Cómo los Hackers Comprueban si Su Sitio Web Es Pirateable

by Silvia Mazzetta Date: 09-04-2020 hack cyberhack cybercrimenes seguridad hackers


Memento mori es la expresión latina usada para referirse al hecho de que todos somos mortales. Según la tradición, esta frase se susurraba a los triunfantes comandantes militares romanos en los desfiles, para recordarles que seguían siendo humanos falibles.

En estos tiempos, tal vez la tradición debería actualizarse para susurrar "serás hackeado" en los oídos de los administradores de los sitios web. Esto puede ser necesario para reconocer que no importa qué defensas hayan implementado, los hackers siempre están buscando nuevas formas de hackear sitios.

Pero, ¿cuáles son los métodos que utilizan los hackers? A continuación, miramos más de cerca cómo los hackers de sitios web pueden atacar vulnerabilidades del lado del cliente, del lado del servidor o directas.

 

Vulnerabilidades lado servidor

 

Aparte del phishing y los ataques conexos contra los administradores, los piratas informáticos intentarán con frecuencia determinar el tipo de servidor web, el software del servidor web (por ejemplo, node.js) y el sistema operativo del servidor. Esto puede lograrse examinando factores como la inteligencia general (por ejemplo, a partir de comentarios en medios sociales y sitios tecnológicos), los nombres de las cookies de sesión, el código fuente de la página web y otros.

Una vez determinada la tecnología de base, los piratas informáticos pueden utilizar diversos métodos para explotar las vulnerabilidades no parcheadas. La configuración insegura del servidor, el acceso sin restricciones a las carpetas del servidor y los puertos abiertos han sido aprovechados a menudo para piratear sitios.

Las configuraciones inseguras de los servidores predeterminados son a menudo analizadas por los hackers. Herramientas de escaneo como Grayhat Warfare son a menudo utilizadas por los hackers para encontrar contenidos inseguros en Amazon S3.

Los puertos abiertos son fáciles de detectar por los hackers mediante herramientas de escaneo, y una vez detectados, una variedad de vulnerabilidades pueden ser explotadas.

Del mismo modo, las herramientas de exploración de archivos pueden encontrar herramientas administrativas a las que se puede acceder con contraseñas débiles, o sin contraseñas en absoluto. Las restricciones inadecuadas en la carga de archivos en las carpetas de los servidores también son un regalo para los piratas informáticos, ya que les permiten cargar y ejecutar programas peligrosos.

 

Vulnerabilidades lado cliente

 

Del lado del cliente, las vulnerabilidades comunes incluyen:

Inyección SQL: la inserción de comandos SQL en las peticiones, lo que da lugar a la distribución no autorizada de datos o a la modificación de la base de datos


XSS: Inyección de código malicioso


CSRF: Tomar el control de la sesión de un usuario

 

El proyecto Top Ten Web Application Project de OWASP encontró que los ataques por inyección eran el tipo de amenaza más cumún.

Los piratas informáticos tienen a su disposición herramientas fácilmente disponibles para probar automáticamente los sitios para detectar estas vulnerabilidades. Sin embargo, hoy en día sería una grave negligencia por parte de un sitio web tener una protección insuficiente contra los ataques de inyección SQL y CSRF.

El XSS, sin embargo, sigue planteando amenazas a medida que surgen nuevas vulnerabilidades, especialmente cuando las páginas web (incluidas las integradas en aplicaciones móviles) se vuelven más ricas en características y complejas. Una vez que se encuentra una vulnerabilidad, puede ser explotada rápidamente en los sitios que no la han parcheado.

 

Frameworks y ciberamenazas

 

La práctica contemporánea de desarrollo de la web, con su gran dependencia de las bibliotecas, plugins y frameworks de código abierto, es una rica fuente de vulnerabilidades que los hackers pueden utilizar. Los hackers se esforzarán mucho más que el típico desarrollador web en examinar las bibliotecas en busca de vulnerabilidades, y estas fallas a menudo sólo salen a la superficie después de haber sido usadas para hackear con éxito.

El aumento de JavaScript en el lado del servidor, y la creciente complejidad de las bibliotecas y frameworks significa que este tipo de vulnerabilidades están aumentando. Este es a menudo el caso de los frameworks de código abierto no actualizados; las vulnerabilidades quedan expuestas para los sitios que continúan usándolos.

 

APIs y ciberamenazas

 

Los sitios web que utilizan las API para comunicarse con el backend pueden tener las API como objetivo de los hackers. En este caso, los hackers buscarán una vulnerabilidad en las API, como credenciales, códigos de acceso, tokens accesibles, variables y otras fuentes.

Los hackers también intentarán obtener información sobre la arquitectura interna de un sistema basado en la API llamando deliberadamente a las API con parámetros no válidos y viendo si los mensajes de error resultantes filtran información sobre el sistema. Esta información podría ser casi cualquier cosa, como el tipo de base de datos y la configuración.

 

Ataques directos o ataques con tokens

 

Además de los intentos generales de piratería en los sistemas del lado del cliente y del servidor, son comunes los ataques directos a las cuentas de usuarios y administradores. Los hackers se centran actualmente en probar continuamente las credenciales (contraseñas) más que en los ataques de fuerza bruta sobre la autenticación de nombre de usuario + contraseña, así como en los intentos de manipular o reutilizar los tokens de acceso.

El relleno de credenciales implica intentos de ingreso automatizados en las cuentas de los usuarios, utilizando nombres de usuario (o direcciones de correo electrónico) y contraseñas cosechadas de brechas lado servidor para intentar obtener acceso a cuentas de usuarios o administradores.

