{"id":147,"date":"2022-12-12T19:32:24","date_gmt":"2022-12-12T22:32:24","guid":{"rendered":"https:\/\/www.criptografarphp.com.br\/site\/webinar-owasp-top-10-do-conceito-a-pratica-com-christian-souza\/"},"modified":"2023-03-30T16:24:53","modified_gmt":"2023-03-30T19:24:53","slug":"webinar-owasp-top-10-do-conceito-a-pratica-com-christian-souza","status":"publish","type":"post","link":"https:\/\/www.criptografarphp.com.br\/site\/webinar-owasp-top-10-do-conceito-a-pratica-com-christian-souza\/","title":{"rendered":"Webinar &#8211; OWASP Top 10: Do No\u00e7\u00e3o \u00e0 Pr\u00e1tica (com Christian Souza)"},"content":{"rendered":"\n<p>Voc\u00ea sabe o que est\u00e1 no top 10 OWASP? Se voc\u00ea trabalha na espa\u00e7o de programa\u00e7\u00e3o e desenvolvimento seguro, \u00e9 muito prov\u00e1vel que&#8230;<br \/>\n<iframe src=\"https:\/\/www.youtube.com\/embed\/G81pYTQX7ck\" width=\"580\" height=\"385\" frameborder=\"0\" allowfullscreen=\"allowfullscreen\"><\/iframe><br \/>\n01:12:20<br \/>\nVoc\u00ea sabe o que est\u00e1 no top 10 OWASP? Se voc\u00ea trabalha na espa\u00e7o de programa\u00e7\u00e3o e desenvolvimento seguro, \u00e9 muito prov\u00e1vel que&#8230;<\/p>\n<p>E a\u00ed [M\u00fasica] oi oi pessoal boa tarde Oi boa tarde Emerson Boa tarde da IL eu j\u00e1 estou compartilhando aqui minha tela eles conseguem visualizar E a\u00ed do jeito que sim \u00e9 boa tarde a todos novamente meu nome \u00e9 Cristian Souza vou estar apresentando esse webnar sobre o hospital que tem ent\u00e3o n\u00f3s vamos falar sobre a nova vers\u00e3o da USP que saiu recentemente de forma oficial e vamos a\u00ed desde conceitos at\u00e9 a pr\u00e1tica eu gostaria que voc\u00eas falassem a\u00ed sobre voc\u00eas De onde voc\u00eas s\u00e3o se trabalham na \u00e1rea se j\u00e1 conhece Esse \u00e9 um pouquinho a\u00ed sobre o aspe E a\u00ed E a\u00ed Oi boa tarde pessoal S\u00e3o Paulo bom ent\u00e3o vamos l\u00e1 dar um start aqui a Universal a\u00ed \u00e9 aprendizado sobre quest\u00e3o do ask muito bom a gente sempre se qualificando atualizando reciclando as minhas conhecimentos os ataques Eles v\u00e3o mudando a prioridade deles s\u00e3o definidos ali na l\u00f3gico tamb\u00e9m muda e o d\u00e1il a\u00ed alunos da p\u00f3s de saber se aquilo se a Darius Oi boa tarde a todos bom ter voc\u00eas por aqui \u00e9 ent\u00e3o vou me apresentar um pouquinho meu nome \u00e9 Cristian Souza atualmente sou consultor de saiba seguran\u00e7a na daryus consultoria atua principalmente com a \u00e1rea de pentest ou seja teste de intrus\u00e3o an\u00e1lise de vulnerabilidades an\u00e1lise e preven\u00e7\u00e3o de amea\u00e7as e fraudes cibern\u00e9ticas Hard a gente sistemas Windows e Linux \u00e9 um ato ali tamb\u00e9m na \u00e1rea de gl\u00fateo atua nas duas \u00e1reas a\u00ed que n\u00e3o tinha o Red Team e a Al\u00e9m disso \u00e9 tamb\u00e9m trabalhamos a\u00ed bastante uma quest\u00e3o de an\u00e1lise de logs campanha anti-phishing entre outros quem a\u00ed trabalha com consultoria sabe que comumente a gente tem diferen\u00e7a demandas todos os dias ent\u00e3o toda semana agente atua com a \u00e1rea diferente deve deixar de uma seguran\u00e7a O que \u00e9 muito bom al\u00e9m de consultor sou professor tamb\u00e9m nos cursos do idesp nas \u00e1reas a gente vai application Security gente vai falar um pouquinho dele sobre no final no final da Live sei que o problema em fondation \u00e9 de qual recaem fundation o pessoas inteligentes os 20 al\u00e9m de seguran\u00e7a de aplica\u00e7\u00f5es e desenvolvimento seguro come\u00e7ou o pesquisador em seguran\u00e7a da informa\u00e7\u00e3o e mant\u00e9m alguns projetos open-source todos focados tamb\u00e9m na parte de seguran\u00e7a cibern\u00e9tica Al\u00e9m disso tem algumas certifica\u00e7\u00f5es \u00e9 de qual \u00e9 que o fundo deixou ser problema fondation certifica\u00e7\u00f5es elidayse Linux Plus da competia elp1 do Linux professional institute Ent\u00e3o quem quiser mais informa\u00e7\u00f5es e contato link vai para LinkedIn e-mail podem acessar e o meu site tamb\u00e9m deixa a porta sh voc\u00eas v\u00e3o ter mais informa\u00e7\u00f5es gerente alguma d\u00favida tamb\u00e9m \u00e9 por meio de algum desses dentes que tem l\u00e1 no site fiquem \u00e0 vontade e vamos direto ao ponto \u00e9 come\u00e7ar a\u00ed falando um pouquinho sobre o que \u00e9 o ASP ent\u00e3o muita gente acaba se confundindo do que \u00e9 o as top ten e o que \u00e9 o ASP ao as pense a organiza\u00e7\u00e3o internacional sem fins lucrativos e o foco dela \u00e9 justamente na seguran\u00e7a de aplica\u00e7\u00f5es n\u00e3o necessariamente aplica\u00e7\u00f5es web mais seguran\u00e7a de software como um todo ent\u00e3o um dos objetivos dela \u00e9 da visibilidade a necessidade de seguran\u00e7a em aplica\u00e7\u00f5es web al\u00e9m de melhorar a seguran\u00e7a Geral de sofre ent\u00e3o voc\u00eas v\u00e3o ver que essas funcionalidades que a gente tem ali na o \u00e1cido tem essas poder habilidades elas s\u00e3o agn\u00f3sticos de tecnologia ent\u00e3o \u00e9 a mesma habilidade que voc\u00ea encontra uma aplica\u00e7\u00e3o dot net voc\u00ea vai encontrar uma aplica\u00e7\u00e3o escrito em Java e PHP etc e a Al\u00e9m disso ao assim se ela \u00e9 dividida em cap\u00edtulos \u00e9 por cidades pa\u00edses regi\u00f5es e qualquer pessoa pode participar e colaborar com os projetos Ent\u00e3o realmente uma comunidade \u00e9 totalmente aberta pessoal desenvolve in\u00fameros projetos n\u00f3s temos alguns projetos inclusive s\u00e3o Flex chips e s\u00e3o os projetos que tem alto valor estrat\u00e9gico para a organiza\u00e7\u00e3o \u00e9 o ASP e para seguran\u00e7a de aplica\u00e7\u00f5es como um todo bom ent\u00e3o ent\u00e3o a princ\u00edpio \u00e9 bem aberta qualquer pessoa pode sugerir altera\u00e7\u00f5es al\u00e9m dos documentos colocar um commit com alguma altera\u00e7\u00e3o e isso vai passar por uma revis\u00e3o da l\u00f3gico por parte de alguns especialistas antes de se tornar um um documento ou parte de um documento que \u00e9 um padr\u00e3o Internacional e da Ind\u00fastria me fala um pouquinho sobre o top ten ent\u00e3o entre os diferentes projetos e documentos da USP \u00e9 o acho que tem ali documenta\u00e7\u00f5es al\u00e9m de projetos de c\u00f3digo mesmo al\u00e9m de programas offers que a gente pode utilizar mais famosos eles s\u00e3o o WhatsApp ou haste dependency-check Ent\u00e3o s\u00e3o projetos de desenvolvimento mesmo mas Al\u00e9m disso eu acho que tamb\u00e9m fornece n\u00fameros documentos um deles sem d\u00favidas mais conhecido mais famoso \u00e9 o top ten \u00e9 o documento feito por expert em seguran\u00e7a de todo mundo e ele lista o objetivo dele ela est\u00e1 os Dez riscos mais cr\u00edticos de seguran\u00e7a em aplica\u00e7\u00f5es web lembre-se de que s\u00e3o apenas os 10 mais cr\u00edticos n\u00e3o todos ent\u00e3o o pessoal da USP de 3 em 3 anos mais ou menos se revisa esse documento e pode adicionar um novo tipo de ataque ali e remover outros mas n\u00e3o significa que os que foram removidos deixaram de existir ele s\u00f3 se tornaram menos comuns no per\u00edodo de an\u00e1lise deles ent\u00e3o a gente teve a\u00ed \u00e9 o \u00e1cido 2017 que estava em vigor at\u00e9 esse ano e agora a gente j\u00e1 tem o 2021 e removeu algumas alguns ataques \u00e9 meu g ou alguns deles tamb\u00e9m e adicionou ataques novos bom ent\u00e3o esses riscos eles s\u00e3o definidos em ordem de import\u00e2ncia ent\u00e3o primeiro risco categorizado aqui no assunto acaba representando o risco mais cr\u00edtico que eles identificaram e mais prevalente nas aplica\u00e7\u00f5es antes de tudo vamos falar um pouquinho sobre o que mudou da vers\u00e3o anterior para vers\u00e3o nova \u00e9 como voc\u00eas podem ver finalmente o a um mudou ent\u00e3o \u00e9 desde as primeiras vers\u00f5es do \u00e1cido e falei de inje\u00e7\u00e3o elas estavam sempre ali ocupando as primeiras posi\u00e7\u00f5es de 2013 para 2017 acabou ocupando a primeira tamb\u00e9m ent\u00e3o ataques de inje\u00e7\u00e3o eram muito prevalentes ainda continuam sendo muito prevalente tanto \u00e9 que caiu do top tr\u00eas ent\u00e3o a terceira fase \u00e9 mais prevalente de aplica\u00e7\u00f5es web Isso mostra que o esfor\u00e7o \u00e9 que n\u00f3s analista de seguran\u00e7a Consultores seguran\u00e7a \u00e9 pessoal que trabalha com desenvolvimento e segura os nossos esfor\u00e7os Est\u00e3o valendo a pena e o pessoal esse provedores realmente est\u00e3o tendo no\u00e7\u00e3o dessas fases e corrigindo elas em ambiente de produ\u00e7\u00e3o bom ent\u00e3o outra falha que tamb\u00e9m acabou caindo disposi\u00e7\u00e3o foi um Broken authentication caiu aqui para o t\u00f3pico a 7 identifiquei ch\u00e3o authentication renders Oi boa tarde