Manejo de archivos

Clase 22 de 35 • Curso de Análisis de Vulnerabilidades Web con OWASP 2017

jairo paez

student•

Interesante, hace poco estuve haciendo MiM, gerencialmente hablando (Se subcontratò la instalaciòn a un tercero el cual tiene un producto vendiendo hace años), en una instalaciòn de una soluciòn Opensource administrativa. me sorprendiò que en sus instrucciones indicaban que al sustituir las carpetas ejecutara chmod 777 sobre /var/www/html/aplicacion… Sin yo saber del tema no me parecìa, ahora menos me parece. Lo comentò porque en video previos he visto que hay impaciencia por no poder hacer cosas… resulta que hay bastante soluciòn por allì màs pequeñas que son vulnerables… si sumamos ingenieria social, capturando informaciòn en las aplicaciones peequeñas de seguro serà un salto a las de màs interès…

Diego Edmundo Goncalvez

student•

Una pregunta, un entry point es un archivo o una tabla ?

Nelson Sebastian Galeano Aranda

student•

un punto de entrada no es un archivo o una tabla como tal, puede ser:
1- una entrada de texto como un formulario ( para poder escribir literalmente un código javascript).
2- Una variable como el caso de la variable “page” de nuestro ejemplo.
3- Entradas de archivos como fotos o videos que pueden ser subidos.

Queda claro lo que es, amigo?

Saludos desde Paraguay!!

Manuel Alejandro Muñoz Mendivil

student•

El instructor menciona en lo que va del curso que los códigos 200 y 300 son códigos de error pero la documentación de Mozilla lo plantea de la siguiente manera.

Los códigos de estado de respuesta HTTP indican si se ha completado satisfactoriamente una solicitud HTTP específica. Las respuestas se agrupan en **cinco clases**:

Respuestas informativas (100–199),
Respuestas satisfactorias (200–299),
Redirecciones (300–399),
Errores de los clientes (400–499),
y errores de los servidores (500–599).

jairo paez

student•

Me pican las manos por probar lo siguiente en la susodicha aplicaciòn… con fines èticos. Aquì el laboratorio de prueba similar a DAWN
Gracias Platzi

Alberto Alejandro Soto Herrera

student•

hola que es eso? bts pentesting?

Helios Barrera Hernández

student•

Por si alguien quiere saber mśa acerca de la detección, explotación y mitigación de la vulnerabilidad , en esta página, la empresa ESET lo explica de manera detallada y con ejemplos. https://www.welivesecurity.com/la-es/2015/01/12/como-funciona-vulnerabilidad-local-file-inclusion/

Manejo de archivos

Introducción al curso

Aprende sobre Análisis de Vulnerabilidades Web con los cursos actualizados

Introducción al curso de análisis, detección y explotación de vulnerabilidades web

Funcionamiento de las aplicaciones Web

Funcionamiento de las aplicaciones Web

Peticiones Http

Clientes Web y Servidores

Metodologías para revisión de aplicaciones Web

Metodologías para la revisión de aplicaciones

HTTP Proxy

Entorno de desarrollo y herramientas a usar durante el curso

Instalación y configuración de las máquinas virtuales en Windows

Protocolos y tecnologías implicadas en el desarrollo Web

Conceptos fundamentales de protocolos y tecnologías implicadas en el desarrollo web

Metodos HTTP

Códigos de error HTTP

Proxy HTTP

Exploración de una aplicación web con NMAP

Exploración de una aplicación web con http Proxy

Metodología OWASP

Alcance y proceso

Tipos y diferencias entre pruebas de penetración

Controles compensatorios para mejorar la seguridad web

Metodología OWASP y Dominios

Dominios de seguridad

Autenticación

Manejo de sesiones

Manejo de archivos

Manejo de archivos - remote files inclusion

Validación de entradas - inyección de comandos

Validación de entradas - cross site scripting XSS

Cross Site Scripting XSS almacenado

Cross Site Scripting - XSS Sql Injection

Cross Site Scripting - XSS usando sql injection para obtener información desde la base de datos

Criptografía

Tutorial de instalación de Wireshark

Protección del canal de comunicación

Tutorial de instalación y configuración de Nessus

Gestión de configuraciones

Gestión de configuraciones - archivos y directorios sensibles y Cierre del curso

Contenido Bonus

Cómo ser un hacker o experto en seguridad informática