Segurança de Aplicações Web
Posts tagged segurança
Entrar num PC com Windows!
Oct 28th
Aqui ficam listados três métodos possíveis sobre como entrar num PC a correr Windows e algumas formas de o evitar. Pode dar sempre jeito, quer se esteja do lado negro da força ou não.
Malware no Facebook
Oct 27th
Voltaram em força os ataques ao Facebook. Desta vez para distribuir malware para os incautos utilizadores do Facebook. Cuidado.
Se encontrarem uma coisa semelhante a estas no perfil dos vossos amigos, não carreguem em nenhum dos links.
Entretanto e depois de mais alguma pesquisa foi possível perceber um pouco melhor este ataque (que aliás já subsiste há muito tempo) e sobre a forma de o conseguir eliminar.
A cadeia de valor e os modelos de negócio dos hackers
Oct 19th
Andava eu pelas minhas deambulações nocturnas pelo ciber-espaço, quando descobri na Security Week um conjunto de quatro artigos muito interessantes sobre o mundo dos hackers (como eu detesto esta palavra e a conotação tão negativa que da mesma advém).
Neste conjunto de quatro artigos a autora tenta explicar um pouco melhor quais algumas das motivações económicas e pessoais para toda uma “indústria” de hacking (podemos chamar-lhe indústria, como nos podemos referir a ela por submundo, ou ainda mafia – ou qualquer outro termo que queiramos aqui colocar), que tem vindo a florescer ao longo dos últimos anos.
Acho que os artigos são interessantes, e pintam um pouco a big-picture deste universo. Ficam por isso aqui os quatro links para os artigos:
- Staring into the Eye of the Beast – Hackers are One Step Ahead
- The Sctructure of a Cybercrime Organization – Hackers Have Supply Chains Too!
- Protecting Data from The Automated Cyber-Mafia
- An Inside Look at Hacker Business Models
Evercookie pode ser removido…
Oct 19th
Afinal o Evercookie do Samy Kamkar já pode ser removido. Todos nós que navegamos na WWW, em especial quem percebe minimamente como a mesma funciona, nos preocupamos com a forma como os sites que visitamos recolhem a nossa informação.
A forma mais simples de recolha dessa informação, é através de um mecanismo designado por cookie, que não é mais do que um pequeno ficheiro de texto que o nosso browser guarda quando visitamos um determinado site.
E para que serve? Serve essencialmente para que o site que é visitado possa ter alguma informação do visitante e para que o mesmo o possa acompanhar, oferecendo-lhe uma melhor experiência de serviço. No entanto, se por um lado, a utilização de cookies é um dos mecanismos que permite que a Web possa ser um pouco mais user-friendly, por outro, coloca em causa a privacidade do utilizador, em especial quando é usada para fins menos próprios.
O Samy Kamkar (sim esse mesmo que consegue descobrir as vossas namoradas, mesmo as que as não têm) desenvolveu um método que permite criar cookies ainda mais poderosos que ele designou por “Evercookie”. Basicamente um “Evercookie” é (ou pretende ser) um cookie ultra-persistente nas máquinas dos utilizadores, e que não possa ser simplesmente eliminado. De acordo com a própria descrição na página do Samy:
evercookie is a javascript API available that produces extremely persistent cookies in a browser. Its goal is to identify a client even after they’ve removed standard cookies, Flash cookies (Local Shared Objects or LSOs), and others.
evercookie accomplishes this by storing the cookie data in several types of storage mechanisms that are available on the local browser. Additionally, if evercookie has found the user has removed any of the types of cookies in question, it recreates them using each mechanism available.
Ao que parece, uns investigadores na África do Sul já conseguiram descobrir como acabar com a persistência deste super-cookie. No entanto descobriram outro facto importante: é que se este cookie já era persistente nos browsers que usamos no desktop, então no Mobile Safari do iOS, é muito mais difícil a sua detecção e correspondente eliminação.
Se os problemas de privacidade no mundo da Web mais voltada para o desktop já apresentava desafios muito interessantes, imaginem o que pode fazer com todo o poder computacional portátil que por aí circula – smartphones, tablets, entre outros – e a forma como pode afectar os utilizadores dos mesmos.
É sem dúvida um manancial de oportunidades tanto duma perspectiva de negócio, como pode ser um veículo de recolha de informação, de forma não autorizada, com maior qualidade e em maior quantidade.
Arachni – nova ferramenta de detecção de vulnerabilidades de aplicações web
Jul 16th
Aqui fica mais uma ferramenta para detecção automática de vulnerabilidades em aplicações web, desenvolvida em Ruby. Esta ferramenta chama-se Arachni.
Está ainda numa fase de desenvolvimento muito intenso, mas pode ser mais uma ferramenta importante a juntar ao rol das existentes.
Desenvolvimento Seguro com a Zend Framework
Jul 15th
Aqui fica um link para um webinar promovido pela Zend sobre um conjunto de boas práticas para o desenvolvimento em segurança usando a Zend Framework.
É necessário o registo no site da Zend, mas vale a pena.
OWASP Top 10 para programadores .Net
Jul 15th
O Bruno Morisson partilhou hoje na ML da InfoSec-Pros-PT um link muito interessante – um conjunto de artigos num blog de um tal de Troy Hunt, um arquitecto de software.
Nesta série de artigos, são abordados os diversos riscos identificados pelo OWASP Top 10, sendo explicados detalhadamente cada um deles, com exemplos, numa perspectiva de um programador de .Net.
Para já, já existem os seguintes artigos sobre três dos principais riscos:
Armazenamento de Informações de Sessões Cifradas
Jul 14th
Aqui fica uma boa dica sobre guardar informação de sessões em PHP, de uma forma cifrada. Vale a pena uma olhadela!
Apresentação na World Internet Project 2010 (WIP2010)
Jul 6th
O World Internet Project (WIP) é um projecto internacional e colaborativo que olha para o impacto social, político e económico da Internet e de outras novas tecnologias.
O WIP reuniu-se em Lisboa, no ISCTE-IUL, no seu 11º encontro anual, a ter lugar entre 6 e 8 de Julho, e juntou um conjunto de pessoas de todo o mundo que discutem alguns dos problemas com a actual Internet.
Estive lá, e fiz uma apresentação muito sucinta de alguns dos problemas da WWW, e do OWASP.
Aqui está a apresentação.
Nova versão da ferramenta OWASP JBroFuzz
Jul 1st
Foi lançada uma nova versão da ferramenta JBroFuzz a ser desenvolvida num dos projectos patrocinados pela OWASP.
Ok, mas o que é isto do Fuzzing e para que serve?
Nada melhor do que usar a definição na Wikipedia, que define o Fuzz testing ou fuzzing como sendo uma técnica de testes a software que passa input inválido, inesperado e aleatório para uma determinada aplicação de software. Se o programa falhar (por exemplo se crashar), é possível detectar os defeitos do mesmo.
No caso específico do JBroFuzz, trata-se de um fuzzer específico para aplicações web. O JBroFuzz pode ser utilizado para enviar pedidos fuzzing para aplicações web, através do protocolo HTTP ou HTTPS.
A ferramenta gera pedidos, envia-os para a aplicação em cause e regista as respostas que recebe de volta. Não tenta identificar se um determinado site é vulnerável ou não, necessitando depois intervenção e análise manual.
Mais uma ferramenta da OWASP, a juntar à colecção de excelentes recursos disponibilizados gratuitamente pela organização.
