Guías rápidas de seguridad web de Microsoft

---

El sitio Microsoft Security Development Lifecycle presentó hace unos cuantos días unas nuevas guías para explicar los principales ataques de seguridad en web, según puede leerse en el blog de SDL.

Estas están diseñadas para aquél que no tiene idea sobre en qué consiste el ataque, como de grave podría llegar a ser, para qué podría ser utilizado, etc, y ofrece una visión diferente sobre el ataque descrito, en función del rol que desempeñe la persona que lo lea: desarrollador, arquitecto de software, tester, así como perfiles más gerenciales (denominados "Bussiness decision makers"). Se centra en tecnologías Microsoft, claro está, para ofrecer posibles soluciones y ejemplos.

De momento, tenemos dos: para prevenir problemas de XSS, y para prevenir problemas de inyección SQL. Me ha gustado el enfoque :)

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Las 10 mejores técnicas de hacking web 2009

---

Jeremiah Grossman publica, desde 2006, un listado con las mejores técnicas de hacking en aplicaciones y servicios web que han aparecido el año anterior. Acaba de presentar la de este año: Top Ten web hacking techniques of 2009 (Official), elegida por algunos de los mejores expertos en seguridad (web) que podemos encontrar a escala internacional: el propio Jeremiah, Rich Mogull, Dinis Cruz, Chris Hoff, HD Moore, Billy Rios, Dan Kaminsky, Steven Christey, Jeff Forristal, Michal Zalewski, y Romain Gaucher.

La producción o innovación de nuevas técnicas en el año pasado ha sido bastante elevada, con un registro de hasta 82 nuevos ataques presentados en foros, conferencias, revistas, blogs, etc, con lo que lo han tenido difícil para elegir. Se puede consultar el top ten en el blog del propio Jeremiah.

Yo, personalmente, me quedo con estas, no por seguir orden particular, temática concreta, o hacer mi propio top ten, sino sencillamente porque me llaman la atención (advierto que no he podido leer detenidamente más que unos cuántos ataques de la lista de Jeremiah):

• HTTP Parameter Pollution
• Microsoft IIS 0-day vulnerability parsing files (semi-colon bug)
• HTML5 XSS
• HTML5 new XSS vectors
• Web pages detecting virtualized browsers and other tricks (hablamos de ello en su día)
• exploiting unexploitable XSS
• clickjacking & OAuth
• Advanced SQL Injection to operating system full control
• Exploiting Facebook application XSS Holes to make API requests (en general, todo el trabajo de Social Hacking merece nuestra atención).

Slds!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Dos utilidades básicas

---

Siempre tenemos muchas noticias sobre herramientas de seguridad de mil clases y tipos, y es imposible (además de poco innovador) hacer un post cada vez que sale una, salvo que sea novedosa o particularmente relevante. Hoy toca un pequeño post por darse el segundo caso, pues ha habido novedades en dos imprescindibles: Nmap y SQLMap. Ambas forman parte de la caja de herramientas imprescindibles de todo aquél que se dedique a tests de intrusión.

Nmap, por excelencia una de las herramientas imprescindibles para el análisis de red y servicios, ha incluido numerosas mejoras (aunque como nos dicen en SecurityByDefault, de muchas cosas ya disfrutábamos desde versiones anteriores), entre las que se incluyen: motor mejorado, libro sobre la herramienta (parte de él está gratis en Internet, si lo quieres entero hay que comprarlo), la herramienta Ncat para hacer las funciones de la ya antigua netcat, y NDiff para poder comparar dos escaneos y ver las diferencias (útil para administradores de sistemas y departamentos de seguridad, que han de hacer una vigilancia continuada). Además, y aunque no sean exclusivas de esta versión, hay dos mejoras que me gustan mucho: el interfaz gráfico mejorado Zenmap, y los scripts NSE, que incluyen muchísimas utilidades.

SQLMap es imprescindible en la realización de test de intrusión sobre aplicaciones web, para explotar vulnerabilidades de inyección SQL, razón por la que la suite w3af la utiliza. Hace unos días se publicó la versión 0.7 (publicitada vía mensajes a diversas listas de correo, entre otros medios), y por lo que veo en el Changelog, los últimos cambios son para dar estabilidad a la herramienta, e incluir numerosas mejoras que permiten aprovechar mejor la integración con metasploit, entre otras cosas. Su autor, B.Damele, es un crack en esto del hacking web y en particular de la inyección SQL, como muestra, se puede ver su material sobre el tema.