a\u00ed para quem t\u00e1 chegando t\u00f4 olhando aqui o cheque voc\u00eas puderem falar a\u00ed De onde voc\u00eas s\u00e3o se j\u00e1 conhece ao a\u00e7o e com que trabalham E al\u00e9m disso \u00e9 uma coisa que chamou bastante aten\u00e7\u00e3o de todo mundo o antes de irmos esse defeito \u00e9 que Esponja acabou subindo tamb\u00e9m uma posi\u00e7\u00e3o ficou o link ortogr\u00e1fico e fez e outro ponto tamb\u00e9m \u00e9 importante bronca access control acabou subindo para a primeira posi\u00e7\u00e3o porque naquele vendas da 5\u00aa posi\u00e7\u00e3o da primeira est\u00e1 bem intuitivo da gente entender \u00e9 falhas a\u00ed principalmente envolvendo apis est\u00e3o em evid\u00eancia ultimamente a pa\u00edses p\u00f5e bem mais Independentes p\u00fablicos do que aplica\u00e7\u00f5es web comum ent\u00e3o muitas vezes desenvolvedores acabam esquecendo de configurar os corretos mecanismos de controle de acesso e autoriza\u00e7\u00e3o \u00e9 em algumas voltas de ap isso acaba causando bastante vazamento de dados tamb\u00e9m porque atacantes conseguem acessar \u00e1reas do sistema onde eles v\u00e3o de a visualizar dados que n\u00e3o deveriam \u00e0s vezes at\u00e9 um e de ponte de abrir p\u00fablico e tem ali e listagem de usu\u00e1rios por exemplo em testes \u00e9 aqui na dali a gente pega muito isso o e acabou expondo ali presenciais ou e-mails dos usu\u00e1rios bom ent\u00e3o principalmente com essa quest\u00e3o de vazamento de dados e apis \u00e9 bloquear que voc\u00ea encontrou acabou indo pela primeira posi\u00e7\u00e3o foi a mudan\u00e7a bem dr\u00e1stica foi do Top 5 para o top 1 E al\u00e9m disso xm-l external entities famoso ataque XR eles acabaram unindo esse ataque na \u00e1rea de Security misconfiguration o que faz bastante sentido porque as falhas de x \u00e9 ela se devem amar a configura\u00e7\u00e3o ali de bibliotecas e parcerias dxml ent\u00e3o acaba que realmente \u00e9 uma \u00e1rea \u00e9 faz sentido ser mediado aqui em Secret misconfiguration voc\u00eas podem at\u00e9 se perguntar ent\u00e3o por que que esse t\u00f3pico estava em destaque no bosque 2017 pessoal atrav\u00e9s de v\u00e1rios estudos nesse ano constataram que o pessoal tava explorando muito XX \u00e9 em aplica\u00e7\u00f5es web no ano de 2017 por\u00e9m foi apenas um pico \u00e9 passageiro hoje em dia esse ataque t\u00e1 menos comum tanto aqueles mediaram aqui n\u00e3o faz mais parte de um t\u00f3pico espec\u00edfico ah e tamb\u00e9m as bibliotecas que estavam vulner\u00e1veis a esse tipo de ataque foram corrigidas e outro t\u00f3pico tamb\u00e9m que favoreceu essa queda e uni\u00e3o contra a categoria \u00c9 que muita gente j\u00e1 est\u00e1 migrando para outro tipo de formato como Jackson por exemplo \u00e9 o pessoal est\u00e1 migrando bastante dxml para Dias som acaba sendo um formato \u00e9 melhor de voc\u00ea passear e visualizar tamb\u00e9m e outra coisa interessante aqui que mudou cross-site scripting subiu v\u00e1rias posi\u00e7\u00f5es acabou sendo mediado tamb\u00e9m aqui no A3 de injection o que faz sentido tamb\u00e9m porque 1 x 1 x SS nada mais \u00e9 do que inje\u00e7\u00e3o a quest\u00e3o \u00e9 que ela acontece na hora que voc\u00ea insere o c\u00f3digo n\u00e3o modificado diretamente no Browser do cliente ent\u00e3o acaba sendo um tipo de inje\u00e7\u00e3o tamb\u00e9m Oi boa tarde Ricardo Rodrigo pessoal and directing S\u00e3o Paulo eu ficarei conhece utilizar o aspe Oi Carlos bom ent\u00e3o Outro ponto interessante aqui de mudan\u00e7a foi a parte de inferior de ser realizei este ou seja das realiza\u00e7\u00f5es segura foi adicionada \u00e9 e um t\u00f3pico espec\u00edfico chamado software and then drag fez o novo toque tamb\u00e9m e tem um contexto um pouquinho mais amplo do que apenas de esteriliza\u00e7\u00e3o de segura a gente vai ter isso daqui a pouco eu tenho rela\u00e7\u00e3o J\u00e1 vamos direto aqui para cada um dos ataques descritos aqui na o ASP come\u00e7ando logo por bloquetes control ent\u00e3o muitas vezes desenvolvedores \u00e9 acabam implementando rotina de controle de acesso de forma inadequada vou comentei \u00e9 um problema muito recorrente em ati elas tende a expor muitos and Point e muitas vezes desenvolvedores esquecem de colocar ali por exemplo em Python decorator falando que por exemplo o login \u00e9 necess\u00e1rio e mesmo assim muitas l\u00e1pis ou essa quando mesmo quando faz essa quest\u00e3o de login pessoal acaba esquecendo de verificar \u00eaxitos de autoriza\u00e7\u00e3o ou seja Ser\u00e1 que mesmo usu\u00e1rio logado ele pode acessar determinada rota o sistema ele tem que verificar isso muitas vezes o pessoal deixes passar em qual o impacto t\u00edpicos n\u00e3o faz desbloquear que se encontrou muitas vezes pode acontecer vazamento de informa\u00e7\u00f5es modifica\u00e7\u00e3o e at\u00e9 mesmo a destrui\u00e7\u00e3o de dados Al\u00e9m disso o atacante podem escalar privil\u00e9gios que pode levar \u00e0 descoberta de novas habilidades quem trabalha com pendente sabe que normalmente \u00c9 principalmente em sites ali que s\u00f3 tem uma tela de login voc\u00ea s\u00f3 vai encontrar vulnerabilidades \u00e9 ap\u00f3s realizar esse processo de login ent\u00e3o bloqueiem a gente se encontrou pode acabar levando esse tipo de problema tamb\u00e9m em alguns problemas comuns que levam a esse tipo de falha viola\u00e7\u00e3o do princ\u00edpio do privil\u00e9gio m\u00ednimo ou menor privil\u00e9gio como se escreve ter chamar e tamb\u00e9m A nega\u00e7\u00e3o por padr\u00e3o e s\u00e3o esses dois princ\u00edpios menor privil\u00e9gio estabelece que os usu\u00e1rios podem ter acesso os privil\u00e9gios apenas para apenas para realizar as opera\u00e7\u00f5es de vidas por Elisa Ent\u00e3o nada mais do que isso os olhos n\u00e3o podem fazer mais coisas do que o necess\u00e1rio nega\u00e7\u00e3o por padr\u00e3o outro conceitos tamb\u00e9m muito importante onde voc\u00ea nega o acesso a qualquer objeto esse objeto pode ser uma url no arquivo e s\u00f3 vai permitir \u00e9 realmente quando for necess\u00e1rio que o usu\u00e1rio tiver os devidos privil\u00e9gios Al\u00e9m disso muitas aplica\u00e7\u00f5es n\u00e3o verificam altera\u00e7\u00f5es for\u00e7adas na na URL ent\u00e3o muitas vezes voc\u00ea alterando a URL consegue ir para a p\u00e1gina administrativas ou at\u00e9 mesmo visualizar conta de outros usu\u00e1rios que \u00e9 um problema \u00e9 tamb\u00e9m cr\u00edtico em muitas aplica\u00e7\u00f5es permitem a visualiza\u00e7\u00e3o ou modifica\u00e7\u00e3o de contas de outros usu\u00e1rios justamente por essa altera\u00e7\u00e3o for\u00e7ada na URL esse tamb\u00e9m pode acontecer em pertence a gente tamb\u00e9m costuma verificar por esse tipo de falha e a gente constata aqui \u00e9 bem recorrente E al\u00e9m disso refer\u00eancias diretas n\u00e3o seguras a objetos Esse \u00e9 um t\u00edpico caso que a gente pega tamb\u00e9m tem testes pesquisando utilizando t\u00e9cnicas de os 20 no pr\u00f3prio Google voc\u00ea acha bastante site que tem refer\u00eancia direta n\u00e3o segura objetos isso pode levar tamb\u00e9m a tentativa de explora\u00e7\u00e3o por SQL injection E al\u00e9m disso muitas apis n\u00e3o tem controle de acesso para m\u00e9todos post antes da Elite ent\u00e3o muita j\u00e1 fez acabam permitindo esses m\u00e9todos a\u00ed \u00e9 em v\u00e1rias fun\u00e7\u00f5es n\u00e3o fazem devido controle de acesso o que pode ser cr\u00edtico e muitos vai de servi\u00e7o a\u00ed a gente v\u00ea de empresa que j\u00e1 tem uma maturidade alta seguran\u00e7a \u00e9 o pessoal sempre deixa desabilitado aqui o plantio de Elite porque voc\u00ea n\u00e3o quer que pessoas a Vit\u00f3ria mente \u00e9 coloquem o removam recursos ali dentro do seu olho super E al\u00e9m disso muitas vezes \u00e9 poss\u00edvel adulterar token de acesso por exemplo jwt ent\u00e3o Jackson leve tokens \u00e9 t\u00e3o sendo vetores de ataque muito comuns tamb\u00e9m ent\u00e3o n\u00e3o quis aplica\u00e7\u00f5es elas codificam informa\u00e7\u00f5es de forma inadequada nesse estou quem que pode ter permitir uma Depois de ficar s\u00e3o de antecipada \u00e9 aberto a gente acaba conseguindo visualizar alguns dados a mais E al\u00e9m disso a utiliza\u00e7\u00e3o de cookies tamb\u00e9m \u00e9 um problema Principalmente quando voc\u00ea n\u00e3o trafegue esses cookies de forma segura ent\u00e3o atacante ele pode capturar esses cursos trafegando na rede injetar no seu pr\u00f3prio browser e roubar sua sess\u00e3o E al\u00e9m disso configura\u00e7\u00f5es Kors incorretas tamb\u00e9m acabam causando bastante problema eu ligo da\u00ed falou constru\u00eddo deve e seguran\u00e7a ou \u00e9 s\u00f3 eu acho que desde a vers\u00e3o 2007\/2017 e o seu bastante a\u00ed como base para estudos muito bom \u00e9 um exemplo