Coders Conquer Security: Share & Learn Series - Inyección de código
Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Son muy variados, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable. De hecho, casi todos los defensores de la ciberseguridad tendrán que enfrentarse a este tipo de ataque en algún momento de su carrera, y probablemente lo harán varias veces.
Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte entradas de los usuarios. Esto puede ser tan simple como proporcionar una función de búsqueda o pedir a un usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce un código en el campo abierto en lugar de una entrada de texto normal. Su objetivo es hacer que el servidor confunda la entrada con un código válido, y luego ejecute las funciones que el atacante desee.
Mientras que los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles que se pueden utilizar para detenerlos. En este episodio, aprenderemos:
- Cómo funcionan
- Por qué son tan peligrosos
- Cómo puede poner defensas para detenerlos.
¿Cómo utilizan los atacantes la inyección de código?
Aunque los detalles específicos de los ataques de inyección de código cambian en función del lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita a un usuario introducir datos. Los ataques de inyección de código se han desencadenado para SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.
En primer lugar, un atacante debe localizar el código vulnerable dentro de una aplicación, normalmente en un punto en el que los usuarios pueden introducir sus propias entradas. Por ejemplo, este código toma la función PHP eval() y la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena de retorno.
$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");
Un atacante inteligente podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.
/index.php?arg=1; system(id)
Es importante tener en cuenta que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan a hacer eso. De hecho, con los ataques de inyección de código, los hackers sólo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework PHP.
¿Por qué son tan peligrosos los ataques de inyección de código?
Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que les pone en igualdad de condiciones con los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute en el entorno de destino.
Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría conducir a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida contra los usuarios del sitio.
La mayoría de las veces, los ataques de inyección de código se utilizan para robar cosas como listas de usuarios y contraseñas, o para obtener un valioso reconocimiento de un sistema que se quiere comprometer. Pero hay que tener en cuenta que un programador hábil puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental descubrir y eliminar de su entorno todos los casos potenciales.
No confíes en nadie (O al menos, no en los usuarios)
Cuando se eliminan las vulnerabilidades de los ataques de inyección de código, el primer lugar en el que se debe buscar es en cualquier lugar que solicite o permita la entrada del usuario. Cualquier cosa introducida por un usuario no es de confianza bajo ninguna circunstancia. Si permites la entrada del usuario sin filtrarla o examinarla, básicamente estás invitando a los atacantes a tener una oportunidad gratuita de comprometer tu sistema o incluso tu red.
Aunque no siempre es posible, la mejor manera de frustrar los ataques de inyección de código es impedir que las funciones se ejecuten o interpreten directamente la entrada del usuario. Tal vez se pueda dar a los usuarios una selección de opciones estáticas en lugar de darles rienda suelta para que introduzcan sus propias consultas, y programar la aplicación para que sólo acepte como válidas esas opciones limitadas. Puede que no siempre sea apropiado hacer esto, pero usarlo cuando sea posible puede eliminar las inyecciones de código antes de que empiecen.
En las áreas en las que los usuarios tienen que introducir sus propios datos, se deben establecer controles estrictos sobre los mismos. Asumir que todo es un ataque potencial es un buen punto de partida. La aplicación de políticas de mínimos privilegios, como el acceso de los usuarios a la lectura, tanto en el lado del cliente como del servidor, puede impedir la ejecución de la mayor parte del código.
La otra buena defensa es implementar filtros en toda la aplicación y sanear todo lo que ingresa el usuario. Los desarrolladores han sido conscientes de los ataques de inyección de código durante años, y existen bibliotecas de filtros probados para cada marco y lenguaje. Al aplicar esos filtros, asegúrate de hacerlo no sólo en las áreas obvias de entrada del usuario o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.
Aplicación de una corrección por inyección de código
La eliminación de las áreas de entrada de usuario innecesarias de su entorno, la aplicación de los principios de mínimo privilegio y el uso de las últimas herramientas de filtrado y sanitización para inspeccionar y detectar posibles ataques pueden cerrar la puerta a esta peligrosa vulnerabilidad. Tener la mentalidad de no confiar nunca en las entradas del usuario también le servirá para avanzar. Si hace todo esto, podrá ir un paso por delante de este peligroso tipo de ataque.
