las tecnologías web. Tanto para un investigador de seguridad web o para un auditor o devops que tenga por cometido defender la infraestructura, es crucial estar al día con este tipo de técnicas, puesto que no podemos dudar que serán usadas y aprovechadas para explotarlas para lucrarse con ello. Primera parte del análisis: » Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (I) ¿Cómo hemos vivido la RSA Conference 2019? Haciendo la seguridad más humanaLa falacia de la tasa base o por qué los antivirus, filtros antispam y sondas de detección funcionan peor de lo que prometen
Telefónica Tech Boletín semanal de Ciberseguridad, 28 de enero – 3 de febrero LockBit Green: nueva variante de LockBit Recientemente, investigadores de vx-underground han detectado que los gestores del ransomware LockBit están utilizando una nueva variante de ransomware, denominada LockBit Green. Esta nueva variante...
Martiniano Mallavibarrena Ciberseguridad en el cine: mito vs. realidad con 10 ejemplos Los múltiples aspectos de la ciberseguridad (ataques, investigaciones, defensa, empleados desleales, negligencia, etc.) llevan años siendo parte del argumento de infinidad de películas y series de TV. En la...
Daniel Pous Montardit Resiliencia, clave en sistemas Cloud-Native En el primer post de la serie Cloud-Native, ¿Qué significa que mi software sea Cloud Native?, presentamos la resiliencia como uno de los atributos fundamentales que nos ayudan a...
Telefónica Tech Boletín semanal de Ciberseguridad, 21 – 27 de enero Killnet apunta contra objetivos en España Esta semana el grupo hacktivista Killnet anunció una campaña de ataques contra Alemania, dando lugar a la realización de ataques de Denegación de Servicio...
Gonzalo Fernández Rodríguez ¿Qué significa que mi aplicación sea Cloud Native? El término Cloud Native es algo que va más allá de mover las aplicaciones alojadas en un data center a una infraestructura proporcionada por un proveedor Cloud, sea Cloud...
Telefónica Tech Boletín semanal de Ciberseguridad, 14 – 20 de enero Vulnerabilidades críticas en los router Netcomm y TP-Link Se han descubierto una serie de vulnerabilidades en los routers Netcomm y TP-Link. Por un lado, los fallos, identificados como CVE-2022-4873 y CVE-2022-4874, se tratan de un...