aqui de bloquear que voc\u00ea encontrou ent\u00e3o o atacante ele tenta acessar aqui um determinado site vulner\u00e1vel porque o Adriele aqui \u00e9 apenas como exemplo ele realiza o seu login c\u00f3digo de retorno 200 ent\u00e3o um ok deu tudo certo ali no login dele ouvir realizado com sucesso e a\u00ed o atacante ele tem a ideia T\u00e1 mas isso ao tentar acessar uma p\u00e1gina de admin uma p\u00e1gina que eu n\u00e3o deveria acessar uma p\u00e1gina privilegiada de 80 aqui acessar por exemplo barra de mim. Jsp Java server pages e tamb\u00e9m recebe um 200 ao inv\u00e9s de retornar unforbidden ent\u00e3o ele acaba recebendo acesso tamb\u00e9m essa parte do site parece um erro bobo mas muita gente ainda deixa esse tipo de coisa passar em ambiente de produ\u00e7\u00e3o bom ent\u00e3o caso n\u00e3o seja feito um correto controle de acesso o atacante consegue visualizar p\u00e1ginas sens\u00edveis p\u00e1ginas que ele n\u00e3o deveria estar visualizando a outra sempre coloquei aqui para gente esse daqui o atacante ele percebe que a sua conta \u00e9 referenciada na URL antiga refer\u00eancia direta a um objeto e a\u00ed ele tem a ideia de por exemplo implementar o n\u00famero ou decrementar seja o que for para ver se ele consegue carregar a p\u00e1gina de outro usu\u00e1rio caso o sistema n\u00e3o tenha feito tamb\u00e9m um correto controle de acesso ele acaba conseguindo visualizar dados de outros usu\u00e1rios isso aqui a gente tamb\u00e9m pega bastante se tratando e testes em up II e preven\u00e7\u00f5es \u00e9 para bloquear voc\u00eas control sempre negue o acesso por padr\u00e3o \u00e9 certo para recursos intencionalmente p\u00fablicos minimiza o uso de cores ordem restaurantes share em seja Kors sempre verifique se o usu\u00e1rio \u00e9 que est\u00e1 realizando determinada a\u00e7\u00e3o possui permiss\u00f5es para ler criar atualizar ou excluir esses registros que est\u00e1 tentando acessar e certifique-se de que arquivo de versionamento ou seja arquivos ali. G&#8217; ET direto ao esse ponto it ou arquivo de backup n\u00e3o est\u00e3o presentes na raiz do seu Website porque Imagine que voc\u00ea tem um diret\u00f3rio portugu\u00eas e ali dentro do seu site o atacante se ele conseguir acessar um diret\u00f3rio de se pode ser cr\u00edtico ele pode obter at\u00e9 mesmo o hist\u00f3rico de comics que voc\u00ea fez a l\u00edngua ambiente ent\u00e3o se tiver alguma senha r\u00e1dio acordada e tamb\u00e9m l\u00e1 na pr\u00e1tica pode pode essa C\u00ea pode acabar vazando bom ent\u00e3o Al\u00e9m disso sempre registre falhas de controle de acesso e notifique os respons\u00e1veis n\u00e3o mexeram administrador sistemas utilizem mecanismos de rede limite ou seja limite as tentativas de acesso a atriz principalmente para minimizar os danos que ferramentas automatizadas podem causar nossas ferramentas automatizadas mais simples elas acabam verificando \u00e9 esse tipo de recurso Al\u00e9m disso sempre valide a\u00ed diz conquistou quem sess\u00e3o ap\u00f3s o logout do usu\u00e1rio ent\u00e3o certifique-se de que se est\u00e1 sendo executado ali no browser para n\u00e3o correr o risco de o atacante conseguir capturado injetar em outro navegador e roubar sess\u00e3o do usu\u00e1rio Oi e a gente entra para o a dois ortogr\u00e1fico e fez \u00e9 pessoal se voc\u00eas tiverem d\u00favidas podem colocando a\u00ed no cheque que a gente vai responder no e durante a Live \u00e9 t\u00e3o falha de criptografia envolvem a\u00ed a quebra do sigilo de dados seja eles em repouso ou em tr\u00e2nsito e o que \u00e9 isso n\u00e9 dados em repouso s\u00e3o Dados armazenados ali no seu pai o System sistema de arquivos ou ent\u00e3o \u00e9 um banco de dados j\u00e1 dados em tr\u00e2nsito \u00e9 s\u00e3o Dados onde realmente s\u00e3o est\u00e1 sendo enviados ali o cliente ent\u00e3o dados que v\u00e3o al\u00e9m das seu servidor para o cliente ent\u00e3o vamos escolher o algoritmo fraco seja para criptografar arquivos armazenados em bancos de dados ou at\u00e9 mesmo \u00e9 tipografia saliva de transporte como te lssl a escolha errada de algoritmos desses pode ser catastr\u00f3fica E no caso do SL por exemplo atacante poderia at\u00e9 mesmo descriptografar o pacote e visualizar os dados ali em texto plano os problemas comuns que levam a esse tipo de explora\u00e7\u00e3o dados sendo trafegados e armazenados no texto plano t\u00e3o quem nunca viu ali um banco de dados a senha sendo armazenadas em texto plano ou at\u00e9 mesmo em base64 o pessoal achando que estava criptografado mas na verdade faz minha parte \u00e9 uma purifica\u00e7\u00e3o E al\u00e9m disso o uso de protocolos inseguros t\u00e3o http smtp FTP e outros sempre busque utilizar as vers\u00f5es seguras esse protocolo t\u00e3o http https smps sftp a m\u00fasica algoritmos criptografia antigos ou fracos utiliza\u00e7\u00e3o de Chaves criptogr\u00e1ficas fracas uso de protocolos Seguros n\u00e3o \u00e9 for\u00e7ado por padr\u00e3o s\u00e3o muitas aplica\u00e7\u00f5es ainda sofre por isso n\u00e3o \u00e9 muito comum n\u00f3s como pessoal deinfra deixarmos ali no nosso observe a porta 80 e a porta 443 \u00e9 abertas porque as algu\u00e9m tente acessar pela porta 80 ele tamb\u00e9m consegue visualizar o site O que \u00e9 o comportamento padr\u00e3o de muitos navegadores \u00e9 isso por padr\u00e3o tenta o primeiro na porta 80 bom ent\u00e3o pessoal deixa essas duas portas habilitadas s\u00f3 que o pessoal esquece de toda vez que algu\u00e9m tentar acessar pela porta 80 for\u00e7ar o redirecionamento dele para a porta 443 isso pode ser um problema se o usu\u00e1rio n\u00e3o \u00e9 for\u00e7ado a utilizar https ele pode digitar um login por exemplo ali e acabar expondo suas credenciais na rede eu t\u00f4 no caso de uma embebido isso pode ser bem cr\u00edtico E al\u00e9m disso a utiliza\u00e7\u00e3o de Regis obsoletos principalmente a\u00ed para armazenamento de senhas ent\u00e3o nunca armazenar senhas a\u00ed usando estes Como md5 sha1 o pr\u00f3prio dele de cinco ele \u00e9 um resto \u00e9 focado em performance e o que a gente menos quer no caso de um ataque \u00e0 J que a gente tem a performance ali quebrar essa senha e eu sempre utilizar padr\u00f5es fortes que a gente vai falar logo ap\u00f3s aqui os exemplos o som \u00e9 trouxe aqui tamb\u00e9m alguns exemplos para voc\u00eas Ent\u00e3o fale de reprografia usu\u00e1rio no caso aqui \u00e9 o atacante ele tenta acessar um determinado o site usando http do Servidor retorna 200 Ok \u00e9 acesso permitido Ent\u00e3o esse \u00e9 um comportamento errado o site permite o acesso via http \u00e9 uma coisa que a gente deve evitar ou seja o comportamento correto seria o site redirecionar o usu\u00e1rio para o acesso seguro t\u00e3o mesmo que haja uma tentativa de acesso de http ao inv\u00e9s de servidor retornar 1 200 juntamente com o pelouro do conte\u00fado lido a resposta ele retorna um 301 movido permanentemente juntamente com esse 301 a gente vai ter o cabe\u00e7alho location sentado para o site de forma segura bom ent\u00e3o \u00e9 um uma cole\u00e7\u00e3o t\u00edpica que a gente faz no Web Server Agent qualquer requisi\u00e7\u00e3o que venha via http a gente dar um movido permanentemente certa como location \u00e9 o site e forma segura e preven\u00e7\u00f5es para esse tipo de problema e identifique todos os dados sens\u00edveis que a sua aplica\u00e7\u00e3o utiliza nunca armazene dados sem se dividir de forma que necess\u00e1ria utiliza criptografia nos dados tanto em repouso quanto em transporte utilize tls para dados em tr\u00e2nsito ent\u00e3o \u00e0s vezes voc\u00eas podem ouvir SL mas na verdade pessoal quer dizer pls porque essa SL j\u00e1 um protocolo considerado inseguro Ultimamente \u00e9 \u00e9 recomendado utilizar pls vers\u00e3o 1.2 ou superiores tamb\u00e9m gente j\u00e1 tem at\u00e9 mesmo o tls 1.3 que \u00e9 o mais recomendado \u00e9 utilize Red Sports para armazenamento de senhas com argon2d cript s cript pbkdf2 o s cript nem o algoritmo excelente para essa quest\u00e3o de armazenamento de senhas por qu\u00ea Porque ele \u00e9 o resto \u00e9 muito gostoso computacionalmente ent\u00e3o ele leva tempo para ser gerado o que pode \u00e9 em viabilizar um dos ataques a\u00ed tiver em Botelhos \u00e9 t\u00e3o utilize saltos tamb\u00e9m ent\u00e3o saltos s\u00e3o a camada adicional para evitar ataques tiver botei luz \u00e9 um explicar adicionado ali no in\u00edcio do resto Evite o uso de resto inseguros no geral como md5 sha1 e verifique de forma independente a efic\u00e1cia de cada uma das configura\u00e7\u00f5es \u00e9 que voc\u00ea est\u00e1 utilizando t\u00f4 indo para o t\u00f3pico A3 em Jackson finalmente ent\u00e3o cross-site scripting agora faz parte dessa categoria ou como \u00e9 que com voc\u00eas at\u00e9 