Teste de invasão: Exploração de falhas – Parte 3

No post anterior da série, discutimos sobre a lista das 10 vulnerabilidades do OWASP  (Open Web Application Security Project), organização internacional que tem como objetivo promover pesquisas para auxiliar na melhoria da segurança das aplicações web.

Neste post, vamos discutir um pouco mais sobre a vulnerabilidade A1 – Injection.

Esta vulnerabilidade tem o impacto causado de nível grave, visto que sua exploração pode ter diversas consequências e considerando que foi classificada com o nível fácil de exploração — com base no fato de que o atacante realiza o ataque com o envio de texto simples, explorando a sintaxe do interpretador.

Para demonstrar um exemplo de como um ataque desse tipo pode ser realizado, utilizei, através da VMs Metasploitable e Kali Linux, o DVWA, que é uma ferramenta que contém diversos tipos de vulnerabilidades Web.

Atenção! A realização de testes não pode ser realizada sem autorização. Portanto, o DVWA é uma ótima opção para quem quem praticar os testes de Segurança de Aplicações Web.

No vídeo abaixo, eu demonstro como realizar este teste passo a passo utilizando uma outra ferramenta extremamente poderosa de apoio para este teste: a Burp Suite.

A Burp Suite é uma plataforma  que pode ser utilizada para a realização de testes de segurança web. Esta ferramenta tem uma versão gratuita no Kali Linux e permite a descoberta e exploração de vulnerabilidades de segurança utilizando como proxy para capturar requisições entre o navegador e a aplicação web, sendo possível ver os dados que estão sendo transmitidos.

Além disso, existem outros componentes muito úteis, como o Burp Spider, que permite rastrear através da aplicação o conteúdo web e suas funcionalidades, e o Burp Repeater, que permite que você manipule e reenvie pedidos para o servidor. Para os nossos testes, utilizamos o Burp Suite para interceptar as requisições reallizar alterações e enviar para o servidor. Confira:

Formas de evitar

Por indicação da OWASP, existem algumas formas para evitar essa vulnerabilidade. A primeira opção sugerida é utilizar uma API segura que evite a utilização de intérprete e a validação de entrada de campos. Para mais detalhes, acesse a lista do OWASP.

No próximo post, vamos conhecer outro tipo de teste: O de força bruta. Até a próxima!

Referências: Testes de Invasão: Uma Introdução Prática ao Hacking – Georgia Weidman; Segredos do Hacker Ético – Marcos Flávio Assunção;Curso Fundamentos de Ethical Hacking: curso prático – Marcos Flávio Assunção; OWASP top ten

Sobre o(a) autor(a)

Samantha Morais Nunes
Samantha Morais Nunes

Formada em Ciência da Computação pela PUC Minas e pós-graduada em Segurança da Informação pela UNA. Iniciou a carreira na área de QA em 2011 como estagiária e hoje atua como analista de qualidade de software na Take. Participou com Letícia (QA), André (QA) e Rhamon (PO), do STWC 2014, conquistando o 4º lugar na etapa South America e o prêmio Most Useful Test Report. Fez parte da equipe de organização do Minas Testing Conference, um evento sobre qualidade de software que ocorre em Belo Horizonte e atualmente faz parte da equipe de organização dos meetups de Segurança da Informação 0x0d1a e Machine Learning BH.

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Você pode usar as seguintes tags e atributos HTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

by Take ® 2015 | Todos os direitos reservados.linkedin