HCSWP - Seguridad en entornos #WordPress

Nuevo Curso Online de Seguridad en entornos WordPress para la plataforma de "The Security Sentinel"

En este curso serás capaz de obtener una visión de la seguridad de WordPress y las diferentes capacidades para proteger entornos WordPress.

El curso propone una serie de semanas en las que se irán viendo las diferentes capas de seguridad que tienen los sistemas WordPress.

El enfoque del práctico es eminentemente práctico.

El alumno tendrá un avance supervisado y guiado a través de la comunicación online, facilitando la comprensión de los conceptos expuestos en el curso.

Allí les voy a dar un enfoque a los siguientes temas:

Semana 1: Entendiendo necesidades de seguridad en WordPress

• Introducción a la Seguridad en WordPress
• Estructura interna de cada proyecto.
• Instalación de WordPress.

Semana 2: Configurando seguridad del usuario en WordPress

• Usuarios y Roles en WordPress.
• Configuraciones de Seguridad.
• Fortificando la autenticación de Usuario.

Semana 3: Aplicando capa de protección al framework

• Seguridad en Plugins.
• Catalogo de Plugins y recomendaciones.
• Seguridad en Themes.

Semana 4: Auditoría, política de restauración y política de actualización

• Políticas de actualización.
• MySQL y WordPress.
• Restauración ante desastres.
• Auditorías en WordPress.

A quienes participen de esta formación, como obsequio se va a obsequiar el libro "Máxima Seguridad en WordPress" publicado por la editorial 0xWORD.

A quienes están interesados, no dejen de realizar sus consultas a The Security Sentinel y además no se pierdan de todas las ofertas de educación técnica en temas de Seguridad que brinda esta plataforma.

Saludos!

Actualización de Seguridad en #WordPress 4.8.2

El equipo encargado del desarrollo de WordPress, publicó un nuevo parche de Seguridad crítico para la versión 4.8.2

Figura 1: Actualización de Seguridad WordPress 4.8.2

Se corrigieron 6 errores encontradas en las versiones anteriores y 9 fallos de seguridad principalmente de tipo XSS.

Para conocer como adoptar nuevos hábitos de seguridad y poder llevar a otro nivel la fortificación de sus proyectos en WordPress, junto a los chicos de la editorial 0xWORD publicamos "Máxima Seguridad en WordPress".

Figura 2: Máxima Seguridad en WordPress

Saludos!

Enlace | WordPress 4.8.2 Security and Maintenance Release

Esoteric Web Application Vulnerabilities 2.0 por @w3af

Hoy quería aprovechar para compartir el último Webinar de los chicos de Ekoparty 2017 de la mano de Andrés Riancho @w3af 

Figura 1: Ekoparty 2017

Este webinar muestra un conjunto de extrañas y esotéricas vulnerabilidades en aplicaciones Web que han sido detectadas durante los análisis de seguridad realizados por Andrés.

La charla tiene el mismo formato que "Esoteric Web Application Vulnerabilities" donde se presentan diversas vulnerabilidades en aplicaciones Web, mostrando código vulnerable y como reparar el mismo.

Algunos de los temas a tocar serán: Insecure Crypto, CORS Origin Match, Faking online payments .

No se pierdan de este excelente Webinar!


Andrés Riancho @w3af es experto en seguridad en aplicaciones Web. Actualmente lidera el proyecto de código abierto w3af y provee servicios de análisis de seguridad.

En el ámbito de la investigación ha identificado numerosas vulnerabilidades en sistemas de detección de intrusos de 3com e ISS, y múltiples en aplicaciones Web. Contribuyó con la investigación sobre seguridad en SAP en su empleo anterior y ha desarrollado w3af, Web Application Attack and Audit Framework, una herramienta utilizada extensamente por penetration testers y consultores de todo el mundo. También ha sido invitado a conferencias como BlackHat, PHDays, SecTor, CONFidence, OWASP AppSec, CanSecWest, Ekoparty y T2.

Saludos!

Google Hack: Buscando Logs en el Plugins File Manager de #WordPress

¿Como podemos evitar exponer más información de la que realmente necesitamos mostrar en un proyecto web? Esta tarea es sin duda un trabajo muy fino que deberíamos aplicar a cada sitio y la verdad que no es para nada simple.

Figura 1: Buscando Logs en el Plugin File Manager de #WordPress

El mínimo punto de exposición, es uno de los principios del Hardening para mejorar la seguridad de cualquier aplicación, y es el punto de inicio de ese proceso.

Hoy les quería mostrar un pequeño Google Hack que encontré hace un par de días y que ya se encuentra publicado en Exploit-db, en donde el Plugin File Manager de WordPress exponer un archivo Log bastante interesante.

inurl:"wp-content/uploads/file-manager/log.txt"

Figura 2: Google Hack

Pese a que esta búsqueda en Google es bastante general y es posible encontrar casi 500 posibles webs expuesta, la plataforma de Plugins de WordPress indica que existen más de 50.000 instancias activas y que potencialmente podrían ser comprometidas.

Figura 3: Resultado de log.txt

Ya sea en un plugin de WordPress, Joomla! o cualquier CMS. No olviden que antes de exponer un sistema o una web a Internet, tomen el tiempo de realizar un análisis exhaustivo de todos y cada uno de los componentes que incorporan y seguir los procesos de auditorías.

Saludos!