Public missions & guidelines

Secure Coding Made Practical

Explore secure coding guidelines to understand and mitigate software vulnerabilities like the OWASP Top 10, and dive into guided training Missions to practices in real-world app simulations.

book a demo
Misiones públicas
Pautas

Browse all missions

Tabla de contenido

Inyección SQLSpring MVC Request MatchersTrojan Source: uso de componentes de fuentes no confiablesFirmas psíquicas: uso de componentes vulnerables conocidosApache Path Traversal: uso de componentes vulnerables conocidosCodestashbin - Función de restablecimiento de contraseña inseguraLog4j: uso de componentes vulnerables conocidosSecuencias de comandos entre sitios (XSS) en 'ChatterGPT'
Ver más
Escalable y atractivo

Inyección SQL

try now
Escalable y atractivo

Spring MVC Request Matchers

try now
Escalable y atractivo

Firmas psíquicas: uso de componentes vulnerables conocidos

try now
Escalable y atractivo

Apache Path Traversal: uso de componentes vulnerables conocidos

try now
Escalable y atractivo

Log4j: uso de componentes vulnerables conocidos

try now
Escalable y atractivo

Trojan Source: uso de componentes de fuentes no confiables

try now
Escalable y atractivo

Codestashbin - Función de restablecimiento de contraseña insegura

try now
Escalable y atractivo

Secuencias de comandos entre sitios (XSS) en 'ChatterGPT'

try now

Browse all guidelines

Navegar por:
Ocultar filtros
Selection
Mostrar filtros
Selection
Borrar filtros
Etiqueta
Super Icon [★]
Tema
Ver más

Registro y supervisión insuficientes

Mejores prácticas:

Registro de auditoría para funciones sensibles
Registro de errores
Almacenamiento de registros en una ubicación centralizada
Conserve los registros durante un período de tiempo definido
Audite regularmente los registros de PII

El registro y la supervisión suelen ser una idea tardía cuando algo ya ha salido mal, pero en realidad, no garantizar que se lleve a cabo un registro y una supervisión adecuados puede resultar muy costoso. Por un lado, cuando se produce un incidente (ya sea relacionado con la seguridad o no), tener pocos registros o ninguno hace que sea imposible averiguar qué es lo que realmente ha ocurrido. En el otro extremo, registrar demasiados datos puede generar problemas de privacidad y, a su vez, provocar problemas con los reguladores. Lea nuestra guía sobre las mejores prácticas para evitar un registro y una supervisión insuficientes.

view guidelines

Uso de componentes con vulnerabilidades conocidas

{
«dependencias»: {
«foo»: «1.0.0 - 2.9999.9999",
«barra»: «>=1.0.2 <2.1.2»
}
}

La mayoría de las aplicaciones utilizan grandes cantidades de componentes de terceros. Estos componentes proporcionan todo tipo de funciones, desde el registro, la creación de plantillas, el acceso a las bases de datos y mucho más. Esto facilita mucho el desarrollo de software y ahorra mucho tiempo. Pero también están hechos por personas, lo que significa que algunos inevitablemente contendrán vulnerabilidades. Lea la guía para obtener más información.

view guidelines

Inyección SQL

importar mysql.connector
db = mysql.connector.connect
Práctica #Bad. ¡Evita esto! Esto es solo para aprender.
(host="localhost», user="newuser», passwd="pass», db="sample»)
cur = db.cursor ()
name = raw_input ('Ingresar nombre: ')
cur.execute («SELECT * FROM sample_data WHERE Name = '%s';»% name) para la fila de cur.fetchall (): print (row)
db.cerrar ()

La inyección SQL (SQLi) inyecta código en las sentencias SQL para atacar y recopilar información importante de una aplicación. Es una vulnerabilidad de seguridad web. Es la técnica de hackeo más común que manipula la base de datos y extrae información crucial de ella.

view guidelines

Configuración incorrecta de seguridad

Muchos marcos también tienen un conjunto de puntos finales que se pueden habilitar para monitorear la aplicación, ya sea en un entorno de producción o de prueba/desarrollo. Estos pueden incluir:

Métricas (Prometheus)
Registros
Información sobre el entorno
Mapeos de ruta/URL

La configuración incorrecta de seguridad es una especie de término general que abarca las vulnerabilidades comunes que entran en juego debido a los ajustes de configuración de una aplicación, en lugar de a un código incorrecto. Se trata de un tema muy amplio y depende en gran medida de factores como la tecnología de que dispongas. A menudo, abordar estos problemas es algo que parece sencillo, como cambiar un archivo de configuración o incluso una sola línea de código, pero el impacto y las consecuencias de estas vulnerabilidades pueden ser graves. Lea nuestra guía para obtener más información sobre esta vulnerabilidad y cómo mitigarla.

view guidelines

Falsificación de solicitudes del lado del servidor

ts
let url = request.params.url;

let response = http.get (url);
let render = response.render ();

devuelve render.export ();

Las vulnerabilidades de falsificación de solicitudes del lado del servidor se producen cuando un usuario puede hacer que una aplicación realice solicitudes HTTP a un dominio determinado por el atacante. Si una aplicación tiene acceso a redes privadas o internas, un atacante también podría provocar que la aplicación realizara solicitudes a servidores internos. En esta guía, analizaremos esto más detenidamente con algunos ejemplos para entender mejor cómo se ve en acción.

view guidelines

Almacenamiento de contraseñas

Feature Cryptographic hash Password hash Speed Very fast Intentionally slow Work factor can be adjusted No Yes