que faz sentido ele fazer parte dessa categoria E te subindo algumas posi\u00e7\u00f5es tamb\u00e9m porque a gente est\u00e1 constatando que t\u00e1 tendo uma incid\u00eancia grande de ataque de xss ela ind\u00edcio nada mais \u00e9 do que uma inje\u00e7\u00e3o que aplicada al\u00e9m da sa\u00edda no Browser da v\u00edtima quais s\u00e3o os tipos cl\u00e1ssicos de xss S\u00e3o o xss sair refletidos armazenados onde usado realmente armazenado no banco de dados EA carregado a\u00ed para qualquer cliente que acesse a p\u00e1gina \u00e9 um tipo de xss mais cr\u00edtico e a gente tem um X SS do baseado em um e o que \u00e9 o dados nem chegam no servidor eles s\u00e3o inseridos Ele diretamente do cliente um Oi Rodrigo e at\u00e9 comentou que um teste que ele t\u00e1 fazendo agora tem diversos problemas apontados pelo ASP Ent\u00e3o realmente \u00e9 os ataques acontecem bastante bom ent\u00e3o voltando aqui t\u00e1 parte de inje\u00e7\u00e3o \u00e9 a inje\u00e7\u00e3o em si consiste enganaram aplica\u00e7\u00e3o a incluir comandos ao inv\u00e9s de apenas dados a serem enviados ali para o interpretador o que seria o interpretador Pode ser a\u00ed um interpretador SQL como mais Kelly sqllite posters pode ser o pr\u00f3prio Shell do sistema operacional ent\u00e3o voc\u00ea pode ter uma inje\u00e7\u00e3o ali no pr\u00f3prio Shell ele d\u00e1 e \u00e9 que outros nos treinamentos aqui de a gente conseguiu que a gente pipoca bastante nessa parte de as Kelly Shell a regi\u00e3o apresenta tamb\u00e9m outro tipo de inje\u00e7\u00e3o bom e muitas aplica\u00e7\u00f5es infelizmente ainda s\u00e3o vulner\u00e1veis a esse tipo de ataque que \u00e9 um ataque muito simples de ser executado n\u00e3o existe uma n\u00e3o exige um n\u00edvel de conhecimento T\u00e3o Profundo existem ferramentas automatizadas inclusive que fazem todo o trabalho para gente a\u00ed como sqlmap SQL Ninja bom ent\u00e3o voc\u00ea vai ficar sem sa\u00eddas s\u00e3o sempre de fazer esse ataque embora seja muito simples servir t\u00e1 ent\u00e3o quem desenvolvedor sabe que a gente pode evitar um ataque de A\u00e7\u00facar em Jackson por exemplo utilizando por p\u00e9s Statement que vai adicionar as duas tr\u00eas linhas a mais de c\u00f3digo e a gente vai t\u00e1 codificando de forma segura ou melhor utilizar um RM placas consultas n\u00e3o sejam hard rodadas \u00e9 limpo l\u00f3gico em alguns problemas comuns que acabam levando a inje\u00e7\u00e3o a entrada do usu\u00e1rio n\u00e3o \u00e9 validada filtrada ou ser utilizada pela aplica\u00e7\u00e3o ou seja os encontros do usu\u00e1rio \u00e9 n\u00e3o s\u00e3o validadas de nenhuma forma a aplica\u00e7\u00e3o confia cegamente que o usu\u00e1rio s\u00f3 vai digitar dados v\u00e1lidos mas usou ele acabou n\u00e3o pensando que voc\u00ea usu\u00e1rio pode ser um atacante e ele pode estar tentando manipular essa consulta ainda sobre consultas muitas vezes o pessoal esquece de criar consultas Queres parametrizadas o que \u00e9 a melhor forma da gente evitar a\u00ed SQL injection \u00f3 E al\u00e9m disso entradas maliciosas \u00e9 s\u00e3o diretamente concatenadas nas estranhos de consultas ent\u00e3o esse \u00e9 um problema e decodifica\u00e7\u00e3o bem recorrente \u00e9 que se desenvolvedores usar sem ferramentas redes ache poderiam resolver facilmente e a\u00ed j\u00e1 rodou um pente no Python funcionar Kyuubi sabe que assim que ele deve t\u00e1 ent\u00e3o c\u00f3digo SQL hard cuidado Olimpo selectlol esse tipo de instru\u00e7\u00e3o ele j\u00e1 geram a Red flag na hora que j\u00e1 coloca ele como uma falha cr\u00edtica que voc\u00ea precisa remover o c\u00f3digo em alguns exemplos a\u00ed de inje\u00e7\u00e3o ent\u00e3o um usu\u00e1rio que ele mandou um dado que via post uma tela de login Eu sempre gosto de falar para o pessoal pensem na hora de estourar o SQL inject ou pensem come\u00e7a quero est\u00e1 sendo montada ali por baixo dos panos e Ent\u00e3o qual \u00e9 o comportamento padr\u00e3o de uma s\u00e9rie geralmente pessoal d\u00e1 um select \u00e9 no usar Leme por exemplo from a tabela de usu\u00e1rios EA especificam aqui a condi\u00e7\u00e3o era usu\u00e1rio ou que pegar aqui da requisi\u00e7\u00e3o EA senha tamb\u00e9m foi o que vier aqui da requisi\u00e7\u00e3o bom ent\u00e3o esse \u00e9 um problema porque muitas vezes aplica\u00e7\u00e3o n\u00e3o v\u00e1lida se esse dado aqui realmente \u00e9 \u00e9 um dado e n\u00e3o \u00e9 um comando n\u00e3o \u00e9 nenhuma instru\u00e7\u00e3o ali que possa fechar essa queve aqui e colocar essas a\u00e7\u00f5es arbitr\u00e1rias eu neste segundo exemplo aqui ao inv\u00e9s de passar o usu\u00e1rio n\u00f3s estamos passando aqui um ap\u00f3strofo e uma condi\u00e7\u00e3o que sempre vai ser verdadeira um igual a um Estamos dando um ponto e, para indicar o final da instru\u00e7\u00e3o skelly e menos menos para comentar todo o resto ent\u00e3o pensando em como essa quebra e vai ser montado ali por baixo dos panos a gente consegue ver \u00e9 o seguinte n\u00e3o significa que vai ser desse jeito aqui para todos os casos Mas \u00e9 s\u00f3 para a gente ter uma no\u00e7\u00e3o seria um se alerte e usar name from users Where your name s\u00f3 que como dado na verdade \u00e9 um comando e o ap\u00f3stolo que ele vai acabar fechando essa stringhi aqui ou seja ele tem uma condi\u00e7\u00e3o aqui vazia e depois coloca uma instru\u00e7\u00e3o aqui arbitr\u00e1ria por exemplo ou um igual a um outro, e comenta todo o resto ou servi\u00e7o que vai ser tratado como lixo para o interpretador efetivamente ele vai executar esse c\u00f3digo aqui Oi e a\u00ed que mora a inje\u00e7\u00e3o de SQL a mesma coisa acontece no caso de inje\u00e7\u00e3o a n\u00edvel do sistema operacional quem conhece estamos operacionais sabe que se voc\u00ea colocar um ponto e, e no final da instru\u00e7\u00e3o voc\u00ea come\u00e7a uma outra se colocar e Comercial comercial voc\u00ea come\u00e7a a outra se anterior somente seguida e assim por diante Ent\u00e3o essa explora\u00e7\u00e3o Jessica ejection e a l\u00edngua adi\u00e7\u00e3o operacional tamb\u00e9m tudo vai depender do seu conhecimento sobre Essas tecnologias ent\u00e3o no caso ali com um sistema operacional o c\u00e9u \u00e9 o limite voc\u00ea conhecemos comandos que o Linux tem o Windows tem voc\u00ea pode causar explora\u00e7\u00f5es ali de alto impacto eu abrir condi\u00e7\u00f5es adversas por exemplos est\u00e3o todos esses s\u00e3o ataques interessantes O Ricardo perguntou se eu consigo deixar o contato do brinquedinho Instagram disse os slides poderiam ser disponibilizados para estudo e an\u00e1lise Futura eu posso sim carga pode Acessar meu site Christian. Sh e mais tarde eu posso estar dispon\u00edvel disponibilizo os slides l\u00e1 l\u00e1 tem tamb\u00e9m outros contatos a\u00ed comuniquei G1 t\u00f4 falando um pouquinho sobre a parte \u00e9 de xss est\u00e3o muitos sites quando a gente acessa por exemplo a Amazon MercadoLivre quando voc\u00ea acessa esse site tipicamente voc\u00ea pesquisa por produtos e o que eles fazem coloca uma linha algum lugar da p\u00e1gina Voc\u00ea pesquisou por e o nome do produto que Voc\u00ea pesquisou Ah mas isso o site n\u00e3o tiver validando que voc\u00ea digitou voc\u00ea pode acabar causando um xss do tipo refletido bom ent\u00e3o at\u00e9 coloquei aqui h\u00e1 muitos sites exibem as entrada do usu\u00e1rio em algum lugar da p\u00e1gina Mas e se ao inv\u00e9s de voc\u00ea digitar um dado realmente como eu coloquei aqui teste voc\u00ea colocar um script bom ent\u00e3o se aplica\u00e7\u00e3o n\u00e3o tiver validando o que voc\u00ea digitou ali ela pode acabar inserindo esse c\u00f3digo como parte do corpo da p\u00e1gina ent\u00e3o n\u00e3o seria cidad\u00e3o aqui sem nenhuma valida\u00e7\u00e3o acaba fazendo com que seu browser interprete esse conte\u00fado da pesquisa \u00e9 como se fosse parte do site e como os browsers Confiam e tudo que vem do site e isso pode acabar levando um xss Oi e a\u00ed novamente o c\u00e9u \u00e9 o limite conhecimento que voc\u00ea tem JavaScript vai definir o que voc\u00ea pode ou n\u00e3o fazer aqui ent\u00e3o \u00e9 poss\u00edvel por exemplo fazer uma requisi\u00e7\u00e3o para outro site aqui vai viajar no Script e no lugar o documento. Cook t\u00e3o legal cookie do usu\u00e1rio para roubar sess\u00e3o dele voc\u00ea pode por exemplo usar o bife \u00e9 uma ferramenta de xss \u00e9 muito interessante que permite ataques ali que podem reconfigurar a p\u00e1gina por completo ent\u00e3o voc\u00ea poderia colocar em um formul\u00e1rio nos olhos a senha \u00e9 e um e-mail e roubar essas credenciais tamb\u00e9m ent\u00e3o tudo vai depender do seu conhecimento com a linguagem e preven\u00e7\u00f5es contra os ataques de inje\u00e7\u00e3o utilize ferramentas de RM por exemplo