Baixado 32 vezes
Carregado porWalter Dias
As 10 maiores falhas de segurança e como executá-las
O documento apresenta as 10 principais falhas de segurança segundo a OWASP (Open Web Application Security Project) e como executá-las, incluindo injeção, cross-site scripting, autenticação e gerenciamento de sessão falhos, referências de objetos diretos inseguras, falsificação de solicitação entre sites, configuração insegura, armazenamento criptográfico inseguro, falha em restringir acesso a URLs, proteção insuficiente na camada de transporte e execução maliciosa de arquivos. O documento discute cada falha
Mais conteúdo relacionado
As 10 maiores falhas de segurança e como executá-las
- 1.
- 2. As 10 maioresfalhas de segurança e como executá-las.Walter Diastwitter: @walterbh
- 3.
- 4.
- 5. A02 - Cross-SiteScripting (XSS)
- 6. A03 - BrokenAuthentication and Session Management
- 7. A04 - InsecureDirect Object References
- 8. A05 - CrossSite Request Forgery (CSRF)
- 9. A06 - SecurityMisconfiguration
- 10. A07 - InsecureCryptographic Storage
- 11. A08 - Failureto Restrict URL Access
- 12. A09 - Insufficient Transport Layer Protection
- 13. A10 - MaliciousFile Execution
- 14.
- 15.
- 16. Tem como finalidadeauxiliar o ALM no que tange segurança.
- 17. Segundo o OWASPexistem no mínimo 300 falhas que afetam a WEB.
- 18. Sobre o OWASPTop 10.
- 19. Publicações adicionais.A01 -InjectionO que éÉ uma técnica que visa introdução de elementos.Tipos de InjeçãoSQLScriptXMLLDAPQuem já sofreu
- 20. DemoA02 – Cross-SiteScripting (XSS)O que éÉ uma técnica injeção.DetecçãoFácil desde que...Difícil quando...Quem já sofreu
- 21. DemoA03 - BrokenAuthentication and Session ManagementO que éOcorre quando o invasor toma posse das informações sensíveis para se passar pelo usuário do sistema.Execução...Fácil quando...Difícil quando...DemoA04 - InsecureDirectObjectReferencesO que éEsse problema ocorre quando um usuário consegue acessar um recurso em um sistema, ao qual ele não possui permissão, através de um acesso direto a este recurso.ExecuçãoFácil quando...Moderado quando...Quem já sofreu
- 22. DemoA05 - CrossSite Request Forgery (CSRF)O que éAtravés de uma URL alterada, o invasor força o usuário a realizar uma operação não desejada.É conhecido também como:one-click attackFácil de se executar uma vez se conheça o contexto de negocio.
- 23. DemoA06 - SecurityMisconfigurationO que éOcorre quando o invasor do sistema devido a uma falha de configuração do mesmo, expõem dos que permite que um usuário do sistema tenha acesso ou permissão de alteração em informações não cabíveis a ele.Considerado como porta de entrada para possíveis “exploits”.
- 24. DemoA07 - InsecureCryptographicStorageOque éArmazenar dados sensíveis na base de dados é sempre um desafio e deve ser considerado ao máximo. Quando esse tipo de dados for armazenado sem a devida proteção, um invasor ou até mesmo um usuário do sistema pode se apossar dessas informações.Justificativa através de falsas considerações.
- 25. DemoA08 - Failureto Restrict URL AccessO que éSemelhante ao item 4, essa vulnerabilidade consiste no invasor acessar diretamente uma URL que não possui acesso.Segurança por obscuridade.
- 26. DemoA09 - InsufficientTransportLayerProtectionOque éOcorre quando o invasor consegue monitorar os dados trafegados em uma rede, interceptando as informações sensíveis que não possuem proteção.Facilmente executado em conjunto com o ataque “MaliciousFile Execution”.
- 27. DemoA10 - MaliciousFile ExecutionO que éO invasor utiliza falhas nas verificações dos dados e envia um arquivo malicioso para o servidor web, executando-o depois.Cria a possibilidade de execução de diversos outros ataques.
- 28.
- 29. Jamais duvide dacapacidade de seu usuário.
- 30. Não precisamos deataques elaborados para causar estragos.
- 31. Boas praticas continuamsendo nossas amigas.
- 32. Existe uma largagama de material na internet.
- 33.