Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon
Showing posts with label CSRF. Show all posts
Showing posts with label CSRF. Show all posts

PostHeaderIcon XSS o Cross‑Site Scripting: tipos de ataque y prevención

Wednesday, 29 September 2021 | Posted by el-brujo | Edit Post

Permite a los atacantes implantar scripts maliciosos en un sitio web legítimo (también víctima del atacante) para ejecutar un script en el navegador de un usuario desprevenido que visita dicho sitio y afectarlo, ya sea robando credenciales, redirigiendo al usuario a otro sitio malicioso, o para realizar defacement en un sitio web.

 


Leer más »

Labels: , , , | 0 comments

PostHeaderIcon Cabeceras de Seguridad HTTPS en el servidor web Nginx y Apache

Wednesday, 30 March 2016 | Posted by el-brujo | Edit Post

Las cabeceras de seguridad que se configuran a nivel del servidor, lo que nos dará una capa extra de seguridad en nuestra sitio web, evitando ataques del estilo clickjacking, XSS, CSRF, Inyección de código, etc .Para dotar de una capa de cifrado a las comunicaciones electrónicas que utilizan típicamente el protocolo HTTP, los dos protocolos más utilizados son SSL (Secure Sockets Layer)  y TLS (Transport Layer Security). Ambos, son protocolos criptográficos que utilizan criptografía de clave pública (o asimétrica) para autenticar a una de las partes (obligatoriamente al servidor) o ambas, siendo opcional la autenticación del cliente.





Leer más »

Labels: , , , , , , , , , , , , , , , , | 0 comments

PostHeaderIcon XSSer: Cross Site Scripter v1.7b

Thursday, 25 February 2016 | Posted by el-brujo | Edit Post

XSSer es un framework de código libre escrito en python, que permite la automatización de procesos de detección, explotación y publicación de inyecciones de código “scripting”. Contiene diversas técnicas, tanto para evadir filtros, cómo para explotar código sobre vulnerabilidades de tipo XSS. En la presentación se mostrará la historia y evolución del proyecto, así cómo, una relación de todas las posibilidades que permite la herramienta, tanto desde el punto de vista de un auditor de seguridad profesional, cómo para aquellas personas que apenas tengan conocimientos.


Leer más »

Labels: , , , , , | 0 comments

PostHeaderIcon Múltiples vulnerabilidades en Moodle 2.x y nueva versión 3.0

Saturday, 21 November 2015 | Posted by el-brujo | Edit Post

Moodle ha publicado diez alertas de seguridad en las que se corrigen otras tantas vulnerabilidades con diversos efectos, desde los habituales cross-site scripting, hasta modificar respuestas o evitar restricciones de seguridad. Se ven afectadas las ramas 2.9, 2.8 y 2.7. 


Leer más »

Labels: , , , , , , , , | 0 comments

PostHeaderIcon Solucionada vulnerabilidad XSS en el panel de control de Google Apps

Friday, 23 January 2015 | Posted by el-brujo | Edit Post

Solucionada la grave vulnerabilidad Reflected Cross-Site Scripting XSS en Panel de Administración de Google Apps descubierta por Brett Buerhaus que permitia desactivar la autenticación en dos pasos (2FA) de cualquier cuenta Gmail del dominio, así como redirigir todos los mensajes de correo electrónico recibidos por una cuenta de Google. El investigador Brett Buerhaus ha sido premiado con 5,000$ gracias al Programa de recompensas de errores de Google.




Leer más »

Labels: , , , , , , , , | 0 comments

PostHeaderIcon El registrador de dominios GoDaddy soluciona una grave vulnerabilidad CSRF que permitía el secuestro de sesiones en dominios

Wednesday, 21 January 2015 | Posted by el-brujo | Edit Post

El conocido registrador de dominios GoDaddy arregló una vulnerabilidad (CSRF o XSRF, cross-site request forgery, por sus siglas en inglés) que podría haber permitido a un atacante cambiar la configuración del dominio de un sitio registrado con GoDaddy.




Leer más »

Labels: , , , | 0 comments

PostHeaderIcon Ataques XSS avanzados y ejemplos de explotación

Monday, 12 January 2015 | Posted by el-brujo | Edit Post

Un artículo de gr2dest.org dónde se habla de los ataques XSS más allá de los tipos reflejado y persistente. Se intenta aportar una visión más amplia sobre las posibilidades dentro de este tipo de ataques así como las condiciones para que éstos se produzcan. También se explora y el funcionamiento de la herramienta XSSer para el lanzamiento de ataques de este tipo.




Leer más »

Labels: , , , , , , , , , | 0 comments

PostHeaderIcon Solucionada grave vulnerabilidad CSRF en Paypal

Thursday, 4 December 2014 | Posted by el-brujo | Edit Post

El investigador egipcio Yasser H. Ali descubrió un fallo localizado haciendo un bypass en el sistema de prevención de CSRF o XSRF (Cross-Site Request Forgery) de Paypal que se encarga de autenticar cada solicitud realizada por el usuario. La vulnerabilidad afectaba a  los más de 158 millones de usuarios que tiene Paypal



Leer más »

Labels: , , , , , , | 0 comments

PostHeaderIcon XSSF - Cross Site Scripting Framework

Friday, 13 June 2014 | Posted by el-brujo | Edit Post

El Cross-Site Scripting Framework (XSSF) es una herramienta de seguridad diseñada para convertir la tarea de encontrar una vulnerabilidad XSS de un manera mucho más sencilla. El proyecto tiene por objetivo demostrar los peligros reales de las vulnerabilidades XSS y divulgarizar su explotación.



Leer más »

Labels: , , , , , , , , , , , , , , , | 0 comments

PostHeaderIcon Manual con ejemplos "XSS for fun and profit"

Friday, 10 January 2014 | Posted by el-brujo | Edit Post

Manual completo de lord epsylon presentado en la Summer Camp Garrotxa de 2009 (SCG09) donde se exponen todo tipo de ataques conocidos, formas de evasión de filtros, diferentes técnicas/finalidades de un atacante y una recopilación de herramientas, links, ideas y vectores válidos.



Leer más »

Labels: , , , , , , , , , , | 0 comments

PostHeaderIcon [Finalizado] Hackea a elhacker.net v2.0 (ganador: yoya) - Reto CSRF

Wednesday, 29 February 2012 | Posted by el-brujo | Edit Post

Reto:

Tenemos que encontrar un CSRF que permita canbiar la firma de un usuario.

GANADOR: ~ Yoya ~ (yoyahack)

Puntos importantes

  • 1 - Obtener el token de sesión del usuario
    • 1.2- El token es una sesión PHP
  • 2 - Para realizar el cambio de firma, es necesario enviar el contenido vía POST
    • 2.2 - Existe un filtro que cancela cualquier tipo de modificacion, si la petición proviene de un sitio remoto
  • 3 - Hacer un exploit que sea lo mas efectivo y automatizado posible


Leer más »

Labels: , , , , , , , ,