Está ainda numa fase de desenvolvimento muito intenso, mas pode ser mais uma ferramenta importante a juntar ao rol das existentes.

É necessário o registo no site da Zend, mas vale a pena.

Nesta série de artigos, são abordados os diversos riscos identificados pelo OWASP Top 10, sendo explicados detalhadamente cada um deles, com exemplos, numa perspectiva de um programador de .Net.

Para já, já existem os seguintes artigos sobre três dos principais riscos:

• Injecção
• Cross-Site Scripting (XSS)
• Quebra de Autenticação e da Gestão de Sessões

O WIP reuniu-se em Lisboa, no ISCTE-IUL, no seu 11º encontro anual, a ter lugar entre 6 e 8 de Julho, e juntou um conjunto de pessoas de todo o mundo que discutem alguns dos problemas com a actual Internet.

Estive lá, e fiz uma apresentação muito sucinta de alguns dos problemas da WWW, e do OWASP.

Aqui está a apresentação.

Ok, mas o que é isto do Fuzzing e para que serve?

Nada melhor do que usar a definição na Wikipedia, que define o Fuzz testing ou fuzzing como sendo uma técnica de testes a software que passa input inválido, inesperado e aleatório para uma determinada aplicação de software. Se o programa falhar (por exemplo se crashar), é possível detectar os defeitos do mesmo.

No caso específico do JBroFuzz, trata-se de um fuzzer específico para aplicações web. O JBroFuzz pode ser utilizado para enviar pedidos fuzzing para aplicações web, através do protocolo HTTP ou HTTPS.

A ferramenta gera pedidos, envia-os para a aplicação em cause e regista as respostas que recebe de volta. Não tenta identificar se um determinado site é vulnerável ou não, necessitando depois intervenção e análise manual.

Mais uma ferramenta da OWASP, a juntar à colecção de excelentes recursos disponibilizados gratuitamente pela organização.

Aqui fica a lista:

1. Prevenir que informação desnecessária seja mostrada
   
2. Forçar a utilização de SSL
   
3. Usar o .htaccess para proteger o ficheiro wp-config
   
4. Banir bots e utilizadores não desejados
   
5. Proteger o blog WordPress de injecções de scripts
   
6. Lutar contra os usurpadores de conteúdos
   
7. Criar um plug-in para proteger o blog contra pedidos maliciosos de URL
   
8. Remover o número de versão do WordPress
   
9. Alterar o nome do utilizador “Admin” que vem configurado por defeito
   
10. Impedir a navegação em directorias
    

Eu vou lá estar…

Estou particularmente interessado nas seguintes sessões:

• 100% hands-on W3AF
  
• DDos
  

Podem consultar a agenda aqui, assim como podem ver o cartaz do evento aqui.

Depois conto como foi.

O estudo foi conduzido com o objectivo de perceber os riscos de sites de web inseguros e como as organizações estão a lidar com as ameaças internas e externas. O estudo revela que apesar de muitas organizações terem algumas das suas aplicações críticas de negócio acessíveis através dos seus sites web, as mesmas não conseguem envolver os recursos necessários para garantir a protecção e segurança destas aplicações web que são importantes nas suas operações. Isto é particularmente preocupante se considerarmos que a camada aplicacional é um dos alvos preferidos de atacantes.

O estudo envolveu cerca de 638 empresas dos Estados Unidos e um conjunto de empresas de segurança. O estudo revela que os sites web estão em risco pelos seguintes motivos:

• 70% dos inquiridos não acreditam que as suas organizações reservem e invistam os recursos suficientes para garantir a segurança e proteger as suas aplicações Web críticas;
  
• 34% de vulnerabilidades urgentes e críticas não são resolvidas;
  
• 38% acreditam que será necessário mais do que 20h de tempo de programação (em média) para resolver uma vulnerabilidade;
  
• 55% dos inquiridos acreditam que os programadores estão demasiado ocupados para responderem aos problemas de segurança detectados.

É um estudo muito interessante, e com resultados igualmente interessantes.

Aconselha-se a leitura do mesmo. Aqui.

O Jarlsberg é portanto uma aplicação web inerentemente insegura, um pouco à semelhança do que acontece com o Webgoat da OWASP, que serve para demonstrar como funcionam os mais diversos ataques a aplicações Web. A ferramenta está organizada em diversos laboratórios de teste, que permitem que alguém possa ir evoluindo no estudos dos mesmos. É possível usar técnicas de black box hacking e de white box hacking para ir explorando as múltiplas vulnerabilidades da aplicação, que vai desde cross-site scripting e cross-site request forgery a perdas de informação, negação de serviços e execução remota de código.

O Jarlsberg funciona integralmente online, sobre o Google AppEngine, foi escrito em Python, e constitui-se assim como excelente recurso de formação e de treino nesta área. Ao longo de diversas lições devidamente explicativas e claras, e com a ajuda da ferramenta da Google, o utilizador irá perceber um pouco melhor todo este contexto de segurança aplicacional para a Web.

Vale a pena ver.