El Projecte | Sobre nosaltres | Contribuir | Donacions | Llicència

HOME

Contingut del curs

Introducció

El projecte OWASP Top Ten és una llista de les deu vulnerabilitats de seguretat més crítiques en aplicacions web. Aquesta llista és actualitzada periòdicament per la comunitat OWASP i serveix com a guia essencial per a desenvolupadors, auditors de seguretat i professionals de TI per identificar i mitigar les vulnerabilitats més comunes i perilloses.

Objectius del OWASP Top Ten

Conscienciar: Augmentar la consciència sobre les vulnerabilitats de seguretat en aplicacions web.
Prioritzar: Ajudar a les organitzacions a prioritzar els esforços de seguretat.
Millorar: Promoure millores en la seguretat de les aplicacions web mitjançant la implementació de bones pràctiques.

Les Deu Vulnerabilitats

Injecció

Descripció: Les vulnerabilitats d'injecció ocorren quan dades no confiables són enviades a un intèrpret com a part d'una comanda o consulta. Els atacs d'injecció més comuns són SQL, NoSQL, OS i LDAP.

Exemple de Codi Vulnerable:

String query = "SELECT * FROM users WHERE username = '" + userInput + "'";

Solució:

Utilitzar consultes preparades (prepared statements).
Validar i netejar les dades d'entrada.

Pèrdua d'Autenticació

Descripció: La pèrdua d'autenticació es refereix a la incapacitat de protegir les credencials d'usuari i les sessions. Això pot permetre que atacants prenguin el control de comptes d'usuari.

Exemple de Codi Vulnerable:

session.setAttribute("user", username);

Solució:

Implementar autenticació multifactor (MFA).
Utilitzar gestors de sessions segurs.

Exposició de Dades Sensibles

Descripció: Aquesta vulnerabilitat es produeix quan dades sensibles com números de targetes de crèdit, identificadors personals o credencials d'usuari no estan adequadament protegides.

Exemple de Codi Vulnerable:

String creditCardNumber = "1234-5678-9012-3456";

Solució:

Xifrar les dades sensibles tant en trànsit com en repòs.
Utilitzar protocols segurs com HTTPS.

Entitats Externes XML (XXE)

Descripció: Les vulnerabilitats XXE ocorren quan processadors XML antics o mal configurats apliquen referències externes dins de documents XML.

Exemple de Codi Vulnerable:

<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<foo>&xxe;</foo>

Solució:

Desactivar les entitats externes en processadors XML.
Utilitzar biblioteques XML segures.

Control d'Accés Trencat

Descripció: El control d'accés trencat permet a usuaris no autoritzats accedir a funcions o dades restringides.

Exemple de Codi Vulnerable:

if (user.isAdmin()) {
    // Allow access
}

Solució:

Implementar controls d'accés robustos.
Revisar i provar regularment els controls d'accés.

Configuració Incorrecta de Seguretat

Descripció: Aquesta vulnerabilitat es produeix quan les configuracions de seguretat no estan correctament establertes o mantenides.

Exemple de Codi Vulnerable:

<Connector port="8080" protocol="HTTP/1.1" />

Solució:

Revisar i actualitzar les configuracions de seguretat regularment.
Utilitzar configuracions segures per defecte.

Cross-Site Scripting (XSS)

Descripció: Les vulnerabilitats XSS ocorren quan una aplicació inclou dades no confiables en una pàgina web sense validar-les o netejar-les.

Exemple de Codi Vulnerable:

<p>Benvingut, <%= userInput %></p>

Solució:

Netejar i validar totes les dades d'entrada.
Utilitzar funcions d'escapament de sortida.

Deserialització Insegura

Descripció: La deserialització insegura permet a atacants executar codi maliciós o manipular dades per obtenir accés no autoritzat.

Exemple de Codi Vulnerable:

ObjectInputStream in = new ObjectInputStream(new FileInputStream("file.ser"));
Object obj = in.readObject();

Solució:

Evitar la deserialització de dades no confiables.
Utilitzar formats de dades segurs com JSON.

Ús de Components amb Vulnerabilitats Conegudes

Descripció: Aquesta vulnerabilitat es produeix quan es fan servir biblioteques, frameworks o altres components amb vulnerabilitats conegudes.

Exemple de Codi Vulnerable:

<dependency>
    <groupId>org.apache.struts</groupId>
    <artifactId>struts2-core</artifactId>
    <version>2.3.1</version>
</dependency>

Solució:

Mantenir els components actualitzats.
Utilitzar eines de gestió de dependències per identificar vulnerabilitats.

Registre i Monitoratge Insuficients

Descripció: La manca de registre i monitoratge adequats pot dificultar la detecció d'atacs i la resposta a incidents de seguretat.

Exemple de Codi Vulnerable:

logger.info("User logged in");

Solució:

Implementar registres detallats d'activitats.
Utilitzar eines de monitoratge i alerta.

Conclusió

El OWASP Top Ten és una eina essencial per a qualsevol professional de la seguretat en aplicacions web. Comprendre i mitigar aquestes vulnerabilitats pot ajudar a protegir les aplicacions contra atacs comuns i perillosos. En els següents mòduls, explorarem cadascuna d'aquestes vulnerabilitats en més detall, proporcionant exemples pràctics i solucions concretes per millorar la seguretat de les vostres aplicacions.

Curs d'OWASP: Directrius i Estàndards per a la Seguretat en Aplicacions Web

Mòdul 1: Introducció a OWASP

Mòdul 2: Principals Projectes d'OWASP

Mòdul 3: OWASP Top Ten

Mòdul 4: OWASP ASVS (Application Security Verification Standard)

Mòdul 5: OWASP SAMM (Software Assurance Maturity Model)

Mòdul 6: OWASP ZAP (Zed Attack Proxy)

Mòdul 7: Bones Pràctiques i Recomanacions

Mòdul 8: Exercicis Pràctics i Casos d'Estudi

Mòdul 9: Avaluació i Certificació

El Projecte | Sobre nosaltres | Contribuir | Donacions | Llicència