OWASP: uma forma criativa de testar a segurança dos sistemas | Roney Médice
OWASP: uma forma criativa de testar a segurança dos sistemas
Publicado em 18/12/2008 por Roney Médice
Achei muito interessante a concepção do OWASP (Open Web Aplication Security Project) que é um projeto aberto através de uma aplicação Web, que possibilita testar e explorar as diversas brechas de segurança existentes no mundo tecnológico. Muitos tipos de ataques são evidenciados nesse "laboratório" e de uma forma simples e prática, você aprende como transpor os diversos sistemas que se julgam seguros mas que na realidade, são tão inseguros como um computador de usuário doméstico.
Nesse projeto, você tem acesso as principais ferramentas e procedimentos que são utilizados na aplicação web para testar as vulnerabilidades que as aplicações que rodam em servidores pela internet possuem. Como por exemplo, estava testando a técnica no Sql Injection, e fiquei surpreso de como existem formulários em "asp" na internet que não fazem a devida validação dos dados antes de executar uma query no banco, por exemplo, proporcinando a consulta de qualquer informação do banco de dados existente através de um simples formulário web.
Outra preocupação também é quanto aos sites que possuem acesso administrativo remoto, onde o usuário digita o login e a senha, ganhando o acesso ao conteúdo do site com privilégios administrativos. Para tanto, pela técnica do Sql Injection, basta você colocar no campo login e senha o seguinte conteúdo: ' or 1=1–
Você irá perceber que onde existir campo para ser preenchido, como login e senha, formulários de fale conosco, tudo isso é possível você colocar a expressão acima e ganhar acesso ao banco de dados do servidor, sem muito esforço.
Para aqueles que querem se especializar em Segurança da Informação, esse projeto é o ideal para aumentar os conhecimentos de segurança e verificar o ambiente que atualmente sua empresa possui na internet. Teste e faça todos os dias a mesma pergunta: o sistema que eu administro está seguro?
Esse post foi publicado em Corporativo, Sociedade, Técnico e marcado computador, Corporativo, informação, informática, internet, Linux, segurança, Sistema Operacional, site, tecnologia, ti por Roney Médice. Guardar link permanente.