Pensando en la seguridad del HTML5

Mucho se ha hablado de HTML 5, que es la evolución lógica del HTML, que reemplazará Flash, que es el futuro, que nos facilitara la vida a los webmasters, que youtube ya tiene su versión en este lenguaje, etc.. Pero no tantos se han puesto a pensar como explotar la seguridad del HTML5  como Alberto Trivero quien ha escrito el documento titulado “Abusing HTML 5 Structured Client-side Storage”, que les dejo a continuación para que tengan en cuenta a la hora de desarrollar nuevos sitios con HTML5. Espero que les sea de utilidad y lo agreguen a sus favoritos para futuras...

Leer Más

Vulnerabilidad de XSS en mas de 8 Millones de Sitios con Flash

Una de las aplicaciones mas comunes utilizadas en los sitios web,  son las películas y clics hechos en Adobe Flash (antes de Macromedia),  animaciones, slideshows  y anuncios publicitarios en este formato, están a la orden del día por toda la red. La facilidad con la que se crean y la gran cantidad de documentación sobre el uso de Flash, a colaborado para que su uso se extienda a millones de sitios web. A pesar de ser una herramienta muy útil,  personalmente pienso que esta sobreutilizada y que tiene gran cantidad de defectos, como no poder ser indexados adecuadamente en los buscadores,  la cantidad de recursos que consume cuando se utiliza para visualizar película s o vídeos online,  a esta lista de desventajas, ahora hay que sumarle un nuevo fallo de seguridad, descubierto por el investigador MustLive y publicado en su sitio websecurity.com.ua. El fallo consiste en una vulnerabilidad de XSS (Cross-site scripting) la cual permite incrustar codigo Javascript y/o HTML, en algunas animaciones flash que no validan correctamente sus parámetros de entrada. Ejemplo del código vulnerable: Como se puede ver,  en el siguiente código actionscript, no se hace validación alguna a las variables obtenidas: getURL(_root.clickTAG, "_blank"); El codigo anterio podria ser explotado de la siguiente forma: http://sitiovulnreable/flash.swf?clickTAG=javascript:alert('comunidad dragonjar') Pero no es la única variable vulnerable a este tipo de vulnerabilidades XSS getURL(_root.url, "_blank"); Que puede ser explotada de la siguiente forma: http://sitiovulnreable/flash.swf?url=javascript:alert('comunidad dragonjar') Para ver el funcionamiento de este tipo de ataques, les dejo este flash en el portal del “Area Metropolitana del Valle de Aburrá”, donde podemos ver que con solo deja correr la animacion , nos ejecutara el alert en javascript que hemos incrustado de forma arbitraria en el archivo flash, por lo que podríamos realizar todo tipo de estafas y engaños utilizando el nombre de esta pagina del gobierno colombiano. Este problema que afecta millones de sitios en la red (lo cual podemos comprobar con una simple búsqueda en google  “filetype:swf  inurl:clicktag”), es aun mas grave si se tiene en cuenta que la mayoría de las personas que manejan Flash y en especial su lenguaje de programación ActionScript, son diseñadores o programadores que no tienen en cuenta la seguridad a la hora de realizar sus trabajos, una muestra de esto lo podemos ver en el periódico “El Heraldo” de Barranquilla que recomienda el uso de un código vulnerable para realizar la publicidad que se publica en su portal. Mas Información: XSS vulnerabilities in 8 millions flash files Serious web vuln found in 8 million Flash files...

Leer Más

Secuestro de Frames Inocentes

Todos los trucos mágicos tratan sobre sugestión, psicología y espectacularidad, o tal vez como diría Cutter, cada truco de magia consta de 3 partes: la prenda (donde el mago muestra algo ordinario), la conversión (donde lo ordinario se convierte en algo extraordinario), y el prestigio (donde lo extraordinario se convierte en algo nunca antes visto). De una forma similar, en el mundo real las brechas de seguridad son una combinación de características que a menudo encontrarás en las ejecuciones de habilidosos magos. Por eso, permíteme presentarte una forma simplista de ataque, tal vez tan simple que, de hecho, podría funcionar mucho mas a menudo de lo que admitimos, la cual usa habilidosamente sugestión, psicología y una gran dosis de espectacularidad. Todos hemos escuchado sobre clickjacking y sabemos que es un bug de diseño y por consiguiente es dificil tratar con el. Sin embargo, ¿Hay otras áreas defectuosas de los navegadores modernos que puedan ser abusadas? Por supuesto, las hay. Solo que toma su tiempo encontrarlas todas porque por lo general estan tan bien ocultas bajo nuestras creencias comunes, prejuicios e ignorancia. Veamos este código: <html> <body> <script> function clickme() { var w = window.open('http://www.google.com'); setTimeout(function () { w.location = 'http://www.dragonjar.org'; }, 5000); } </script> <input type="button" value="click me" onclick="clickme(this)"/> </body> </html> Bastante aburrido! Estoy de acuerdo. Primero que todo el usuario hace clic en el enlace/botón. Después una nueva ventana/pestaña se abre la cual carga el contenido de http://www.google.com. 5 segundos mas tarde la nueva ventana abierta precarga el contenido de http://www.dragonjar.org. ¿Perturbante este código? Creo que si. Es perturbante porque se rompe la relación de confianza que hay entre el usuario y google.com en este ejemplo específico. Llámalo surfjacking, framejacking, tabjacking o como quieras, pero a fin de cuentas, creo que es solo otra forma de mal diseño. Continuar leyendo articulo en el foro Hijacking de Frames...

Leer Más

Generando informes en HTML con NMAP

NMAP (Network Mapper) ha sido, es y todo dice que seguirá siendo la principal herramienta de seguridad, tanto para quienes desean auditar sus servidores como para los hackers que buscan infilitrarse en ellos, en lo que a escaneo de puertos se refiere. A pesar de que existe una interfaz gráfica para manipular Nmap llamada NmapFE (FE = Front End, muchos siguen trabajando en su fenomenal línea de comandos. Sin embargo, quizá el detalle que le faltaba para ser una utilidad casi perfecta era la capacidad de generar una salida en HTML de los escaneos realizados. Nmap Report Tool es una aplicación cuya licencia es libre que permite mostrar estos resultados en HTML. Diseñada utilizando el lenguaje PERL por marcositu le permitirá mantener un histórico amigable de sus auditorías con Nmap. Descargar aquí También puede interesarte: Nmap Online Nueva versión de Nmap Identificación del Sistema Operativo Video de uso de Nmap Nmap una herramienta de...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES