hacking the web for fun and profit ¡y sin ir a la cárcel!
TRANSCRIPT
Hacking the web for fun and profit
¡Y sin ir a la cárcel! Hack & Beers Valencia
18/11/2014
$ whoami
Florencio Cano Gabarda
CEO de SEINHE
Ingeniero Superior en Informática
CISA, CEH, IRCA 27001 Lead Auditor, Perito judicial informático
@florenciocano
www.seinhe.com
¿Qué vamos a ver?
Cómo hacer dinero hackeando webs…legalmente
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
¿Qué es el hacking?
The Fappening
H.S. Detenido
Definición de la RAE
pirata informático. Traducción recomendada para la voz inglesa hacker, ‘persona con grandes habilidades en el manejo de ordenadores, que utiliza sus conocimientos para acceder ilegalmente a sistemas o redes ajenos’: «Un pirata informático logró jaquear los sistemas de seguridad» (Clarín@ [Arg.] 19.6.05).
Mi definición de hacker
Persona que emplea la inteligencia, la asociación de ideas aparentemente disociadas y el pensamiento lateral para encontrar soluciones elegantes a problemas únicos que no han sido resueltos antes o para resolver problemas conocidos de manera más elegante, más rápida, utilizando menos recursos, etc.
El hacker informático
• Utiliza los recursos disponibles de manera elegante y óptima
• Identifica problemas de manera ingeniosa y los resuelve utilizando el método más inteligente posible
• Pueden ser problemas de seguridad, hardware, software…
Beneficios para la sociedad
• Identificación de fallos públicamente desconocidos
• Concienciación
• Desarrollo de profesionales
¡Un aplauso por los auténticos hackers!
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
Doom en una impresora
Señales de tráfico
Señales de tráfico
Señales de tráfico
Aviones
¿El vuelo de desaparecido del Malaysian Airlines?
Cajeros automáticos
Webs
Todas las webs tienen peligro
• Distribuir malware
• Zombies para ataques de DDoS
• Ocultación de la identidad para cometer delitos
• Robo de información sensible
Drupaggedon (CVE-2014-3704)
• Drupal utiliza un API para abstracción de consultas SQL
• Una vulnerabilidad en dicha API permite inyectar SQL
• Dicha API y consultas vulnerables están disponibles sin que el usuario esté autenticado
Drupaggedon (CVE-2014-3704)
• Drupal utiliza un API para abstracción de consultas SQL
• Una vulnerabilidad en dicha API permite inyectar SQL
• Dicha API y consultas vulnerables están disponibles sin que el usuario esté autenticado
¿Cuántos Drupal hay?
¿Cómo encuentran los atacantes sitios Drupal?
¿Cómo encuentran los atacantes sitios Drupal?
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
El protocolo HTTP
http://www.ntu.edu.sg/home/ehchua/programming/webprogramming/HTTP_Basics.html
ZAP – Zed Attack Proxy
DEMO
Arachni
DEMO
SQL Map
DEMO
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
OWASP Top 10
• A1. Inyección • A2. Gestión de autenticación y/o sesión vulnerable • A3. Cross-Site Scripting (XSS) • A4. Referencias directas a objetos inseguras • A5. Configuración vulnerable • A6. Divulgación de información sensible • A7. Control de acceso a nivel de función • A8. Cross Site Request Forgery (CSRF) • A9. Componentes con vulnerabilidades conocidas • A10. Redirecciones no validadas
A1. Inyección
DEMO con SQLmap
A2. Gestión de autenticación y/o sesión vulnerable
A3. Cross-Site Scripting (XSS)
DEMO en DVWA
A4. Referencias directas a objetos inseguras
A5. Configuración vulnerable
DEMO con dirs3arch
A6. Divulgación de información sensible
A6. Divulgación de información sensible
A7. Control de acceso a nivel de función
A8. Cross Site Request Forgery (CSRF)
DEMO en DVWA
A9. Componentes con vulnerabilidades conocidas
A10. Redirecciones no validadas
ROADMAP
1. ¿QUÉ ES EL HACKING?
2. ¿QUÉ SE HACKEA?
3. HERRAMIENTAS BÁSICAS
4. MANOS A LA OBRA – OWASP TOP 10
5. EVADIENDO LA CARCEL FOR FUN AND PROFIT
Bugbounties: Bugcrowd
Bugbounties: Bugcrowd
Bugbounties: Bugcrowd
Bugbounties: Bugcrowd
¿Preguntas?