Si tu aplicación es auténtica para los usuarios, lo más probable es que también se ocupe de las contraseñas. Gestionar las contraseñas de los usuarios es un asunto muy importante y gestionarlas de forma adecuada lo es aún más. Es difícil imaginar un escenario peor que el ataque a una aplicación y la filtración de las contraseñas de los usuarios a través de Internet para que todos las vean. ¿Cómo se pueden almacenar las contraseñas de forma segura y de acuerdo con las mejores prácticas? Vamos a echar un vistazo a algunas maneras.

view guidelines

Asignación masiva

html
<form method="POST">
<input name="Id" type="hidden" value="666">
<input name="Name" type="text" value="Bad guy">
<input name="EmailAddress" type="text" value="hacker@attacker.com">
<input name="IsAdmin" type="hidden" value="true">
<input type="submit">
</form>

La asignación masiva es una vulnerabilidad en la que los puntos finales de la API no restringen qué propiedades de su objeto asociado puede modificar un usuario. Esta vulnerabilidad se puede producir cuando se utiliza una biblioteca o marco que permite vincular automáticamente los parámetros HTTP a un modelo que, a continuación, se utiliza sin ningún tipo de validación. En ocasiones, el uso del enlace automático de una solicitud a un objeto puede resultar extremadamente útil, pero también puede provocar problemas de seguridad si el modelo tiene propiedades que no están pensadas para que el usuario pueda acceder a ellas. Lea la guía para obtener más información.

view guidelines

Error de configuración de seguridad: XXE detallado

xml
<?xml version="1.0" ?>
<!DOCTYPE outerElement [
   <!ENTITY externalEntity SYSTEM  "file:///etc/passwd" > ]>
<outerElement>&externalEntity;</outerElement>

La clase de vulnerabilidad «XML External Entities» (XXE) es un error de configuración de seguridad que involucra a los analizadores XML. El estándar XML incluye formas de hacer referencia a «entidades», como archivos y URL. Los analizadores suelen resolver completamente las entidades externas de forma predeterminada, lo que significa que los documentos XML pueden dar lugar a la revelación de archivos y otra información confidencial a posibles atacantes. Lea la guía completa para obtener más información.

view guidelines

Inyección: recorrido de trayectoria

falso
let BaseFolder = «/var/www/api/documents/»;
let path = baseFolder + request.params.filename;

devuelve el archivo.read (ruta);

Path Traversal es otro tipo de vulnerabilidad de inyección bastante común. Suelen ocurrir cuando la construcción de un URI (ya sea para una URL, una ruta de archivo u otro tipo) no garantiza adecuadamente que la ruta completamente resuelta no apunte fuera de la raíz de la ruta deseada. El impacto de una vulnerabilidad de cruce de rutas depende en gran medida del contexto en el que se produce el cruce y del grado de fortalecimiento general que se le haya aplicado. Lee la guía para obtener más información.

view guidelines

Autenticación y autorización

cs

//Asegúrese de que el comportamiento predeterminado es autenticar las solicitudes y comprobar si son de administrador
[Autenticar]
[Autorizar («Administrador»)]
clase pública SecureController: Controller
{

}

clase pública MyController: SecureController
{

//Anula el atributo Authorize heredado para permitir que cualquier usuario acceda a la página

view guidelines

Inyección - XSS

```html
<!--- UNSAFE: The htmlSnippet will get interpreted without any escaping --->
@Html .Raw (fragmento HTML)
```

El Cross-Site Scripting, también conocido como XSS, es otro tipo de vulnerabilidad de inyección que lleva a la evaluación de un script controlado por un atacante en el navegador de otro usuario. El XSS también puede considerarse una vulnerabilidad de inyección de HTML/JavaScript. Veamos los tipos de XSS que puedes encontrar.

view guidelines

Inyección 101

Algunos de los tipos de inyección más comunes son:

Inyección SQL
Secuencias de comandos entre sitios (HTML/Javascript injection)
Ruta transversal (inyección de ruta/URL)
Inyección de comandos
Inyección de código

Una de las clases de vulnerabilidades más conocidas suelen ser las vulnerabilidades de inyección, especialmente, y no sorprende a nadie, la indiscutible hija del póster: la inyección SQL. Es difícil evitar oír hablar de la inyección de SQL en el mundo de la tecnología, así que ahora vamos a hablar de ello. Siga leyendo para obtener una breve introducción a los defectos de la inyección.

view guidelines

Cargue de archivos

cadena pública Cargar imagen de perfil (archivo de formulario archivo subido)
{
//Generar la ruta para guardar el archivo subido en
var path = $». /uploads/avatars/ {request.user.id}/{UploadedFile.filename}»;

//Guarda el archivo
var localFile = archivo.openWrite (ruta);
LocalFile.write (UploadedFile.readToEnd ());
archivo local.flush ();
local.close file ();

//Actualiza la imagen de perfil
UserProfile.UpdateImagen de perfil de usuario (request.user, ruta)

ruta de regreso;
}

Es muy común que las aplicaciones, en algún momento u otro, necesiten permitir a los usuarios cargar un archivo (ya sea para usarlo o solo para almacenarlo) en algún lugar de la aplicación. Si bien parece bastante sencillo, la forma en que se implementa esta función puede ser bastante crítica debido a los posibles riesgos asociados a la forma en que se gestionan las subidas de archivos. Lee la guía para obtener más información.

view guidelines

Inyección de comandos

let ip = request.params.ipAddress;

sistema («ping" + ip);

Veamos Command Injection por sí solo. Nos centraremos principalmente en algunos ejemplos diferentes para que sea más fácil ver cómo se ve en acción. Por lo tanto, como repaso rápido, las vulnerabilidades de la inyección de comandos se producen cuando la entrada del usuario utiliza parte de un comando del sistema operativo. Lea la guía para obtener más información.

view guidelines