La Comunidad DragonJAR » Programación

Curso de Python dictado por Google

DragoN — Tue, 11 May 2010 06:01:57 +0000

Debido a que el curso sobre desarrollo seguro de aplicaciones web dictado por Google, fué tan bien recibido, me puse en la tarea de buscar mas contenidos similares y encontré un excelente curso de 2 días para aprender Python dictado por Google a sus desarrolladores.

El curso de Python dictado por Google es totalmente gratuito y se enfocada en personas con un poco de experiencia en programación que quieran aprender Python. Las clase incluye materiales escritos, vídeos de conferencias, y un montón de ejercicios para practicar el código Python. Estos materiales se utilizan en Google para introducir Python a personas que acaban de experimentar un poco de programación. Los primeros ejercicios de trabajo en los conceptos básicos de Python como cadenas y listas, hasta llegar a los ejercicios posteriores que se trata de programas completos archivos de texto, los procesos y las conexiones http. La clase está dirigida para personas que tienen un poco de experiencia en programación en algún lenguaje, lo suficiente para saber lo que es una “variable” o un “if” . Más allá de eso, no es necesario ser un programador experto para usar este material.

1.1 Introducción las cadenas

1.2 Listas de y ordenamiento

1.3 Manejo de archivos

2.1 Expresiones Regulares

2.2 Utilidades

2.3 Utilidades (urllib)

2.4 Conclusiones

El material mencionado en los videos, lo puedes encontrar en la pagina oficial del Curso de Python dictado por Google.

Tambien te puede interesar:
Documentación de Python en Español
Aprender Python (excelente sitio para aprender python en español)

También puede interesarte...

Curso sobre desarrollo seguro de aplicaciones web por Google

DragoN — Thu, 06 May 2010 15:43:34 +0000

Google acaba de lanzar un nuevo curso en línea para el diseño y desarrollo de aplicaciones Web, con este, que los programadores aprenderán a evitar los errores comunes de seguridad que se presentan en las aplicaciones web y que pueden llevar a la creación de vulnerabilidades en sus sitios.

El curso, que es parte del proyecto Google Code University, se basa en el concepto de aplicaciones de tipo Twitter, denominada Jarlsberg, un programa que Google liberó para este fin. Conocido como “Web Application Exploits and Defenses,” desde el cual se da la oportunidad de visualizar el funcionamiento interno de una aplicación insegura, analizar las vulnerabilidades y aprender de los errores de programación que generaron estas fallas.

Ademas de aprender desarrollo, también tendremos una serie de retos que requieren que los estudiantes se esfuercen e identifiquen vulnerabilidades especificas en el código de Jarlsberg. Después de que los estudiantes aprenden los fundamentos de una vulnerabilidad, como CSRF, XSS, se les pide que encuentren una forma de utilizar esta falla para realizar una acción maliciosas especifica en la aplicación, como cambiar algunos detalles en la cuenta de registro de los usuarios sin que ellos se enteren.

Ingresa al Curso de Google sobre Seguridad Web

Más Información:
Anuncio de Hans en la Comunidad

También puede interesarte...

Ingeniería Inversa en Aplicación JAVA y JNLP

DragoN — Wed, 02 Dec 2009 17:12:39 +0000

En lo personal nunca me ha gustado JAVA como lenguaje de programación, siempre hice los trabajos universitarios con este lenguaje por obligación pero nunca me convenció del todo, ya que es mas lento que otros lenguajes y es muy sencillo decompilar un código creado con java utilizando herramientas gratuitas como Java Decompiler (aunque se puede ofuscar el código). No estoy diciendo que sea un mal lenguaje de programación, es mas tiene varias ventajas frente a muchos otros lenguajes, como el echo de ser multiplataforma y que prácticamente existen clases para casi todo lo que necesitas hacer, solo digo que a mi en lo personal no me pasa.

En esta ocasión les traigo un vídeo creado por JavaGuru en el que nos enseña de una forma practica, como realizar ingeniería inversa a un juego de ajedrez desarrollado en JAVA y JNLP, el vídeo muestra como eliminar una de las restricciones implementadas en este juego, pero los conceptos pueden ser aplicados en cualquier aplicación desarrollada en JAVA y que utilice JNLP.

También puede interesarte...

