Coders Conquer Security: Serie de aprendizaje y colaboración - Carga de archivos sin restricciones

El problema de la carga de archivos sin restricciones no es un ataque en sí mismo, sino una situación o estado común que facilita a los atacantes el acceso a aplicaciones y recursos de red. Puede compararse con caminar bajo el frío con ropa mojada: aunque no te enfermará necesariamente por sí solo, reduce tus defensas hasta el punto en que cualquier virus oportunista puede superar fácilmente tu sistema inmunológico.

En ciberseguridad, los atacantes pueden aprovechar rápidamente cualquier aplicación o programa que permita la carga de archivos sin restricciones. Y los resultados pueden ser devastadores. Los atacantes ingeniosos pueden usar este acceso para subir archivos maliciosos, configurar scripts para robar credenciales o lanzar ataques más profundos en una red utilizando los permisos de la propia aplicación. Incluso un atacante poco sofisticado podría usar este acceso sin trabas para realizar ataques de denegación de servicio o bloquear una aplicación.

Afortunadamente, existen varias formas de solucionar el problema de la carga de archivos sin restricciones y detener a los posibles atacantes. Con este fin, analizaremos tres aspectos clave de la carga de archivos sin restricciones:

• Cómo funcionan
• Por qué son tan peligrosos
• Cómo implementar defensas para detenerlos.

¿Cómo explotan los ataques la carga de archivos sin restricciones?

Hay muchas razones por las que los sitios web desean permitir que el público suba archivos. Quizás una empresa busca contratar personal y quiere permitirles subir sus currículos como parte del proceso de solicitud. Los bancos pueden animar a sus clientes a completar documentos importantes desde casa, como al solicitar un préstamo o abrir una cuenta nueva. Los sitios de turismo o redes sociales pueden invitar a los usuarios a subir sus fotografías para compartirlas con otros.

Existen muchas razones válidas para permitir la carga de archivos. Y, por defecto, la mayoría de las aplicaciones nuevas probablemente permitirán cualquier tipo de carga de archivos sin restricciones. El problema comienza cuando un atacante potencial nota que no existen límites para dichas cargas.

No tener restricciones en las cargas expone a los sitios a tres tipos de ataques. Empezando por el menos sofisticado, un usuario malintencionado puede simplemente subir archivos enormes, como archivos comprimidos que contienen cientos de gigabytes de información. Además de saturar el ancho de banda, esto puede sobrecargar el espacio de almacenamiento asignado a la aplicación.

El siguiente en la lista de infamia es el usuario que sube un archivo malicioso, como un virus o algo aún más siniestro, como un ransomware. Es similar a la vieja superstición de que hay que invitar específicamente a un vampiro a entrar en casa. Si colocas un cartel que dice que cualquiera puede entrar libremente, es igual que tener una carga de archivos sin restricciones. Ya no controlas lo que entra por tu puerta y probablemente deberías esperar que no todos los visitantes, o archivos, sean benignos. Algunos podrían ser monstruos.

Finalmente, un atacante experto puede usar las cargas sin restricciones para obtener un punto de apoyo en una red y realizar ataques más profundos. Como no hay restricciones sobre lo que alguien puede subir, un atacante puede enviar su propia web shell a través de ese proceso. A partir de ahí, puede enviar comandos a su shell, y esos comandos se ejecutarán en el servidor con el mismo nivel de permisos que la aplicación.

¿Por qué es tan peligroso tener acceso de archivos sin restricciones?

Aunque implementar una aplicación con acceso de archivos sin restricciones no es peligroso de inmediato, es básicamente como abrir un agujero en tus defensas de ciberseguridad e invitar a alguien a atacar tu organización. Tarde o temprano, alguien responderá.

En el nivel más básico, los atacantes ni siquiera necesitan mucha habilidad para causar estragos. Simplemente comprimir archivos extremadamente grandes y subirlos puede ser suficiente para denegar el servicio a usuarios legítimos. Con el tiempo, incluso puede bloquear la aplicación o un sitio completo, dependiendo de cómo esté programada y conectada la aplicación.

Tener acceso de archivos sin restricciones también podría abrir una brecha a través de los firewalls de red y otras protecciones. No importará si tienes un escáner analizando el correo electrónico entrante o la actividad de navegación web de tus empleados si has creado un camino para que los atacantes suban malware directamente a tu red central. El malware podría bloquear la aplicación o incluso el servidor en el que se ejecuta, aunque ese es probablemente el mejor resultado posible. En el peor de los casos, un programa verdaderamente malicioso como el ransomware puede usar el servidor comprometido para propagarse por toda la red.