TOKENS

A menudo emitidos a través de los protocolos OAuth2 u OpenID Connect (OIDC), los tokens de acceso son necesarios en el entorno web actual, autorizando las solicitudes a recursos como los datos de la cuenta de usuario o las APIs. Esta ubicuidad proporciona otro objetivo principal para los hackers - como hemos visto, por ejemplo, en la violación de Facebook de 2018.

Estos tokens son generalmente en forma de JSON (JWT). Los hackers buscarán vulnerabilidades como XSS que permiten robar tokens de cookies, almacenamiento local y variables JavaScript.

Del mismo modo, los hackers también intentarán explotar el manejo inseguro de las firmas de los tokens, para poder cambiar los derechos de acceso a los tokens, los tiempos de caducidad, etc., sin invalidar la firma. Un método simple que intentan los hackers es cambiar el valor del algoritmo de la firma almacenado en el encabezado del JWT como "none" (ninguno). En una implementación insegura, el código de comprobación de la firma ignorará entonces la firma del token, lo que significa que se perderán los cambios en el contenido del token.



Computer photo created by freepik - www.freepik.com
 
by Silvia Mazzetta Date: 09-04-2020 hack cyberhack cybercrimenes seguridad hackers visitas : 1294  
 
Silvia Mazzetta

Silvia Mazzetta

Web Developer, Blogger, Creative Thinker, Social media enthusiast, Italian expat in Spain, mom of little 6 years old geek, founder of  @manoweb. A strong conceptual and creative thinker who has a keen interest in all things relate to the Internet. A technically savvy web developer, who has multiple  years of website design expertise behind her.  She turns conceptual ideas into highly creative visual digital products. 

 
 
 

Artículos relacionados

Las vulnerabilidades del software - una guía para novatos

¿Qué son las vulnerabilidades del software? El número de dispositivos conectados a Internet crece cada día. Y entre esos dispositivos no sólo encontramos ordenadores y móviles inteligentes, sino también un número…

La vulnerabilidad de BleedingTooth y otros riesgos de seguridad del Bluetooth

¿Has oído hablar alguna vez de BleedingTooth? Y no nos referimos a la seta de aspecto realmente perturbador que se llama así y que es totalmente real (lo comprobamos dos veces),…

Cómo ver videos borrados o privados de Youtube

Hoy vamos a hablar de la técnica que permite recuperar los videos de Youtube que fueron borrados, hechos privados o simplemente bloqueados por el propio Youtube. Con este truco, la…

Google Dorks: Cómo encontrar datos interesantes y buscar como un hacker

¿Las palabras Google y Hacking juntas? Bueno, si pensaste que aprenderíamos a usar el hacking de Google, podrías estar equivocado. Pero podemos usar el buscador de Google para encontrar datos interesantes…

Desbloquear las funciones ocultas del móvil con estos códigos secretos

Los datos de servicio suplementario no estructurado (USSD), a veces conocidos como "códigos rápidos", son un protocolo extra-UI, que permite a las personas acceder a características ocultas. Este protocolo fue…

Google almacenó las contraseñas de los usuarios de G Suite en texto plano durante 14 años

Después de Facebook y Twitter, Google se convierte en el gigante de la última tecnología que ha almacenado accidentalmente las contraseñas de sus usuarios sin protección en texto plano en…

Cloudflare, que es y para que sirve

CloudFlare protege, acelera y optimiza sitios web, es un sistema gratuito que actúa como un proxy (intermediario) entre los visitantes del sitio web y el servidor, osea que opera una…

Un bug de CloudFlare deja descubiertos millones de datos sensibles de páginas y usuarios

Una vulnerabilidad de seguridad severa Se ha descubierto en la red CDN CloudFlare que ha provocado que los sitios web de gran nombre expongan claves de sesión privadas y otros…

Fallo en WordPress, ahora es pánico: 1,5 millones de sitios afectados

No hay nada que hacer, a pesar de los esfuerzos conjuntos de los desarrolladores, servicios de alojamiento y operadores, los ataques a los sitios de WordPress están creciendo exponencialmente y…

Hacer copias de seguridad en la nube con PHP y la API de copy.com

  Copy.com es un servicio de almacenamiento en la nube, muy parecido a Dropbox, que brinda la posibilidad a que las personas que se inscriben puedan recibir inmediatamente 15GB de espacio…

Hacking ético para diagnosticar la seguridad de una web: 15 herramientas

Las pruebas de intrusión, conocidas como "Análisis de Penetración" o "Hacking Ético", son actualmente una práctica habitual para conocer el nivel de seguridad que tiene una web. Dichas pruebas se encargan…

Los ciberdelincuentes juegan con los perfiles corporativos en Twitter

En los últimos meses, los hackers se han atacado los perfiles de Twitter de grandes empresas como Burger King, Jeep y Twitter. Los ataques tratan de difundir información falsa a través de las mismas…

Utilizamos cookies propias y de terceros para mejorar nuestros servicios, elaborar información estadística y analizar tus hábitos de navegación. Esto nos permite personalizar el contenido que ofrecemos y mostrarte publicidad relacionada con tus preferencias. Clicando en ‘Acepta todas’ aceptas el almacenamiento de cookies en tu dispositivo para mejorar la navegación en el sitio web, analizar el tráfico y ayudar en nuestras actividades de marketing. También puedes seleccionar ‘Sólo cookies de sistema’ para aceptar sólo las cookies necesarias para que la web funcione, o puedes seleccionar las cookies que quieres activar clicando en ‘Configuración’

Acepta todas Sólo cookies de sistema Configuración