Implementación de controles a una aplicación web mediante la metodología owasp para el aseguramiento de su seguridad - Gallegos Chamba, Mónica Janina (My University, 2019)
Web applications have been universally accepted by a high number of modern society, in the same way has increased the risks and with it computer attacks, one way to prevent this situation is to detect vulnerabilities that can be exploited by cyber attackers. This is the basis for the present project, which consists of detecting vulnerabilities and establishing controls on the Machala Restaurantes website, which was based on the risks of injection, broken authentication and exposure to sensitive data contained in the OWASP project. The scenario simulation was performed in the GNS3 tool, in which two networks are represented, in the first one the attacker is located and, in the other the server, both are connected by a router. The tools used to exploit vulnerabilities were those of the Kali Linux operating system; sqlmap for sql injection, Burp suite for the broken authentication by brute force, and Wireshark for the capture of sensitive data. Once the attacks were executed, the vulnerabilities of the web site were identified, so controls were established to mitigate risks, in the SQL injection attack the form of access to the database was changed through the use of the ORM of the Django Framework, the broken authentication and exposure of sensitive data were controlled through the implementation of an SSL certificate. Thus, the controls made it possible to provide security for the web application.
Las aplicaciones web han sido acogidas universalmente por un alto índice de la sociedad moderna, de la misma manera han incrementado los riesgos y con ello los ataques informáticos, una forma de prevenir esta situación es detectar las vulnerabilidades que pueden ser aprovechadas por los atacantes cibernéticos. En base a ello surge el presente proyecto que consiste en detectar vulnerabilidades y establecer controles en el sitio web Machala Restaurantes, el cual se basó en los riesgos de inyección, pérdida de autenticación y exposición a datos sensibles, pertenecientes al proyecto OWASP. La simulación del escenario fue realizada en la herramienta GNS3, en el cual se representan dos redes, en la primera se ubica el atacante y, en la otra el servidor, ambas se conectan por medio de un enrutador. Las herramientas utilizadas en la explotación de vulnerabilidades fueron las del sistema operativo Kali Linux; sqlmap para inyección sql, Burp suite para la pérdida de autenticación por fuerza bruta, y, Wireshark para la captura de datos sensibles. Una vez ejecutados los ataques, se logró evidenciar las vulnerabilidades del sitio web, por lo que se procedió a establecer los controles para mitigar los riesgos, en el ataque de inyección SQL se cambió la forma de acceso a la base de datos a través de la utilización del ORM del Framework Django, la pérdida de autenticación y exposición de datos sensibles se controlaron a través de la implementación de un certificado SSL. Así, los controles permitieron garantizar la seguridad de la aplicación web.
Keywords: OWASP; INYECCION SQL; PÉRDIDA DE AUTENTICACION; EXPOSICIÓN DE DATO SENSIBLE