Cómo hackear 101: HTML
Los ciberdelincuentes utilizan muchas herramientas y técnicas diferentes para acceder a la información sensible que se encuentra en línea. A menudo atacan sitios web y recursos de red en un esfuerzo por extorsionar dinero o robar activos de las organizaciones.
Un ataque de inyección SQL coloca SQL en un formulario web en un intento de que la aplicación lo ejecute. Por ejemplo, en lugar de escribir texto sin formato en un campo de nombre de usuario o contraseña, un hacker puede escribir ” OR 1=1″.
La mayoría de los ataques DDoS se llevan a cabo utilizando ordenadores que han sido comprometidos con malware. Los propietarios de los ordenadores infectados pueden incluso no ser conscientes de que su máquina está enviando solicitudes de datos a su sitio web.
Hay muchas maneras de que los hackers transmitan comandos falsos, incluyendo formularios ocultos, AJAX y etiquetas de imagen. El usuario no es consciente de que el comando ha sido enviado y el sitio web cree que el comando ha venido de un usuario autenticado.
Los propietarios de sitios web pueden evitar los ataques CSRF comprobando las cabeceras HTTP para verificar de dónde procede la solicitud y comprobar los tokens CSRF en los formularios web. Estas comprobaciones garantizarán que la solicitud procede de una página dentro de la aplicación web y no de una fuente externa.
Cómo hackear un sitio web utilizando el elemento inspect
Bienvenido a la Parte 3 de la serie de tutoriales de Burp Suite – donde aprenderás a utilizar una de las herramientas más poderosas en el pentesting de aplicaciones web de manera efectiva y eficiente. Esta es una edición bastante emocionante de la serie porque, a diferencia de la Parte 1 y la Parte 2, finalmente va a empezar a hacer algo de manipulación manual del tráfico HTTP y a encontrar vulnerabilidades que un típico escáner automatizado no detectará.
Este post se centra en la función principal de Burp Suite: el proxy de intercepción. Esta es la pestaña donde un probador de penetración de aplicaciones web pasará una buena parte de su tiempo en Burp, ya sea para inspeccionar manualmente el tráfico a medida que sale y vuelve al navegador, para mirar hacia atrás en la historia de las solicitudes, o para gestionar las reglas y los filtros que cambian las solicitudes y respuestas sobre la marcha. Esta es la funcionalidad principal de Burp Suite, por lo que es fundamental que tenga un buen conocimiento de este bloque fundamental de la aplicación para poder aprovechar todo lo que viene a continuación. Con eso, vamos a sumergirnos.
Acceso a variables privadas de javascript en tiempo de ejecución mediante depuración
Resulta molesto cuando ves que te bloquean la entrada a un sitio web o la visualización de un vídeo, ya sea en YouTube o en otro servicio de streaming. Puede haber varias razones para que exista esa restricción, ya sea porque te encuentras en una región diferente del mundo (un geobloqueo) o porque el administrador de tu trabajo o escuela ha bloqueado ciertos sitios web y servicios. Igualmente, si ves un mensaje que te dice que el sitio web que intentas visitar es potencialmente peligroso -porque puede contener malware o ser fraudulento-, deberías tenerlo en cuenta y no intentar sortear ese bloqueo.Pero para los contenidos que estás seguro de que son seguros y no van a estafarte, hay algunas formas de sortear estos bloqueos y filtros regionales y acceder a cualquier contenido que quieras, ya sea Spotify, YouTube, Netflix o cualquier otro.
Los 5 mejores trucos para inspeccionar los elementos.
En el contexto de la seguridad de la información, la ingeniería social es la manipulación psicológica de las personas para que realicen acciones o divulguen información confidencial. Esto difiere de la ingeniería social dentro de las ciencias sociales, que no se refiere a la divulgación de información confidencial. Se trata de un tipo de truco de confianza con el fin de obtener información, hacer un fraude o acceder a un sistema, y se diferencia de una “estafa” tradicional en que suele ser uno de los muchos pasos de un esquema de fraude más complejo[1].
Un ejemplo de ingeniería social es el uso de la función “olvido de contraseña” en la mayoría de los sitios web que requieren un inicio de sesión. Un sistema de recuperación de contraseñas mal protegido puede utilizarse para que un atacante malintencionado tenga acceso completo a la cuenta de un usuario, mientras que el usuario original perderá el acceso a la cuenta.
El comportamiento de los empleados puede tener un gran impacto en la seguridad de la información en las organizaciones. Los conceptos culturales pueden ayudar a los diferentes segmentos de la organización a trabajar de forma efectiva o a trabajar en contra de la efectividad hacia la seguridad de la información dentro de una organización. “Exploring the Relationship between Organizational Culture and Information Security Culture” ofrece la siguiente definición de cultura de seguridad de la información “La cultura de la seguridad de la información es el conjunto de patrones de comportamiento en una organización que contribuyen a la protección de la información de todo tipo”[3].
