Se ha encontrado un error a la hora de procesar directivas "AllowOverride" y algunos argumentos "Options" en el archivo .htaccess. Esto podría permitir a atacantes locales eludir restricciones de seguridad al ejecutar comandos a través de Server Side Includes, incluso cuando éstos están deshabilitados.
El atacante tendría que escribir "Options +IncludesNoExec" en el archivo ".htaccess" para habilitar el Server Side Includes con privilegios de ejecución (directiva exec).
Los Server Side Include o SSI no son realmente muy usados hoy en día. Lenguajes cono PHP, JSP, ASP... son infinitamente más potentes. Sin embargo los servidores web siguen soportándolo. Las páginas que incluían SSI se diferenciaban normalmente por la extensión shtml o .shtm. La vulnerabilidad permite que un usuario que comparta un servidor público, pueda habilitar la ejecución de SSI, una de las funciones de los Server Side Includes que los administradores de servidores web compartidos suelen deshabilitar precisamente para evitar problemas. La directiva exec permitiría por ejemplo realizar
en una página, y el atacante local podría tener así acceso a zonas sensibles del servidor.
domingo, 31 de mayo de 2009
Salto local de restricciones IncludesNoExec en Apache
Se ha encontrado un error a la hora de procesar directivas "AllowOverride" y algunos argumentos "Options" en el archivo .htaccess. Esto podría permitir a atacantes locales eludir restricciones de seguridad al ejecutar comandos a través de Server Side Includes, incluso cuando éstos están deshabilitados.
El atacante tendría que escribir "Options +IncludesNoExec" en el archivo ".htaccess" para habilitar el Server Side Includes con privilegios de ejecución (directiva exec).
Los Server Side Include o SSI no son realmente muy usados hoy en día. Lenguajes cono PHP, JSP, ASP... son infinitamente más potentes. Sin embargo los servidores web siguen soportándolo. Las páginas que incluían SSI se diferenciaban normalmente por la extensión shtml o .shtm. La vulnerabilidad permite que un usuario que comparta un servidor público, pueda habilitar la ejecución de SSI, una de las funciones de los Server Side Includes que los administradores de servidores web compartidos suelen deshabilitar precisamente para evitar problemas. La directiva exec permitiría por ejemplo realizar
en una página, y el atacante local podría tener así acceso a zonas sensibles del servidor.
El atacante tendría que escribir "Options +IncludesNoExec" en el archivo ".htaccess" para habilitar el Server Side Includes con privilegios de ejecución (directiva exec).
Los Server Side Include o SSI no son realmente muy usados hoy en día. Lenguajes cono PHP, JSP, ASP... son infinitamente más potentes. Sin embargo los servidores web siguen soportándolo. Las páginas que incluían SSI se diferenciaban normalmente por la extensión shtml o .shtm. La vulnerabilidad permite que un usuario que comparta un servidor público, pueda habilitar la ejecución de SSI, una de las funciones de los Server Side Includes que los administradores de servidores web compartidos suelen deshabilitar precisamente para evitar problemas. La directiva exec permitiría por ejemplo realizar
en una página, y el atacante local podría tener así acceso a zonas sensibles del servidor.
Richard Stallman Pasa por Ecuador
Richard Stallman fundador de la FSF y máximo representante del software libre a nivel mundial visitará el Ecuador.
La venida del Sr. Stallman se posibilita por el acuerdo firmado entre la Escuela Politécnica del Ejército - ESPE, Universidad de las Américas – UDLA y la Asociación de Software Libre del Ecuador - ASLE.
A continuación el acuerdo.
En la ciudad de Quito, a los 04 días del mes de mayo de 2009, intervienen los miembros del Comité Organizador de las IV Congreso de Ciencia y Tecnología de la Escuela Politécnica del Ejército - ESPE, representados por el Sr. Crnl. José Aguiar; Comité organizador de las I Jornadas de Informática de la Universidad de las Américas – UDLA, representados por el Sr. Ing. Javier Armendáriz; y como organizador del Taller de Software Libre Orientado a la Educación, la Asociación de Software Libre del Ecuador - ASLE , representado por el sr Dr. Ramiro Castillo, quienes han decidido suscribir la presente carta de compromiso en base a los siguientes antecedentes:
1. Los miembros del Comité organizador del IV Congreso de Ciencia y Tecnología ESPE – 2009, han gestionado la presencia del señor Dr. Richard Mathew Stallman, distinguido exponente y fundador del Movimiento de Software Libre y Proyecto GNU a nivel mundial.
2. El Dr. Stallman mediante correo electrónico, cuya copia se anexa a este documento, ha comprometido su presencia en el Ecuador desde el 10 al 16 de junio del 2009;
3. Además, el Dr. Stallman solicita que se coordinen acciones entre
distintas instituciones para difundir sus conferencias y para que de
esta forma la visita en Ecuador sea fructífera.
