En este vídeo vas a aprender una de las. 10 vulnerabilidades más comunes que. tienen los sitios web cómo explotar. estas vulnerabilidades y también cómo. protegernos de esta y por cierto este. vídeo es con fines educativos no vayas. por ahí hackeando webs es ilegal y te. puedes meter en muchos problemas y la. mayoría de las webs guardan registros de. dónde vienen las conexiones así que solo. haz esto en tus servidores y antes de. continuar recuerda que puedes aprender a. programar desde cero o aprender una. nueva tecnología con mis cursos de. programación los links de los voy a. dejar acá abajo en la descripción y por. supuesto que los vas a encontrar al. mejor precio además si es que quieres. mejorar tu concentración al momento de. trabajar o de estudiar puedes escuchar. mi música de hola beats ésta está. pensada en estudiantes y también.

Profesionales especialmente en. programadores y ahora de vuelta al vídeo. crosssite scripting es un tipo de. inyección donde código malicioso es. inyectado en una web que podría ser. considerada benigna o confiable. generalmente el código malicioso es. inyectado en la forma de un script web. donde el atacante busca de ejecutar. código javascript en algún usuario de la. aplicación que se esté atacando y esto. es con el objetivo de poder acceder a. las cookies a las sesiones del usuario o. información sensible la cual es. almacenada en el explorador de la. víctima o sea que con código javascript. un hacker puede suplantar la identidad. de una persona y esto al obtener los. datos de sesión del usuario así es este. lenguaje que tanto les gusta a ustedes. es el que se utiliza para este tipo de. hacking y ahora vamos a ver este vídeo.

En dos pasos el primero es cómo se. ejecuta este tipo de ataque y el segundo. es como nosotros nos podemos proteger de. este tipo de ataques para que un usuario. pueda correr código malicioso inyectado. por un hacker este tiene que poder. ejecutarlo en su máquina y poder. verificar esto de manera silenciosa la. verdad es que es bastante sencillo para. verificarlo solamente necesitamos el. campo de un formulario aquí como podemos. ver tenemos una aplicación que contiene. un campo de texto y a su vez también. contiene un botón con lo cual nosotros. vamos a enviar los datos del formulario. la mayoría de los datos que nosotros. vamos a ingresar en este tipo de. formularios van a ir a parar ya sea a un. archivo oa una base de datos y luego. estos datos son leídos en un cliente web. o un cliente móvil lo que haremos será.

Ingresar un script de javascript en este. formulario y vamos a revisar luego si es. que este script se está ejecutando en el. cliente web así que lo que haremos acá. será ingresar un texto como hola mundo. espacio script. con su blog aquí vamos a colocar unas. comillas y vamos a indicar el texto de. hola mundo. luego de esto vamos a cerrar las. etiquetas de script. y ahora vamos a presionar en enviar. luego de que este dato se guardó vamos a. poder ver que aparece un listado donde. en este caso tenemos el texto de hola. mundo que fue lo primero que nosotros. ingresamos pero el resto del texto el. que se encuentra dentro de las etiquetas. de script podemos ver que no aparece no. está siendo interpretado como texto html. y esto es porque no es texto html el. explorador web lo está interpretando. como si éste fuese código javascript.

Completamente válido de esta manera es. como un hacker puede empezar a acceder a. ciertos datos que se encuentran dentro. del explorador web lo que haremos ahora. será darle clic derecho e inspeccionar y. vamos a pinchar acá donde dice consola. pinchamos y aquí nosotros vemos que está. apareciendo en la consola el texto de. hola mundo de esta manera nosotros. estamos seguros que el código javascript. se está ejecutando en este caso empezar. a imprimir texto en la consola la verdad. es que no nos interesa lo que a nosotros. nos interesa es poder acceder a ciertos. datos del cliente esto pueden ser las. cookies o las sesiones vamos a intentar. acceder a las cookies para eso aquí. dentro de nuestra misma consola vamos a. escribir con solo document punto cookie. vamos a presionar enter en este caso. esta web no presenta cookies vamos a ver.

