Implementación de controles que permitan garantizar la seguridad de un sitio web en base a owasp - Jimenez Cuenu, Carlos David (My University, 2019)
Owasp, open project of security of web applications, created with the purpose of guaranteeing the security and minimizing the possible vulnerabilities that these application systems present at the time of being developed, for this, the owasp project in the year 2017 launched an updated list of the top 10 of the main risks in which they are exposed. The purpose of this document is to study three vulnerabilities in the top 10 of owasp, which are XSS, Unsafe Deserialization and Component Use with known vulnerabilities. To understand how these flaws manifest in web systems, different scenarios were set up each with the respective vulnerable application to which the necessary meticulous controls were added to allow the development, acquisition and maintenance of reliable APIs. For the risk of using components with known vulnerabilities, a tool called Jexboss was used to remotely detect and exploit this vulnerability, for XSS an exploit was programmed that was able to perform concept tests and in the insecure deserialization an attack was codified. allow to demonstrate this failure in these insecure APIs.This allows us to demonstrate how critical each of these risks can be when carrying out the different attacks on these insecure websites.
Owasp (Open Web Application Security Project), proyecto abierto de seguridad de aplicaciones web, creado con el fin de garantizar la seguridad y minimizar las posibles vulnerabilidades que estos sistemas aplicativos presentan al momento de ser desarrollados, para esto, el proyecto owasp en el año 2017 lanzó una lista actualizada del top 10 de los principales riesgos en las que se ven expuestas. En el presente documento tiene como finalidad el estudio de tres vulnerabilidades del top 10 de owasp que son XSS, Deserialización Insegura y Uso de componente con vulnerabilidades conocidas, para entender cómo se manifiestan estos fallos en los sistemas web, se montó distintos escenarios cada uno con el respectivo aplicativo vulnerable a la cual se le sumó los controles minuciosos necesarios que permita desarrollar, adquirir y mantener APIs confiables. Para el riesgo de Uso de Componentes con Vulnerabilidades Conocidas se hizo el uso de una herramienta denominada Jexboss para detectar y explotar remotamente esta vulnerabilidad, para XSS se programó un exploit que se consiguió realizar pruebas de concepto y en la Deserialización Insegura se codificó un ataque que permita demostrar este fallo en estas APIs inseguras. Esto permite demostrar que tan crítico pueden llegar a ser cada uno de estos riesgos al realizar los diferentes ataques a estos sitios webs inseguros.
Keywords: OWASP; APLICACIONES WEB; JEXBOSS; EXPLOIT