Para más información, puedes consultar el artículo de OWASP sobre inyección de código. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Enfréntate a la inyección de código de frente, ahora mismo. Acepta el reto en nuestra plataforma de formación gamificada: [Empieza aquí]
Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Hay una gran variedad de ataques, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable.
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostración
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Son muy variados, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable. De hecho, casi todos los defensores de la ciberseguridad tendrán que enfrentarse a este tipo de ataque en algún momento de su carrera, y probablemente lo harán varias veces.
Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte entradas de los usuarios. Esto puede ser tan simple como proporcionar una función de búsqueda o pedir a un usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce un código en el campo abierto en lugar de una entrada de texto normal. Su objetivo es hacer que el servidor confunda la entrada con un código válido, y luego ejecute las funciones que el atacante desee.
Mientras que los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles que se pueden utilizar para detenerlos. En este episodio, aprenderemos:
- Cómo funcionan
- Por qué son tan peligrosos
- Cómo puede poner defensas para detenerlos.
¿Cómo utilizan los atacantes la inyección de código?
Aunque los detalles específicos de los ataques de inyección de código cambian en función del lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita a un usuario introducir datos. Los ataques de inyección de código se han desencadenado para SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.
En primer lugar, un atacante debe localizar el código vulnerable dentro de una aplicación, normalmente en un punto en el que los usuarios pueden introducir sus propias entradas. Por ejemplo, este código toma la función PHP eval() y la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena de retorno.
$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");
Un atacante inteligente podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.
/index.php?arg=1; system(id)
Es importante tener en cuenta que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan a hacer eso. De hecho, con los ataques de inyección de código, los hackers sólo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework PHP.
¿Por qué son tan peligrosos los ataques de inyección de código?
Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que les pone en igualdad de condiciones con los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute en el entorno de destino.
Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría conducir a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida contra los usuarios del sitio.
La mayoría de las veces, los ataques de inyección de código se utilizan para robar cosas como listas de usuarios y contraseñas, o para obtener un valioso reconocimiento de un sistema que se quiere comprometer. Pero hay que tener en cuenta que un programador hábil puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental descubrir y eliminar de su entorno todos los casos potenciales.
No confíes en nadie (O al menos, no en los usuarios)
Cuando se eliminan las vulnerabilidades de los ataques de inyección de código, el primer lugar en el que se debe buscar es en cualquier lugar que solicite o permita la entrada del usuario. Cualquier cosa introducida por un usuario no es de confianza bajo ninguna circunstancia. Si permites la entrada del usuario sin filtrarla o examinarla, básicamente estás invitando a los atacantes a tener una oportunidad gratuita de comprometer tu sistema o incluso tu red.
Aunque no siempre es posible, la mejor manera de frustrar los ataques de inyección de código es impedir que las funciones se ejecuten o interpreten directamente la entrada del usuario. Tal vez se pueda dar a los usuarios una selección de opciones estáticas en lugar de darles rienda suelta para que introduzcan sus propias consultas, y programar la aplicación para que sólo acepte como válidas esas opciones limitadas. Puede que no siempre sea apropiado hacer esto, pero usarlo cuando sea posible puede eliminar las inyecciones de código antes de que empiecen.
En las áreas en las que los usuarios tienen que introducir sus propios datos, se deben establecer controles estrictos sobre los mismos. Asumir que todo es un ataque potencial es un buen punto de partida. La aplicación de políticas de mínimos privilegios, como el acceso de los usuarios a la lectura, tanto en el lado del cliente como del servidor, puede impedir la ejecución de la mayor parte del código.
La otra buena defensa es implementar filtros en toda la aplicación y sanear todo lo que ingresa el usuario. Los desarrolladores han sido conscientes de los ataques de inyección de código durante años, y existen bibliotecas de filtros probados para cada marco y lenguaje. Al aplicar esos filtros, asegúrate de hacerlo no sólo en las áreas obvias de entrada del usuario o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.
