Cómo los hackers comprueban si su sitio web es pirateable

by Silvia Mazzetta Date: 09-04-2020 hack cyberhack cybercrimenes seguridad hackers

Memento mori es la expresión latina usada para referirse al hecho de que todos somos mortales. Según la tradición, esta frase se susurraba a los triunfantes comandantes militares romanos en los desfiles, para recordarles que seguían siendo humanos falibles.

En estos tiempos, tal vez la tradición debería actualizarse para susurrar "serás hackeado" en los oídos de los administradores de los sitios web. Esto puede ser necesario para reconocer que no importa qué defensas hayan implementado, los hackers siempre están buscando nuevas formas de hackear sitios.

Pero, ¿cuáles son los métodos que utilizan los hackers? A continuación, miramos más de cerca cómo los hackers de sitios web pueden atacar vulnerabilidades del lado del cliente, del lado del servidor o directas.

 

Vulnerabilidades lado servidor

 

Aparte del phishing y los ataques conexos contra los administradores, los piratas informáticos intentarán con frecuencia determinar el tipo de servidor web, el software del servidor web (por ejemplo, node.js) y el sistema operativo del servidor. Esto puede lograrse examinando factores como la inteligencia general (por ejemplo, a partir de comentarios en medios sociales y sitios tecnológicos), los nombres de las cookies de sesión, el código fuente de la página web y otros.

Una vez determinada la tecnología de base, los piratas informáticos pueden utilizar diversos métodos para explotar las vulnerabilidades no parcheadas. La configuración insegura del servidor, el acceso sin restricciones a las carpetas del servidor y los puertos abiertos han sido aprovechados a menudo para piratear sitios.

Las configuraciones inseguras de los servidores predeterminados son a menudo analizadas por los hackers. Herramientas de escaneo como Grayhat Warfare son a menudo utilizadas por los hackers para encontrar contenidos inseguros en Amazon S3.

Los puertos abiertos son fáciles de detectar por los hackers mediante herramientas de escaneo, y una vez detectados, una variedad de vulnerabilidades pueden ser explotadas.

Del mismo modo, las herramientas de exploración de archivos pueden encontrar herramientas administrativas a las que se puede acceder con contraseñas débiles, o sin contraseñas en absoluto. Las restricciones inadecuadas en la carga de archivos en las carpetas de los servidores también son un regalo para los piratas informáticos, ya que les permiten cargar y ejecutar programas peligrosos.

 

Vulnerabilidades lado cliente

 

Del lado del cliente, las vulnerabilidades comunes incluyen:

Inyección SQL: la inserción de comandos SQL en las peticiones, lo que da lugar a la distribución no autorizada de datos o a la modificación de la base de datos


XSS: Inyección de código malicioso


CSRF: Tomar el control de la sesión de un usuario

 

El proyecto Top Ten Web Application Project de OWASP encontró que los ataques por inyección eran el tipo de amenaza más cumún.

Los piratas informáticos tienen a su disposición herramientas fácilmente disponibles para probar automáticamente los sitios para detectar estas vulnerabilidades. Sin embargo, hoy en día sería una grave negligencia por parte de un sitio web tener una protección insuficiente contra los ataques de inyección SQL y CSRF.

El XSS, sin embargo, sigue planteando amenazas a medida que surgen nuevas vulnerabilidades, especialmente cuando las páginas web (incluidas las integradas en aplicaciones móviles) se vuelven más ricas en características y complejas. Una vez que se encuentra una vulnerabilidad, puede ser explotada rápidamente en los sitios que no la han parcheado.

 

Frameworks y ciberamenazas

 

La práctica contemporánea de desarrollo de la web, con su gran dependencia de las bibliotecas, plugins y frameworks de código abierto, es una rica fuente de vulnerabilidades que los hackers pueden utilizar. Los hackers se esforzarán mucho más que el típico desarrollador web en examinar las bibliotecas en busca de vulnerabilidades, y estas fallas a menudo sólo salen a la superficie después de haber sido usadas para hackear con éxito.

El aumento de JavaScript en el lado del servidor, y la creciente complejidad de las bibliotecas y frameworks significa que este tipo de vulnerabilidades están aumentando. Este es a menudo el caso de los frameworks de código abierto no actualizados; las vulnerabilidades quedan expuestas para los sitios que continúan usándolos.

 

APIs y ciberamenazas

 

Los sitios web que utilizan las API para comunicarse con el backend pueden tener las API como objetivo de los hackers. En este caso, los hackers buscarán una vulnerabilidad en las API, como credenciales, códigos de acceso, tokens accesibles, variables y otras fuentes.

Los hackers también intentarán obtener información sobre la arquitectura interna de un sistema basado en la API llamando deliberadamente a las API con parámetros no válidos y viendo si los mensajes de error resultantes filtran información sobre el sistema. Esta información podría ser casi cualquier cosa, como el tipo de base de datos y la configuración.

 

Ataques directos o ataques con tokens

 

Además de los intentos generales de piratería en los sistemas del lado del cliente y del servidor, son comunes los ataques directos a las cuentas de usuarios y administradores. Los hackers se centran actualmente en probar continuamente las credenciales (contraseñas) más que en los ataques de fuerza bruta sobre la autenticación de nombre de usuario + contraseña, así como en los intentos de manipular o reutilizar los tokens de acceso.

