Imprimir Página - Sitios webs de Advisories y boletines sobre bugs a nivel WEB

Primeramente antes de comenzar a lanzar links quiero explicar un poco del porque visitar estos sitios y cuan importante es.

Desde que llegó la automatización de páginas dinámicas también lo hicieron personas con inquietud de saber mas, tanto hackers como delincuentes informáticos y desde entonces también comenzaron a surgir los sitios dedicados a publicar fallas tanto a nivel Software como a nivel web, pero.. ¿Para que me sirve leerlos y entenderlos?

Primeramente si yo tengo a cargo la Administración de un sitio web de una empresa comprenderás que la información puede ser muy delicada y debemos prevenir fugas de cualquier tipo de ellas, también es necesario protegerlo ante atacantes que deseen aprovechar las vulnerabilidades de nuestro sitio para dar como único objetivo a nuestros clientes (por ejemplo la web de una entidad bancaria o sitios de venta online).

Una persona que no tenga los conocimientos para crear su sitio web desde cero le será necesario instalar un sistema prefabricado (CMS acrónimo de Content Management System) donde nada perfecto por lo tanto es necesario que los creadores de esos sistemas estén constantemente actualizándolos y no solamente para que se vean mas bonitos sino para reparar todo tipo de fallas ya sea insignificantes o tan relevantes como para que un atacante tenga acceso al servidor.

Los sitios de Advisories sirven para estar al día con las nuevas fallas y posibles soluciones principalmente de sitios donde sus Administradores (o moderadores en caso de foros) son profesionales en el tema ya en estos lugares se exponen primeramente antes que los demás que suelen ser solo copias de advisories de otros sitios.

En este foro podrás encontrar muchas fallas no publicadas en otros sitios ya que somos un grupo de usuarios al igual que tu que nos apasiona esto de la seguridad informática por lo cual podemos asegurar que tenemos todo lo necesario para satisfacer todas tus espectativas en cuanto a la publicación de Bugs y exploits (pruebas de concepto).

Saludos y bienvenidos!

Algunas definiciones:
0Day: Bug que no ha sido publicado en ningún otro lugar por lo cual tampoco existe ningún tipo de solución publicado.

PoC: Avreviación de Prueba de Concepto o Proof of concept que es la prueba de la falla descrita, esta puede ser un código en algún lenguaje, ejecutables ya creados, etc (Similar al Exploit, a diferencia del PoC que solo sirve para testear una falla el exploit se aprovecha de una falla para sacar algún tipo de provecho).

ElHacker.Net, en este lugar podrás encontrar mucha información que no verás en otros sitios debido a que nuestra intención no es lucrativa ni nos proponemos realizar ataques a sitios comprometidos, nuestro conocimiento y ética nos permite llegar mucho mas lejos que otras comunidades que tan solo son copias de la originalidad dándonos la libertad de crear soluciones para todos los mas afectados (Ver también subforo de programación en PHP (http://foro.elhacker.net/php-b68.0/)).
Securityfocus nos muestra fallas a nivel WEB y Software donde el 90% de las veces se expone su solución y el 5% de las veces se expone algún tipo de prueba (Idioma: Ingles).

http://www.securityfocus.com/

Milw0rm diseñado y creado por St0ke nos muestra antes que muchos las múltiples vulnerabilidades algunas veces con videos y casi el 99% con una prueba de concepto para testear, generalmente podrás encontrarte con muchos 0Days (Idioma: Ingles).

http://milw0rm.com/

SecList es un sitio muy recomendado creado por Fydor el creador de NMap donde casi siempre aparecen vulnerabilidades de todo tipo muy detalladamente y muy delante de otros sitios como securityfocus y secunia (Idioma: Ingles).

http://secLists.org/

Packet Storm Security también es un sitio muy recomendable donde encontrarás el 99% de las veces pruebas de concepto para poder probar con ellas en nuestros sistemas y buscar posibles soluciones antes que los oficiales (Idioma: Multi idioma).

http://packetstormsecurity.org/

frSIRT es un sitio web donde podrás encontrar todo tipo de fallas tanto a nivel web como a nivel software pero la gran desventaja es que la mayoría de sus publicaciones son solo recopilaciones de otros sitios, de todas formas es un muy buen sitio para mantenerse actualizado si es que no tienes mucho tiempo (Idioma: Ingles y francés).
http://www.frsirt.com/english/

Secunia es muy similar a frsirt con la diferencia de que se esfuerzan un poco mas en hacer sus propios descubrimientos, también constan con softwares automatizados para escanear servidores (Idioma: ingles).
http://secunia.com/

Zero Day Initiative antiguamente un sitio gratuito pero ahora es necesario pagar para poder ser miembro y tener todas las facilidades de visualizar las últimas fallas sin tener soluciones públicas, como su nombre indica en este lugar solamente se exponen 0Days (Idioma: Ingles).
http://www.zerodayinitiative.com/

Xssed es un sitio donde se guarda una colección de vulnerabilidades únicamente de tipo XSS (Cross Site Scripting (http://es.wikipedia.org/wiki/Cross_Site_Scripting)) (Idioma: Ingles).
http://xssed.com/

CGISecurity es un lugar donde encontrarás de todo un poco y entre todo eso también fallas a nivel web, buen sitio para estar al día en cuanto a la seguridad informática en general, muy recomendado. (Idioma: Ingles)
http://www.cgisecurity.com/

National Vulnerability Database, ¿Te has preguntado alguna ves donde quedan los bugs publicados con las siglas CVE, CCE, CWE, etc? en este lugar se encuentra la base de datos con todos los bugs reportados oficialmente.(en)
http://web.nvd.nist.gov/

Por último la web de advisories mas importante es la del sitio oficial de tu sistema web que por lo general debe tener un boletín o un sistema de noticias para mantenerte al tanto con las actualizaciones de seguridad, algunas de estas se encuentran en el "ChangeLog" que es un texto con todos los cambios sufridos en el sistema según su versión.

Si no te gusta ninguno de estos sitios y no sabes de algún otro que pueda ayudarte puedes usar Google (aunque suene un poco cruel decir "busca en gogole" es el buscador mas eficiente que podrás encontrar, mas aún si deseas buscar alguna falla para un sistema en especifico (pones el nombre del sistema, versión, un espacio en blanco y la palabra "vuln")).

Si tienes dudas o consultas para entender alguna función o propiedad puedes hacerlo directamente en el subforo de programación en PHP (http://foro.elhacker.net/php-b68.0/).

Si alguien quiere agregar los sitios que generalmente visita puede hacerlo con toda libertad siempre y cuando no sea para publicar un foro ya que eso es considerado Spam a menos que lo incluya dentro de una lista de otros sitios y sin destacarlo dentro de los demás.

Foro de elhacker.net

Seguridad Informática => Nivel Web => Mensaje iniciado por: WHK en 13 Enero 2009, 04:02 am