Vectores de ataque emergentes en ciberseguridad

En este artículo, discutiremos algunos vectores de ataque emergentes con su impacto potencialmente alto en la seguridad de la aplicación web. Cubriremos la introducción al vector de ataque, la referencia directa a objetos inseguros, la sobrescritura de rutas relativas, la fuerza bruta de directorios. Discutámoslo uno por uno.

Vectores de ataque:

• El vector de ataque es básicamente un método utilizado por el pirata informático o el analista de seguridad para penetrar en la aplicación de destino para algún uso malicioso o para verificar las características de seguridad de la aplicación.
• Cada hacker ético tiene su propio y único vector de ataque para verificar la seguridad de la aplicación de destino, esta aplicación puede ser una aplicación web o una aplicación de Android, pero en este artículo nos enfocamos principalmente en la aplicación web.
• En este artículo puedes conocer algunos vectores de ataque emergentes con su impacto. Puede usar cualquier vector de ataque en la aplicación, solo si tiene permiso legal para verificar sus características de seguridad. No aplique ningún vector de ataque en la aplicación sin el permiso previo del propietario de la aplicación. Es totalmente ilegal penetrar en una aplicación sin permiso legal.

Referencia de objeto directo inseguro:

• La referencia directa a objetos inseguros se conoce comúnmente como IDOR , y es básicamente una vulnerabilidad basada en permisos que permite a un atacante modificar o acceder a los recursos que pertenecen a otros usuarios de la aplicación. 
• El concepto fundamental detrás de la vulnerabilidad IDOR es que un punto final de la aplicación intenta dar acceso para modificar y acceder a los datos del usuario. Los datos pueden contener imágenes, direcciones, archivos y, en algunos casos, contener el nombre de usuario y la contraseña de un usuario.
• Hoy en día, IDOR es común y un vector de ataque emergente para aplicaciones web porque la vulnerabilidad de IDOR otorga permiso de acceso y cualquier problema relacionado con los permisos no se puede solucionar de forma automática o predeterminada porque, en las aplicaciones web, el permiso varía de un usuario a otro. 
• Por ejemplo, en cualquier aplicación, el usuario normal y el usuario principal tienen diferentes permisos de acceso. El usuario normal y el administrador tienen diferentes permisos para la modificación de datos.
• Básicamente, esta clase de vulnerabilidad está en todas partes. De hecho es tan común que la mayoría de las aplicaciones web se ven afectadas por esto.

Sobrescritura de ruta relativa:

• El investigador de seguridad Gareth Heyes descubrió el nuevo vector de ataque, a saber, Relative Path Overwrite (RPO). RPO explota la forma en que los navegadores interpretan las rutas relativas durante la importación de archivos CSS en DOM (modelo de objeto de documento). Por lo tanto, este ataque también se conoce como importación de hoja de estilo relativa a la ruta (PRSSI).

Relative Path -
<link href="database/xyz.css" rel="stylesheet" type="text/css"/>

Absolute Path -
<link href="https://example.com /database/xyz.css" rel="stylesheet" type="text/css"/>

• Ejemplo:
  por ejemplo, si el documento se carga en https://example.com/database, el CSS se cargará desde la ruta https://example.com/database/xyz.css en el caso de una ruta relativa. Si el sitio web tiene una URL: https://example.com/index.html y vincula el <link href=”resource/rpo.css” rel=”stylesheet” type=” text/CSS”/> ruta dada en el archivo HTML . 

  En este escenario, si visitamos https://example.com/index.html, el sitio web puede importar su archivo CSS a través de la ruta dada, pero si el atacante cambia la URL a https://example.com/index.htm/random/payload , también funcionará debido a la naturaleza flexible de los lenguajes de programación del lado del servidor y los marcos web, pero esta vez CSS no se carga desde la ruta proporcionada en el archivo html. Y al agregar las cargas útiles en el punto final vulnerable, el atacante puede controlar el CSS de la aplicación web.

Directorio Fuerza bruta:

• Este es un vector de ataque muy popular y simple. La mayoría de los hackers éticos utilizan este vector para encontrar directorios ocultos y confidenciales en la aplicación web. Hay varias herramientas automatizadas disponibles para probar este vector de ataque. 
• La mayoría de las veces, los desarrolladores se olvidan de ocultar los archivos y directorios confidenciales: como archivos que contienen el nombre de usuario de la base de datos, la contraseña, el código fuente del sitio web, etc. puede encontrar los datos ocultos y la información confidencial de la aplicación web. 
• Como desarrollador, es una buena práctica ocultar al usuario todos los directorios confidenciales.