¡Que aprovechen!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

SQL Smuggling

---

Visto en Yoire.com este paper sobre SQL inyection, titulado SQL Smuggling ("to smuggle" puede traducirse como "pasar de contrabando", o colarse sin ser visto) de la empresa Comsec: es un compendio de técnicas para camuflar ataques de SQL Injection, de forma que se puedan sobrepasar las defensas establecidas a nivel de aplicación o en un WAF.

Y hablando de todo un poco, veía esta entrada en Slashdot, sobre el ataque de inyección SQL que ha sufrido BussinessWeek, y que ha debido convertir su web en un nido de malware...

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por email o por RSS...

Deep SQL Injection

---

Sólo un pequeño apunte, para dejar(me) un enlace a un paper de Ferruh Mavituna, sobre SQL Injection basado en tiempos, que fue lanzado mientras estaba aún en vacaciones...

Me encanta su trabajo, que sigo con atención desde el XSS Shell. Habrá que probar también BSQL Hacker, ¿no?.

Slds!

Actualización a los 5 minutos de poner este post: visto también en elladodelmal

Abusos sobre HTML5 client-side storage

---

Las nuevas soluciones de almacenamiento en el navegador de web, que aparecerán en HTML 5, son un caldo de cultivo muy bueno para ataques en el lado del cliente. Lo cuenta Alberto Trivero, en un artículo que ha enviado a varias listas de distribución de correo sobre seguridad. Se puede descargar en su sitio.

Me ha venido genial, porque ahora no empleo tanto tiempo como antes en aprender novedades de programación y hacking [ :( ] por cuestiones de trabajo. Muy ilustrativo, cuenta las novedades en HTML 5 (en fase de draft) respecto a cómo almacenar datos en el lado de cliente, que ahora tendrá tres tipos de almacenamiento diferentes:

• session storage: para guardar los datos propios de la sesión del usuario en la aplicación
• local storage: para guardar datos persistentes, es decir, que no se borren al cerrar la aplicación o el navegador
• database storage: ahora se tendrá la posibilidad de guardar datos en una bbdd relacional propia del navegador

Alberto explica la manera (código demo incluido) en que estas novedades amplian enormemente las posibilidades de un XSS, o que algunos problemas (SQL Injection) que antes afectaban al lado servidor de una aplicación de web, ahora afectarán también al lado cliente. Además, las enormes espectativas que estas novedades en HTML5 han despertado entre los desarrolladores web (lógicas, por otra parte), hace pensar que serán ampliamente utilizadas, sean seguras o no.

Lectura interesantísima :)

D.O.S. usando caracteres "comodín" SQL

---

Hoy he encontrado este documento, de Ferruh Mavituna, con detalles sobre cómo usar los caracteres comodín de SQL ("%", " []", "[^]", "_") para construir una consulta pesada. Utilizable, particularmente, en los formularios de búsqueda que presentan muchas aplicaciones. Véase también sql injection basado en tiempos.

¡Muy bueno!.

evilsql.com y otros recursos sobre sql injection

---

Cacharreando por Internet me encuentro con el sitio evilsql.com, una recopilación, a modo de chuleta, de sentencias SQL que utilizar para realizar un sql injection en bases de datos Microsoft (asumo específicamente SQL Server, aunque el sitio no diga nada).

Simplemente un recurso más del que tirar si uno se queda atascado, creo que estará bastante bien si crece. Ya tenía otras chuletas de este estilo, como la de Ferruh Mavituna o la de 0x000000. Cuando quise buscar inspiración para una posible inyección SQL, a mi me gustó más tirar de otros recursos, como son las explicaciones sobre SQL Injection de Owasp Testing y lo que se pueda encontrar en sitios como SqlSecurity, DataseSecurity, o

Para aprender lo esencial, no puedo dejar sin mención a uno de los libros en mi estantería: The Database Hackers Handbook (ISBN:0764578014). Tampoco a un par de papers de NGSoftware: Advanced SQL Injection y More Advance SQL Injection.

¡Toca buscar recursos más actualizados!. Los checklist, por ejemplo, no tenían (la última vez que los miré) nada sobre técnicas más modernas, como la inyección ciega basada en el tiempo que cuesta ejecutar consultas pesadas (en vez de usar la técnica del delay con waitfor), o el llamado Lateral SQL Injection.

¿Cuáles son vuestros favoritos?

Slds!