Cursos Gratis de Diseño Web en el Sena Virtual

DragoN — Sun, 22 Feb 2009 04:05:48 +0000

El SENA (Servicio Nacional de Aprendizaje), en su página www.senavirtual.edu.co o su plataforma sena sofia plus está implementando nuevos cursos virtuales sobre diseño web, entre las temáticas encontramos lenguajes como HTML, PHP, CSS , JAVASCRIPT, ademas de cursos para manejar los programas mas populares para el diseño Photoshop, Autocad, Corel Draw, Flash, Solid Edge, Dreamweaver y FrontPage.

Recordemos que al terminar los cursos en el sena virtual te dan un certificado del sena y entras automáticamente en la bolsa de empleo del SENA donde podrás ser llamado para trabajar en prestigiosas empresas del sector tecnológico del país.

El listado de cursos que puedes realizar en el senavirtual sobre diseño web:

Programación de páginas Web con HTML y JAVASCRIPT
Diseño Web con Macromedia Dreamweaver Mx
Manejo de Adobe Photoshop
Manejo de Herramientas Informáticas: Solid Edge
Autocad 2D
Autocad 3D
Corel Draw – Utilización de herramientas de diseño Vectorial
Corel Draw – Textos y Organización de Objetos
Corel Draw – Transformación de Objetos y Efectos Especiales
Desarrollo y publicación de sitios Web utilizando la herramienta Frontpage
Diseño de Sitios Web, estrategias y usos de herramientas de diseño – Frontpage
Flash – Animacion en 2D

Para acceder a estos cursos gratuitos del SENA solo tienes que entrar al enlace del sena virtual.

También puede interesarte...

cursos de programacion gratuitos en el sena virtual

DragoN — Sat, 20 Dec 2008 18:08:28 +0000

cursos de programacion hay muchos, pero ninguno como los cursos de programacion gratuitos que hace el sena virtual.

El SENA (Servicio Nacional de Aprendizaje), en su página www.senavirtual.edu.co o en su plataforma sena sofia plus está implementando nuevos cursos programacion virtuales, entre las temáticas de estos cursos de programacion encontramos lenguajes como JAVA, C++, modelado de datos y calidad de software.

Recordemos que al terminar los cursos de programacion en el sena virtual te dan un certificado del sena y entras automáticamente en la bolsa de empleo del SENA donde podrás ser llamado para trabajar en prestigiosas empresas del sector tecnológico del país.

El listado de cursos de programacion que puedes realizar en el senavirtual es el siguiente:

Cursos de Programacion - Programación Orientada A Objetos
Variables y estructuras de Control en la Programación orientada a objetos: Java
Desarrollo de aplicaciones con Interfaz Gráfica, Manejo de Eventos, Clases y Objetos : Java
Desarrollo de Aplicaciones con Manejo de Datos en la Memoria- Java
Desarrollo de Aplicaciones con Manejo de Archivos de Texto y el Manejo de Excepciones en JAVA
Desarrollo de Aplicaciones con Manejo de Proceso Simultaneo y Uso de Menús: Java
Desarrollo de Applets/Aplicaciones con Uso de Base de Datos, Redes, Servlets y Multimedia
Estructura del Lenguaje de Programación c++ ( Nivel I del cursos de programacion)
Módulos, estructura de almacenamiento y POO utilizando el lenguaje de programación C++ ( Nivel II)
Uso de clases, objetos, métodos y archivos secuenciales en POO con lenguaje de programación C++ ( Nivel III)

cursos de programacion - Modelado De Datos
Informática: Administración de bases de datos utilizando Microsoft® Access 2000
Informática: Diseño de bases de datos en SQL
Metodología de la Programación de Sistemas Informáticos
Estructuras de datos Lineales
Estructuras de datos No Lineales
Modelación de Sistemas – Modelación
Modelación de Sistemas – Simulación
Base de datos: Conceptuación y sistemas de Administración
Diseño de Casos de Uso
Metodologías de Análisis y Diseño de Sistemas-de la incepción al diseño de la arquitectura
Metodologías de Análisis y Diseño de Sistemas-del diseño a la implementación
Principios del análisis y diseño orientado a objetos, utilizando el estándar UML
Aplicación metodología orientada a objetos utilizando el estándar UML

Para acceder a estos cursos de programacion gratuitos del SENA solo tienes que entrar al enlace de los cursos de programacion en el sena virtual.

También puede interesarte...

