• Descripción

En esta asignatura veremos ejemplos de algunos de los métodos más habituales para atacar formularios de aplicativos web que interactúan con alguna base de datos. Se harán ataques a las Bases de datos, así como a los aplicativos que hacen las consultas.

Adicionalmente, se van a analizar algunas de las bases de datos más utilizadas en la actualidad y los principales conceptos que se tienen que considerar para fortificar adecuadamente los diferentes tipos de bases de datos.

• Objetivos y competencias

Conocer las herramientas y los métodos de pentesting en los servidores de datos.

• Contenidos

• Cross site scripting (XSS)
•  Cross site request forgery
•  Clickjacking
•  LDAP Injection Injection
•  Blind LDAP Injection
•  XPath
• Path Disclosure
•  Remote Hilo Inclusion
•  Local Hilo Inclusion
•  Webtrojans

• En torno a explotación del ataque
• Herramienta Priamos
• El parámetro vulnerable
• Cómo se atacan este tipo de vulnerabilidades?
• Métodos de automatización
• Herramientas
• Protección contra Blind SQL Injection
• Time-Based Blind SQL Injection
• Consultas pesants
• Remote Hilo Downloading
• Booleanització de datos
• Metodología de trabajo
• Remote Hilo Downloading en Oráculo Database
• Identificación mediante funciones
• Objetivos principales para cada base de datos
• IDS Evasion

 Auditoría y desarrollo seguro

• OWASP
• Escáner de vulnerabilidades de caja negra
• Auditoría de código fuente
• Herramientas de filtraje: Web Application Firewalls

• Consulta de los recursos de aprendizaje de la UOC para la asignatura

• Informaciones sobre la evaluación en la UOC

El proceso de evaluación se fundamenta en el trabajo personal del estudiante y presupone la autenticidad de la autoría y la originalidad de los ejercicios realizados.

La falta de autenticidad en la autoría o de originalidad de las pruebas de evaluación; la copia o el plagio; el intento fraudulento de obtener un resultado académico mejor; la colaboración, el encubrimiento o el favorecimiento de la copia, o la utilización de material, software o dispositivos no autorizados durante la evaluación, entre otras, son conductas irregulares en la evaluación que pueden tener consecuencias académicas y disciplinarias graves.

Estas conductas irregulares pueden comportar el suspenso (D/0) en las actividades evaluables que se definan en el plan docente -incluidas las pruebas finales- o en la calificación final de la asignatura, sea porque se han utilizado materiales, software o dispositivos no autorizados durante las pruebas, como por ejemplo redes sociales o buscadores de información en internet, porque se han copiado fragmentos de texto de una fuente externa (internet, apuntes, libros, artículos, trabajos o pruebas de otros estudiantes, etc.) sin la citación correspondiente, o porque se ha llevado a cabo cualquier otra conducta irregular.

Así mismo, y de acuerdo con la normativa académica, las conductas irregulares en la evaluación también pueden dar lugar a la incoación de un procedimiento disciplinario y a la aplicación, si procede, de la sanción que corresponda, de conformidad con lo establecido en la normativa de convivencia de la UOC.

En el marco del proceso de evaluación, la UOC se reserva la potestad de:

• Solicitar al estudiante que acredite su identidad según lo establecido en la normativa académica.
• Solicitar al estudiante que acredite la autoría de su trabajo a lo largo de todo el proceso de evaluación, tanto evaluación continua como evaluación final, por medio de una prueba oral o los medios síncronos o asíncronos que establezca la universidad. Estos medios tendrán por objeto verificar los conocimientos y las competencias que garanticen la autoría; en ningún caso implicarán una segunda evaluación. Si no es posible garantizar la autoría del estudiante, la prueba será calificada con D, en el caso de la evaluación continua, o con un Suspenso, en el caso de la evaluación final.

  A estos efectos, la UOC puede exigir al estudiante el uso de un micrófono, una cámara u otras herramientas durante la evaluación; será responsabilidad del estudiante asegurar que tales dispositivos funcionan correctamente.

• Consulta del modelo de evaluación