Aplicación de una corrección por inyección de código
La eliminación de las áreas de entrada de usuario innecesarias de su entorno, la aplicación de los principios de mínimo privilegio y el uso de las últimas herramientas de filtrado y sanitización para inspeccionar y detectar posibles ataques pueden cerrar la puerta a esta peligrosa vulnerabilidad. Tener la mentalidad de no confiar nunca en las entradas del usuario también le servirá para avanzar. Si hace todo esto, podrá ir un paso por delante de este peligroso tipo de ataque.
Para más información, puedes consultar el artículo de OWASP sobre inyección de código. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Enfréntate a la inyección de código de frente, ahora mismo. Acepta el reto en nuestra plataforma de formación gamificada: [Empieza aquí]
Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Son muy variados, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable. De hecho, casi todos los defensores de la ciberseguridad tendrán que enfrentarse a este tipo de ataque en algún momento de su carrera, y probablemente lo harán varias veces.
Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte entradas de los usuarios. Esto puede ser tan simple como proporcionar una función de búsqueda o pedir a un usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce un código en el campo abierto en lugar de una entrada de texto normal. Su objetivo es hacer que el servidor confunda la entrada con un código válido, y luego ejecute las funciones que el atacante desee.
Mientras que los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles que se pueden utilizar para detenerlos. En este episodio, aprenderemos:
- Cómo funcionan
- Por qué son tan peligrosos
- Cómo puede poner defensas para detenerlos.
¿Cómo utilizan los atacantes la inyección de código?
Aunque los detalles específicos de los ataques de inyección de código cambian en función del lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita a un usuario introducir datos. Los ataques de inyección de código se han desencadenado para SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.
En primer lugar, un atacante debe localizar el código vulnerable dentro de una aplicación, normalmente en un punto en el que los usuarios pueden introducir sus propias entradas. Por ejemplo, este código toma la función PHP eval() y la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena de retorno.
$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");
Un atacante inteligente podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.
/index.php?arg=1; system(id)
Es importante tener en cuenta que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan a hacer eso. De hecho, con los ataques de inyección de código, los hackers sólo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework PHP.
¿Por qué son tan peligrosos los ataques de inyección de código?
Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que les pone en igualdad de condiciones con los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute en el entorno de destino.
Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría conducir a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida contra los usuarios del sitio.
La mayoría de las veces, los ataques de inyección de código se utilizan para robar cosas como listas de usuarios y contraseñas, o para obtener un valioso reconocimiento de un sistema que se quiere comprometer. Pero hay que tener en cuenta que un programador hábil puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental descubrir y eliminar de su entorno todos los casos potenciales.
No confíes en nadie (O al menos, no en los usuarios)
Cuando se eliminan las vulnerabilidades de los ataques de inyección de código, el primer lugar en el que se debe buscar es en cualquier lugar que solicite o permita la entrada del usuario. Cualquier cosa introducida por un usuario no es de confianza bajo ninguna circunstancia. Si permites la entrada del usuario sin filtrarla o examinarla, básicamente estás invitando a los atacantes a tener una oportunidad gratuita de comprometer tu sistema o incluso tu red.
Aunque no siempre es posible, la mejor manera de frustrar los ataques de inyección de código es impedir que las funciones se ejecuten o interpreten directamente la entrada del usuario. Tal vez se pueda dar a los usuarios una selección de opciones estáticas en lugar de darles rienda suelta para que introduzcan sus propias consultas, y programar la aplicación para que sólo acepte como válidas esas opciones limitadas. Puede que no siempre sea apropiado hacer esto, pero usarlo cuando sea posible puede eliminar las inyecciones de código antes de que empiecen.
En las áreas en las que los usuarios tienen que introducir sus propios datos, se deben establecer controles estrictos sobre los mismos. Asumir que todo es un ataque potencial es un buen punto de partida. La aplicación de políticas de mínimos privilegios, como el acceso de los usuarios a la lectura, tanto en el lado del cliente como del servidor, puede impedir la ejecución de la mayor parte del código.
