aplicaciones web
Páginas: 10 (2499 palabras)
Publicado: 11 de febrero de 2014
Ataques a
aplicaciones web
José María Alonso Cebrián
Antonio Guzmán Sacristán
Pedro Laguna Durán
Alejandro Martín Bailón
PID_00191662
CC-BY-NC-ND • PID_00191662
Los textos e imágenes publicados en esta obra están sujetos –excepto que se indique lo contrario– a una licencia de
Reconocimiento-NoComercial-SinObraDerivada (BY-NC-ND) v.3.0 España de Creative Commons. Podéis copiarlos,distribuirlos
y transmitirlos públicamente siempre que citéis el autor y la fuente (FUOC. Fundación para la Universitat Oberta de Catalunya),
no hagáis de ellos un uso comercial y ni obra derivada. La licencia completa se puede consultar en http://creativecommons.org/
licenses/by-nc-nd/3.0/es/legalcode.es
Ataques a aplicaciones web
Ataques a aplicaciones web
CC-BY-NC-ND • PID_00191662Índice
5
Cross site scripting (XSS) ...............................................................
7
1.1.1.
Ataques ...........................................................................
9
1.1.2.
Métodos para introducir XSS (cross site scripting) ...........
10
1.1.3.
Diseccionando un ataque ..............................................
12
1.1.4.Filtros XSS ......................................................................
17
1.2.
Cross Site Request Forgery (CSRF) ..............................................
19
1.3.
Clickjacking .................................................................................
21
Ataques de inyección de código.....................................................
26
2.1.LDAP Injection ............................................................................
28
2.1.1.
LDAP Injection con ADAM de Microsoft ......................
28
2.1.2.
LDAP Injection con OpenLDAP ....................................
31
2.1.3.
Conclusiones ..................................................................
33
2.1.4.
“OR” LDAP Injection.....................................................
34
2.1.5.
“AND” LDAP Injection ..................................................
36
Blind LDAP Injection ..................................................................
39
2.2.1.
Blind LDAP Injection en un entorno “AND” ................
40
2.2.2.
2.
Ataques de inyección descripts.....................................................
1.1.
1.
Reconocimiento de clases de objetos de un árbol
2.2.
LDAP ..............................................................................
40
2.2.3.
Blind LDAP Injection en un entorno “OR” ...................
42
2.2.4.
Ejemplos Blind LDAP Injection .....................................
43
XPath...........................................................................................
48
2.3.1.
XPath injection y Blind XPath Injection ......................
48
2.3.2.
¿Cómo protegerse de técnicas de XPath Injection? .......
53
Ataques de Path Transversal..........................................................
54
3.1.
Path Disclosure............................................................................
54
Ataques de inyección de ficheros..................................................
56
4.1.
Remote file inclusion......................................................................
56
4.2.
Local file inclusion.........................................................................
57
4.3.
Webtrojans...................................................................................
59
5.
Google Hacking..................................................................................
61
6.
Seguridad por ocultación................................................................
64
6.1.
Descompiladores de applets web .................................................
67
2.3.
3.
4.
6.1.1....
aplicaciones web
José María Alonso Cebrián
Antonio Guzmán Sacristán
Pedro Laguna Durán
Alejandro Martín Bailón
PID_00191662
CC-BY-NC-ND • PID_00191662
Los textos e imágenes publicados en esta obra están sujetos –excepto que se indique lo contrario– a una licencia de
Reconocimiento-NoComercial-SinObraDerivada (BY-NC-ND) v.3.0 España de Creative Commons. Podéis copiarlos,distribuirlos
y transmitirlos públicamente siempre que citéis el autor y la fuente (FUOC. Fundación para la Universitat Oberta de Catalunya),
no hagáis de ellos un uso comercial y ni obra derivada. La licencia completa se puede consultar en http://creativecommons.org/
licenses/by-nc-nd/3.0/es/legalcode.es
Ataques a aplicaciones web
Ataques a aplicaciones web
CC-BY-NC-ND • PID_00191662Índice
5
Cross site scripting (XSS) ...............................................................
7
1.1.1.
Ataques ...........................................................................
9
1.1.2.
Métodos para introducir XSS (cross site scripting) ...........
10
1.1.3.
Diseccionando un ataque ..............................................
12
1.1.4.Filtros XSS ......................................................................
17
1.2.
Cross Site Request Forgery (CSRF) ..............................................
19
1.3.
Clickjacking .................................................................................
21
Ataques de inyección de código.....................................................
26
2.1.LDAP Injection ............................................................................
28
2.1.1.
LDAP Injection con ADAM de Microsoft ......................
28
2.1.2.
LDAP Injection con OpenLDAP ....................................
31
2.1.3.
Conclusiones ..................................................................
33
2.1.4.
“OR” LDAP Injection.....................................................
34
2.1.5.
“AND” LDAP Injection ..................................................
36
Blind LDAP Injection ..................................................................
39
2.2.1.
Blind LDAP Injection en un entorno “AND” ................
40
2.2.2.
2.
Ataques de inyección descripts.....................................................
1.1.
1.
Reconocimiento de clases de objetos de un árbol
2.2.
LDAP ..............................................................................
40
2.2.3.
Blind LDAP Injection en un entorno “OR” ...................
42
2.2.4.
Ejemplos Blind LDAP Injection .....................................
43
XPath...........................................................................................
48
2.3.1.
XPath injection y Blind XPath Injection ......................
48
2.3.2.
¿Cómo protegerse de técnicas de XPath Injection? .......
53
Ataques de Path Transversal..........................................................
54
3.1.
Path Disclosure............................................................................
54
Ataques de inyección de ficheros..................................................
56
4.1.
Remote file inclusion......................................................................
56
4.2.
Local file inclusion.........................................................................
57
4.3.
Webtrojans...................................................................................
59
5.
Google Hacking..................................................................................
61
6.
Seguridad por ocultación................................................................
64
6.1.
Descompiladores de applets web .................................................
67
2.3.
3.
4.
6.1.1....
Leer documento completo
Regístrate para leer el documento completo.