Si podemos acceder a otro tipo de datos. en este caso al local storage así que. vamos a escribir acá consol punto love y. dentro de esto local storage y aquí. nosotros podemos ver que estamos. accediendo a los datos ahora qué. podríamos hacer en este caso con estos. tipos de datos que son a la jce soportes. caché y usher data y live 2 la verdad es. que nada pero existen otras webs que si. van a almacenar datos dentro de sus. locales tórax esto podría hacer sesiones. esto podría ser las keys que pueden. identificar a un usuario con una app y. rest el idioma entre otros datos. sumamente sensibles vamos a suponer en. este momento que esta aplicación. contiene una key que permite identificar. al usuario y que ésta se encuentra. dentro del local storage vamos a. inyectar ahora otro script con el cual. nosotros vamos a poder ejecutar también.

Este mismo con su look pero del local. storage vamos a cerrar acá y vamos ahora. a ingresar otro script. el cual va a decir con sol punto log. local storage y vamos a presionar acá en. enviar. vemos ahora como no aparece. absolutamente nada en nuestro listado. pero si nosotros inspeccionamos y. pinchamos aquí en console vemos que se. está imprimiendo en nuestra consola todo. lo asociado al local storage en este. momento el hacker lo único que necesita. hacer es crear un pequeño script que. tome estos datos del local storage y los. envíe a una app y donde él pueda. recolectar todos los datos de la sesión. y de esta manera suplantar la identidad. de otro usuario entonces cómo podemos. prevenir esto algunos instructores. podrían decirte que con tan solo hacer. un escapado de strings sería suficiente. para que los datos que guardemos en la.

Base de datos sean seguros cómo se. podría implementar eso existe una. librería que se llama load as la cual. contiene un método que se llama skate y. lo que hará este método será convertir. ciertos caracteres como el amplio stand. menor que mayor que comillas dobles y. también las comillas simples en su valor. correspondiente en html para que el. explorador lo interprete como el. carácter y no como una instrucción el. problema es cuando nosotros tenemos más. fuentes que escriban en una misma base. de datos nosotros podríamos tener. scripts que estén analizando hojas de. cálculo archivos de texto o incluso que. estén haciendo un screen web en este. caso sería necesario que nosotros. tengamos que hacer un script string de. cada una de estas cosas y también. tenemos que considerar la antigüedad de. la base de datos podría ser que ya se.

Hayan ingresado datos los cuales no. estén sanitizados en este caso analizar. la base de datos y empezar a hacerle un. script a todos los strings que hayamos. guardado podría ser que terminemos con. un doble escapado de strings y eso lo. que va a hacer es que va a empezar a. colocar caracteres extraños en nuestras. páginas web y eso no es lo que nosotros. queremos por lo que hacer un doble. escapado no es necesariamente una. solución algo que yo he visto que hacen. las empresas es que buscan de manera. activa cuando se está guardando algo en. la base de datos la etiqueta de script y. en el caso que la encuentran. sencillamente la eliminan y todo el. contenido que se encuentra dentro este. tipo de implementaciones la puede. utilizando triggers en tu base de datos. modelando toda tu aplicación para que. solamente se utilice un punto de.

Escritura como podría ser por ejemplo en. una na'vi rest las alternativas son. muchas pero lo importante es que tienes. que estar pendiente de distintos lugares. que puedan estar escribiendo en tu base. de datos con tan solo hacer un script a. tus string no es suficiente y en cuanto. a seguridad a veces es mejor ser un poco. paranoico en cuanto a quién y cómo se. escriben los datos ya que podrías ser. víctima de un hackeo incluso a través de. una planilla excel y ahora que ya sabes. esto y que prácticamente te pueden. hackear desde cualquier lado te quiero. dar la bienvenida al paranoide driven. development y este fue el vídeo de esta. semana si te gustó recuerda golpear. mucho al maldito del botón de me gusta. si te encantó considera suscribirte a. este canal déjame un comentario acá. abajo sobre qué otro tipo de vídeo te.

gustaría que yo hiciera y si deseas. profundizar en alguna materia acá abajo. vas a tener links con acceso a todos mis. cursos hasta la próxima hinchado mundo