Practica 2 analisis de sitio entregable

Av. Tecnológico No. 2, Col. Centro, C.P. 76800 San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123

www.itsanjuan.edu.mx

TECNOLÓGICO NACIONAL DE MÉXICO Instituto Tecnológico de San Juan del Río

Instituto Tecnológico de San Juan del Río

PRÁCTICA 2: Análisis de un sitio WEB

P R E S E N T A:

Ruiz Arrazola María del Carmen 12590149

P R O F E S O R (A):

Rojo López Ariopajita

San Juan del Río, Qro., Abril de 2015

http://www.itsanjuan.edu.mx/

Av. Tecnológico No. 2, Col. Centro, C.P. 76800

San Juan del Río, Qro. Conmutador: (01) 427 27 2 85 46, 427 27 2 41 18 Ext. 123 www.itsanjuan.edu.mx

Práctica No. 2

Análisis de un sitio WEB

Objetivos Al completar este laboratorio, el participante será capaz de:

Efectuar análisis de vulnerabilidades en un sitio Web.

Efectuar la auditoria SSL de su Certificado Digital.

Instalar y configurar un servidor Apache.

Instalar y configurar la plataforma de desarrollo PHP.

Instalar y configurar la herramienta de haking BeeF (Browser Explitation Framework).

Introducción: Análisis de Vulnerabilidades Web

En este ejercicio se instalará y ejecutará el software Nikto, para efectuar un scanningde las

vulnerabilidades en servidores web.

Material y equipo necesario 1Computadora con Windows server 2 nodos o clientes conectados en la red

Metodología

Paso 1. Instalación de ActivePerl.





a. Inicie su equipo en Windows. Ejecute ActivePerl-5.10.1.1006-MSWin32-x86-291086.msi

desde su USB, aceptando todas las opciones por default.

Paso 2. Instalación, Actualización |y prueba de Nikto.

a. Descomprima el archivo nikto-current.tar.gz, hacia el directorio c:\hack\nikto-2.1.0

b. Use wordpad para editar el archivo de texto nikto.conf ubicado en el directorio principal de

nikto:

PLUGINDIR=C:/hack/nikto-2.1.0/plugins

DOCDIR=C:/hack/nikto-2.1.0/docs

TEMPLATEDIR=C:/hack/nikto-2.1.0/templates

Asegúrese de remover el símbolo # (comentario) al inicio de las tres líneas y guarde el archivo.





c. Verifique que su IP local es dinámica asignada por DHCP para que pueda conectarse a Internet.

ipconfig /all

d. Abra una consola de comandos en el directorio c:\hack\nikto-2.1.0. Ejecute nikto para que

actualice en línea la lista de vulnerabilidades que puede detectar:

perl nikto.pl –update

e. Ejecute de nuevo Nikto, para que efectúe el análisis de vulnerabilidades del sitio web:

perl nikto.pl –h www.itsanjuan.edu.mx






f. Al concluir, investigue el número de referencia OSVDB que aparece en las vulnerabilidades,

para identificar el nivel de riesgo y como solucionarlo: http://osvdb.org/

Busque el número en el campo “OSVDB ID Lookup” de la página web anterior. Tome sólo dos o

tres vulnerabilidades de ejemplo.

OSVDB 3092: Puede contener información sensible que puede ser divulgada a usuarios remotos

autenticados, o la ayuda en los ataques más específicos.

Solución: Si el archivo o directorio contiene información sensible, eliminar los archivos del

servidor web o contraseña protegerlos.

OSVDB 3093: Se ha encontrado en los registros después de los servidores web han sido objeto

de ataques de fuentes y software desconocidos.

Solución: Si el archivo o directorio contiene información sensible , eliminar los archivos del

servidor web o contraseña protegerlos. Si los programas CGI contienen exploits, eliminar los

archivos o corregir la vulnerabilidad.

OSVDB 3761: El servidor web TCLHttpd contiene un recorrido defecto directorio que puede dar lugar a una

divulgación no autorizada de información. El problema se produce cuando se produce una solicitud de listado de

directorio, que revelará el contenido del directorio que resulta en una pérdida de confidencialidad.

Solución: Edite el httpdthread.tcl y comentando el directorio opción lista. Además, es aconsejable desactivar los

siguientes módulos para evitar Cross Site Scripting: Estado, de depuración, de correo y de administración.

Reflexión

a. Consideras importante conocer herramientas para análisis de vulnerabilidades. ¿Por qué? Es de suma importancia conocer cada una de las vulnerabilidades de un sitio web ya que de esta manera podemos prevenir posibles ataques lo cual puede dar como consecuencia la fuga de información, por ello es debido estar actualizando constantemente el software de seguridad para evitar dichas pérdidas. Al igual que el software de la página es aconsejable dar mantenimiento debido al hardware para evitar posibles caídas lógicas de la pagina, ya que en


http://osvdb.org/




ocasiones se le pone más atención al software y olvidamos que el hardware también es importante.

Conclusiones Al conocer una herramienta de este tipo permite a un diseñador de páginas web, analizar el sitio creado para corregir posibles vulnerabilidades y evitar perdida de información.


Practica 2 analisis de sitio entregable

Education

Transcript of Practica 2 analisis de sitio entregable