Guías rápidas de seguridad web de Microsoft

---

El sitio Microsoft Security Development Lifecycle presentó hace unos cuantos días unas nuevas guías para explicar los principales ataques de seguridad en web, según puede leerse en el blog de SDL.

Estas están diseñadas para aquél que no tiene idea sobre en qué consiste el ataque, como de grave podría llegar a ser, para qué podría ser utilizado, etc, y ofrece una visión diferente sobre el ataque descrito, en función del rol que desempeñe la persona que lo lea: desarrollador, arquitecto de software, tester, así como perfiles más gerenciales (denominados "Bussiness decision makers"). Se centra en tecnologías Microsoft, claro está, para ofrecer posibles soluciones y ejemplos.

De momento, tenemos dos: para prevenir problemas de XSS, y para prevenir problemas de inyección SQL. Me ha gustado el enfoque :)

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Las 10 mejores técnicas de hacking web 2009

---

Jeremiah Grossman publica, desde 2006, un listado con las mejores técnicas de hacking en aplicaciones y servicios web que han aparecido el año anterior. Acaba de presentar la de este año: Top Ten web hacking techniques of 2009 (Official), elegida por algunos de los mejores expertos en seguridad (web) que podemos encontrar a escala internacional: el propio Jeremiah, Rich Mogull, Dinis Cruz, Chris Hoff, HD Moore, Billy Rios, Dan Kaminsky, Steven Christey, Jeff Forristal, Michal Zalewski, y Romain Gaucher.

La producción o innovación de nuevas técnicas en el año pasado ha sido bastante elevada, con un registro de hasta 82 nuevos ataques presentados en foros, conferencias, revistas, blogs, etc, con lo que lo han tenido difícil para elegir. Se puede consultar el top ten en el blog del propio Jeremiah.

Yo, personalmente, me quedo con estas, no por seguir orden particular, temática concreta, o hacer mi propio top ten, sino sencillamente porque me llaman la atención (advierto que no he podido leer detenidamente más que unos cuántos ataques de la lista de Jeremiah):

• HTTP Parameter Pollution
• Microsoft IIS 0-day vulnerability parsing files (semi-colon bug)
• HTML5 XSS
• HTML5 new XSS vectors
• Web pages detecting virtualized browsers and other tricks (hablamos de ello en su día)
• exploiting unexploitable XSS
• clickjacking & OAuth
• Advanced SQL Injection to operating system full control
• Exploiting Facebook application XSS Holes to make API requests (en general, todo el trabajo de Social Hacking merece nuestra atención).

Slds!

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

la ola de google

---

Todos llevamos algún tiempo oyendo hablar de Google Wave, la última innovación de Google para darnos a todos más capacidad de comunicación y de subir contenido a la red. De momento, está en fase beta y sólo accesible con invitación, pero ya ha dado mucho de qué hablar (aquí dos enlaces: alt1040 y El País).

Como es de ley, ya se le ha empezado a sacar problemas de seguridad. En TheHarmonyGuy nos cuentan que su autor ha probado Beef en Google Wave, con éxito, lo que podría convertirlo en una buena herramienta para hax0rs.

Slds

---

Si te gustó esta entrada, quizás quieras suscribirte al blog por RSS...

Deep SQL Injection

---

Sólo un pequeño apunte, para dejar(me) un enlace a un paper de Ferruh Mavituna, sobre SQL Injection basado en tiempos, que fue lanzado mientras estaba aún en vacaciones...

Me encanta su trabajo, que sigo con atención desde el XSS Shell. Habrá que probar también BSQL Hacker, ¿no?.

Slds!

Actualización a los 5 minutos de poner este post: visto también en elladodelmal

Abusos sobre HTML5 client-side storage

---

Las nuevas soluciones de almacenamiento en el navegador de web, que aparecerán en HTML 5, son un caldo de cultivo muy bueno para ataques en el lado del cliente. Lo cuenta Alberto Trivero, en un artículo que ha enviado a varias listas de distribución de correo sobre seguridad. Se puede descargar en su sitio.

Me ha venido genial, porque ahora no empleo tanto tiempo como antes en aprender novedades de programación y hacking [ :( ] por cuestiones de trabajo. Muy ilustrativo, cuenta las novedades en HTML 5 (en fase de draft) respecto a cómo almacenar datos en el lado de cliente, que ahora tendrá tres tipos de almacenamiento diferentes:

• session storage: para guardar los datos propios de la sesión del usuario en la aplicación
• local storage: para guardar datos persistentes, es decir, que no se borren al cerrar la aplicación o el navegador
• database storage: ahora se tendrá la posibilidad de guardar datos en una bbdd relacional propia del navegador

Alberto explica la manera (código demo incluido) en que estas novedades amplian enormemente las posibilidades de un XSS, o que algunos problemas (SQL Injection) que antes afectaban al lado servidor de una aplicación de web, ahora afectarán también al lado cliente. Además, las enormes espectativas que estas novedades en HTML5 han despertado entre los desarrolladores web (lógicas, por otra parte), hace pensar que serán ampliamente utilizadas, sean seguras o no.

Lectura interesantísima :)