XSS Me

WebScarab

WebInspect

W3AF

SSL Digger

vulnerabilidad Comunicaciones inseguras

Las comunicaciones inseguras en los sitios Web se refieren a la falta de encriptación en el paso de información entre el usuario y el servidor. Usar SSL para las comunicaciones con los usuarios es crítico puesto que de por si las comunicaciones en el Internet son extremadamente inseguras y al no tener encriptación las información que transportan se vuelven más vulnerables y expuestas.
También hay que tomar en cuenta que al utilizar SSL se está haciendo menos inseguro la comunicación no seguro, por esta razón que además de utilizar SSL se debe encriptar los datos sensibles o privados tales como números de tarjetas de crédito o de identificación del usuario. Esto en algunos países es reglamentario para poder manejar ese tipo de información en un sitio Web. Dejar de lado estos aspectos de seguridad puede ser considerado un delito informático.

SQL InjectMe

Scrawler

Nessus

CSRF Tester

Acunetix

HackBar

vulnerabilidad Almacenamiento Criptográfico Inseguro

Esta vulnerabilidad sucede en sitios Web que manejan datos delicados y no usan buenas técnicas de encriptación o peor aun no utilizar ninguna.
Comúnmente se utilizan métodos como MD5 o SHA1.
Tomar en cuenta que la criptografía por sí sola no sirve de nada si no tiene como apoyo una red segura.

Matriz de Precendecia Vulnerabilidades Web

La idea de realizar esta matriz de precedencia es para poner a "competir" una vulnerabilidad con otra y asi poder dar un indice a cada vulnerabilidad para luego valorar cada herramienta puesta a prueba.

Calificaciones de las herramientas

Este gráfico fue generado a partir de el siguiente esquema y tomando en cuenta el resultado de la Matriz de precedencia (tambien publicado en este blog).
Se dio calificacion de:
1 - Herramienta que evidencio vulnerabilidades
0.5 - Herramienta que en su documentación estipula el encuentro de las vulnerabilidades
0 - Herramienta que no puede realizar hallazgo de las vulnerabilidades

ataque XSS Basado en DOM

Este tipo de XSS es muy similar a el tipo de XSS Reflejado con la diferencia de que en este caso el daño se provoca por medio de los scripts que están en el lado del cliente.

ataque XSS Reflejado

Este tipo de XSS es el más común e investigado. Esta vulnerabilidad ocurre cuando la información que proporciona el usuario esta en constante manipulación por medio del servidor. A simple vista esto no parecería ser un problema muy grave puesto que la información maliciosa resultante se presenta en las propias páginas siendo vistas; aquí es cuando la ingeniería social juega un papel importante para los atacantes. Por medio de la ingeniería social un atacante puede convencer al usuario a seguir URL maliciosas que podrían inyectar código a la aplicación Web u obligarle al usuario a proporcionar datos confidenciales como por ejemplo números de tarjeta de crédito o pines de acceso.

ataque XSS Almacenado

Este tipo de XSS produce los mas potentes ataques de XSS en aplicaciones Web. Un XSS almacenado ocurre cuando la información que el usuario proporciona a la aplicación Web es primero almacenada en el servidor y luego presentada al usuario sin haber antes codificado la información en HTML. Al realizar primero la inserción de información en el servidor, ya sea una base de datos o un sistema de archivos, se puede ejecutar varios scripts de código malicioso con la retención de luego visualizar información confidencial

RESUMEN DE VULNERABILIDADES PUBLICADAS EN LA OWASP TOP TEN 2007

Estadisticas penetracion internet

Penetracion Internet

Estadisticas Internet en el Ecuador

Estadisticas crecimiento internet

Estadisticas Internet en el Mundo

Estadisticas costo paquetes 1Mbps

definicion Social engineering

El termino de "Ingeniería Social" aplicado al tema de la seguridad informática en general, es utilizado para describir una serie de procedimientos o metodologías especificas (Por lo general involucradas con la manipulación de personas), que servirían por ejemplo a un atacante para obtener información vital sobre el sistema a atacar.
Los ataques mediante técnicas de "Ingeniería Social" suelen gozar de un alto grado de eficacia. En muchos de los casos, la misma está dada por el poco tiempo dedicado o la poca importancia que se le da en las empresas y en los departamentos de IT a este problema.

definicion Delincuente informático

Es la persona o grupo de personas que en forma asociada realizan actividades ilegales haciendo uso de las computadoras y en agravio de terceros, en forma local o a través de Internet. Una de las prácticas más conocidas es la de interceptar compras "en línea" a través de Internet, para que haciendo uso del nombre, número de tarjeta de crédito y fecha de expiración, realizan compras de cualquier bien, mayormente software, o hasta hardware y para lo cual proporcionan una dirección de envío, diferente a la del titular del número de la tarjeta de crédito que usan en forma ilegal.
También es un delincuente informático el "pirata" que distribuye software sin contar con las licencias de uso proporcionadas por su autor o representantes, pues no solo atenta contra la propiedad intelectual, provocando la fuga de talentos informáticos, se enriquece ilícitamente y es un evasor de impuestos.

definicion cracker

Es aquella persona que haciendo gala de grandes conocimientos sobre computación y con un obcecado propósito de luchar en contra de lo que le está prohibido, empieza a investigar la forma de bloquear protecciones hasta lograr su objetivo. Los crackers modernos usan programas propios o muchos de los que se distribuyen gratuitamente en cientos de páginas Web en Internet, tales como rutinas desbloqueadoras de claves de acceso o generadores de números para que en forma aleatoria y ejecutados automáticamente pueden lograr vulnerar claves de accesos de los sistemas.

definicion Hacker

La palabra hacker aplicada en la computación se refiere a la persona que se dedica a una tarea de investigación o desarrollo realizando esfuerzos más allá de los normales y convencionales, anteponiéndole un apasionamiento que supera su normal energía. El hacker es alguien que se apasiona por las computadoras y se dedica a ellas más allá de los límites. Los hackers tienen "un saludable sentido de curiosidad: prueban todas las cerraduras de las puertas para averiguar si están cerradas. No sueltan un sistema que están investigando hasta que los problemas que se le presenten queden resueltos"

definicion Piratas informáticos

Un pirata informático es aquél que hace uso de los recursos libres y / o de pago que pueden ser movidos a través de las vías de la información que conforman internet, telnet, ftp (entre otras) para beneficio propio, que puede ser lucrativo o de otro tipo.
Por extensión, se considera pirata informático a quien hace uso de software que no ha adquirido en forma legal o a los costos formales.