Los atacantes más hábiles probablemente no serán tan obvios al explotar una aplicación con acceso de archivos sin restricciones. En su lugar, pueden usar la vulnerabilidad para comprometer la aplicación y utilizarla para penetrar más profundamente en la red, moviéndose lentamente e intentando evitar la detección. Esto se puede hacer subiendo una web shell u otro archivo de tipo .exe, y luego enviando comandos directamente a él una vez que se aloja. Todo lo que el usuario ejecute a través de su shell normalmente será ejecutado por el servidor, utilizando los niveles de permisos establecidos para la aplicación que lo aloja. Para el servidor, esos comandos provienen de la aplicación y es poco probable que sean verificados o examinados más a fondo.

Todo esto hace que la vulnerabilidad de acceso de archivos sin restricciones sea una de las más peligrosas para tener en tu red. Probablemente no sea una cuestión de si causará un problema, sino de cuándo.

¿Cómo elimino la vulnerabilidad de acceso de archivos sin restricciones?

Entonces, ¿cómo se resuelve el problema del acceso de archivos sin restricciones? La forma más sencilla es simplemente añadir una o varias restricciones sobre los tipos de archivos que se pueden subir. Estas pueden comunicarse al usuario si lo deseas; por ejemplo, informándole que el sitio solo aceptará archivos de Word o de texto, o en el caso de un sitio para compartir imágenes, solo archivos .jpg o .gif. En el backend, deberás crear una lista blanca de extensiones de archivo aceptables y denegar todo lo demás. También se deben establecer restricciones sobre la longitud máxima de los nombres de archivo. Si un archivo tiene caracteres especiales en el nombre, lo cual podría indicar un intento de activar un comando ejecutable, también debería ser rechazado.

Además de los tipos de archivo y las reglas de nomenclatura, también querrá restringir el tamaño máximo de cada archivo. Este límite debe ser razonable y adecuado para el tipo de archivo que la aplicación espera recopilar. Esto podría significar un tope de unos 10 megabytes para documentos de Word y algo mayor, quizás unos 50 megabytes, para archivos gráficos. También es posible establecer reglas de tamaño mínimo, pero solo si el rango de tamaño de los archivos esperados es bien conocido, como podría ser el caso si los usuarios completan y suben un formulario específico.

Los atacantes aún pueden encontrar una forma ingeniosa de colar un shell u otro programa potencialmente malicioso eludiendo las restricciones de tipo y tamaño. Para compensar, los archivos recopilados siempre deben almacenarse en un directorio privado sin privilegios de ejecución. Para mayor seguridad, el sistema puede renombrar los archivos con una serie de caracteres aleatorios. Esto evitaría que usuarios no autorizados fuera de la red busquen la ubicación de su archivo subido, lo que podría proporcionarles información sobre su red. Si hace esto, sin embargo, probablemente necesitará crear y mantener una tabla que vincule los nombres de archivo aleatorios con sus designaciones originales.

Por último, todo lo que llegue a la red mediante una carga debe ser analizado en busca de malware y virus por los programas defensivos que la organización utilice para esas tareas. Aunque esto no detectará todo, es una capa de seguridad importante que podría identificar hasta el 90 por ciento o más de los archivos maliciosos más comunes que intentan entrar a través de la carga de archivos.

Cómo restringir el problema de la carga de archivos sin restricciones

Una vez que se implementan varias capas de seguridad en el backend, el problema de la carga de archivos sin restricciones deja de ser un inconveniente. Básicamente, se elimina el problema al imponer restricciones a las cargas, por lo que ya no son "sin restricciones". Solo se permite la entrada de archivos seguros, mientras que los virus y el malware se quedan fuera.

Para seguir leyendo, puede consultar la hoja de trucos de prevención de carga de archivos sin restricciones de OWASP, que describe algunos de los problemas más comunes cuando se permite esta situación en una red. También puede poner a prueba sus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior, que entrena a equipos de ciberseguridad para convertirse en los mejores ciberguerreros. Para aprender más sobre cómo derrotar esta vulnerabilidad y una galería de otras amenazas, visite el blog de Secure Code Warrior.

¿Cree que está listo para enfrentar esta vulnerabilidad ahora mismo? Diríjase al campo de batalla y ponga a prueba sus habilidades: