Joven hacker sonriendo

Hackeamos su software

cero falsos positivos

Inteligencia experta + Tecnología especializada
DXST - SAST - IAST - SCA - DevSecOps
Caja blanca - Caja gris - Caja negra
Atacando Aplicaciones Web, APIs, Apps Móviles,
Cliente Servidor, Servidores, Redes, Dispositivos IoT
IoT SCI: Sistemas de Control Industrial

Temas

Los artículos del blog buscan abarcar diferentes temáticas relacionadas con seguridad y/o temas de interés en el mundo de las TI, también pueden reflejar la postura del autor ante un tema en específico relacionado con seguridad. Si quieres colaborar y no tienes claro un tema, en esta sección te damos ideas y una vez sean cubiertas por un artículo vamos actualizando la lista #TrendingTopics. Dentro de los temas de interés se encuentran:

Ataques

  • Ataque Beast.

  • Poodle +SSL v3.

  • Poodle TLS.

  • Ataque Heartbleed.

  • Cracking simple de claves no reversibles.

  • Cracking con rainbow tables.

  • Web shells sin efectos colaterales.

  • Descarga de archivo reflejado.

  • Revisión de Frameworks de Apache Struts 2.

  • Detección Apache Struts.

  • Carga de archivos arbitrarios

  • Malas configuraciones en ASP.Net.

  • Serialización en ASP.NET.

  • Seguridad ViewState en ASP.NET (ViewState Check).

  • Revisión de autocompletado de atributos.

  • Inyección SQL ciega.

  • Directiva caché del navegador (Filtrar información sensible).

  • Directiva caché del navegador (Afectar el desempeño de la aplicación).

  • Ataques de fuerza bruta (Autenticación HTTP).

  • Autenticación por fuerza bruta basada en formularios.

  • Abuso de lógica de negocio.

  • Archivos de políticas de dominio cruzado de clientes.

  • Evitar recolección de información sensible.

  • Inyección de comandos.

  • Atributos de Cookies .

  • Credenciales en canales inseguros.

  • Credenciales almacenadas en texto plano en cookies (exposición de contraseñas).

  • Intercambio de recursos de origen cruzado (CORS).

  • Falsificación de petición en sitios cruzados (CSRF).

  • Cross-site scripting (XSS) (Reflexión basada en DOM a través de peticiones AJAX).

  • Cross-site scripting (XSS),(basada en DOM).

  • Cross-site tracing (XST – Método Web).

  • Encabezados CSP.

  • Módulo de directorio personalizado.

  • Módulo de parámetro personalizado.

  • Módulo pasivo personalizado.

  • Indexado de directorios.

  • Exposición de correos electrónicos.

  • Inyección de expresión de lenguaje.

  • Inclusión de archivos.

  • Browsing forzado.

  • Pruebas de fortaleza de formularios de sesión.

  • Revisión de FrontPage.

  • Revisión de Heartbleed.

  • Autenticación HTTP en canales inseguros.

  • Encabezados HTTP.

  • Revisión de peticiones de sesión HTTP.

  • División de respuestas HTTP.

  • Seguridad de transporte estricto HTTP (HSTS).

  • Manipulación de verbos HTTP (Método de manipulación de peticiones).

  • HTTPS Downgrade.

  • HTTPS Everywhere.

  • Revelación de información en comentarios.

  • Revelación de información en respuestas.

  • Revelación de información en Scripts (Revisión de Scripts).

  • Filtrado de información en respuestas.

  • Java Grinder.

  • Inyección LDAP.

  • Utilización de almacenamiento local.

  • Código NULL Nginx.

  • Inyección de comandos OS.

  • Cross-site scripting fuera de banda (XSS).

  • Cross-site scripting fuera de banda almacenada (XSS).

  • Fuzzing de parámetros.

  • Cross-site scripting persistente (pasivo).

  • Cross-site scripting persistente (activo).