Programar para el iPhone, un negocio rentable

DragoN — Tue, 11 Nov 2008 04:13:05 +0000

Tras el éxito de la serie de artículos sobre convertir el iPhone o el iPod touch en una herramienta portable de seguridad informática escrito por 4v4t4r (feliz poseedor de un iPod Touch) me llene de curiosidad sobre el desarrollo de aplicaciones para estos dispositivos, me puse a buscar información sobre esto y en el proceso y encontré con una serie de historias de éxito sobre desarrolladores de aplicaciones para el iPhone. Algunos de los más populares, que están en el top 25 de la tienda iTunes, ganan por ejemplo entre $1,000-$2,000 dolares al día, solo por las ventas de sus aplicaciones y dependiendo de cuánto estén cobrando por programa (por lo general son solo 0.99 centavos de dolar) …

Una de estas historias es la de Tapulous, creador del megapopular Tap Tap Revenge (ver vídeo), con las ventas conseguidas en un periodo de 7 días, de Where To?, habían conseguido $6,927, y esto, después del 30% que Apple se lleva como porcentaje.

Ya sabemos que es muy rentable desarrollar para el iPhone (y eso que todavía no es tan popular), ahora les dejo un listado de los recursos que encontré para aprender a programa aplicaciones para el iPhone y el iPod Touch.

Si alguien conoce algún otro que comente para añadirlo a la lista.

Para que vean un ejemplo de lo que se puede hacer en el iPhone o el iPod Touch les dejo varios vídeos del software “Ocarine”, la aplicación mas vendida en estos momentos de la tienda iTunes (cuesta solo 0.99 centavos de dolar).

Para los fanáticos de The Legend of Zelda – Ocarina of Time hay una edición especial …

Ya saben los que quieran aprender saben que hay buen mercado…

También puede interesarte...

Programación Segura: Problemas de cadena de formato

DragoN — Tue, 20 Nov 2007 06:21:38 +0000

Continúa desde “Programación Segura: Desbordamientos del Búfer”

Revisión General de los Problemas de cadena de formato.

Los problemas de cadena de formato contituyen uno de los pocos ataques realmente nuevos que surgieron en años recientes.
Al igual que con muchos problemas de seguridad, la principal causa de los errores de cadena de formato es aceptar sin validar la entrada proporcionada por el usuario. En C/C++ es posible utilizar errores de cadena de formato para escribir en ubicciones de memoria arbitrarias, y el aspecto mpas peligroso es que esto llega a suceder sin manipular bloques de memoria adyacentes. Esta capacidad de diseminación permite a un atacante eludir protecciones de pila, e incluso modificar partes my pequeñas de memoria. El problema también llega a ocurrir cuando las cadenas de formato se leen a partir de una ubicación no confiable que controla el atacante. Este último aspecto del problema tiende a ser más frecuente en sistemas UNIX y Linux. En sistemas Windows las tablas de cadena de aplicación suelen mantenerse dentro del progrma ejecutable o de las bibliotecas de vínculo dinámico (DLL, Dynamic Link Libraries) del recurso. Si un atacante reeescribe el ejecutable principal o de las DLL, tendrá la posibilidad de realizar ataques mucho más directos que con errores de cadena de formato.

Aunque no esté trabajando con C/C++, los ataques de cadena de formato quizá conduzcan a problemas importantes; el más obvio es engañar a los usuarios, pero bajo ciertas circustancias es posible que un atacante lance ataques de creación de script de sitio cruzado o de inyección de SQL, los cuales también se utilizan para corregir o transformar datos.

Lenguajes Afectados

El lenguaje más afectado es C/C++. Un ataque exitoso quizá conduzca de manera inmediata a la ejecución de código arbitrario y a revelación de información. Por lo general otros lenguajes no permiten la ejecución de código arbitario, pero, como ya se observó, son proporcionados por entrada del usuario, pero podría serlo si las cadenas de formato se leen a partir de datos manipulados.

Explicación del problema de cadena de formato

El formateo de datos para despliegue o almacenamiento tal vez represente una tarea un poco difícil; por tanto, en muchos lenguajes de computadora se incluyen rutinas para reformatear datos con facilidad. En casi todos los lenguajes la información de formato se describe a través de un tipo de cadena, denominada cadena de formato. En realidad, la cadena de formato se define con el uso de lenguaje de procesamiento de datos limitado que está diseñado para facilitar la descripción de formatos de salida. Sin embargo, muchos desarrolladores cometen un sencillo error: utilizan datos de usuarios no confiables como cadena de formato; el resultado es que los atacantes pueden escribir cadenas en el lenguaje de procesamiento de datos para causar muchos problemas.