La otra buena defensa es implementar filtros en toda la aplicación y sanear todo lo que ingresa el usuario. Los desarrolladores han sido conscientes de los ataques de inyección de código durante años, y existen bibliotecas de filtros probados para cada marco y lenguaje. Al aplicar esos filtros, asegúrate de hacerlo no sólo en las áreas obvias de entrada del usuario o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.
Aplicación de una corrección por inyección de código
La eliminación de las áreas de entrada de usuario innecesarias de su entorno, la aplicación de los principios de mínimo privilegio y el uso de las últimas herramientas de filtrado y sanitización para inspeccionar y detectar posibles ataques pueden cerrar la puerta a esta peligrosa vulnerabilidad. Tener la mentalidad de no confiar nunca en las entradas del usuario también le servirá para avanzar. Si hace todo esto, podrá ir un paso por delante de este peligroso tipo de ataque.
Para más información, puedes consultar el artículo de OWASP sobre inyección de código. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Enfréntate a la inyección de código de frente, ahora mismo. Acepta el reto en nuestra plataforma de formación gamificada: [Empieza aquí]
Haga clic en el siguiente enlace y descargue el PDF de este recurso.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Ver el informeReservar una demostración
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Los ataques de inyección de código están entre los más comunes, y también los más peligrosos, que muchos sitios web y aplicaciones encontrarán. Son muy variados, tanto en términos de sofisticación como en el peligro que representan, pero casi cualquier sitio o aplicación que acepte entradas de usuario puede ser vulnerable. De hecho, casi todos los defensores de la ciberseguridad tendrán que enfrentarse a este tipo de ataque en algún momento de su carrera, y probablemente lo harán varias veces.
Un ataque de inyección de código puede ocurrir siempre que una aplicación o sitio web acepte entradas de los usuarios. Esto puede ser tan simple como proporcionar una función de búsqueda o pedir a un usuario que introduzca su información de identificación. El ataque se produce cuando un usuario malintencionado introduce un código en el campo abierto en lugar de una entrada de texto normal. Su objetivo es hacer que el servidor confunda la entrada con un código válido, y luego ejecute las funciones que el atacante desee.
Mientras que los ataques de inyección de código son extremadamente comunes, también lo son las defensas disponibles que se pueden utilizar para detenerlos. En este episodio, aprenderemos:
- Cómo funcionan
- Por qué son tan peligrosos
- Cómo puede poner defensas para detenerlos.
¿Cómo utilizan los atacantes la inyección de código?
Aunque los detalles específicos de los ataques de inyección de código cambian en función del lenguaje de programación utilizado, cualquier aplicación o sitio web puede ser vulnerable siempre que permita a un usuario introducir datos. Los ataques de inyección de código se han desencadenado para SQL, HTML, XML, CSS y cualquier otro lenguaje de programación común.
En primer lugar, un atacante debe localizar el código vulnerable dentro de una aplicación, normalmente en un punto en el que los usuarios pueden introducir sus propias entradas. Por ejemplo, este código toma la función PHP eval() y la pasa a un usuario para que la modifique, sin ningún tipo de validación de la cadena de retorno.
$myvar = "varname";
$x = $_GET[arg];
eval("\$myvar = \$x;");
Un atacante inteligente podría añadir fácilmente su propia cadena a la función eval, incluso ejecutando comandos del sistema si así lo desea.
/index.php?arg=1; system(id)
Es importante tener en cuenta que, aunque los ataques de inyección de código pueden implicar el envío de comandos del sistema, no se limitan a hacer eso. De hecho, con los ataques de inyección de código, los hackers sólo están limitados por la funcionalidad del propio lenguaje. En nuestro ejemplo, un atacante podría programar el sistema objetivo para hacer casi cualquier cosa permitida por el framework PHP.
¿Por qué son tan peligrosos los ataques de inyección de código?
Los ataques de inyección de código son potencialmente muy peligrosos dependiendo de la habilidad del atacante. Pueden hacer cualquier cosa que el lenguaje de programación permita, lo que les pone en igualdad de condiciones con los programadores de la aplicación. Un atacante podría prácticamente escribir su propia aplicación y hacer que se ejecute en el entorno de destino.
