Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (II)

La semana pasada publicamos la primera parte del ranking de mejores técnicas de 2018, y hoy os traemos la segunda. Recordemos, se trata de una clasificación ajena al OWASP Top 10, más enfocada a resaltar aquellas técnicas asociadas a las aplicaciones web que se publicaron a lo largo de 2018. La seguridad web es un campo en continuo movimiento y agitación. Cada día, salen a la luz nuevos fallos en frameworks, bibliotecas o aplicaciones conocidas y muy usadas; si bien muchas de ellas ni tan siquiera llegan al rango de obtención de un CVE, un grupo de ellas tiene el privilegio de descubrir una nueva técnica o mejorar ostensiblemente alguna de las existentes.

5.- Attacking ‘Modern’ Web Technologies

El investigador Fran Rosen, presentó una charla dentro de las conferencias AppSec Europe, organizadas por la OWASP, en las que dio un repaso a las técnicas de explotación de las nuevas capacidades de lo que llamamos Modern Web; basadas sobre todo en las nuevas APIs de persistencia, websockets. Una charla que no te dejará indiferente, sobre todo porque te hace entender que estamos entrando en una nueva era donde las inyecciones clásicas o las inclusiones de archivos locales han quedado anticuadas (aunque por supuesto, no erradicadas).

4.- Prototype pollution attacks in NodeJS applications

En este caso, Olivier Arteau, encuentra una interesantísima forma de ejecutar código arbitrario en aplicaciones NodeJS, lo cual nos lleva a lado del servidor, a través del abuso de la propiedad __proto__ del objeto predefinido ‘Object’ del lenguaje JavaScript; algo que hasta ahora solo se había considerado en el lado del cliente.

3.- Beyond XSS: Edge Side Include Injection

En esta investigación, Louis Dion-Marcil, nos muestra la explotabilidad de ESI (Edge Side Include), un lenguaje basado en XML que permite indicar a los proxy caché qué partes de una página debe y no debe cachear. Un escenario que permitió al investigador abusar de esa funcionalidad para ejecutar ataques de SSRF (Server Side Requests Forgery) y evadir la protección HTMLOnly que impide la manipulación de las cookies con JavaScript.

2.- Practical Web Cache Poisoning: Redefining ‘Unexploitable

La técnica número dos viene de James Kettle, empleado de PortSwigger, y aunque en un primer momento él mismo se autodescartó, la comunidad decidió que su calidad era merecedora de romper las reglas de la propia clasificación (que impiden que los empleados de PortSwigger compitan en el ranking con sus investigaciones).

En este caso, James, muestra cómo explotar la caché web (exacto, la misma caché que la entrada anterior) para envenenarla y causar la inyección de contenido arbitrario en terceros. Interesante técnica e investigación con un gran impacto en la seguridad de las arquitecturas web actuales.

1.- Breaking Parser Logic: Take Your Path Normalization off and Pop 0days Out!

El ganador de la edición de este año, presentado en la DEF CON pasada por Orange Tsai (presentación en slides disponible aquí). Una nueva técnica de explotación apoyada en la normalización de rutas que, aunque pretende adecuar el uso de URLs y rutas para evitar abusos, su inherente complejidad y múltiples implementaciones termina por pasarle factura. Desde frameworks, librerías, lenguajes de programación, etc, cada implementación propia de la normalización de rutas esconde un potencial problema de seguridad que puede ser explotado. Incluso en algunos casos con una tremenda simpleza, dando lugar a impactos que van desde la evasión de restricciones y controles de seguridad hasta la ejecución de código arbitrario.

Por cierto, no perdáis de vista el trabajo de este investigador que también fue el ganador de la edición 2017 del ranking.

Hasta aquí nuestro repaso a las mejores técnicas de 2018 en seguridad web. Como hemos comprobado, cada vez aumenta más la complejidad de este tipo de técnicas, en consonancia con el vertiginoso progreso de las tecnologías web. Tanto para un investigador de seguridad web o para un auditor o devops que tenga por cometido defender la infraestructura, es crucial estar al día con este tipo de técnicas, puesto que no podemos dudar que serán usadas y aprovechadas para explotarlas para lucrarse con ello.

Primera parte del análisis:

» Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (I)