a\u00ed para quem usa Python o SQL ao que me \u00e9 muito bom eu uso ele nunca tive problemas apesar de atestado bastante por essa carinha de anjo nas aplica\u00e7\u00f5es coisas e vou o vale de entrada do usu\u00e1rio antes da utiliza\u00e7\u00e3o e \u00e9 atrav\u00e9s da slightly x ou express\u00f5es regulares eu utilizo controles do SL em sim como limite Ent\u00e3o voc\u00ea aplicando um limite voc\u00ea vida tem um usu\u00e1rio mal-intencionado consegui dar um daqui completa ali do banco de dados ele vai dar um dado que apenas o primeiro usu\u00e1rio que ele encontrar Eu Sou Esp\u00edrita a divulga\u00e7\u00e3o em massa de registros no caso de um e Jackson bem-sucedido E al\u00e9m disso codifique a sa\u00eddas que dependem da entrada do usu\u00e1rio visando evitar ataques de dizer se essa ent\u00e3o quando as preven\u00e7\u00f5es mais efetiva as contas Ess\u00eancia Justamente a purifica\u00e7\u00e3o do usu\u00e1rio ent\u00e3o por exemplo ao inv\u00e9s de voc\u00ea simplesmente jogar maior e menor que \u00e9 s\u00e3o caracteres de abertura e fechamento de tag no HTML voc\u00ea codifica isso voc\u00ea pode colocar ali comercial GT; que agradem E a\u00ed o browser ele vai interpretar isso de forma segura e usu\u00e1rio vai ter a mesma sa\u00edda e vai ver ali que na verdade \u00e9 um s\u00edmbolo de maior que a mesma coisa Vale dos outros s\u00edmbolos Aposto que o aspas duplas voc\u00ea pode codificar isso e forma segura t\u00f4 falando um pouquinho sobre o t\u00f3pico A4 inferior designer ent\u00e3o \u00e9 uma nova categoria do Oeste top 10 da categoria bem mais Ampla \u00e9 que foco em riscos relacionados a falhas de design e arquitetura do software ou seja uma falha \u00e9 que n\u00e3o al\u00e9m de implementa\u00e7\u00e3o \u00e9 uma falha no Design da aplica\u00e7\u00e3o \u00e9 um design seguro ainda pode ter alguns problemas de implementa\u00e7\u00e3o podem levar a vulnerabilidades j\u00e1 um design inseguro n\u00e3o pode nem ser corrigido com implementa\u00e7\u00e3o perfeita Justamente a uma falha ali na hora de projetar o software bom ent\u00e3o isso acaba que significa que controle de seguran\u00e7a nunca foram pensadas ao criados para defesa contra esses ataques \u00e9 realmente um problema inerente o design e a sobre o t\u00f3pico para quatro alguns problemas comuns que levam a esse tipo de amea\u00e7a aus\u00eancia da modelagem de amea\u00e7as ent\u00e3o muitas vezes envolvedores n\u00e3o pensam nos poss\u00edveis pontos de explora\u00e7\u00e3o dentro do software aus\u00eancia de padr\u00f5es de design seguro e arquitetura de refer\u00eancia a falta de comunica\u00e7\u00e3o entre as equipes de desenvolvimento e as equipe de seguran\u00e7a ent\u00e3o cabe a n\u00f3s \u00e9 analistas consultores de seguran\u00e7a mantemos \u00e9 um contato com a equipe de desenvolvimento visando explanar para eles as melhores pr\u00e1ticas e como a gente pode se prevenir o diferente da t\u00e1xi \u00e9 um exemplo aqui bem t\u00edpico de design seguro aquelas recupera\u00e7\u00f5es de senha que se faziam em perguntas e respostas s\u00f3 que se minha uma falha por qu\u00ea que \u00e9 uma falha porque mais de uma pessoa pode saber dessas respostas t\u00e3o padr\u00f5es a\u00ed que a gente tem na ind\u00fastria como o nist 803-b e o as psds pro\u00edbem uso de perguntas e respostas \u00e9 justamente porque elas n\u00e3o podem ser evid\u00eancias de identidade mais uma pessoa pode saber essas respostas e acabar recuperando resetando a senha de outro usu\u00e1rio e preven\u00e7\u00f5es do t\u00f3pico A4 Estabele\u00e7a um ciclo de vida desenvolvimento seguro a pr\u00f3pria Microsoft disponibiliza para Gente o sdlc que pode ajudar bastante nisso \u00e9 dividido em 12 fases onde a principal h\u00e1 mais importante \u00e9 a n\u00famero um \u00e9 justamente o treinamento de seguran\u00e7a para desenvolvedores Al\u00e9m disso tire biblioteca seguras para opera\u00e7\u00f5es com usu\u00e1rios e botecos reconhecidamente \u00e9 segura essa pela comunidade bom ent\u00e3o use modelagem de amea\u00e7as para identificar pontos com poss\u00edveis vulnerabilidades nas suas aplica\u00e7\u00f5es escreva testes unit\u00e1rios \u00e9 s\u00f3 dica para desenvolvedores sempre teste seu software Al\u00e9m disso adote conceitos como se for vai design e pra ver se vai design \u00e9 desde o in\u00edcio ali do seu desenvolvimento ou seja pensar em seguran\u00e7a e privacidade tamb\u00e9m desde a concep\u00e7\u00e3o do nosso software e sobre o t\u00f3pico a 5 Security misconfiguration quando a gente comentou \u00e9 o XR XL Extreme events agora faz parte dessa categoria t\u00f4 aplica\u00e7\u00f5es web elas Confiam \u00e9 sempre Praticamente em uma Funda\u00e7\u00e3o segura ou seja os Confiam que est\u00e3o rodando por cima de um ambiente seguro e se incluir desde gest\u00e3o operacional at\u00e9 o nosso Web Server e muitas vezes \u00e9 configura\u00e7\u00f5es padr\u00e3o ent\u00e3o famoso next next finish ou pessoal quer assistir tutorial no YouTube sem validar nada \u00e9 acaba causando esse tipo de misconfiguration al\u00e9m disso a falta de Raiden tamb\u00e9m acaba aumentando a superf\u00edcie de ataque em Sistemas em alguns problemas comuns das comuns dessa categoria E \u00e9 curso desnecess\u00e1rios ativados ali os sistemas como por exemplo portas abertas servi\u00e7os p\u00e1ginas privil\u00e9gios a falta de Harley esse dos Servidores contas padr\u00e3o com credenciais comuns ent\u00e3o famosas t\u00eam admin e os hora de mim a exposi\u00e7\u00e3o de detalhes de usar os usu\u00e1rios juntamente com a exposi\u00e7\u00e3o de stack traces n\u00e3o quem nunca sess\u00e3o no sistema lhe causou um erro na aplica\u00e7\u00e3o e aplica\u00e7\u00e3o que jogou uma espectrais ali com detalhes sobre o erro t\u00e3o pode acabar expondo at\u00e9 endere\u00e7os IP internos esse por f de arquivos Esse \u00e9 um problema tamb\u00e9m tem grande \u00e9 aplica\u00e7\u00f5es in.net por exemplo acabam expondo tamb\u00e9m vers\u00f5es \u00e9 que o usu\u00e1rio t\u00e1 utilizando ali o recurso de seguran\u00e7a desabilitados ou mal configurados ent\u00e3o aus\u00eancia de alguns recursos que garantem n\u00edveis a mais de seguran\u00e7a como por exemplo cabe\u00e7alhos de seguran\u00e7a do http o famoso x-xss-protection \u00e9 a quest\u00e3o do ex-pm options content-security-policy hsts \u00e9 um cabe\u00e7alho muito importante t\u00e3o aus\u00eancia desses cabe\u00e7alhos pode acabar levando tamb\u00e9m a articula\u00e7\u00e3o de alto impacto \u00e9 exatamente Ricardo Ricardo colocou a\u00ed no chat pensando seguran\u00e7a deve ser aplicada e revista desde o in\u00edcio ao final do projeto Ent\u00e3o realmente \u00e9 o processo cont\u00ednuo que n\u00f3s analistas e desenvolvedores \u00e9 precisamos ir na nossa corpora\u00e7\u00e3o E al\u00e9m disso os problemas de configura\u00e7\u00e3o muito grave exposi\u00e7\u00e3o de informa\u00e7\u00f5es do cabe\u00e7alho surdo http cabe\u00e7alho server ele acaba mostrando vers\u00f5es do Servidor ent\u00e3o a parte 2.2.4 em genexus 1.19.0 voc\u00ea j\u00e1 t\u00e1 dando de cara ali para o atacante \u00e9 um tipo de servidor que ele deve explorar e qual \u00e9 a vers\u00e3o Ent\u00e3o ele pode pesquisar com o primeiro habilidades p\u00fablicas sem maiores dificuldades Al\u00e9m disso com o advento de cloud a gente tem bastante banquete aperto tamb\u00e9m no S3 onde \u00e9 poss\u00edvel visualizar dados sens\u00edveis em alguns exemplos aqui voc\u00ea que \u00faltimos configuration n\u00f3s temos aqui exposi\u00e7\u00e3o de cabe\u00e7alhos http o cabe\u00e7alho o servi\u00e7o sendo exposto aqui fiz um Scan simples com Inep outro comportamento padr\u00e3o tamb\u00e9m \u00e9 que quando uma aplica\u00e7\u00e3o n\u00e3o encontra um desconto HTML vai servir n\u00e3o encontrou ainda que ponto html no diret\u00f3rio \u00e9 que ele faz ele lista todos os arquivos daquele diret\u00f3rio Eu tamb\u00e9m \u00e9 uma falha alta de seguran\u00e7a e muitas vezes acaba esposo tamb\u00e9m \u00e9 diretivas aqui como o server e preven\u00e7\u00f5es realiza o Rider de todos os servidores minimizar a utiliza\u00e7\u00e3o de recursos necess\u00e1rios componentes de documenta\u00e7\u00e3o remova ou n\u00e3o est\u00e1 ali recursos n\u00e3o utilizados por suas aplica\u00e7\u00f5es e fremax sempre valide todos os p\u00e9s de seguran\u00e7a e um ambiente controlado ou seja uma sandbox e depois apliques em produ\u00e7\u00e3o minimize a exposi\u00e7\u00e3o de informa\u00e7\u00f5es encabe\u00e7ado C planos e criar um processo automatizado para aplica\u00e7\u00e3o de medidas de seguran\u00e7a novos servidores ou seja tem um script para automatizar o processo de aplica\u00e7\u00e3o de medida de seguran\u00e7a t\u00f4 falando sobre o t\u00f3pico 6 \u00e9 o nervo onde deita the company&#8217;s ent\u00e3o Nunca confie cegamente em c\u00f3digo de terceiros muitas vezes a gente precisa bastante quase sempre utilizar c\u00f3digo de terceiros seja um pacote uma depend\u00eancia o f\u00eamur uma biblioteca muitas vezes esses freebox esses c\u00f3digos n\u00e3o foram desenvolvidos com seguran\u00e7a em mente ent\u00e3o \u00e9 ferramentas a\u00ed como o a\u00e7o de dependency-check e o kit Rubi dependabot podem nos auxiliar bastante da medica\u00e7\u00e3o dessa categoria de ataques por qu\u00ea Porque eles verificam \u00e9 por vers\u00f5es que possuem vulnerabilidades conhecidas ali dentro do nosso ambiente Ent\u00e3o se rodando uma ferramenta dessa ela vai pesquisar a\u00ed no seu reposit\u00f3rio as vers\u00f5es de todas as bibliotecas que voc\u00ea t\u00e1 importando E se tiver alguma biblioteca comprender habilidade conhecida ela j\u00e1 te avisa e sugere que voc\u00ea \u00e9 atualiza em alguns problemas comuns antes de v\u00f4lei dois que n\u00e3o conhecem as vers\u00f5es de todos os componentes utilizados pelas aplica\u00e7\u00f5es muitas vezes envolvedores n\u00e3o conhecem nem mesmo todos os componentes que est\u00e3o sendo utilizados ali n\u00e3o \u00e9 bem comum a gente ver o pessoal \u00c9 adicionando ou removendo depend\u00eancias e muitas vezes esquecendo de remover justamente algumas depend\u00eancias n\u00e3o utilizadas ent\u00e3o acaba que voc\u00ea \u00e9 al\u00e9m de ter o problema de seguran\u00e7a Voc\u00ea ainda vai conseguir um pouquinho de disco Porque voc\u00ea vai estar baixando o concorrente ali que nunca vai ser usado \u00e9 t\u00e3o e cinco em um banco de dados sistema operacional Web Server bibliotecas e suas depend\u00eancias t\u00e3o conhe\u00e7a tem um invent\u00e1rio de tudo isso que \u00e9 s\u00f3 aplica\u00e7\u00f5es t\u00e1 rodando e muitas vezes as aplica\u00e7\u00f5es tem um aus\u00eancia de um processo de escambo vulnerabilidades frequente t\u00e3o o recomendado \u00e9 que periodicamente a gente fa\u00e7a uma an\u00e1lise de vulnerabilidades e at\u00e9 mesmo pentest que \u00e9 uma an\u00e1lise mais profunda e muitas vezes aplica\u00e7\u00f5es tamb\u00e9m utilizam componentes que n\u00e3o s\u00e3o mais mantidos e com componentes que n\u00e3o recebem as atualiza\u00e7\u00f5es ou simplesmente foram abandonados projetos abandonados Ali pela comunidade ah e tamb\u00e9m desenvolvedores acaba n\u00e3o atualizando os componentes de aplica\u00e7\u00e3o Depende de um tempo h\u00e1bil \u00e9 um exemplo bem famoso quando a utiliza\u00e7\u00e3o de componentes com vulnerabilidades conhecidas foi voc\u00ea v\u00ea \u00e9 liberada do a participantes que \u00e9 um m\u00f3dulo igual a parte que estava com vulnerabilidades foi uma CBR receber um score cr\u00edtico ent\u00e3o \u00e9 nota 10 t\u00e3o causava Impacto ali naquele diz Ide por completa confidencialidade integridade e disponibilidade Ela poderia causar esse impacto no caso Av dos conhecimentos do atacante bom ent\u00e3o preven\u00e7\u00f5es para esse tipo de categoria remova depend\u00eancias n\u00e3o utilizadas recursos necess\u00e1rios arquivos e qualquer tipo de documenta\u00e7\u00e3o do seu ambiente de produ\u00e7\u00e3o ent\u00e3o nunca deixar dados necess\u00e1rios em ambiente de produ\u00e7\u00e3o tem um cat\u00e1logo invent\u00e1rio de todos os componentes que a sua aplica\u00e7\u00e3o utiliza incluindo as vers\u00f5es e licen\u00e7as \u00e9 \u00f3pio Oi Alice de catalogar os componentes server-side e client-side toda adianta nada voc\u00ea no est\u00e1gio bibliotecas que s\u00f3 o seu servidor depende tamb\u00e9m lixa as bibliotecas utilizadas ali do lado do cliente Principalmente as bibliotecas JavaScript ent\u00e3o por exemplo \u00e9 legal que voc\u00ea tem um invent\u00e1rio que conste ali o que voc\u00ea usa no seu web Surf ver \u00e9 quais s\u00e3o os pacotes de pend\u00eancias e tamb\u00e9m no lado do cliente ent\u00e3o \u00e9 de Excel e outras bibliotecas JavaScript devem ser inseridas nesse cat\u00e1logo muito comum e testes a gente pegar aplica\u00e7\u00f5es a\u00ed que tem vers\u00f5es corretas no server Side est\u00e3o com todos os p\u00e9s de todos os recursos de seguran\u00e7a aplicadas por e Em algum momento est\u00e3o importando uma fun\u00e7\u00e3o ponder\u00e1vel v\u00eddeo onde Harry 1.1 que \u00e9 cheio de vulnerabilidade de xss enquanto a gente j\u00e1 t\u00e1 na vers\u00e3o 3.5 \u00e9 com essas mulher habilidades corrigidas ent\u00e3o sempre tem um cat\u00e1logo disso Al\u00e9m disso r os procedimentos de c\u00e1 software com posicionar Isis ou seja verificar essas bibliotecas e as vers\u00f5es com uma certa frequ\u00eancia ferramentas a\u00ed como a si dependency-check nos ajudam muito nesse processo justamente porque a gente consegue integrar isso no nosso pai que l\u00e1 em movimento ent\u00e3o a cada convite que o desenvolvedor dela e dentro a gente consegue manter um Trek Esses c\u00f3digos s\u00e3o ser adicionados a gente passa por um processo de a\u00e7\u00facar e acaba evitando bastante problema bastante dor de cabe\u00e7a no futuro bom ent\u00e3o sempre obtenha componente de fontes oficiais em link Seguros se poss\u00edvel sim desenvolvedor fornecer verifique esses itens que voc\u00ea baixou atrav\u00e9s de uma fun\u00e7\u00e3o de hash para garantir a integridade do download monitor e bibliotecas que n\u00e3o s\u00e3o mais mantidas pela comunidade ou n\u00e3o disponibilizam Pets de seguran\u00e7a da vers\u00f5es antigas Ent\u00e3o se poss\u00edvel atualizar Estadual essas altera\u00e7\u00f5es no ambiente controlado pois isso n\u00e3o d\u00e1 para produ\u00e7\u00e3o e sobre o t\u00f3pico a sede \u00e9 o antigo Broken authentication no Asp de 2017 agora ficou identifiquei Chan e n\u00e3o tente cation trailers ent\u00e3o muitas aplica\u00e7\u00f5es acabam falhando no processo de confirma\u00e7\u00e3o da identidade do usu\u00e1rio bem como em processos de autoriza\u00e7\u00e3o isso acontece muitas vezes pela constru\u00e7\u00e3o de rotinas de autentica\u00e7\u00e3o do zero o que a gente sempre fala Nunca tente inventar a roda utilize biblioteca de autentica\u00e7\u00e3o reconhecidamente seguras ent\u00e3o para quem usa pai por exemplo a gente tem o Sesc login \u00e9 uma biblioteca ele j\u00e1 tem todos os recursos de seguran\u00e7a limpeza metados ent\u00e3o a gente n\u00e3o precisa se preocupar em como a gente vai implementar essas rotinas a gente j\u00e1 tem uma biblioteca reconhecidamente segura ent\u00e3o a gente sempre fala que um desenvolvedor ele nunca deve se preocupar em implementar rotinas de seguran\u00e7a do zero sempre vai existir alguma ferramenta de apronta Segura que ele pode E a\u00ed em alguns problemas comuns que a gente tem essa categoria \u00e9 aplica\u00e7\u00f5es que muitas vezes p\u00f5e os usu\u00e1rios v\u00e1lidos permitindo que atacam se realizem tentativas direcionada de ataque de for\u00e7a bruta n\u00e3o s\u00e3o mais implementa\u00e7\u00f5es e quando o usu\u00e1rio digita ali uma senha ele fala olha enviamos ali para o seu e-mail t\u00e1 dando de cara limpa o atacante \u00e9 que o e-mail existe esse mesmo existir ele fala olha o e-mail n\u00e3o existe Ent\u00e3o essa \u00e9 uma falha de implementa\u00e7\u00e3o que a gente tenta evitar ao m\u00e1ximo a gente sempre quer receber uma mensagem gen\u00e9rica ali para o usu\u00e1rio o que ele pode ser o atacante ent\u00e3o a gente fala se seu existir verifique sua caixa de entrada \u00e9 que o e-mail vai estar l\u00e1 ent\u00e3o sempre recebi mensagem gen\u00e9ricas para o usu\u00e1rio e a voltando mais nessa parte do t\u00f3pico 7 muitas aplica\u00e7\u00f5es permitem a utiliza\u00e7\u00e3o de senhas fracas ou conhecidas ent\u00e3o uma boa pr\u00e1tica ultimamente at\u00e9 o Chrome est\u00e1 adotando por exemplo \u00e9 sempre que os olhos digitar uma senha que j\u00e1 apareceu em algum casamento ou uma senha que \u00e9 reconhecidamente fraca um dois tr\u00eas quatro cinco seis o c\u00e3o e vai l\u00e1 e te aviso Olha s\u00f3 senha quem segura ela j\u00e1 apareceu no casamento e ela \u00e9 muito fraca ent\u00e3o nossos aplica\u00e7\u00f5es tamb\u00e9m podem implementar esses recursos ent\u00e3o a gente poderia pegar ali\u00e1s 10 mil senhas mais comuns e verificar se o usu\u00e1rio t\u00e1 tentando se cadastrar com alguma delas al\u00e9m dos requisitos cl\u00e1ssicos de complexidade decenzo bom ent\u00e3o outro Bruna comum a utiliza\u00e7\u00e3o de mecanismos inapropriados para recupera\u00e7\u00e3o de senhas como por exemplo perguntas e respostas que a gente viu pela paradesign o pr\u00f3prio armazenamento em segundo de senhas por exemplo em texto plano ou com restos fracos aus\u00eancia de mecanismos de perto authentication multi-factor authentication