Incluso los atacantes menos hábiles pueden ser peligrosos. En lugar de escribir su propia aplicación o cadenas de código, pueden simplemente ordenar al sistema objetivo que acepte e instale malware preprogramado. Esto podría conducir a la desfiguración del sitio, ataques de ransomware o incluso convertirse en la base de una campaña de phishing dirigida contra los usuarios del sitio.
La mayoría de las veces, los ataques de inyección de código se utilizan para robar cosas como listas de usuarios y contraseñas, o para obtener un valioso reconocimiento de un sistema que se quiere comprometer. Pero hay que tener en cuenta que un programador hábil puede hacer casi cualquier cosa con un ataque de inyección de código, por lo que es fundamental descubrir y eliminar de su entorno todos los casos potenciales.
No confíes en nadie (O al menos, no en los usuarios)
Cuando se eliminan las vulnerabilidades de los ataques de inyección de código, el primer lugar en el que se debe buscar es en cualquier lugar que solicite o permita la entrada del usuario. Cualquier cosa introducida por un usuario no es de confianza bajo ninguna circunstancia. Si permites la entrada del usuario sin filtrarla o examinarla, básicamente estás invitando a los atacantes a tener una oportunidad gratuita de comprometer tu sistema o incluso tu red.
Aunque no siempre es posible, la mejor manera de frustrar los ataques de inyección de código es impedir que las funciones se ejecuten o interpreten directamente la entrada del usuario. Tal vez se pueda dar a los usuarios una selección de opciones estáticas en lugar de darles rienda suelta para que introduzcan sus propias consultas, y programar la aplicación para que sólo acepte como válidas esas opciones limitadas. Puede que no siempre sea apropiado hacer esto, pero usarlo cuando sea posible puede eliminar las inyecciones de código antes de que empiecen.
En las áreas en las que los usuarios tienen que introducir sus propios datos, se deben establecer controles estrictos sobre los mismos. Asumir que todo es un ataque potencial es un buen punto de partida. La aplicación de políticas de mínimos privilegios, como el acceso de los usuarios a la lectura, tanto en el lado del cliente como del servidor, puede impedir la ejecución de la mayor parte del código.
La otra buena defensa es implementar filtros en toda la aplicación y sanear todo lo que ingresa el usuario. Los desarrolladores han sido conscientes de los ataques de inyección de código durante años, y existen bibliotecas de filtros probados para cada marco y lenguaje. Al aplicar esos filtros, asegúrate de hacerlo no sólo en las áreas obvias de entrada del usuario o contra parámetros comunes como los comandos Get y Post, sino también contra las cookies y las cabeceras HTTP.
Aplicación de una corrección por inyección de código
La eliminación de las áreas de entrada de usuario innecesarias de su entorno, la aplicación de los principios de mínimo privilegio y el uso de las últimas herramientas de filtrado y sanitización para inspeccionar y detectar posibles ataques pueden cerrar la puerta a esta peligrosa vulnerabilidad. Tener la mentalidad de no confiar nunca en las entradas del usuario también le servirá para avanzar. Si hace todo esto, podrá ir un paso por delante de este peligroso tipo de ataque.
Para más información, puedes consultar el artículo de OWASP sobre inyección de código. También puedes poner a prueba tus nuevos conocimientos defensivos con la demostración gratuita de la plataforma Secure Code Warrior , que forma a los equipos de ciberseguridad para que se conviertan en los mejores ciberguerreros. Para saber más sobre cómo derrotar esta vulnerabilidad, y una galería de pícaros de otras amenazas, visite el blogSecure Code Warrior .
Enfréntate a la inyección de código de frente, ahora mismo. Acepta el reto en nuestra plataforma de formación gamificada: [Empieza aquí]
Índice
Jaap Karan Singh es un evangelista de la codificación segura, jefe Singh y cofundador de Secure Code Warrior.
Secure Code Warrior está a disposición de su organización para ayudarle a proteger el código a lo largo de todo el ciclo de vida de desarrollo de software y crear una cultura en la que la ciberseguridad sea una prioridad. Tanto si es director de AppSec, desarrollador, CISO o cualquier persona implicada en la seguridad, podemos ayudar a su organización a reducir los riesgos asociados a un código inseguro.
