Nos motivó escribir sobre ello cuando algunos de nuestros clientes nos preguntaron al instante si podíamos bloquear todos los ataques web maliciosos conocidos a nivel del propio servidor web. Rápidamente les sugerimos una solución WAF fiable y de código abierto que se adaptara a sus necesidades. Evidentemente, la simple instalación de WAF no significa que no necesite controles de seguridad de las aplicaciones.
El pentesting de aplicaciones de cliente densas no es un concepto nuevo, sino que las técnicas adoptadas son nuevas e interesantes. Me da un poco de pereza para explicar qué son las aplicaciones de cliente complejas. Consulte aquí para obtener más información. GTalk, Pidgin, Skype, MSN son algunos ejemplos de aplicaciones de cliente complejas.
La falsificación de solicitudes entre sitios es uno de los ataques más frecuentes en Internet en la actualidad. A los atacantes les resulta fácil explotarlo, ya que no requiere ninguna información de autenticación ni cookies de sesión, sino que solo requiere que el usuario se autentique en la aplicación. Y esto funciona en todas las plataformas.
Hoy en día, siento mucha curiosidad por ver la fuente de visualización del sitio web en el que está incrustado el botón Me gusta de Facebook. Pero, ¿por qué debo hacer esto? ¿No es confiable el botón Me gusta de Facebook? Esto es correcto.. ¡¡¡Eh!!! La respuesta es NO. Si hay una discrepancia entre el dominio (el que estás visitando) y el botón Me gusta de Facebook, seguro que hay un problema y es que se trata de una página de spam.
Hace poco, estaba intentando usar mis scripts de Nessus Automation, que antes estaban automatizados, y detecté que no funcionaban en el último XMLRPC de Nessus 5.2. La última vez, automaticé las tareas de escaneo de red mediante XMLRPC en Perl, pero es extraño que ya no funcionara con Nessus 5.2.
Siempre ha sido un fastidio ejecutar Nessus cuando tienes una larga lista de direcciones IP que escanear en un corto período de tiempo. Esto suele ocurrir cuando estás realizando un pentest interno y tienes varias direcciones IP que escanear.
