pentest web

Teste de Intrusão em Aplicações Web

About Me Professor na BandTec Consultor e Especialista em Segurança da Informação 20 anos de experiência em TI Pentester CSO, LPI, CEH, DRI, CISSP, OSCP

@allanpitter

facebook.com/allanpitter

br.linkedin.com/in/allanpitter

allan.pressi@bandtec.com.br

Gosta de:

Tecnologia, Sistemas Operacionais, Redes de Computadores, Programação, Escrever Artigos, Documentação, Gerenciar Equipes, Desafios, Aprender, Compartilhar.

Características:

Autodidata, Analítico, Crítico, Competitivo, Persistente, Decidido.

Quem é você?

Antes de começar….

allan.pressi@bandtec.com.br

18 meses 

Esta é a duração média para descoberta de uma fraude, segundo pesquisa efetuada pela Association of Certified Fraud Examiners (ACFE). Report to Nations – On Occupational Fraud and abuses / 2014 - www.acfe.com

allan.pressi@bandtec.com.br

US$ 445bilhões 

Segundo o CSIS esse foi o valor do prejuízo na economia global com crimes eletrônicos no ano de 2014.

allan.pressi@bandtec.com.br

US$ 100bilhões 

Esse é o investimento previsto para 2015 em segurança da informação. (Gartner)

allan.pressi@bandtec.com.br

US$ 5dolaresEsse é o retorno para cada dólar investido em segurança

para as empresas.

allan.pressi@bandtec.com.br

allan.pressi@bandtec.com.br

Tecnologia

allan.pressi@bandtec.com.br

Desktop Firewall IDS/IPS Applications

SQL Injection

Cross Site Scripting

Pattern-based Attack

Web Server Known

Vulnerabilities

Parameter Tampering

Cookie Poisoning

Segurança da camada frontal não para todos os vetores de ataque

Hacker

Users

Anti-spoofing

DoS

Port Scanning

Privileged users (DBAs,developers)

Databases

Suspicious Activity

Sensitive Data Unauthorized

Access

allan.pressi@bandtec.com.br

Contas de E-mails (spammers)

E-commerce (cartões de créditos)

Base de Clientes (informações cadastrais)

Visibilidade e Abrangência (volume de acesso)

Hospedagem (fake pages)

Superfície de Ataque

OWASP - TOP 10 Vulnerabilidades Web

Injeção de código

Quebra de Autenticação

XSS

Acesso Direto a Objetos

Segurança Configurações

Exposição de Dados Sensíveis

Controle de Acesso

CSRF 9-Falhas Conhecidas

Redirecionamentos

allan.pressi@bandtec.com.br

1

2

3

4

8

7

6

5

9

10

Metodolodias de Pentest

allan.pressi@bandtec.com.br

Testes realizados com base nos 66 controles apresentados pelo OWASP

TESTING GUIDE (v3.0): Information Gathering

Configuration Management Testing Business Logic Testing Authentication Testing Authorization testing

Session Management Testing Data Validation Testing

Denial of Service Testing Web Services Testing

Ajax Testing

Projeto de Pentest

allan.pressi@bandtec.com.br

allan.pressi@bandtec.com.br

allan.pressi@bandtec.com.br

Open your mind

Objetivo:

• 1 minuto para isso;• Ligar os 9 pontos;• 4 linhas retas;• Sem retirar a

caneta.

allan.pressi@bandtec.com.br

Open your mind

Objetivo:

• 1 minuto para isso;• Ligar os 9 pontos;• 4 linhas retas;• Sem retirar a

caneta.

allan.pressi@bandtec.com.br

Open your mind

Objetivo:

• 1 minuto para isso;• Ligar os 9 pontos;• 4 linhas retas;• Sem retirar a

caneta.

allan.pressi@bandtec.com.br

Open your mind

allan.pressi@bandtec.com.br

Princípios da Segurança Web

Todas as entradas são vulneráveis até prova em

contrário

Ter uma noção das falhas não é suficiente

allan.pressi@bandtec.com.br

Todas as entradas são vulneráveis…..

FácilCampos texto

Variáveis de URL

MédioCampos ocultos

CookiesDemais inputs

DifícilCabeçalho HTTP

allan.pressi@bandtec.com.br

Recursos

allan.pressi@bandtec.com.br

Ferramentas

allan.pressi@bandtec.com.br

O que eu devo Aprender/fazer?

Automatizar a procura de falhas;Cobrir a maior superficie possível;Ter uma metodologia;Auditar, auditar, auditar…Fazer verificações manuais;Conhecer as diversas técnicas;Saber escolher um bom fornecedor;Refazer tudo novamente.

Demonstração

allan.pressi@bandtec.com.br

Como as coisas acontecem…

allan.pressi@bandtec.com.br

Como tudo as começa…

allan.pressi@bandtec.com.br

Como tudo as começa…

allan.pressi@bandtec.com.br

http://demo.testfire.net/XSS SQL

INJECTION

Força Bruta

Erros de Configuraçã

o

allan.pressi@bandtec.com.br

allan.pressi@bandtec.com.br

<script>alert('Ola mundo')</script>

XSS

<script>alert(document.cookie)</script>

allan.pressi@bandtec.com.br

Força BrutaSenha Fraca

!!!????

allan.pressi@bandtec.com.br

‘ or 1=1--

SQL INJECTION‘ senha=senha

allan.pressi@bandtec.com.br

O que você vê?http://

demo.testfire.net/default.aspx?

content=personal.htm

allan.pressi@bandtec.com.br

Erros de Confighttp://

demo.testfire.net/default.aspx?

content=../bank/main.aspx.cs

%00.txt

Nossa proposta de Pós-graduação

Obrigado | :-)