Detección e inyección SQL manual, con algunos payloads de evasión de IDS/WAF; y es que la inyección SQL (SQLi) sigue siendo una de las vulnerabilidades más explotadas. A medida que los IDS (Sistemas de Detección de Intrusos) y los WAF (Web Application Firewall) mejoran, nosotros debemos recurrir a técnicas de evasión para burlar estos sistemas. Y es por esto, que en este post me centraré en algunos ejemplos prácticos de cómo evadir un IDS mediante SQLi en Oracle y MySQL, la mayoría de los cuales hemos utilizado en auditorias donde hemos encontrado algún WAF. Cabe mencionar, además, que otro de los motivos por los que preferimos el uso de inyecciones manuales es porque reduce significativamente el número de peticiones realizadas al servidor.

La ciberseguridad es un tema a tratar muy importante, pues cada vez tenemos más dispositivos electrónicos que pueden ser vulnerados, además de los ordenadores y móviles. Así es como hemos podido ver brechas de seguridad en sistemas como las cerraduras de puertas de hoteles, donde era bastante sencillo aprovecharse del exploit. También se ha encontrado una forma sencilla de acceder a cabinas de aviones tras un fallo de la TSA y la aparición de una vulnerabilidad SQL que permitía ignorar la seguridad.

Delincuentes informáticos están atacando sitios web que utilizan el conocido complemento de WordPress Automatic. El ataque intenta explotar una vulnerabilidad de alta gravedad que permite una toma total del control de WordPress.

La Generalitat de Cataluña ha sufrido una vulnerabilidad informática en al menos tres de sus páginas webs. Al menos 5.000 registros con direcciones de correos electrónicos y contraseñas han estado al descubierto por un fallo de seguridad de tipo SQL Injection, vulnerabilidad que explicaremos más adelante. El servicio de TI de la Generalitat mantiene abierta una investigación para detectar si ha habido robo de datos. Una librería desactualizada sería el problema, el mismo que proporcionó un robo de contraseñas en Vueling. Las vulnerabilidades fueron descubiertas por el experto en ciberseguridad y bug hunter -cazador de bugs pakistaní- Touseef Gul.