Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon
Mostrando entradas con la etiqueta CSRF. Mostrar todas las entradas
Mostrando entradas con la etiqueta CSRF. Mostrar todas las entradas

PostHeaderIcon XSS o Cross‑Site Scripting: tipos de ataque y prevención

miércoles, 29 de septiembre de 2021 | Publicado por el-brujo

Permite a los atacantes implantar scripts maliciosos en un sitio web legítimo (también víctima del atacante) para ejecutar un script en el navegador de un usuario desprevenido que visita dicho sitio y afectarlo, ya sea robando credenciales, redirigiendo al usuario a otro sitio malicioso, o para realizar defacement en un sitio web.

 


Leer más »

Etiquetas: , , ,

PostHeaderIcon Cabeceras de Seguridad HTTPS en el servidor web Nginx y Apache

miércoles, 30 de marzo de 2016 | Publicado por el-brujo

Las cabeceras de seguridad que se configuran a nivel del servidor, lo que nos dará una capa extra de seguridad en nuestra sitio web, evitando ataques del estilo clickjacking, XSS, CSRF, Inyección de código, etc .Para dotar de una capa de cifrado a las comunicaciones electrónicas que utilizan típicamente el protocolo HTTP, los dos protocolos más utilizados son SSL (Secure Sockets Layer)  y TLS (Transport Layer Security). Ambos, son protocolos criptográficos que utilizan criptografía de clave pública (o asimétrica) para autenticar a una de las partes (obligatoriamente al servidor) o ambas, siendo opcional la autenticación del cliente.





Leer más »

Etiquetas: , , , , , , , , , , , , , , , ,

PostHeaderIcon XSSer: Cross Site Scripter v1.7b

jueves, 25 de febrero de 2016 | Publicado por el-brujo

XSSer es un framework de código libre escrito en python, que permite la automatización de procesos de detección, explotación y publicación de inyecciones de código “scripting”. Contiene diversas técnicas, tanto para evadir filtros, cómo para explotar código sobre vulnerabilidades de tipo XSS. En la presentación se mostrará la historia y evolución del proyecto, así cómo, una relación de todas las posibilidades que permite la herramienta, tanto desde el punto de vista de un auditor de seguridad profesional, cómo para aquellas personas que apenas tengan conocimientos.


Leer más »

Etiquetas: , , , , ,

PostHeaderIcon Múltiples vulnerabilidades en Moodle 2.x y nueva versión 3.0

sábado, 21 de noviembre de 2015 | Publicado por el-brujo

Moodle ha publicado diez alertas de seguridad en las que se corrigen otras tantas vulnerabilidades con diversos efectos, desde los habituales cross-site scripting, hasta modificar respuestas o evitar restricciones de seguridad. Se ven afectadas las ramas 2.9, 2.8 y 2.7. 


Leer más »

Etiquetas: , , , , , , , ,

PostHeaderIcon Solucionada vulnerabilidad XSS en el panel de control de Google Apps

viernes, 23 de enero de 2015 | Publicado por el-brujo

Solucionada la grave vulnerabilidad Reflected Cross-Site Scripting XSS en Panel de Administración de Google Apps descubierta por Brett Buerhaus que permitia desactivar la autenticación en dos pasos (2FA) de cualquier cuenta Gmail del dominio, así como redirigir todos los mensajes de correo electrónico recibidos por una cuenta de Google. El investigador Brett Buerhaus ha sido premiado con 5,000$ gracias al Programa de recompensas de errores de Google.




Leer más »

Etiquetas: , , , , , , , ,

PostHeaderIcon El registrador de dominios GoDaddy soluciona una grave vulnerabilidad CSRF que permitía el secuestro de sesiones en dominios

miércoles, 21 de enero de 2015 | Publicado por el-brujo

El conocido registrador de dominios GoDaddy arregló una vulnerabilidad (CSRF o XSRF, cross-site request forgery, por sus siglas en inglés) que podría haber permitido a un atacante cambiar la configuración del dominio de un sitio registrado con GoDaddy.




Leer más »

Etiquetas: , , ,

PostHeaderIcon Ataques XSS avanzados y ejemplos de explotación

lunes, 12 de enero de 2015 | Publicado por el-brujo

Un artículo de gr2dest.org dónde se habla de los ataques XSS más allá de los tipos reflejado y persistente. Se intenta aportar una visión más amplia sobre las posibilidades dentro de este tipo de ataques así como las condiciones para que éstos se produzcan. También se explora y el funcionamiento de la herramienta XSSer para el lanzamiento de ataques de este tipo.




Leer más »

Etiquetas: , , , , , , , , ,

PostHeaderIcon Solucionada grave vulnerabilidad CSRF en Paypal

jueves, 4 de diciembre de 2014 | Publicado por el-brujo

El investigador egipcio Yasser H. Ali descubrió un fallo localizado haciendo un bypass en el sistema de prevención de CSRF o XSRF (Cross-Site Request Forgery) de Paypal que se encarga de autenticar cada solicitud realizada por el usuario. La vulnerabilidad afectaba a  los más de 158 millones de usuarios que tiene Paypal



Leer más »

Etiquetas: , , , , , ,

PostHeaderIcon XSSF - Cross Site Scripting Framework

viernes, 13 de junio de 2014 | Publicado por el-brujo

El Cross-Site Scripting Framework (XSSF) es una herramienta de seguridad diseñada para convertir la tarea de encontrar una vulnerabilidad XSS de un manera mucho más sencilla. El proyecto tiene por objetivo demostrar los peligros reales de las vulnerabilidades XSS y divulgarizar su explotación.



Leer más »

Etiquetas: , , , , , , , , , , , , , , ,

PostHeaderIcon Manual con ejemplos "XSS for fun and profit"

viernes, 10 de enero de 2014 | Publicado por el-brujo

Manual completo de lord epsylon presentado en la Summer Camp Garrotxa de 2009 (SCG09) donde se exponen todo tipo de ataques conocidos, formas de evasión de filtros, diferentes técnicas/finalidades de un atacante y una recopilación de herramientas, links, ideas y vectores válidos.



Leer más »

Etiquetas: , , , , , , , , , ,

PostHeaderIcon [Finalizado] Hackea a elhacker.net v2.0 (ganador: yoya) - Reto CSRF

miércoles, 29 de febrero de 2012 | Publicado por el-brujo

Reto:

Tenemos que encontrar un CSRF que permita canbiar la firma de un usuario.

GANADOR: ~ Yoya ~ (yoyahack)

Puntos importantes

  • 1 - Obtener el token de sesión del usuario
    • 1.2- El token es una sesión PHP
  • 2 - Para realizar el cambio de firma, es necesario enviar el contenido vía POST
    • 2.2 - Existe un filtro que cancela cualquier tipo de modificacion, si la petición proviene de un sitio remoto
  • 3 - Hacer un exploit que sea lo mas efectivo y automatizado posible


Leer más »

Etiquetas: , , , , , , , ,