Blog gratis
Reportar
Editar
¡Crea tu blog!
Compartir
¡Sorpréndeme!
Blog de la Escuela de Educación Secundaria Técnica N 8 de Quilmes
Administrador Prof. Claudio Enrique Alonso Alvite
img
05 de Noviembre, 2014    General

Detectar y corregir automáticamente vulnerabilidades de validación de entrada en aplicaciones Web.

Con la herramienta WAP (web application protection) es posible detectar y corregir automáticamente vulnerabilidades de validación de entrada en aplicaciones Web escritas en lenguaje PHP (versión 4.0 o superior). WAP es una herramienta de análisis estático para: detectar vulnerabilidades, seguimiento de las entradas de los usuarios maliciosos y comprobar si llegan las llamadas de funciones sensibles. Cuenta con una baja tasa de falsos positivos porque se ha implementado un módulo de minería de datos para predecir los falsos positivos cuando se detecta vulnerabilidades.

WAP analiza semánticamente el código fuente. Más precisamente, realiza el análisis del flujo de datos para detectar las vulnerabilidades de validación de entrada. El objetivo del análisis es rastrear registros maliciosos insertados por los puntos de entrada ($ _GET y $ _POST) y verificar funciones de PHP que pueden ser explotadas por alguna entrada maliciosa. Después de la detección, la herramienta utiliza la minería de datos para confirmar si las vulnerabilidades son reales o falsas. Al final, las vulnerabilidades reales se corrigen con la inserción de las correcciones en el código fuente.

WAP detecta las siguientes vulnerabilidades:

  • Inyección SQL en MySQL, PostgreSQL y DB2 DBMS.
  • Cross-site scripting (XSS).
  • La inclusión de archivos remotos (RFI).
  • Inclusión de archivos locales (LFI).
  • Salto de directorio o camino transversal (DT / PT).
  • Divulgación de Código Fuente (SCD).
  • Inyección de comandos del sistema operativo (OSCI).
  • Inyección de código PHP.

WAP está escrito en lenguaje Java y está constituido por tres módulos:

Analizador de Código: compuesto por el generador de árboles y analizador de flujo de datos. Integra un analizador léxico y un analizador sintáctico, basado en una gramática de árbol escrita en el lenguaje PHP. El generador de árbol utiliza el analizador léxico y el analizador sintáctico para construir el AST (Abstract Sintatic Árbol) de cada archivo PHP. El analizador de flujo de datos navega a través del AST para detectar potenciales vulnerabilidades.

Detección de falsos positivos: compuesto por un modulo supervisor entrenado con casos clasificados como vulnerabilidades almacenadas y los falsos positivos del algoritmo de aprendizaje automático de regresión logística. Para cada posible vulnerabilidad detectada por analizador de código, este módulo recoge la presencia de los atributos que definen un falso positivo. A continuación, el algoritmo de regresión logística los recibe y clasifica la instancia como un falso positivo o no.

Código corrector: Cada vulnerabilidad detectada se elimina mediante la corrección de su código fuente. Este módulo aplica una solución para cada tipo de vulnerabilidad y señaliza los lugares en el código fuente donde se insertará el punto de referencia. A continuación, el código se corrige con la inserción de las revisiones y se crean nuevos archivos.

Más información y descarga de WAP:
http://sourceforge.net/projects/awap/
Palabras claves , , ,
publicado por alonsoclaudio a las 22:23 · Sin comentarios  ·  Recomendar
 
Más sobre este tema ·  Participar
Comentarios (0) ·  Enviar comentario
Enviar comentario

Nombre:

E-Mail (no será publicado):

Sitio Web (opcional):

Recordar mis datos.
Escriba el código que visualiza en la imagen Escriba el código [Regenerar]:
Formato de texto permitido: <b>Negrita</b>, <i>Cursiva</i>, <u>Subrayado</u>,
<li>· Lista</li>
CALENDARIO
Ver mes anterior Marzo 2024 Ver mes siguiente
DOLUMAMIJUVISA
12
3456789
10111213141516
17181920212223
24252627282930
31
BUSCADOR
Blog   Web
TÓPICOS
» General (2606)
NUBE DE TAGS  [?]
SECCIONES
» Inicio
ENLACES
MÁS LEÍDOS
» Analizando el LiveBox 2.1 de Orange
» Cómo espiar WhatsApp
» Cómo usar Metashield protector for Client y por qué utilizarlo
» Detectando tráfico de conexiones HTTP inversas de Meterpreter (Snort)
» Ejecución remota de código arbitrario en OpenSSH
» Ganar dinero con 1.200 Millones de identidades robadas
» Hardware y sus 4 Funcionamientos Basicos y Principales en una Computadora
» Redes de la Deep Web: CJDNS y la Red Hyperboria
» Unidad Central de Procesamiento CPU
» Wassap, la aplicación que permite usar WhatsApp desde la PC
SE COMENTA...
» Cómo espiar WhatsApp
595 Comentarios: Scott, Scott, Jarlinson mercy, [...] ...
» Qué hacer ante el robo de un teléfono móvil o una tableta
2 Comentarios: best buy security cameras swann, best buy security cameras swann
» Espiando usuarios gracias a la vulnerabilidad en cámaras TRENDnet
1 Comentario: Coin
» Recopilatorio de aplicaciones y sistemas vulnerables para practicar
2 Comentarios: vera rodrigez ...
» SoftPerfect WiFi Guard permite saber quién esta conectado a mi WiFi
2 Comentarios: firdous ...
SOBRE MÍ
FOTO

Prof. Claudio Enrique Alonso Alvite



» Ver perfil

AL MARGEN
Escuela de Educacion Secundaria Tecnica N 8 de Quilmes
(Técnicos en Informática Personal y Profesional)
FULLServices Network | Blogger | Privacidad