Las 10 mejores técnicas de hacking web en el 2010

Ed Skoudis, Girogio Maone, Caleb Sima, Chris Wysopal, Jeff Williams, Charlie Miller, Dan Kaminsky, Steven Christey y Arian Evans forman parte de un selecto grupo de expertos que han participado en una votación sobre cuáles han sido las 10 mejores técnicas de hacking web en el 2010.

El ranking, patrocinado por Black Hat, OWASP y White Hat Security, será presentado en detalle en la conferencia IT-Defense 2011 que tendrá lugar en Alemania el próximo mes, del 9 al 11 de febrero.

Hasta entonces, ya podemos ver el Top 10 elegido en la votación:

1.- Ataque criptográfico Padding Oracle: el primer puesto lo ocupa un ataque que puede hacer peligrar incluso algunas transacciones bancarias. Si los datos cifrados de la cookie cambian, la forma en que el framework ASP.NET maneja los resultados en la aplicación pueden darnos información de cómo descifrar el tráfico. Con repetidos cambios, un hacker puede deducir los posibles bytes que pueden eliminarse de la clave de encriptación hasta facilitar así su obtención. Los desarrolladores del hack, Juliano Rizzo y Thai Duong, han creado una herramienta para ejecutar esta técnica.

2.- Evercookie: creado por Samy Kamkar, se trata de una API de JavaScript que produce cookies para los navegadores que son "extremadamente persistentes". Afecta al estándar HTML5, es muy difícil de eliminar y puede poner a disposición de un atacante información privada de los usuarios.

3.- Hacking de autocompletar: creado por Jeremiah Grossman, es un técnica que se aprovecha de la función autocompletar de un formulario web, pudiendo forzar al navegador a rellenar los datos personales obteniendo los datos almacenados del ordenador de la víctima y sin interacción del usuario.

4.- Atacando HTTPS con inyección en caché: inyectando librerías JavaScript maliciosas en el caché del navegador, los atacantes pueden comprometer sitios web protegidos con SSL. Esta técnica funciona hasta que el caché es limpiado. Sus autores son Elie Bursztein, Baptiste Gourdin y Dan Boneh.

5.- Anulación de la protección CSRF con ClickJacking y parámetros HTTP contaminados: Lavakumar Kuppan combinaba estas dos técnicas para saltar las protecciones CSRF y engañar a los usuarios para que revelen los IDs de sus cuentas. Usándolo, un atacante podría resetear la contraseña de la víctima y obtener acceso a su cuenta.

6.- XSS universal en IE8: su exploit puede eludir la protección cross-site scripting de Internet Explorer 8 y permitir que las páginas web sean procesadas de una forma potencialmente maliciosa.

7.- HTTP POST DoS: ideado por Wong Onn Chee y Tom Brennan, consiste en enviar primero cabeceras HTTP POST al servidor para dar a conocer los datos que están siendo enviados, y luego transmitir los datos de una forma muy lenta consumiendo los recursos del servidor. Cuando se envían varios simultáneamente, los servidores pueden ser desbordados.

8.- JavaSnoop: consiste en un agente Java instalado en la máquina objetivo que se comunica con la herramienta JavaSnoop. El objetivo es testear aplicaciones en búsqueda de fallos de seguridad y, dependiendo se su uso, puede actuar como una herramienta de seguridad o de hacking. Su autor es Arshan Dabirsiagh.

9.- Hack CSS del historial en Firefox sin JavaScript para Intranet Port Scanning: Robert "RSnake" Hansen desarrolló una idea para que los CSS puedan ser utilizados para grabar los historiales de navegación. La información obtenida podría ser utilizada posteriormente para realizar ataques de phishing.

10.- DNS Rebinding con Applets de Java: creado por Stefano Di Paola, mediante applets de Java es posible redireccionar el navegador hacia sitios web controlados por el atacante, forzando al navegador a saltarse su caché DNS.

Fuente: NetworkWorld