Reservar una demostraciónDescargarRecursos para empezar
Panorama de la gestión de riesgos de los promotores
La gestión de riesgos del desarrollador es un enfoque holístico y proactivo de la seguridad de las aplicaciones, centrado en quienes contribuyen al código y no en los bits y bytes de la propia capa de la aplicación.
Seguridad desde el diseño: Definición de las mejores prácticas, capacitación de los desarrolladores y evaluación comparativa de los resultados de la seguridad preventiva
En este documento de investigación, los cofundadores Secure Code Warrior , Pieter Danhieux y el Dr. Matias Madou, Ph.D., junto con los expertos colaboradores, Chris Inglis, ex Director Nacional Cibernético de EE.UU. (ahora Asesor Estratégico de Paladin Capital Group), y Devin Lynch, Director Senior, Paladin Global Institute, revelarán los hallazgos clave de más de veinte entrevistas en profundidad con líderes de seguridad empresarial, incluyendo CISOs, un VP de Seguridad de Aplicaciones y profesionales de seguridad de software.
Evaluación comparativa de las competencias en materia de seguridad: optimización del diseño seguro en la empresa
Encontrar datos significativos sobre el éxito de las iniciativas Secure-by-Design es notoriamente difícil. Los responsables de la seguridad de la información se enfrentan a menudo al reto de demostrar el rendimiento de la inversión (ROI) y el valor empresarial de las actividades de los programas de seguridad, tanto a nivel de las personas como de la empresa. Por no mencionar que a las empresas les resulta especialmente difícil obtener información sobre cómo se comparan sus organizaciones con los estándares actuales del sector. La Estrategia Nacional de Ciberseguridad del Presidente desafió a las partes interesadas a "adoptar la seguridad y la resiliencia desde el diseño". La clave para que las iniciativas de seguridad por diseño funcionen no es sólo dotar a los desarrolladores de las habilidades necesarias para garantizar un código seguro, sino también garantizar a los reguladores que esas habilidades están en su lugar. En esta presentación, compartimos una miríada de datos cualitativos y cuantitativos, derivados de múltiples fuentes primarias, incluidos puntos de datos internos recogidos de más de 250.000 desarrolladores, opiniones de clientes basadas en datos y estudios públicos. Aprovechando esta agregación de puntos de datos, pretendemos comunicar una visión del estado actual de las iniciativas Secure-by-Design en múltiples verticales. El informe detalla por qué este espacio está actualmente infrautilizado, el impacto significativo que un programa de mejora de las competencias puede tener en la mitigación de los riesgos de ciberseguridad y el potencial para eliminar categorías de vulnerabilidades de un código base.
Servicios profesionales - Acelerar con experiencia
El equipo de servicios de estrategia de programas (PSS) de Secure Code Warriorle ayuda a crear, mejorar y optimizar su programa de codificación segura. Tanto si empieza de cero como si está perfeccionando su enfoque, nuestros expertos le proporcionarán orientación personalizada.
Recursos para empezar
Revelado: Cómo define el sector cibernético la seguridad por diseño
En nuestro último libro blanco, nuestros cofundadores, Pieter Danhieux y el doctor Matias Madou, se sentaron con más de veinte líderes de seguridad empresarial, incluidos CISO, líderes de AppSec y profesionales de la seguridad, para averiguar las piezas clave de este rompecabezas y descubrir la realidad detrás del movimiento Secure by Design. Se trata de una ambición compartida por todos los equipos de seguridad, pero no de un libro de jugadas compartido.
¿Vibe Coding va a convertir tu código en una fiesta de fraternidad?
Vibe Coding es como una fiesta de fraternidad universitaria, y la IA es la pieza central de todos los festejos, el barril. Es muy divertido dar rienda suelta a la creatividad y ver adónde te lleva tu imaginación, pero después de unas cuantas borracheras, beber (o usar IA) con moderación es, sin duda, la solución más segura a largo plazo.
Codificación orientada al desarrollador.
Con seguridad.
Póngase en contacto con nosotros hoy mismo y haga de la seguridad del software una parte intrínseca de su proceso de desarrollo.
