Mantente al día de lo último en codificación segura
El panorama de las ciberamenazas cambia constantemente y mantenerse a la vanguardia es más importante que nunca. Con una variedad de vídeos, blogs y prácticas directrices de codificación segura, podemos ayudarte a mantenerte al día y preparado para lo que venga.
Nuestras directrices de codificación segura más recientes.
Uso de componentes con vulnerabilidades conocidas
{
"dependencies": {
"foo": "1.0.0 - 2.9999.9999",
"bar": ">=1.0.2 <2.1.2"
}
}
La mayoría de las aplicaciones utilizan una gran cantidad de componentes de terceros. Estos componentes proporcionan de todo, desde registro de eventos y plantillas hasta acceso a bases de datos y mucho más. Esto facilita enormemente el desarrollo de software y ahorra mucho tiempo. Sin embargo, también son creados por personas, lo que significa que algunos inevitablemente contendrán vulnerabilidades. Lea la guía para obtener más información.
Inyección SQL
import mysql.connector
db = mysql.connector.connect
#Mala práctica. ¡Evítala! Esto es solo para fines educativos.
(host="localhost", user="newuser", passwd="pass", db="sample")
cur = db.cursor()
name = raw_input('Enter Name: ')
cur.execute("SELECT * FROM sample_data WHERE Name = '%s';" % name) for row in cur.fetchall(): print(row)
db.close()
La inyección SQL (SQLi) inserta código en sentencias SQL para atacar y recopilar información importante de una aplicación. Es una vulnerabilidad de seguridad web. Se trata de la técnica de hackeo más común para manipular bases de datos y extraer información crucial de ellas.
Configuración de seguridad incorrecta
Muchos marcos de trabajo también cuentan con un conjunto de puntos finales que se pueden habilitar para permitir el monitoreo de la aplicación, ya sea en un entorno de producción o de prueba/desarrollo. Estos pueden incluir:
Métricas (Prometheus)
Registros
Información del entorno
Asignaciones de rutas/URL
La configuración de seguridad incorrecta es un término general que abarca vulnerabilidades comunes que surgen debido a los ajustes de configuración de una aplicación, más que por un código deficiente. Es un tema amplio que depende en gran medida de factores como su pila tecnológica. A menudo, solucionar estos problemas parece sencillo, como cambiar un archivo de configuración o incluso una sola línea de código, pero el impacto y las consecuencias de estas vulnerabilidades pueden ser graves. Lea nuestra guía para obtener más información sobre esta vulnerabilidad y cómo mitigarla.
Falsificación de solicitud del lado del servidor
ts
let url = request.params.url;
let response = http.get(url);
let render = response.render();
return render.export();
Las vulnerabilidades de falsificación de solicitud del lado del servidor (SSRF) ocurren cuando un usuario logra que una aplicación realice solicitudes HTTP a un dominio determinado por un atacante. Si la aplicación tiene acceso a redes privadas o internas, el atacante también podría hacer que la aplicación realice solicitudes a servidores internos. En esta guía, analizaremos esto más a fondo con algunos ejemplos para comprender mejor cómo se manifiesta en la práctica.