El diseño de C/C++ hace que esto sea especialmente peligroso: dificulta la detección de problemas de cadena de formato, y entre las cadenas de formato se incluyen algunos comandos muy peligrosos (en particular %n) que no existen en lenguajes de cadena de formato de algunos otros lenguajes.

En C/C++ puede declararse una función para que tome un número de variable de argumentos al especificar puntos suspensivos (…) como el último (o único) argumento. El problema es que la función a la que se llama no tiene manera de saber cuántos argumentos se están pasando. El conjunto más común de funciones que toman argumentos de longitud variable es la familia de printf: printf, sprintf, snprintf, vprintf, etc. Las extensas funciones de carácter que realizan la misma función tienen el mismo problema. Veamos un ejemplo:

#include
int main (int argc, char* argv[])
{
if (argc > 1)
printf(argv[1]);
return 0;
}

Algo muy sencillo. Ahora veamos lo que está mal. El programador está esperando que el usuario introduzca algo benigno como Hola mundo. Si lo intenta, obtendrá Hola mundo. Ahora cambiemos un poco la entrada: pruebe %x %x. En un sistema Windows XP con la línea de comandos predeterminada (cmd. exe) , ahora obtendrá lo siguiente:

E:\proyectos\programación_segura\format_bug>format_bug.exe “%x %x”
12ffc0 4011e5

Observe que si está ejecutando un sistema operativo diferente o utilizando un interprete de línea de comandos diferente, tal vez necesite realizar algunos cambios para alimentar esta cadena exacta en su programa, y es posible que los resultados sean diferentes. Para facilitar su uso podría colocar los argumentos en una línea de comandos de shell o en un archivo de procesamiento por lotes.

¿Qúe sucedió? La función de printf tomó una cadena de entrada que hizo que esperara a que se colocaran dos argumentos en la pila antes de llamar a la función. Los especificadores %x le permiten leer la pila, de cuatro en cuatro bytes, hasta donde se desee. No es difícil imaginar que si tuviera una función más compleja que almacenara un secreto en una variable de pila, el atacante tendría la posibilidad de leerlo. Aquí la salida es la dirección de la ubicación de la pila (0×12ffc0), seguida de la ubicación del código en que se devolverá la función main() . Como se imagina, ambas son piezas de información muy importantes que se filtran al atacante.

Tal vez ahora se esté preguntando cómo utiliza el atacante un error de cadena de formato para escribir en la memoria. Uno de los especificadores de formato menos utilizados es %n, que escribe el número de caracteres que deben haberse escrito hasta el momento en la dirección de la variable que proporcionó como argumento correspondiente. He aquí cómo debe utilizarse:

unsigned int bytes;
printf (”%s%n\n”, argv[1], &bytes);
printf (su entrada fue de %d caracteres de largo\n, bytes”);

La salida sería:

E:\proyectos\programacion_segura\format_buf>format_bug2.exe “alguna salida aleatoria”
Alguna entrada aleatoria
Su entrada fue 17 caracteres de largo

En una plataforma con enteros de cuatro bytes el especificador %n escribirá cuatro bytes a la vez, y %hn escribirá dos bytes. Ahora los atacantes sólo tienen que imaginar cómo obtener la dirección que desean en la posición apropiada de la pila y ajustar los especificadores de ancho de campo hasta que el número de bytes escrito sea el que desean.

C/C++

A diferencia de muchos otros errores que examinaremos, éste es basatante fácil de localizar como defecto de código. Es muy sencillo:

printf (entrada_usuario);
Es incorrecto, y

printf (”%s”, entrada_usuario);
Es correcto .

Localización de problemas de cadena de formato

Cualquier aplicación que tome entrada del usuario y la pase a una función de formateo está en riesgo. Un ejemplo muy frecuente de este problema sucede junto con aplicaciones que registran la entrada de usuario. Además, algunas funciones tal vez implanten formateo de manera interna.
En C/C++ busque funciones de la familia printf. Entre los problemas que habrá de localizar se encuentran los siguientes:

printf (entrada_usuario) ;
fprintf (STDOUT, entrada_usuario);

Si se encuentra con una función con el siguiente aspecto:

fprintf (STDOUT, msg_format, arg1, arg2);

necesitará verificar dónde se almacena la cadena a la que hace referencia msg_formato y si está bien protegida.
Hay muchas otras llamadas de sistema y API que también son vulnerables, syslog es una de ellas. Cuando vea una definición de función que incluya … en la lista de argumentos, esta viendo algo que posiblemente represente un problema.
Muchos escáneres de código fuente, aun los de léxico como RATS y Flawfinder, detectan esto. Incluso PSCAN se diseñó de manera especifica con este propósito.
Además, existen herramientas de respuesta que se integran en el proceso de compilación; por ejemplo FormatGuard de Crispin Cowan.

Técnicas de prueba para encontrar el problema de cadena de formato

Pase especificadores de formateo a la aplicación y vea si se regresan valores hexadecimales. Por ejemplo, si tiene una aplicación que espera un nombre de archivo y regresa un mensaje de error que contiene la entrada cuando no se encuentra el archivo, entonces trate de proporcionarle nombres de archivo como NoProbable%x%x.txt. Si obtiene un mensaje de error parecido a las siguientes líneas “NoProbable12fd234104587“, acaba de encontrar una vulnerabilidad de cadena de formato.

Ejemplos de Problemas de Cadena de Formato

Entradas en la lista Common Vulnerabilities and Exposures, CVE.

CVE-2000-0573
CVE-2000-0844

Métodos de prevención

El primer paso es nunca pasar entradas de usuario directamente a un función de formateo, además de asegurarse de hacerlo en cada nivel de manipulación de salida formateada. Como nota adicional, las funciones de formateo tienen una sobrecarga de trabajo importante. Si está interesado, busque _output en el archivo fuente, tal vez sea conveniente escribir:

fprintf (STDOUT, buf);

la anterior línea de código no es sólo peligrosa, sino que también consume muchos ciclos de CPU adicionales.

El segundo paso que habrá de darse consiste en asegurar que las cadenas de formato que utiliza su aplicación se lean desde lugares confiables, y que las rutas a las cadenas no sean controladas por el atacante.

Medidas defensivas adicionales

Verifique y limite la ubicación a valores válidos. No utilice la familia de funciones printf, si puede evitarlas. Por ejemplo, si está empleando C++, use operadores de flujo:

#include
//…
std::cout < //…

Resumen

Utilice cadenas de formato fijas o cadenas de formato provenientes de una fuente confiable.
Compruebe y limite los requerimientos del lugar a valores válidos.
No pase entrada de usuario directamente como la cadena de formato a funciones de formateo.
Tome en cuenta el uso de lenguajes de más alto nivel que tiendan a ser menos vulnerables a este problema.

También puede interesarte...

Programación Segura: Desbordamientos del Búfer

DragoN — Mon, 12 Nov 2007 06:20:30 +0000

Revisión General del Desbordamiento del Búfer

Durante mucho tiempo se ha reconocido que los desbordamientos del Búfer son un problema en lenguajes de bajo nivel. La esencia del problema es que los datos de usuario y la información de control de flujo del programa se mezclan en beneficio del desempeño, y los lenguajes de bajo nivel permiten acceso directo a la memoria de aplicación. C y C++ son los dos lenguajes más populares afectados por los desbordamientos del Búfer.

En sentido estricto, ocurren desbordamiento del Búfer cuando un programa permite la entrada de escritura más allá del final del Búfer asigando, pero hay varios problemas asociados que a menudo tienen el mismo efecto; uno de los más interesantes consiste en los errores de cadena de formato, que se analizarán en “Problemas de cadena de formato” . Otra personificación del problema ocurre cuando se permite que un atacante escriba en una ubicación arbitraria de memoria fuera de una matriz en la aplicación, y aunque no se trata, de manera estricta, de un desbordamiento clásico del Búfer, también lo estudiaremos aquí.

El efecto de un desbordamiento del Búfer es amplio, desde la caída del sistema hasta la apropiación completa del control de la aplicación por parte del atacante, y si la aplicación se ejecuta como usuario de alto nivel (raíz, administrador o sistema local), entonces el atacante entre sus manos el control de todo el sistema operativo y de todos los usuarios que hayan iniciado sesión o la iniciarán en el futuro. Si la aplicación en cuestión es un servicio de red, el resultado del error podría ser un gusano. El primer gusano bien conocido de Internet aprovechó un desbordamiento del servidor finger, y fue conocido como gusano finger de Robert T. Morris ( o sólo Morris). Aunque al parecer hemos aprendido a evitar desbordamientos del Búfer desde que uno casi colapsó Internet en 1998, aun vemos con frecuencia informes desbordamientos del Búfer en muchos tipos de software.

Aunque podría pensarse que sólo programadores perezosos y descuidados serían víctimas de los desbordamientos del Búfer, el problema es complejo; muchas de las soluciones no son simples y cualquier persona que el escrito suficiente código C/C++ ha cometido, casi sin lugar a dudas, este error.

Lenguajes afectados

C el lenguaje que se usa con más frecuencia para crear desbordamientos del Búfer, seguido de cerca por C++. Es fácil crear desbordamientos del búfer cuando se escribe en ensamblador, porque no cuenta con ningún tipo de protección. Aunque inherentemente C++ es tan peligroso como C porque se trata de un superconjunto de éste, el uso cuidadoso de la Biblioteca Estándar de Plantillas (STL, Standar Template Library) llega a reducir gran medida la posibilidad de manejar erróneamente las cadenas. El aumento en el rigor del compilador de C++ ayudará al programador a evitar algunos errores. nuestro consejo es que aunque esté escribiendo código C puro, el uso del compilador de C++ dará como resultado un código más limpio.

Los lenguajes de más alto nivel inventados en fecha reciente abstraen del programador el acceso directo a la memoria, por lo general con un coste importante para el desempeño. Lenguajes como Java, C# y Visual Basic tienen tipos de cadenas nativos, matrices de límites verificados y, por lo general, prohiben el acceso directo a la memoria. Aunque algunos dirían que esto hace que los desbordamientos del Búfer sean imposibles, es más preciso decir que son menos probables. En realidad, casi todos estos lenguajes se implementan en C/C++, y es posible que las fallas en la implementación produzcan desbordamientos del Búfer. Otra fuente posible de desbordamientos del Búfer en código de más alto nivel se debe a que el código hace interfaz en última instancia con un sistema operativo, ya que éste se encuentra escrito casi con toda seguridad en C/C++. C# le permite trabajar sin red al declarar secciones inseguras; sin embargo, aunque proporciona una interoperabilidad más fácil con el sistema operativo y bibliotecas escritas en C/C++, tal vez cometa los mismos errores que en C/C++. En caso de que programen primordialmente en lenguajes del más alto nivel, la principal acción que deberá realizar es seguir validando los datos pasados a bibliotecas externas, o puede actuar como conducto para sus errores.

Aunque vamos a proporcionar una lista de lenguajes afectados, casi todos los lenguajes más antiguos son vulnerables a desbordamientos del Búfer.

Explicación del desbordamiento del Búfer.

A la personificación clásica de un desbordamiento del Búfer se le conoce como “rompimiento de la pila”. En un programa compilado la pila se utiliza para contener la información de control, como argumentos, a la que debe regresar la aplicación una vez que haya terminado con la función y, debido a la pequeña cantidad de registros disponibles en procesadores X86, muy a menudo los registros se almacenan de manera temporal en la pila. Por desgracia, las variables que se asigna de manera local también se almacenan en la pila. Algunas veces a estas variables de pila se les identifica en forma imprecisa como si se les asigna de manera estática, en oposición a la asignación de memoria dinámica. Si escucha a alguien hablar sobre un desbordamiento del Búfer estático, lo que en realidad quiere decir es desbordamiento del Búfer de pila. la raíz del problema es que si la aplicación escribe más allá de los límites de una matriz asignada la pila, el atacante tiene la posibilidad de especificar información de control. Y esto es crítico para lograr su objetivo; el atacante busca la modificación de la información de control por valores que el controla.

Uno se preguntaría por qué seguir utilizando un sistema tan evidentemente peligroso. Tenemos una oportunidad de evitar el problema, cuando menos en parte, con la migración al chip Itanium de 64 bits de Intel, donde las direcciones de regreso se almacenan en un registro. El problema es que hemos tenido que tolerar una pérdida de compatibilidad importante con versiones anteriores; al momento de escribir esto, es posible que el chip X64 termine convirtiéndose en el chip más popular.