4. Los representantes de los comités organizadores referidos comparten intereses comunes, en torno a la presencia del mencionado personaje en nuestro país.
Por lo expuesto, los representantes de los comités corganizadores en mención, se comprometen a llevar a cabo las siguientes acciones:
1. Compartir de manera equitativa los gastos que demande la presencia del Dr. Stallman; esto es: Gastos de tickets aéreos y alojamiento durante los días de permanencia del mismo. Los gastos que se deriven por alimentación, movilización interna y otros que puedan incurrirse, serán asumidos por cada institución de acuerdo al siguiente calendario de actividades:
Miercoles 10 Junio –> Llegada a Ecuador (Recepción UDLA, ESPE, ASLE)
Jueves 11 Junio –> libre para Conocer las instituciones donde
se desarrollarán los eventos (UDLA , ESPE, ASLE)
Viernes 12 Junio –> UDLA - Jornadas de Software Libre -
Conferencia a tratar “Software Libre en la Ética y en la Práctica”
Sabado 13 Junio –> ASLE charla Ibarra.
Domingo 14 Junio –> ASLE visita a Sitio Turistico.
Lunes 15 Junio –> ESPE - IV Congreso de Ciencia y Técnología -
Conferencia a tratar “El Movimiento del Software Libre y el Sistema
Operativo GNU/Linux ”
Martes 16 Junio –> ASLE - Conferencia a tratar “Software Libre
Aplicado a la Educación”
Martes 16 Junio –> ASLE - Salida de Ecuador.
2. Mencionar el auspicio de las tres Instituciones en toda difusión de publicidad en medios de información sean estos: radiales, escritos, televisivos y digitales, donde el Dr. Stallman sea invitado.
3. Coadyuvar a que la estadía y participación del Dr. Stallman se
realice en las mejores condiciones, y bajo los lineamientos propuestos por el propio expositor.
Para constancia de lo propuesto, firman las partes interesadas:
Crnl. José Aguiar
Representante Comité Organizador
IV Congreso Ciencia y Tecnología. de la Escuela Politécnica del Ejército - ESPE
Ing. Javier Armendáriz
Representante Comité Organizador
I Jornadas de Informática de la Universidad de las Américas – UDLA
Dr. Ramiro Castillo
Representante Comité Organizador
Taller de Software Libre Orientado a la Educación- ASLE.
Saludos
Dr.White
Richard Stallman Pasa por Ecuador
Richard Stallman fundador de la FSF y máximo representante del software libre a nivel mundial visitará el Ecuador.
La venida del Sr. Stallman se posibilita por el acuerdo firmado entre la Escuela Politécnica del Ejército - ESPE, Universidad de las Américas – UDLA y la Asociación de Software Libre del Ecuador - ASLE.
A continuación el acuerdo.
En la ciudad de Quito, a los 04 días del mes de mayo de 2009, intervienen los miembros del Comité Organizador de las IV Congreso de Ciencia y Tecnología de la Escuela Politécnica del Ejército - ESPE, representados por el Sr. Crnl. José Aguiar; Comité organizador de las I Jornadas de Informática de la Universidad de las Américas – UDLA, representados por el Sr. Ing. Javier Armendáriz; y como organizador del Taller de Software Libre Orientado a la Educación, la Asociación de Software Libre del Ecuador - ASLE , representado por el sr Dr. Ramiro Castillo, quienes han decidido suscribir la presente carta de compromiso en base a los siguientes antecedentes:
1. Los miembros del Comité organizador del IV Congreso de Ciencia y Tecnología ESPE – 2009, han gestionado la presencia del señor Dr. Richard Mathew Stallman, distinguido exponente y fundador del Movimiento de Software Libre y Proyecto GNU a nivel mundial.
2. El Dr. Stallman mediante correo electrónico, cuya copia se anexa a este documento, ha comprometido su presencia en el Ecuador desde el 10 al 16 de junio del 2009;
3. Además, el Dr. Stallman solicita que se coordinen acciones entre
distintas instituciones para difundir sus conferencias y para que de
esta forma la visita en Ecuador sea fructífera.
4. Los representantes de los comités organizadores referidos comparten intereses comunes, en torno a la presencia del mencionado personaje en nuestro país.