  • Ejecución de código PHP.

  • Localización predecible de recursos (Hallazgo de recursos).

  • Revelación de privacidad.

  • Escalamiento de privilegios.

  • Cross Site Scripting reflejado.

  • Cross Site Scripting reflejado simple.

  • Clickjacking reverso.

  • Proxy reverso.

  • Mezclas de contenidos seguros e inseguros.

  • Exposición de datos sensibles.

  • Datos sensibles en un canal inseguro.

  • Configuraciones de servidor

  • Inyección Server Side Include (SSI).

  • Fijación de sesiones.

  • Fortaleza de sesiones.

  • Actualización de sesiones.

  • Revelación de código fuente.

  • Filtrado de información SQL (Errores SQL).

  • Inyección SQL.

  • Derivación de autenticación de inyección SQL.

  • Revisión de parámetros SQL.

  • Fortaleza SSL.

  • Descubrimiento de subdominios.

  • Redireccionamientos no validados.

  • Reescritura de URLs.

  • Web Beacon.

  • Fuzzing de parámetros de servicios Web.

  • Opciones X-Content-Type.

  • Opciones X-Frame.

  • Ataques de entidades externas XML.

  • Inyección XPath.

  • X-Powered-By.

  • Protección contra X-XSS.

Recomendaciones

  • Limitación de solicitudes a las API.

  • Función hashing recomendada.

  • Función de cifrado asimétrico recomendada.

  • Función de cifrado simétrico recomendada.

  • Cómo detener efectivamente un ddos sin proxies.

  • IAST.

  • DAST.

  • SAST.

  • SecDevOps.

  • Por qué utilizamos monorepo?

  • Por qué utilizamos trunk based development?

  • Por qué utilizamos entrega continua?

  • Por qué utilizamos infraestructura como código?

  • Por qué utilizamos staticgen?

  • Por qué utilizamos SLB?

  • Por qué utilizamos asciidoc?

  • Por qué utilizamos CalVer en SemVer?

  • Por qué herramientas de seguridad en CI no rompen el build?

  • Por qué las herramientas automáticas tienen un mayor índice de fugas?

  • Refactorizando JS con linting.

  • Por qué Asserts no utiliza OpenSSL?

  • Quién debe detectar un cambio en un API: proveedor o consumidor?

  • Un ethical hacking debería incluir un análisis de vulnerabilidades?

Conceptos

  • Infraestructura inmutable.

  • Red team.

  • Blue team.

  • Purple team.

  • Captura la bandera.

  • NixOS.

  • Linters como normalizadores.

  • Linter del hombre pobre: check-all/changed y pcregrep.

  • Qué es SecDevOps?

  • Embudo de cierre: Puntual, Continuo y Rompiendo el build.

  • Pruebas de Caja Negra

  • Pruebas de Caja Gris

  • Pruebas de Caja Blanca

Estándares

  • Estándar Misra.

  • Autenticación basada en token.

  • Autenticación básica SOAP.

  • Autenticación SOAP Digest .

  • Corrección por construcción (CbyC).

  • Desarrollo seguro de ciclo de vida (SDL).

  • Modelo completo de desarrollo de software.

  • Proceso de seguridad de aplicaciones livianas (CLASP).

  • Proceso team software para el desarrollo seguro de software (TSP-Secure).

  • Modelado de seguridad conceptual (CoSMo).

  • UMLSec.

Resumen

  • Problemas de seguridad de Bitcoin blockchain.

  • Problemas de seguridad de Ethereum.

  • Problemas de seguridad de Stellar.

  • Búsqueda de vulnerabilidades con machine learning.

  • Incidentes asociados a vulnerabilidades.

Investigación

  • DVWA con falsos positivos.

Mercadeo

  • Quién descarta los falsos positivos?

  • Cómo priorizar la remediación de vulnerabilidades?


Estado de los servicios - Términos de Uso