ent\u00e3o eu vi at\u00e9 um estudo da Microsoft que mostrou que mais de noventa porcento das invas\u00f5es da contas poderiam ter sido evitadas simplesmente com o uso de ti Factor authentication Ent\u00e3o realmente \u00e9 algo que a gente deve pela metade das nossas aplica\u00e7\u00f5es E al\u00e9m disso exposi\u00e7\u00e3o de tomar inje\u00e7\u00e3o na URL ou em logs um problema cl\u00e1ssico tamb\u00e9m que utiliza\u00e7\u00e3o de token express\u00e3o EA falta de valida\u00e7\u00e3o desses AIDS tamb\u00e9m s\u00e3o os problemas em evid\u00eancia nas aplica\u00e7\u00f5es ultimamente \u00e9 um exemplo aqui \u00f3 fiz um brute Force simples numa aplica\u00e7\u00e3o para quem conhece usei o pe bom ent\u00e3o c\u00ea tem aqui wordlist com v\u00e1rias senhas e aplica\u00e7\u00e3o ela n\u00e3o estava fazendo um procedimento de rede limite ou seja ela tava permitindo que eu deliberadamente testar se aqui senha e ela n\u00e3o aguentava nem de leil\u00f5es e gerei um caption O que \u00e9 um problema a\u00ed the authentication ent\u00e3o passei aqui um o dirigente com v\u00e1rias senhas eu j\u00e1 sabia que essa teste aqui era correta e voc\u00eas podem perceber pelo c\u00f3digo de status que ela tava dando um 302 mas n\u00e3o resposta correta ela deu um 200oc Al\u00e9m disso tamanho da requisi\u00e7\u00e3o da resposta tamb\u00e9m foi diferente o problema de make me Queen s\u00e3o pl\u00e1stico tamb\u00e9m das categorias e preven\u00e7\u00f5es para esse tipo de ataque utilize mecanismo de infec\u00e7\u00e3o authentication multi-factor authentication n\u00e3o muitas perguntas invas\u00f5es poderiam ter sido evitadas atrav\u00e9s das cinco procedimento nunca mantenha credenciais perfow em ambiente de produ\u00e7\u00e3o pessoalmente pelos olhos admins implemente rotina de verifica\u00e7\u00e3o de senhas fracas em processos de cria\u00e7\u00e3o de contou mudan\u00e7as de senhas Eu exijo requisitos m\u00ednimos de complexidade para senhas limite as tentativas de login por exemplo aplicando um time-out um delay \u00e9 uma tem an\u00e1lise mant\u00e9m an\u00e1lise logo isso por tentativas de login com falha principalmente n\u00e3o tem um procedimento de an\u00e1lise de logs utilize bibliotecas reconhecidamente seguras para o procedimento de autentica\u00e7\u00e3o e autoriza\u00e7\u00e3o o Ricardo colocou a\u00ed seguran\u00e7a 05 militar em camadas exatamente o que a gente chama de defesa em profundidade at\u00e9 um pouco mais camadas maior a dificuldade de acesso indevido t\u00f4 falando um pouquinho sobre o t\u00f3pico a 8 software and to integrate fez tamb\u00e9m uma nova categoria do Vasco 2021 a descer as a\u00e7\u00f5es segura agora faz parte das categorias uniram aqui dentro se consegue fazer de sofre que podem comprometer a integridade de dados planta cresce podem por exemplo modificar dados vulner\u00e1veis a terceiriza\u00e7\u00e3o e segura que agora faz parte dessa categoria em alguns problemas comuns s\u00e3o os sistemas que n\u00e3o verificam assinatura de atualiza\u00e7\u00f5es download de c\u00f3digo o execut\u00e1veis em verifica\u00e7\u00f5es de integridade de sinaliza\u00e7\u00e3o de dados n\u00e3o confi\u00e1veis ent\u00e3o aplica\u00e7\u00f5es n\u00e3o verificam os dados antes de descer realizar problema muito recorrente em em aplica\u00e7\u00f5es que s\u00e3o orientadas a objetos onde a gente tem um objeto precisa salvar ele na mem\u00f3ria secund\u00e1ria Ou seja no HD e depois colocar na mem\u00f3ria RAM mem\u00f3ria principal novamente um objeto ent\u00e3o o problema ocorre justamente nesse processo de retornar o objeto \u00e9 para mem\u00f3ria principal o outro problema comum a\u00ed a confian\u00e7a em cookies sem a correta avalia\u00e7\u00e3o e verifica\u00e7\u00e3o de integridade \u00e9 um exemplo aqui simples de civiliza\u00e7\u00f5es segura ent\u00e3o atacante ele vai pegar um objeto ali que j\u00e1 t\u00e1 salvo vai descer realizar vai inserir um c\u00f3digo malicioso se realizar novamente enviar para um cliente para o aplica\u00e7\u00e3o e na hora que essa aplica\u00e7\u00e3o de se realizar e carregar os dados pode ser que tenha um c\u00f3digo malicioso para executar uma a\u00e7\u00e3o como a execu\u00e7\u00e3o remota de c\u00f3digo um ataque de nega\u00e7\u00e3o de servi\u00e7o uma foto de Bong por exemplo ent\u00e3o tamb\u00e9m um ataque bem comum e linguagens orientadas a objetos e preven\u00e7\u00f5es contra em sua categoria direito assinaturas digitais a verifica\u00e7\u00e3o software os dados que utiliza n\u00e3o foram adulterados certifique-se de que softwares como npm e o Meire est\u00e3o consumindo reposit\u00f3rio de fontes confi\u00e1veis gerenciamento sair como dependency-check para verificar se esse composi\u00e7\u00e3o cont\u00e9m puder habilidades e certifique-se de que haja processo de revis\u00e3o de c\u00f3digo sejam pode viu para minimizar a chance de pode o mal intencionadas introduzido no seu Parque Lage desenvolvimento E al\u00e9m disso fa\u00e7a processos de industrializa\u00e7\u00e3o apenas um dados devidamente assinados E confi\u00e1veis voc\u00ea j\u00e1 mant\u00e9m um banco de dados ali com os restos dos dados serializados e voc\u00ea s\u00f3 vai descer realizar o dado que receber que voc\u00ea receber Se ele tiver que me resta ent\u00e3o \u00e9 um op\u00e7\u00e3o e sobre o A9 voc\u00ea curtiu em e monitore feathers Tom \u00e9 tamb\u00e9m se Manteve a\u00ed entre os ataques mais recorrentes s\u00e3o muitas aplica\u00e7\u00f5es sistemas falham no correto monitoramento e an\u00e1lise de logs est\u00e3o aus\u00eancia de Tais procedimentos acaba impedindo que organiza\u00e7\u00f5es da Tec tem \u00e9 ataques em tempo h\u00e1bil na corre\u00e7\u00e3o das habilidades e aplica\u00e7\u00e3o ali os controles reativos ap\u00f3s matar seu curr\u00edculo em alguns problemas comuns muitos eventos audit\u00e1veis como por exemplo logins vamos com falhas principalmente transa\u00e7\u00f5es de alto valor acabam n\u00e3o sendo registrados pelas aplica\u00e7\u00f5es e s\u00e3o grande problema avisos e erros geram mensagens de log inadequadas ou pouco Claras ent\u00e3o fica dif\u00edcil para os governadores e o pessoal deinfra divulgar o que t\u00e1 acontecendo os logs de aplica\u00e7\u00f5es e apis n\u00e3o s\u00e3o monitorados para atividades suspeitas e logs muitas vezes tamb\u00e9m armazenados apenas localmente ent\u00e3o \u00e9 bem como a gente v\u00ea o pessoal armazenando log na mesma m\u00e1quina que t\u00e1 o absorver apenas dela ent\u00e3o s\u00f3 atacante conseguindo agradecer ele pode at\u00e9 por j\u00e1 modificar os olhos ali dentro e E al\u00e9m disso testes de invas\u00e3o e varreduras por ferramentas n\u00e3o acionam alertas tamb\u00e9m um problema recorrente a gente sabe quem trabalha com pentest sabe que muitas ferramentas elas s\u00e3o barulhentas elas eram muitos jovens deixam muitos rastros e suas aplica\u00e7\u00f5es dos observa\u00e7\u00e3o estiverem configuradas corretamente \u00e9 muitas vezes o pessoal nem se d\u00e1 conta de que t\u00e1 passando ali por uma invas\u00e3o o que j\u00e1 foi invadido E al\u00e9m disso aplica\u00e7\u00f5es n\u00e3o conseguem detectar escalar o alertar para t\u00e1xis ativos em tempo real ent\u00e3o imaginei que voc\u00ea s\u00f3 acaba ele tentando uma nega\u00e7\u00e3o de servi\u00e7o meia hora depois uma hora depois duas horas para algumas organiza\u00e7\u00f5es ent\u00e3o time de cinco minutos j\u00e1 pode ser cr\u00edtico \u00e9 um exemplo cl\u00e1ssico aqui uma ferramenta que gera bastante log Onix do por exemplo por ser um s\u00f3 a quantidade de logo que ele gerou aqui no meu Apache \u00e9 no mesmo minuto no mesmo segundo a \u00e9 s\u00f3 um comportamento \u00e9 imposs\u00edvel de ser realizada ali por um humano realmente \u00e9 uma ferramenta ent\u00e3o muitas vezes as aplica\u00e7\u00f5es elas n\u00e3o tem uma certa intelig\u00eancia para verificar a ocorr\u00eancia incid\u00eancia desses ataques a ferramenta sair com el\u00e1sticos URT e outros podem nos auxiliar bastante a identificar esse tipo de amea\u00e7a e preven\u00e7\u00f5es certifique-se de que informa\u00e7\u00f5es importantes sejam registradas com contexto de usu\u00e1rio suficiente para identificar contas suspeitas tamb\u00e9m \u00e9 importante \u00e9 dependendo da sua aplica\u00e7\u00e3o manter essas contas desativadas as vezes o pessoal quer apagar direto as contas Mas a gente sempre comida mant\u00ea-los desativadas at\u00e9 um processo de per\u00edcia forense ap\u00f3s esse processo pode ser constatado que o usu\u00e1rio fez Realmente voc\u00ea pode apagar essa conta e assegure-se de que os jovens s\u00e3o gerados um formato espec\u00edfico que possa ser facilmente consumido por uma solu\u00e7\u00e3o como o el\u00e1stico senhor tentou