Transferir como PDF, PPTX
Carregado porMarlon Sanches
CiberSegurança em Aplicações Web- WTI RedDragons 2025.pdf
Esta palestra apresenta uma introdução prática à segurança em aplicações web, abordando desde os pilares fundamentais da cibersegurança até testes específicos como coleta de informações, autenticação, autorização, validação de entradas e lógica de negócios. Também explora vulnerabilidades comuns com base no OWASP Top 10, ferramentas de testes e recursos para estudo contínuo. Ideal para quem deseja entender ameaças reais e como se proteger de forma eficaz.
CiberSegurança em Aplicações Web- WTI RedDragons 2025.pdf
- 1. CiberSegurança em Aplicações Web MarlonSanches Vinícius Rodrigues M S V R arlon anches inícius odrigues
- 2. 0. 1. 2. 3. 4. 5. 6. 7.1. 7.2. 8. Introduction and Objectives Information Gathering Identity & Autentication Authorization Testing Input Validation Testing Business Logic Testing OWASP Top 10 Encoded Injection Testing Tools Resource Let’s Play
- 3. 0. Introdução eObjetivos Os Pilares da Segurança Confidencialidade Garante que a informação seja acessada apenas por pessoas autorizadas Integridade Assegura que a informação não seja alterada de forma indevida, seja por erro ou por ataque Disponibilidade Garante que os dados e sistemas estejam acessíveis sempre que necessário por usuários autorizados.
- 4. Segurança não ésó Hacking!
- 5. 0. Introdução eObjetivos Os Pilares da Segurança Confidencialidade Garante que a informação seja acessada apenas por pessoas autorizadas Integridade Assegura que a informação não seja alterada de forma indevida, seja por erro ou por ataque Disponibilidade Garante que os dados e sistemas estejam acessíveis sempre que necessário por usuários autorizados.
- 6. 0. Introdução eObjetivos O que testar? “É útil pensar no desenvolvimento de software como uma combinação de pessoas, processos e tecnologia. Se esses são os fatores que "criam" o software, é lógico que devam ser esses os fatores a se testar. Pessoas – para garantir que haja educação e conscientização adequadas Processos - para garantir que existem políticas e procedimentos adequados e que as pessoas sabem como segui-los Tecnologia - para garantir que o processo tenha sido eficiente em sua implementação.
- 7. 0. Introdução eObjetivos Mas e a Segurança Para Web? Vulnerabilidade É uma falha ou fraqueza no design, implementação, operação ou gerenciamento de um sistema que possa ser explorada para comprometer os objetivos de segurança do sistema Ameaça É qualquer coisa que possa prejudicar os ativos de um aplicativo explorando uma vulnerabilidade Teste Um teste é uma ação para demonstrar que um aplicativo atende aos requisitos de segurança de seus interessados.
- 8. Let’s Hacking Dito isso... OuComo se Defender
- 9. 1.Coleta de Informações Reconhecimentoda aplicação A identificação do servidor web (web server fingerprinting) é a tarefa de descobrir o tipo e a versão do servidor web que um alvo está utilizando. Ferramentas automáticas podem ser utilizadas
- 10. 1.Coleta de Informações Mapeamentoda aplicação Conheça o seu Inimigo Antes de iniciar os testes de segurança, entenda a estrutura do aplicativ Utilize a aplicação e valide seu funcionamento buscando interações não convencionais. Faça esse processo usando um prox Use search engines para buscar subdomínios da aplicação (Google Hacking)
- 11. 2.Gerênciamento de Identidade Validandoa Identidade e Autenticação Verifique: Processo de Registro de Usuari Pocesso de Provisionamento de Cont Enumeração de Cont Credênciais Padrõe Desvio do Esquema de Autenticaçã Recuperação de Senha Frági Autenticação Fraca em Canais Alternativos
- 12. 3.Testes de Autorização AAutenticação já foi feita, e ai? Verifique: Escalada de Privilégio Referência Direta Ubsegura a Objeto Quebra de Controle de Acesso
- 13. Nunca Confie NoUsuário Nem em Golfinhos
- 14. 4.Validação de EntradasDados Nunca Confie No Usuário Se o usuário pode fornecer qualquer tipo de dado a ser recebido na aplicação, vulnerabilidades de injeção podem emergi Os dados recebidos devem ser validados e cada componente deve também realizar essas validações (desconfiar por padrão)
- 15. 5.Lógicas de Negócio Top1 Regras de negócio aplicadas no cliente, não no servidor Exploração de comportamentos não previsto Quebra de fluxo esperado da aplicaçã Validações ausentes ou inadequadas
- 16.
- 17. 7.1.Injeção codificada Injections NemSempre Terão a mesma Cara
- 18. 7.2.Ferramentas Ferramentas não resolvem paravocê! Mas Te Ajudam Burp Suit Cookie Edito Nessu OpenVa Nikt Postma Nma SQLMap
- 19. 8 - Recursos OWAS CS253 Web Securit PortSwigger Academ HackTrick Critical Thinking - Bug bounty Podcast
- 20.