Después de un tiempo en versión Release Candidate de la que nos habló Chema Alonso, finalmente ya ha sido publicada la lista definitiva de los 10 mayores problemas de seguridad en aplicaciones web de 2013 . Este año la lista definitiva es la siguiente:

• A1 Injection (Inyección)
• A2 Broken Authentication and Session Management (Manejo de sesiones y autenticación rota)
• A3 Cross-Site Scripting (XSS)
• A4 Insecure Direct Object References (Referencia directa a objectos insegura)
• A5 Security Misconfiguration (Errores de configuración)
• A6 Sensitive Data Exposure (Exposición de datos sensibles)
• A7 Missing Function Level Access Control (Falta de control de nivel a de acceso a funciones)
• A8 Cross-Site Request Forgery (CSRF)
• A9 Using Known Vulnerable Components (Uso de componentes vulnerables)
• A10 Unvalidated Redirects and Forwards (Falta de validación de redirecciones)

Podéis acceder al informe completo en formato PDF o a través de su wiki.

PentesterLab nos deleitan con un nuevo tutorial sobre inyección de SQL. En este caso llamado From SQL injection to the shell II.

En el mismo aprenderemos:

• Explotación por inyección de SQL a ciegas usando explotación basada en el tiempo (Blind SQL injection exploitation using time-based exploitation)
• Ejecución de código usando una shell web PHP

Como en los tutoriales anteriores, se nos provee:

• Documento PDF con las instrucciones
• Imagen ISO para sistemas de 32 y 64 bits.

Todo lo que necesitas es:

• Software de virtualización
• Buen conocimiento de SQL
• Buen conocimiento de HTTP
• Conocimiento básico de PHP
• Ganas y tiempo :)

Teensy es un dispositivo USB programable, que entre otras cosas se puede usar para emular un teclado.

Con un dispositivo Teensy 3.0, han conseguido poder hacer un ataque por fuerza bruta a la pantalla de restricción en iOS, concretamente en un iPad (parece ser que no se puede conectar un teclado externo a un iPhone). En dicha pantalla de restricción, cuando introduces el código PIN incorrectamente varias veces, el sistema inhabilita el teclado virtual, 1 minuto, 5 minutos, 15 minutos, etc por cada intento fallido, pero el problema o más bien vulnerabilidad surge cuando la entrada se hace por un teclado externo.

El escribir código fuente limpio y bien estructurado es crucial en el desarrollo de una aplicación y sobre todo en su mantenimiento.

En esta plantilla (PDF) podemos encontrar cuatro páginas llenas de QUE y QUE NO hacer a la hora de diseñar e implementar nuestra aplicación.

Está dividida en cuatro secciones:

• Código limpio
• Diseño de paquetes y clases
• Desarrollo dirigido por tests
• Desarrollo dirigido por tests de aceptación

Si te dedicas al desarrollo de software te recomendaría que le echases un vistazo porque este llena de buenos consejos.

Fuente

 

Si tienes más de 18 años, puedes ver el vídeo oficial … brutal …

Spotify y GrooveShark.

Si el otro día hablábamos de la disponibilidad del material de la DEF CON 20, hoy os hablamos de una nueva página que han creado en la web de la DEF CON llamada DEF CON Torrent Links, dónde podemos descargarnos todo el material de cada una de las ediciones de esta conferencia, más algún material extra a través de ficheros torrent.

Estos son todos los enlaces a los ficheros torrent:

Imagen, SecureList

Al menos eso comenta Roman Unuchek de los laboratorios de Kaspersky.

Su nombre es:

“Backdoor.AndroidOS.Obad.a”

Lo que les llamó más la atención del troyano era que nada más prepararlo para su análisis fue que todas las cadenas en el fichero DEX estaban cifradas y además el código estaba ofuscado.

Se aprovecha de varios agujeros de seguridad (exploits) aún no documentados de Android lo que hace que sea muy difícil de analizar. Es capaz de enviar SMS a números de servicios de pago, descargar otro malware e instalarlo en el dispositivo, enviar también malware vía Bluetooh, ejecutar comandos remotos desde la consola, vamos toda una pesadilla. En cuanto se instala intenta obtener privilegios de administrador (root)  y se oculta de forma que no se muestra como una aplicación con dichos derechos, pasando desapercibida al usuario.

Según la wikipedia:

En óptica, un prisma es un objeto capaz de refractar, reflejar y descomponer la luz en los colores del arco iris.

La mayoría de nosotros sabemos creemos que los gobiernos nos espían y quizás la agencia más poderosa del mundo dedicada a dicha actividad sea la Agencia de Seguridad Nacional de los EEUU o NSA (Natinal Security Agency).

También todos sabemos creemos las compañías más grandes que gobiernan internet colaboran con dicha agencia, aunque todas ellas se nieguen.

En su día publicamos ya comentamos aquí sobre la disponibilidad de las presentaciones, “vídeopositivas” y del audio de la DEFCON 20 y no hace mucho en el blog de Chema Alonso veíamos que ýa había puesto disponible los vídeos con el montaje del presentador y las diapositivas.

Y ahora ya podemos descargarno todo el material a través de este fichero torrent y si además qieres ver algunas fotos del evento, desde este otro torrent te las puedes descargar.