El relleno de credenciales implica intentos de ingreso automatizados en las cuentas de los usuarios, utilizando nombres de usuario (o direcciones de correo electrónico) y contraseñas cosechadas de brechas lado servidor para intentar obtener acceso a cuentas de usuarios o administradores.

TOKENS

A menudo emitidos a través de los protocolos OAuth2 u OpenID Connect (OIDC), los tokens de acceso son necesarios en el entorno web actual, autorizando las solicitudes a recursos como los datos de la cuenta de usuario o las APIs. Esta ubicuidad proporciona otro objetivo principal para los hackers - como hemos visto, por ejemplo, en la violación de Facebook de 2018.

Estos tokens son generalmente en forma de JSON (JWT). Los hackers buscarán vulnerabilidades como XSS que permiten robar tokens de cookies, almacenamiento local y variables JavaScript.

Del mismo modo, los hackers también intentarán explotar el manejo inseguro de las firmas de los tokens, para poder cambiar los derechos de acceso a los tokens, los tiempos de caducidad, etc., sin invalidar la firma. Un método simple que intentan los hackers es cambiar el valor del algoritmo de la firma almacenado en el encabezado del JWT como "none" (ninguno). En una implementación insegura, el código de comprobación de la firma ignorará entonces la firma del token, lo que significa que se perderán los cambios en el contenido del token.



Computer photo created by freepik - www.freepik.com
 
by Silvia Mazzetta Date: 09-04-2020 hack cyberhack cybercrimenes seguridad hackers visitas : 4377  
 
Silvia Mazzetta

Silvia Mazzetta

Web Developer, Blogger, Creative Thinker, Social media enthusiast, Italian expat in Spain, mom of little 9 years old geek, founder of  @manoweb. A strong conceptual and creative thinker who has a keen interest in all things relate to the Internet. A technically savvy web developer, who has multiple  years of website design expertise behind her.  She turns conceptual ideas into highly creative visual digital products. 

 
 
 

Artículos relacionados

GnuPG, el software libre de cifrado y firma digital

En criptografía, el cifrado es el proceso de codificación de la información. En este proceso convierte la representación original de la información, conocida como texto plano, en una forma alternativa…

Google Dorking: descubriendo el potencial oculto de los motores de búsqueda

En la era digital actual, los motores de búsqueda se han convertido en una herramienta esencial para encontrar información en línea. La mayoría de las personas están familiarizadas con el uso…

HIJACKING o secuestro de sesión: qué es y cómo protegerse

Nadie quiere que le roben sus preciadas cookies. Y no, no estamos hablando de que alguien se cuele en su cocina y vacíe el delicioso contenido de tu tarro de…

Introducción al Pentesting

Pentesting, Pentester .... ¿Has oído hablar de estos términos? ¿Que es el Pentesting? Te has preguntado alguna vez quiénes son las personas que velan por la seguridad, tanto de las empresas…

6 mejores navegadores alternativos centrados en la privacidad en 2021

En el artículo de hoy echamos un vistazo a los navegadores privados gratuitos que son relevantes en 2021. Compararemos sus ventajas y desventajas, especificaciones, etc. Entremos el tema. ¿Qué son los navegadores…

Google Dorks Como Encontrar Datos Interesantes y Buscar Como Un Hacker

¿Van juntas las palabras Google y Hacking? Bueno, si usted pensó que vamos a aprender cómo utilizar el hack en Google, usted podría estar equivocado. Pero podemos Usar el motor de…

Los mejores y más asombrosos Hacks de Alexa que deberías conocer

Alexa, la Inteligencia Artificial hablante de Amazon contenida en el Echo, puede entretenerte a ti y a tu familia si conoces las palabras adecuadas. Alexa es una asistente versátil, pero…

AIR-FI: hack para extraer datos de ordenadores desconectados usando señales electromagnéticas de SDRAM

Un investigador en seguridad ha demostrado que los datos sensibles pueden ser extraídos de ordenadores "air-gapped" mediante una novedosa técnica que aprovecha las señales de Wi-Fi como un canal encubierto,…

Guia de Instalación de macOS en PC (Hackintosh)

Siempre ha habido la creencia de que el Sistema Operativo macOS de Apple solo se podía instalar en ordenadores que vendía Apple directamente. Pero en Internet hay una gran comunidad…

Las vulnerabilidades del software - una guía para novatos

¿Qué son las vulnerabilidades del software? El número de dispositivos conectados a Internet crece cada día. Y entre esos dispositivos no sólo encontramos ordenadores y móviles inteligentes, sino también un número…

La vulnerabilidad de BleedingTooth y otros riesgos de seguridad del Bluetooth

¿Has oído hablar alguna vez de BleedingTooth? Y no nos referimos a la seta de aspecto realmente perturbador que se llama así y que es totalmente real (lo comprobamos dos veces),…

Cómo ver videos borrados o privados de Youtube

Hoy vamos a hablar de la técnica que permite recuperar los videos de Youtube que fueron borrados, hechos privados o simplemente bloqueados por el propio Youtube. Con este truco, la…