esses logs que a gente armazena os eles t\u00eam um certo formado \u00e9 importante que a gente n\u00e3o tem esse formato para que o el\u00e1stico surgiu logstash consiga consumir seria um problema E al\u00e9m disso Estabele\u00e7a monitoramento e alertas eficazes de modo que atividades suspeitas sejam detectadas e respondidas no tempo o L\u00e1bio e por fim a falando aqui sobre o t\u00f3pico 10 ser vers\u00e1til Spore \u00e9 uma nova categoria do top-10 uma vulnerabilidade bem interessante que permite que o atacante Force aplica\u00e7\u00e3o a realizar requisi\u00e7\u00f5es t\u00e3o dom\u00ednio arbitr\u00e1rio atacantes eles podem \u00e9 a partir dessa dessa vulnerabilidade interagir por exemplo com ela Isso ver \u00e9 alguns componentes da rede do usu\u00e1rio tamb\u00e9m para obter informa\u00e7\u00f5es sens\u00edveis ent\u00e3o ataque realmente muito interessante \u00e9 problemas comuns aplica\u00e7\u00f5es que buscam recursos remotos sem validar a URL informada pelo usu\u00e1rio n\u00e3o existe nenhuma valida\u00e7\u00e3o \u00e9 um exemplo disso quem nunca acessar algum site onde era poss\u00edvel voc\u00ea fazer o download de uma imagem atrav\u00e9s de uma url Ent\u00e3o voc\u00ea passar um ml e ele carregava a imagem no site n\u00f3s isso por acaso ao inv\u00e9s de voc\u00ea passar um site externo voc\u00ea passasse um local roxa aqui como isso aqui vai ser executado pelo servidor Ele vai tentar obter as informa\u00e7\u00f5es do pr\u00f3prio webserver ali no pr\u00f3prio site vulner\u00e1vel vamos Voc\u00ea poderia por exemplo ver se tem mais portas abertas nesse servidor abaixo da sua vulnerabilidade passando aqui um dois pontos por exemplo 5631 9.200 s\u00f3 pode sair comuns bom ent\u00e3o a partir disso voc\u00ea pode at\u00e9 mesmo enumerar mais informa\u00e7\u00f5es elas sobre a rede da pessoa e preven\u00e7\u00f5es segment a funcionalidade de acesso a recursos remotos em redes separadas Ent\u00e3o voc\u00ea vai reduzir o impacto de server Side with four se Estabele\u00e7a tamb\u00e9m pol\u00edticas de negar por padr\u00e3o ali nos seus filhos registro de todos os acessos com sucesso e negados isso \u00e9 muito importante Vale de todos os dados de entrada fornecidos pelo cliente Al\u00e9m disso voc\u00ea pode utilizar tamb\u00e9m whitelists para valida\u00e7\u00e3o das urls Que o usu\u00e1rio fornecer ent\u00e3o se for URL com voc\u00ea n\u00e3o quer voc\u00ea simplesmente nega ent\u00e3o uma dessas RS poderia servir o seu \u00e9 o absorver o local roxa bom ent\u00e3o a gente falou bastante sobre essa quest\u00e3o \u00e9 de ataques preven\u00e7\u00f5es mas sobre a parte ofensiva como a gente pode come\u00e7ar a atacar o Website com essas poder habilidades \u00e9 pensando a\u00ed no pessoal de verde TIM ent\u00e3o dicas que eu dou para voc\u00eas \u00e9 tem uma \u00f3tima base sobre o protocolo http ent\u00e3o protocolo http \u00e9 o essencial para voc\u00ea come\u00e7ar a pensar explorar aplica\u00e7\u00f5es web voc\u00ea tem que ter um dom\u00ednio sobre esse protocolo porque \u00e9 o que rege todas as Sensa\u00e7\u00f5es web hoje em dia bom ent\u00e3o conhecer redes TCP essencial tamb\u00e9m para qualquer um que queira atuarem como \u00e9 do time de Varzim E al\u00e9m disso o estudo de sistemas operacionais \u00e9 fundamental N\u00e3o s\u00f3 para a gente de seguran\u00e7a mas para qualquer pessoa que trabalha UTI ent\u00e3o o estudo de SOS \u00e9 fundamental para identificar entendimento e execu\u00e7\u00e3o tamb\u00e9m de ataques um pouco mais sofisticados Ent\u00e3o essa esse algu\u00e9m entender muita coisa \u00e9 na \u00e1rea de ter Al\u00e9m disso Saiba se virar sozinho porque eu sempre falo eu pessoal que me pergunta metade dicas ent\u00e3o nunca dependa exclusivamente de ferramentas voc\u00ea sabendo desse peitei programa\u00e7\u00e3o mesmo voc\u00ea t\u00e1 no Ali no lugar sem nenhuma ferramenta voc\u00ea consegue se virar porque voc\u00ea tem a base ent\u00e3o voc\u00ea pode criar suas pr\u00f3prias ferramentas est\u00e3o nunca dependa cegamente ali de ferramentas \u00e9 esse depender Oi gente alguma ferramenta entenda realmente que voc\u00ea t\u00e1 fazendo Entenda como ela funciona por baixo dos panos em alguns ambientes onde a gente pode praticar esses conhecimentos que a gente \u00e9 Observe agora o que voc\u00eas certamente v\u00e3o pesquisar mais temos algumas aplica\u00e7\u00f5es propositalmente vulner\u00e1veis para a pr\u00e1tica de seguran\u00e7a da informa\u00e7\u00e3o uma uma bem conhecido \u00e9 o de VW a tem no voleibol era application e outra tamb\u00e9m bem famosa bem mais moderna tamb\u00e9m que o devedor abri-la \u00e9 o Web Gold ele j\u00e1 inclui ali ataques que est\u00e3o novo top10 como saber saber quais forem ent\u00e3o voc\u00eas podem treinar testar seus conhecimentos tamb\u00e9m nessa aplica\u00e7\u00e3o al\u00e9m de ferramentas \u00e9 de bonit n\u00e9 ent\u00e3o \u00e9 de goji balde ent\u00e3o a gente pode utilizar tamb\u00e9m sites como um hacker Luan e coloquei fraude ou de empresas deliberadamente colocou ali se os endere\u00e7os seus e seus dom\u00ednios e voc\u00ea pode pesquisar por vulnerabilidades \u00e9 tranquilamente sem medo de ser processado e \u00e9 uma \u00f3tima forma tamb\u00e9m de testar mas o nosso conhecimento Ent\u00e3o voc\u00ea tem um ambiente realmente realista \u00e9 um ambiente aqui foi projetado para ser seguro Ent\u00e3o voc\u00ea tem um grande desafio ao invadido ent\u00e3o plataformas como hack One e o bang fraude s\u00e3o as mais famosas s\u00e3o as que eu recomendo para quem quer testar seus conhecimentos tamb\u00e9m no top ten E al\u00e9m disso aqui na daryus a gente tem o curso de web application Security j\u00e1 t\u00e1 atualizado para nova vers\u00e3o da USP \u00e9 onde a gente ensina todos esses ataques com mais detalhes e tamb\u00e9m outras t\u00e9cnicas de preven\u00e7\u00e3o defesa Claro E a\u00ed tamb\u00e9m outros conceitos para a gente entra em detalhes ali em t\u00e9cnicas de S\u00e1 rashidat s.a. Falamos tamb\u00e9m sobre e seguran\u00e7a por designer privacy by design Tom \u00e9 um curso realmente completo vai dar uma \u00f3tima base para quem precisar \u00e9 um curso de 24 horas voc\u00eas podem dar uma olhada na grade curricular escaneando a\u00ed esse QR Code ou acessando odalis. Com.br\/curso\/o application Security ent\u00e3o curso de completo 24 horas \u00e9 ele d\u00e1 uma vis\u00e3o geral n\u00e3o s\u00f3 sobre o assunto top tem mas tamb\u00e9m de outros padr\u00f5es que a gente tem ent\u00e3o a gente fala sobre controles proativos da West White vs n\u00e3o \u00e9 bem completo bom ent\u00e3o \u00e9 isso pessoal o webnar foi esse ent\u00e3o espero que voc\u00eas tenham gostado a realiza\u00e7\u00e3o a\u00ed d\u00e1 dares e do idesp instituto de ensino superior Paulista \u00e9 espero que voc\u00eas tenham gostado e quem tiver interesse no treinamento \u00e9 existe uma turma j\u00e1 para a pr\u00f3xima semana aos at\u00e9 o interesse nos vemos l\u00e1 Ah t\u00e1 obrigado a\u00ed Rodrigo Larissa Oi C\u00e1ssia e Valeu Ricardo \u00e9 t\u00e3o \u00f3tima tarde a todos bom final de semana em qualquer d\u00favida pode entrar em contato comigo \u00e9 o link aqui vai ficar gravado tamb\u00e9m vai ficar gravado voc\u00eas podem v\u00ea-lo revelou quantas vezes quiserem e depois aprofundar os seus conhecimentos t\u00e1 ligado a\u00ed Lucas Rodrigo Igor estiver em d\u00favida as pessoas quiserem Aproveitar esses minutinhos finais tamb\u00e9m para perguntar fique \u00e0 vontade \u00e9 mais boa tarde a todos E a\u00ed<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Voc\u00ea sabe o que est\u00e1 no top 10 OWASP? Se voc\u00ea trabalha na espa\u00e7o de programa\u00e7\u00e3o e desenvolvimento seguro, \u00e9 muito prov\u00e1vel que&#8230; 01:12:20&#8230;<\/p>\n","protected":false},"author":1,"featured_media":148,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[7,2],"tags":[48,175,174,49,50,93,176,51,173],"acf":[],"_links":{"self":[{"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/posts\/147"}],"collection":[{"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/comments?post=147"}],"version-history":[{"count":2,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/posts\/147\/revisions"}],"predecessor-version":[{"id":293,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/posts\/147\/revisions\/293"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/media\/148"}],"wp:attachment":[{"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/media?parent=147"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/categories?post=147"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.criptografarphp.com.br\/site\/wp-json\/wp\/v2\/tags?post=147"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}