Hackers

Técnicas y Herramientas para atacar y defendernos

Maíllo Fernández, Juan Andres

• Editorial: Grupo Editorial Ra-Ma
• Año: 2020
• ISBN de la versión impresa: 9788499645179
• ISBN del libro electrónico: 9788499648965

En el año 2020 todo el mundo que nos rodea es digital. Puede que no seamos conscientes (o por lo menos, no plenamente conscientes) de ello, pero si nos paramos a pensar unos minutos en nuestro entorno diario, nos daremos cuenta de la gran cantidad de tecnología que envuelve nuestras vidas._x000D_Los grandes avances que hemos experimentado en los últimos años, tanto en los dispositivos como en las comunicaciones, han conseguido transformar no solo la tecnología, sino todo lo que hacemos. El modo en el que trabajamos, nos comunicamos, nos relacionamos, _x000D_jugamos, aprendemos… cualquier aspecto de nuestra vida está bañado de una manera u otra por el mundo digital._x000D_Las ventajas que esta nueva revolución ha aportado a nuestro día a día son evidentes, pero no podemos perder de vista las nuevas amenazas que han surgido hacia nuestra seguridad._x000D_Si la tecnología modifica el mundo, el crimen no podía dejar pasar la oportunidad de aprovecharse de ella para aumentar sus beneficios disminuyendo sus propios riesgos._x000D_Ante este nuevo escenario es de vital importancia que, tanto las Fuerzas y Cuerpos de seguridad del Estado que deben luchar contra la delincuencia, como los responsables de seguridad de los sistemas, estén suficientemente preparados para prevenir y hacer frente a los ataques que se vayan a producir a través de estos medios. Y para conseguirlo, el primer_x000D_paso que se debe dar es conocer la forma en la que estos cibercriminales actúan, y las herramientas que tenemos en nuestra mano para mantenernos a salvo, en otras palabras, convertirse en un hacker._x000D_Adéntrese en el mundo del hacking, sus mitos, su filosofía, su modo de pensar y, sobre todo, su forma de actuar. Conoceremos los modos de ocultarse en la red, cómo se desarrolla el software, el proceso de investigación de los objetivos para obtener información valiosa sobre ellos, y una larga lista de ataques sobre cualquier entorno: Man In The Midlle, DoS/DDoS, fuerza bruta, Spoofing, XSS, SQLi…_x000D_Bienvenido a un paseo a través de la mente de los hackers, aquellos que el día de mañana dominarán el mundo.

10

HACKING WEB

Los nuevos paradigmas que han ido surgiendo en los últimos tiempos dentro del ámbito de los sistemas de información y las telecomunicaciones, han propiciado que la presencia web de cualquier compañía se haya multiplicado enormemente respecto a la que podía tener hace tan solo unos pocos años.

Y no hablamos únicamente de la existencia de una página web que cualquier usuario puede consultar mediante su navegador, sino que la aparición en el entorno profesional del concepto de “nube”, ha transformado la manera de trabajar tal y como se conocía hasta este momento.

Cada vez son más las empresas y organizaciones que optan por migrar todos sus sistemas a entornos On-Cloud, que mediante una arquitectura de sus infraestructuras orientadas a servicios, ofrecen la posibilidad a trabajadores y clientes de poder interactuar con los sistemas internos de una forma remota.

Para poder poner en funcionamiento este tipo de infraestructuras, es totalmente necesario conectar los puntos de trabajo remotos con nuestros sistemas, para lo cual en la mayoría de los casos se recurre a conexiones vía Internet, ofreciendo servicios web que se encargan de proporcionar las interfaces necesarias a los usuarios. Esto es lo que comúnmente se conoce como aplicaciones web.

El surgimiento y gran expansión de compañías que ofertan en el mercado soluciones empresariales para estos escenarios, y las grandes ventajas que puede ofrecer su uso a los usuarios, ha propiciado que el desarrollo de este tipo de aplicaciones se haya ido multiplicado exponencialmente, siendo en la actualidad un proceso muy ágil en comparación con el modo en que se desarrollaban las aplicaciones hace un par de décadas.

Pero toda esta tecnología que parece maravillosa (y que lo es en realidad), juega en muchas ocasiones en contra de la seguridad digital de la empresa. La necesidad de desplegar nuevas aplicaciones en poco tiempo, y la falta de concienciación y de formación sobre seguridad que tienen en muchos casos los desarrolladores y administradores de las mismas, hacen que se puedan encontrar vulnerabilidades en este software que puede ser explotadas por ciberdelincuentes sin demasiada dificultad.

El Open Web Aplication Security Project (OWASP) desarrolla de forma periódica un documento con el Top 10 de las vulnerabilidades más críticas y habituales que se pueden encontrar en las aplicaciones web que están disponibles en la red. La última versión disponible es de 2017 y puede encontrarse en la web del proyecto, incluyendo además una comparativa con el top 10 del anterior listado (año 2013), que permite analizar la evolución que han ido sufriendo las vulnerabilidades en aplicaciones web en estos últimos años.

Listado del Top 10 de OWASP de vulnerabilidades en aplicaciones web

ESCÁNER DE VULNERABILIDADES

Del mismo modo que ocurría con los escáneres de vulnerabilidades en sistemas, estas herramientas son imprescindibles a la hora de llevar a cabo una auditoría web del sistema de una determinada empresa u organización, ya que su capacidad de automatizar la búsqueda e identificación de las vulnerabilidades existentes que pudieran ser explotadas nos va a facilitar la posibilidad de aplicar medidas correctivas sobre ellas antes de que un atacante pueda aprovecharlas para causarnos algún daño.

El funcionamiento interno de estas herramientas se basa en aplicar una serie de técnicas sobre los objetivos auditados que realicen una recolección de información para posteriormente poder detectar las vulnerabilidades presentes en los mismos. Las técnicas más importantes en este ámbito son:

• Carwling. Mediante esta técnica se analiza el código fuente y se siguen todos los enlaces que hay dentro del sitio web para crear un mapa de todas las URL que lo componen. Suele llevarse a cabo mediante Spiders (o arañas) que incorporan las herramientas de escáner de vulnerabilidades. Aun así, es posible que no se encuentren todas las direcciones, ya que pueden existir algunas que no estén enlazadas dentro del sitio.
• Bruteforcing. Se realizan miles de peticiones mediante fuerza bruta sobre los directorios y archivos del sitio auditado, con el objetivo de descubrir aquellas direcciones que no fueron capturadas mediante el proceso anterior.
• Fuzzing. Esta técnica genera cadenas de información aleatorias que son pasadas a la aplicación, y busca las vulnerabilidades de la misma a través de las respuestas qu...

Índice

• DESCARGO DE RESPONSABILIDAD
• INTRODUCCIÓN
• EMPEZANDO A CONOCER EL MUNDO HACKER
• HACKING ÉTICO
• PLATAFORMAS DE ENTRENAMIENTO
• TÉCNICAS DE OCULTAMIENTO
• MALWARE
• ATAQUES INFORMÁTICOS
• BUSCANDO EL OBJETIVO
• HACKEANDO SISTEMAS
• HACKEANDO REDES
• HACKING WEB
• HACKEANDO ENTORNOS MÓVILES
• HACKEANDO IoT
• HACKEANDO HUMANOS (INGENIERÍA SOCIAL)
• HERRAMIENTAS PARA HACKING FÍSICO
• ANÁLISIS FORENSE
• REFERENCIAS