Por lo expuesto, los representantes de los comités corganizadores en mención, se comprometen a llevar a cabo las siguientes acciones:
1. Compartir de manera equitativa los gastos que demande la presencia del Dr. Stallman; esto es: Gastos de tickets aéreos y alojamiento durante los días de permanencia del mismo. Los gastos que se deriven por alimentación, movilización interna y otros que puedan incurrirse, serán asumidos por cada institución de acuerdo al siguiente calendario de actividades:
Miercoles 10 Junio –> Llegada a Ecuador (Recepción UDLA, ESPE, ASLE)
Jueves 11 Junio –> libre para Conocer las instituciones donde
se desarrollarán los eventos (UDLA , ESPE, ASLE)
Viernes 12 Junio –> UDLA - Jornadas de Software Libre -
Conferencia a tratar “Software Libre en la Ética y en la Práctica”
Sabado 13 Junio –> ASLE charla Ibarra.
Domingo 14 Junio –> ASLE visita a Sitio Turistico.
Lunes 15 Junio –> ESPE - IV Congreso de Ciencia y Técnología -
Conferencia a tratar “El Movimiento del Software Libre y el Sistema
Operativo GNU/Linux ”
Martes 16 Junio –> ASLE - Conferencia a tratar “Software Libre
Aplicado a la Educación”
Martes 16 Junio –> ASLE - Salida de Ecuador.
2. Mencionar el auspicio de las tres Instituciones en toda difusión de publicidad en medios de información sean estos: radiales, escritos, televisivos y digitales, donde el Dr. Stallman sea invitado.
3. Coadyuvar a que la estadía y participación del Dr. Stallman se
realice en las mejores condiciones, y bajo los lineamientos propuestos por el propio expositor.
Para constancia de lo propuesto, firman las partes interesadas:
Crnl. José Aguiar
Representante Comité Organizador
IV Congreso Ciencia y Tecnología. de la Escuela Politécnica del Ejército - ESPE
Ing. Javier Armendáriz
Representante Comité Organizador
I Jornadas de Informática de la Universidad de las Américas – UDLA
Dr. Ramiro Castillo
Representante Comité Organizador
Taller de Software Libre Orientado a la Educación- ASLE.
Saludos
Dr.White
DVWA - Damn Vulnerable Web App
DAMN VULNERABLE WEB APP
Damn Vulnerable Web App es una aplicación de entrenamiento en seguridad Web que se destaca por ser de liviano peso (+/- 124Kb) y contener muchas aplicaciones Webs vulnerables a diferentes tipos de técnicas.
Está desarrollada con la finalidad de ofrecer a los profesionales, estudiantes e investigadores en seguridad informática una aplicación de entrenamiento, la cual permita poner a prueba sus conocimientos y herramientas enfocadas a la seguridad Web.
El aplicativo de entrenamiento en Seguridad Web permite llevar a cabo distintas técnicas, entre ellas:
- SQL Injection
- XSS (Cross Site Scripting)
- LFI (Local File Inclusion)
- RFI (Remote File Inclusion)
- Command Execution
- Upload Script
- Login Brute Force
##################################################
Para mas Información:
------------------------------------------------------------------------------------------
Para instalarla Necesitan Apache que lo pueden descargar en el paquete del xampp
Saludos
Dr.White
DVWA - Damn Vulnerable Web App
DAMN VULNERABLE WEB APP
Damn Vulnerable Web App es una aplicación de entrenamiento en seguridad Web que se destaca por ser de liviano peso (+/- 124Kb) y contener muchas aplicaciones Webs vulnerables a diferentes tipos de técnicas.
Está desarrollada con la finalidad de ofrecer a los profesionales, estudiantes e investigadores en seguridad informática una aplicación de entrenamiento, la cual permita poner a prueba sus conocimientos y herramientas enfocadas a la seguridad Web.
El aplicativo de entrenamiento en Seguridad Web permite llevar a cabo distintas técnicas, entre ellas:
- SQL Injection
- XSS (Cross Site Scripting)
- LFI (Local File Inclusion)
- RFI (Remote File Inclusion)
- Command Execution
- Upload Script
- Login Brute Force
##################################################
Para mas Información:
------------------------------------------------------------------------------------------
Para instalarla Necesitan Apache que lo pueden descargar en el paquete del xampp
Saludos
Dr.White
Se Inaugura el Blog
Saludos Colegas programadores, expertos y no tan expertos en la seguridad informática les saludos el Dr.White, yo podré resolver algunas de sus dudas sobre la seguridad informatica, la temática de este blog es sobre todo hacerca de la seguridad informática y programación, espero encuentren cosas muy interesantes y que les guste el blog...
Saludos
Dr.White
Se Inaugura el Blog
Saludos Colegas programadores, expertos y no tan expertos en la seguridad informática les saludos el Dr.White, yo podré resolver algunas de sus dudas sobre la seguridad informatica, la temática de este blog es sobre todo hacerca de la seguridad informática y programación, espero encuentren cosas muy interesantes y que les guste el blog...
Saludos
Dr.White
Suscribirse a:
Entradas (Atom)