Formato_de_practica

Vista previa del material en texto

INSTITUTO TECNOLÓGICO SUPERIOR PROGRESO
Organismo Público Descentralizado del Gobierno del Estado
FORMATO DE PRÁCTICA
2023B
	
	Carrera
	Semestre
	Clave de la asignatura
	Nombre de la materia
	Ingeniería en Sistemas Computacionales.
	7
	CID-2101
	Seguridad en la Web
	Practica
No.
	Laboratorio de
	Nombre de la 
practica
	2
	Taller de redes
	Puntos débiles en seguridad web
	Objetivo
	Conocer y comprender el Modelo de Seguridad de J2EE.
	Nombre del alumno
	Matrícula
	Wilberth Rafael Madera Poot 
	04200014
	Estado del arte
	Se están utilizando para mejorar la detección de amenazas y la respuesta automatizada. Los algoritmos pueden analizar patrones y comportamientos para identificar actividades sospechosas.
	Descripción
	1. Con base a la explicación del docente, el alumno se registrará y entrará al siguiente link:
https://portswigger.net/web-security
2. Seleccionará el apartado de Academia y realizará los laboratorios de los apartados de 
· Autenticación (14 laboratorios)
· Comandos de inyección (5 laboratorios)
3. A completar el formato de práctica y colocar en el desarrollo la captura de los laboratorios resueltos, colocar en las imágenes lo aprendido en ese laboratorio.
4. Entregar este formato por alumno
	Desarrollo
	usando la función Intruder, realiza un ataque de fuerza bruta en la página de inicio de sesión. Configura Burp Intruder con un nombre de usuario no válido como carga útil y deja la contraseña estática. Utiliza el tipo de ataque Sniper y carga útil Lista simple con una lista de nombres de usuario candidatos. Inicia el ataque y verifica los resultados en la pestaña Resultados, prestando atención a la columna de Longitud para encontrar posibles nombres de usuario válidos.
envía credenciales inválidas a través de la solicitud POST/login y usa Burp Intruder. Marca el campo de nombre de usuario como posición de carga útil y elige Lista simple con una lista de nombres de usuario. En la pestaña Configuración, configura Grep - Extraer para identificar el mensaje de error "Nombre de usuario o contraseña no válidos". Inicia el ataque y, al finalizar, examina la columna de mensajes de error extraídos para identificar posibles diferencias sutiles que podrían indicar un nombre de usuario válido.
 en funcionamiento, realiza pruebas de inicio de sesión con credenciales no válidas y envía la solicitud POST/iniciar sesión a Burp Repeater. Utiliza diferentes nombres de usuario y contraseñas, teniendo en cuenta el riesgo de bloqueo de IP por intentos fallidos. Descubre que el encabezado X-Forwarded-For es compatible y permite falsificar la dirección IP para eludir la protección basada en IP..
en ejecución, investiga la página de inicio de sesión y nota que tu IP se bloquea después de tres intentos fallidos consecutivos. Sin embargo, puedes restablecer el contador iniciando sesión en tu propia cuenta antes de alcanzar este límite.
Ingresa credenciales incorrectas y envía la solicitud POST/iniciar sesión a Burp Intruder. Configura un ataque de horquilla con posiciones de carga útil en los parámetros de nombre de usuario y contraseña.
En la pestaña Grupo de recursos, añade el ataque a un grupo con el máximo de solicitudes simultáneas establecido en 1 para enviar las solicitudes en el orden correcto.
en marcha, explora la página de inicio de sesión y envía credenciales inválidas. Utiliza Burp Intruder y selecciona el tipo de ataque Bomba de racimo. Agrega una posición de carga útil al parámetro de nombre de usuario y otra posición de carga útil en blanco al final del cuerpo de la solicitud. La solicitud resultante se verá así:
nombre de usuario=§nombre de usuario-inválido§&contraseña=ejemplo§§
En la pestaña Cargas útiles, añade la lista de nombres de usuario al primer conjunto de cargas útiles. Para el segundo conjunto, elige el tipo de cargas útiles nulas y genera 5 cargas útiles, lo que efectivamente repite cada nombre de usuario 5 veces. Inicia el ataque.
Con Burp en funcionamiento, examina la página de inicio de sesión y nota que la solicitud POST /login envía las credenciales en formato JSON. Envía esta solicitud a Burp Repetidor.
En Burp Repeater, sustituye el valor de cadena única de la contraseña con una matriz de cadenas que contenga todas las contraseñas candidatas
inicia sesión en tu cuenta, recibe el código de verificación 2FA por correo electrónico y accede a tus correos haciendo clic en el botón Cliente de correo electrónico. Anota la URL en la página de tu cuenta. Cierra sesión.
Luego, inicia sesión con las credenciales de la víctima. Durante la solicitud del código de verificación, modifica manualmente la URL para navegar a /mi-cuenta.
En Burp Intruder, configura el parámetro de verificación como "carlos" y agrega una posición de carga útil al parámetro mfa-code. Realiza un ataque de fuerza bruta en el código de verificación.
Carga la respuesta 302 en el navegador para completar el proceso.
Con Burp en funcionamiento, inicia sesión como Carlos y explora el proceso de verificación 2FA. Ten en cuenta que al ingresar el código incorrecto dos veces, tu sesión se cerrará. Utiliza las funciones de manejo de sesiones de Burp para volver a iniciar sesión automáticamente antes de cada solicitud.
En Burp, ve a Opciones de proyecto > Sesiones. En el panel Reglas de manejo de sesiones, haz clic en Agregar, lo que abre el editor de reglas de manejo de sesiones.
En el cuadro de diálogo del editor de reglas, ve a la pestaña Alcance y selecciona Incluir todas las URL en el alcance de la URL.
Regresa a la pestaña Detalles y en Acciones de regla, haz clic en Agregar Ejecutar una macro.
En Procesamiento de carga útil, agrega las reglas necesarias en orden para manipular la carga útil según tus necesidades. Estas reglas se aplicarán secuencialmente. cada carga útil antes de enviar la solicitud. 
explora la función de restablecimiento de contraseña que envía un enlace con un token único por correo electrónico. En Burp Repetir, envía la solicitud POST /olvidé mi contraseña, observando que el encabezado X-Forwarded-Host es compatible y puede utilizarse para apuntar el enlace de restablecimiento a un dominio arbitrario.
Utilice Burp Suite para interceptar y modificar la solicitud que envía comentarios.
Modifique el parámetro de correo electrónico, cambiándolo a:
correo electrónico=x||ping+-c+10+127.0.0.1||
Observe que la respuesta tarda 10 segundos en regresar.
Emplea Burp Suite para interceptar y modificar la solicitud de comentarios. Cambia el parámetro de correo electrónico al hacer 
Haz clic derecho y selecciona "Insertar carga útil de Colaborador" para añadir un subdominio de Burp Colaborador en la ubicación indicada del parámetro de correo electrónico modificado.
Usa Burp Suite Professional para interceptar y modificar la solicitud de comentarios. Dirígete a la pestaña Colaborador y haz clic en "Copiar al portapapeles" para copiar una carga útil única de Burp Colaborador.
Modifica el parámetro de correo electrónico, sustituyéndolo por algo similar a lo siguiente, pero inserta tu subdominio Burp Colaborador donde se indica:
Regresa a la pestaña Colaborador y haz clic en "Encuestar ahora". Observa las interacciones de DNS iniciadas por la aplicación como resultado de tu carga útil. Si no ves ninguna interacción, espera unos segundos y vuelve a intentarlo, ya que la ejecución del comando del lado del servidor es asincrónica.
	Conclusiones personales
	En esta actividad aprendimos a utilizar diferentes campos de la ciber seguridad ya que esto nos ayuda a poder penetrar diferentes servicios como también saber la manera de defender los empresas para poder ayudar en la protección delos dato para esto son la diferente prácticas que podemos encontrar para poder aprender de este tema ya que también en esta actividad por la falta de tiempo no se pudo completar peros se realizaron algunas de esta para practicar de manera que se pueda entender al momento de hacer un hackeo.
	
