Owasp - Segurança de aplicação na web

OWASP - Segurança de aplicações WEBVitor castro - [email protected]

quinta-feira, 28 de março de 13

O que é ?

• Projeto aberto dedicado a capacitação das organizações para manter aplicações confiáveis


Risco de Segurança em Aplicações


TOP 10 - 201310 PRINCIPAIS FALHAS DE SEGURANÇA WEB


TOP 10 - 2013• AI - Injeção

• A2 - Autenticação quebrada e gerenciamento de sessão

• A3 - XSS

• A4 - Referências inseguras diretas de objetos

• A5 - Segurança das configurações

• A6 - Exposição sensível de dados

• A7 - Falta de controle do nível de acesso

• A8 - Cross-Site Requisição forjada

• A9 - Uso de componentes com vulnerabilidade conhecida

• A10 - Redirecionamento inválidos


A1 - Injeção

• Vulnerabilidade

• Qualquer fonte de entrada de dados pode ser um vetor de injecção, incluindo as fontes internas.


A1 - Injeção

• Ex: String query = "SELECT * FROM accounts WHERE custID='" + request.getParameter("id") +"'";

• Ex: http://example.com/app/accountView?id=' or '1'='1


http://example.com/app/accountView?id='




A1 - Injeção

• Prevenção

• Usar biblioteca de interpretação de dados


A4 - Referências inseguras diretas de objetos

• Vulnerabilidade

• Para referências diretas a recursos limitados, o aplicativo precisa verificar se o usuário está autorizado a acessar o recurso.

• Se a referência é uma referência indireta, o mapeamento para a referência direta deve ser limitada aos valores autorizados para o usuário atual.



• Ex: example.com?id=400

• Ex: example.com?id=18d8042386b79e2c279fd162df0205c8

• Ex: example.com/promocao_de_pascoa



• Prevenção

• Usar referências indiretas

• Verificar o acesso


A7 - Falta de controle de nível de acesso

• Vulnerabilidade

• Será que a navegação mostra URL para funções não autorizadas ?

• São verificadas as autenticação e autorização ?

• São verificações feitas no servidor, sem depender de informações fornecidas pelo atacante?



• Ex: example.com/user

• Ex: example.com/admin

• Ex: example.com/user/new

• Ex: example.com/admin/user/new



• Prevenção

• Autenticação e autorização.

• Não exibir link ou botões de funções não autorizadas.


Referências

• https://www.owasp.org/index.php/Main_Page

• http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20RC1.pdf


https://www.owasp.org/index.php/Main_Page




http://owasptop10.googlecode.com/files/OWASP%20Top%2010%20-%202013%20-%20RC1.pdf






Obrigadofacebook.com/aitproegslideshare.net/aitproeg


Owasp - Segurança de aplicação na web

Technology

Transcript of Owasp - Segurança de aplicação na web