Tal vez también se esté preguntando por qué no todos miramos a un código que realice verificación de matriz estricta y desactive el acceso directo a la memoria. El problema es que, en muchos tipos de aplicaciones, las características de desempeño de lenguajes de más alto nivel no son adecuadas. Una solución intermedia consiste en utilizar lenguajes de más alto nivel para las interfases de alto nivel que interactúan con elementos peligrosos (¡como los usuarios! ), y lenguajes de más bajo nivel para el código principa. Otra solución es utilizar plenamente las opciones que ofrece C++ y y emplear bibliotecas de cadena y clases de colección. Por ejemplo, el servidor web Internet Information Server (IIS) 6.0 cambió por completo una clase de cadena C++ para manejo de entrada, y un desarrollador valiente afirmó que se amputaría su dedo meñique si encontraba algún desbordamiento del Búfer en su código. Al momento de escribir esto, el desarrollado aún tenía su dedo y no se habían publicado boletines de seguridad contra el servidor web en los casi dos años desde su lanzamiento. Los compiladores modernos se relacionan de manera adecuada en clases de plantillas, y es posible escribir código C++ de muy elevado desempeño.

C/C++
Hay demasiadas maneras de desbordar un búfer en C/C++. He aquí lo que causó el gusano finger de Morris:

char buf [20];
gets (buf);

No hay manera de utilizar gets para leer entrada desde stdin sin arriesgarse a un sobreflujo de búfer (es mejor utilizar fgets). Quizás la segunda manera más popular de desbordar bufers es mediante el uso de strcpy. A continuación se muestra otra forma de causar problemas:

char buf [20];
char prefix [] = “http://”;
strcpy (buf, prefix);
strncat (buf, path, sizeof (buf));

¿Qué fue lo que estuvo mal? El problema aquí es que strncar tiene una interfaz diseñada de manera deficiente. La función busca el número de caracteres del búfer disponible, o espacio restante, no el tamaño total del búfer de destino. He aquí otra manera predilecta de causar sobreflujos:

char buf [MAX_PATH];
sprintf(buf, “%s – %d\n”, path, errno);

Resulta casi imposible, excepto en unos cuantos casos de esquina, utilizar sprintf de manera segura. Se publicó un boletín de seguridad crítico para Microsoft Windows debido a que se empleó sprintf en una función de inicio de sesión de depuración. Consulte el boletín MS04-011 para conocer más información.
He aquí otro favorito:

char buf [32];
strncpy (buf, data, strlen(data));

¿Qué estuvo mal aquí? El último argumento es la longitud del búfer entrante, ¡no el tamaño del búfer de destino!

Otra manera de causar problemas es confundir el conteo de caracteres con el de bytes. Si está trabajando con caracteres ASCII, son iguales, pero si lo hace con Unicode, hay dos bytes por cada caracter. He aquí un ejemplo:

_snwprintf(wbuf, sizeof(wbuf), “%s\n”, entrada);

El siguiente desbordamiento es un poco más interesante:

bool CopyStructs(InputFile* pInfile, unsigned long count)
{
unsigned long i;
m_pStructs = new Structs [count];
for(i = 0; i {
if(!ReadFronFile(pInFile, &(m_pStructs[i])))
break;
}
}

¿Cómo puede fallar esto? Tome en cuenta que cuando llama el operador new[] de C++, es similar al siguiente código:
ptr = malloc (sizeof(type)) * count);

Si el usuario suministra count, es difícil especificar un valor que desborde la operación de multiplicación de manera interna. Debido a esto, asiganará un búfer mucho más pequeño de lo que necesita, con lo que el atacante podrá escribir sobre su búfer. El compilador de C++ de Microsoft Visual Studio 2005 contiene una comprobación interna para evitar este problema. El mismo problema llega a ocurrir de manera interna en muchas implementaciones de calloc, que realizan la misma operación. Éste es el meollo de muchos errore de sobreflujo de enteros: no es el sobreflujo de enteros lo que causa el problema de seguridad, sino que el desbordamiento del búfer que se origina con rapidez es el causante de los dolores de cabeza.

Localización del patrón del desbordamiento del Búfer

Entrada, si se lee de la red, un archivo o la línea de comandos

Transferencia de datos de la entrada mencionada a estructuras internas

Uso de llamadas inseguras a manejo de cadeas

Uso de aritmética para calcular un tamaño de asignación o el tamaño del búfer restante

Ejemplos de desbordamiento del Búfer

Las siguientes entradas, que se obtuvieron directamente del la lista Common Vulnerabilities and Exposures (Vulnerabilidades y exposiciones comunes), o CVE, son ejemplos de desbordamientos del búfer.

