Presentación en el marco de la Semana Internacional de la Seguridad Informática 2008 brindada en Concepción del Uruguay el 27/11/2008

1. Seguridad en Aplicaciones Web Prof. Ing. Gabriel E. Arellano http://www.gabriel-arellano.com.ar/charlas/ Semana Internacional de la Seguridad Informática 2008 U.T.N. - F.R. C. del Uruguay

3. Introducción a las aplicaciones web.

4. Amenazas a las aplicaciones web.

5. Algunos ejemplos.

6. Demostración en vivo.

7. Recursos y lecturas adicionales.

8. Aplicaciones Web Qué son las aplicaciones web? páginas estáticas? páginas dinámicas? páginas activas? CGI? (X)HTML? Webservices? HTTP? XML? DHTML? Javascript? AJAX?

9. Aplicaciones Web Ciclo solicitud-respuesta Solicitud + Datos HTTP (GET - POST), Variables de Sesión Respuesta (X)HTML+CSS, XML+XSLT

11. Lenguaje(s) / Framework.

12. Servidor web.

13. Servidor de base de datos.

14. Navegador Web.

16. Problemas de autenticación.

17. Problemas de manejo de sesiones.

19. Cross Site Scripting (XSS).

20. Buffer Overflow.

21. Vulnerabilidades Demostración de algunos problemas de validación de datos.

23. Nunca asuma que la información proviene de la aplicación.

24. “Sanear” las entradas de usuario.

25. Validar en el servidor.

26. Ocultar errores y fallar en seguro.

28. Ataques de fuerza bruta.

29. Buffer Overflow.

30. Abuso del “recordar contraseña”

32. Variables de sesión expuestas.

33. Cross Site Request Forgery.

34. Cross Site Request Forgery Política del “mismo origen” document, cookies bank.com blog.net JS

35. Cross Site Request Forgery Por ejemplo colocando en blog.com: <p> Parece una simple página con un poco de texto, no? <img src=&quot;http://bank.com/transfer.php?monto=9000&dest=123&quot; width= &quot; 0 &quot; height=&quot;0&quot; /> </p>

36. Cross Site Request Forgery Ataque a una red “segura”

37. Vulnerabilidades Demostración de un ataque de CSRF.

39. Usar GET de manera apropiada.

40. Usar tokens y TTLs.

41. Reautenticar en el cliente usando AJAX.

43. “ OWASP Code Review Guide”. “ SQL Injection Attacks by Example” http://unixwiz.net/techtips/sql-injection.html

44. Gracias ! Prof. Ing. Gabriel E. Arellano http://www.gabriel-arellano.com.ar/charlas/ (2008) Gabriel E. Arellano Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.2 or any later version published by the Free Software Foundation; with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. The GNU Free Documentation License as applicable to this document can be found at: http://www.gnu.org/copyleft/fdl.html