• Facebook
• Twitter
• Reddit
• LinkedIn

Después de un tiempo en versión Release Candidate de la que nos habló Chema Alonso, finalmente ya ha sido publicada la lista definitiva de los 10 mayores problemas de seguridad en aplicaciones web de 2013 . Este año la lista definitiva es la siguiente:

• A1 Injection (Inyección)
• A2 Broken Authentication and Session Management (Manejo de sesiones y autenticación rota)
• A3 Cross-Site Scripting (XSS)
• A4 Insecure Direct Object References (Referencia directa a objectos insegura)
• A5 Security Misconfiguration (Errores de configuración)
• A6 Sensitive Data Exposure (Exposición de datos sensibles)
• A7 Missing Function Level Access Control (Falta de control de nivel a de acceso a funciones)
• A8 Cross-Site Request Forgery (CSRF)
• A9 Using Known Vulnerable Components (Uso de componentes vulnerables)
• A10 Unvalidated Redirects and Forwards (Falta de validación de redirecciones)

• Facebook
• Twitter
• Reddit
• LinkedIn

PentesterLab nos deleitan con un nuevo tutorial sobre inyección de SQL. En este caso llamado From SQL injection to the shell II.

En el mismo aprenderemos:

• Explotación por inyección de SQL a ciegas usando explotación basada en el tiempo (Blind SQL injection exploitation using time-based exploitation)
• Ejecución de código usando una shell web PHP

• Documento PDF con las instrucciones
• Imagen ISO para sistemas de 32 y 64 bits.

• Software de virtualización
• Buen conocimiento de SQL
• Buen conocimiento de HTTP
• Conocimiento básico de PHP
• Ganas y tiempo :)

• Facebook
• Twitter
• Reddit
• LinkedIn

Teensy es un dispositivo USB programable, que entre otras cosas se puede usar para emular un teclado.

Con un dispositivo Teensy 3.0, han conseguido poder hacer un ataque por fuerza bruta a la pantalla de restricción en iOS, concretamente en un iPad (parece ser que no se puede conectar un teclado externo a un iPhone). En dicha pantalla de restricción, cuando introduces el código PIN incorrectamente varias veces, el sistema inhabilita el teclado virtual, 1 minuto, 5 minutos, 15 minutos, etc por cada intento fallido, pero el problema o más bien vulnerabilidad surge cuando la entrada se hace por un teclado externo.

En este caso la prueba de concepto está hecha, como decíamos antes, con un dispositivo Teensy 3.0. En la prueba de concepto, el autor manda cada 3 segundos un nuevo código. El autor no dado detalles de la prueba de concepto, pero podemos ver un vídeo a continuación cuyo código es 0015:

Fuente