	Criterios de evaluación
	
	Excelente
	Regular
	Mal 
	Funcionalidad
	Se entregófuncionando la práctica sin errores
	Se entregó parcialmente funcionando la práctica 
	Se entregó sin funcionar
	Tiempo y forma
	Se entregó en tiempo y con el formato adecuado
	Se entregó en tiempo o con el formato adecuado
	No se entregó
	Contenido
	Tiene todos los apartados correctamente escritos
	Casi todos los apartados están correctamente escritos
	No tiene todos los apartados correctamente escritos
	Fotografías o vídeo (evidencia)
	Muestra el funcionamiento completo de la práctica desde el inicio, desarrollo y final en su reporte
	Muestra parcialmente el funcionamiento de la práctica en su reporte
	No hay vídeo o no muestra el funcionamiento de la práctica en su reporte
	Conclusiones
	Tiene conclusiones personales de cada integrante del equipo de lo que hizo y la conclusión grupal es la misma de todo el grupo
	Tiene conclusiones personales de cada integrante del equipo de lo que hizo o la conclusión grupal es la misma de todo el grupo
	No tiene conclusiones personales de cada integrante del equipo de lo que hizo ni la conclusión grupal es la misma de todo el grupo
	Ortografía
	No tiene ninguna falta ortográfica
	Tiene algunas faltas ortográfica, cada una se le descuenta 1 punto
	Todo el documento esta lleno de errores ortográficos.