HTML Injection Imagen gratuita tomada de Internet

HTML Injection

^Destacado

by Osabuena author page

No comment Seguridad Informática Miércoles, 14 Enero 2015

tamaño de la fuente disminuir el tamaño de la fuente aumentar tamaño de la fuente
Imprimir
Email

Para la aplicación de esta técnica, basta con probar un sistema de comentarios, tagboard, o libro de visitas, si al enviar un comentario del tipo Hola Mundo, sale esta frase en el sitio. Si le ponemos etiquetas HTML y al publicarlo las lee, es que tenemos un agujero de seguridad que consiste en que el HTML se encuentra activo para las publicaciones.

Dentro de las potenciales amenazas que tenemos con este tipo de ataques, que aunque más que un ataque es una forma de probar parte de la seguridad del sitio web, podemos tener la publicación de archivos par descargar con códigos maliciosos.

Hace un tiempo, en el blog elladodelmal.com, publicaron sobre un fallo de HTML Injection en la Play Store de Google, lo cual podría permitir que personas malintencionadas pudieran publicar posts con formato gráfico y con enlaces a extensiones que no se encuentren en la Play Store, confundiendo (como hacen muchas personas), a los ingenuos navegantes, y logrando la posibilidad de difundir masivamente algún virus o script malicioso.

También en el Foro Hack x Crack, se publicó lo que se puede considerar como un Taller de HTML Injection, para comprender no solo cómo ocurre técnicamente, sino cómo prevenir este tipo de ataques.

A manera de sátira y burla, muchos sitios webs del gobierno, han sido atacados con esta técnica, con el fin de crear redirecciones a Webs de contenido pornográfico, dejando en entredicho el buen nombre de las instituciones atacadas.

Aquí nos podemos dar cuenta que el objetivo de este tipo de ataques no es apoderarse de Bases de Datos, ni el robo de datos personales de los clientes de una empresa, ni siquiera tener el privilegio de un Acceso Root, sino más bien, sentir la burla de la intromisión al sitio, no es más.