CVE-1999-0042
CVE-2000-0389-CVE-2000-0392
CVE-2002-0842, CVE-2003-0095, CAN-2003-0096
CAN-2003-0352

Metodos de prevención

El camino a la prevención de los debordamientos del búfer es largo y está lleno de obstáculos. Analizaremos una amplia varidad de técnicas que le ayudarán a evitar desbordamientos del búfer y varias otras para reducir el daño que llegan a causar dichos desbordamientos.

Reemplace funciones peligrosas de manejo de cadenas

Deberá, por lo menos, reemplazar funciones inseguras como strcpy, strcat con las versiones validas de cada una de estas funciones. Tiene varias opciones a su disposicón para reemplazarlas. Tenga en mente que las funciones válidas más antiguas tienen problemas de interfaz, y en muchos casos se le csolicitará que realice operaciones aritméticas para determinar parámetros.

Audite asignaciones
Otra fuente de desbordamientos del búfer proviene de errores aritméticos.

Verifique bucles y accesos a matrices
Una tercera manera en que se originan desbordamientos del búfer es cuando no se verifica adecuadamente la terminación en bucles ni los límites de matriz antes de escribir el acceso. Se trata de una de las áreas más dificiles, y encontrará que, en algunos casos, el problema y su solución están en módulos por completo diferentes.

Reemplace bufers de cadena de C con cadenas de C++
Esto es más eficaz que sólo reeplazar las llamadas de C habituales, pero es posible que cause gran cantidad de cambios en código existente, en particular si el código no está ya compilado como C++.

Reemplace matrices estáticas con contenedores de STL
Todos los probelmas mencionados se aplican a contenedores de STL como vector, pero un problema adicional es que no todas las implementaciones de la contrucción vector::iterator verifican el acceso fuera del límite.

Utilice herramiemtas de análisis
En el mercado están disponibles algunas buenas herramientas que analizan el código de C/C++ en busca de defectos de seguridad; entre los ejemplos se encuentran Coverty, PREfast y Klocwork.

Medidas defensivas adicionales
Protección de pila
La protección de pila fué incluida por primera vez por Crispin Cowan en su producto Stackguard y fue implementada de manera independiente por Microsoft como conmutador del compilador /GS. En su forma más básica, la protección de pila coloca un valor conocido como canary en la pila entre las variables locales y la dirección de regreso.

Pila y heap no ejecutables
Esta medida ofrece protección importante contra un atacnate, pero tal vez tenga impacto considerable en la compatibilidad de la apliación. Algunas aplicaciones compilan y ejecutan de manera legítima código al vuelo, como es el caso de muchas aplicaciones escritas en Java y C#. Además, es importante obervar que si el atacante puede causar que su aplicación sea presa de un regreso en un ataque de libc, donde se realiza un llamada legítima a función para finales dañinos, entonces puede eliminarse la protección de ejecución en la página de memoria.

Resumen

Verifique con mucho cuidado sus accesos al búfer a través de funciones de manejo de cadena y búfer seguras.

Utilice defensas basadas en el compilador, como /GS y ProPolice.

Utilice defensas contra el desbordamiento del búfer para el sistema operativo, como DEP y PaX.

Determine cuáles son los datos que el atacante controla y administre esos datos de manera segura en su código.

No suponga que las defensas del compilador y el sistema operativos son suficientes; no lo son; sólo se trata de defensas adicionales.

No cree nuevo código que utilice funciones inseguras.

Tome en cuenta la actualización de su compilador C/C++, por que los autores del compilador agregan más defensa al código generado.

Tome en cuenta la eliminación de funciones inseguras de código antiguo con el tiempo.

Tome en cuenta el empleo de clases de cadena y contenedor de C++ en lugar de las funciones de cadena de C de más bajo nivel.

También puede interesarte...

Código fuente para Sistemas de Matriculas, Ventas, Biblioteca, Odontología, Administración de Autos en .NET

DragoN — Mon, 01 Oct 2007 14:48:36 +0000

Aquí les dejo Varios Códigos fuente escritos en .NET para crear un Sistema de Matriculas (VB.NET y SQLServer), Sistema Ventas, Sistema Biblioteca, Sistema Odontología, Sistema Administración de Autos.

Sistema en .NET
Sistema de Matriculas
Sistema de ventas
Sistema de Biblioteca
Sistema de Odontología
Sistema de Administración de Autos