Ataque Cross Site Scripting - XSS
Jayro Morejón(720), Paul Mallanza (), Michael Fierro (),Israel Trujillo B.(64)
Escuela Superior Politécnica de Chimborazo,
Facultad de Informática y Electrónica
Ingeniería Electrónica en Telecomunicaciones y Redes
Jmorejon@hotmail.com, jhernandez@hotmail.com, Mfierro@hotmail.com, trujasbsc@gmail.com
Resumen- La seguridad se está convirtiendo en una de
las principales preocupaciones de desarrolladores de
servicios Web y otros recursos basados en tecnologías
relacionadas con Internet. Las aplicaciones basadas en
servicios Web deben garantizar, además del valor
esperado por sus usuarios, mecanismos de confianza que
garanticen su seguridad. En este trabajo, nos centramos
en el problema específico de los ataques de tipo cross-site
scripting. Presentamos un estudio sobre este tipo de
ataques y los recursos existentes para su prevención.
Nuestra investigación se usa en aplicaciones Web a través
del uso de estándares compatibles con SSL y HTTP.
Índice de términos—XSS, ataque, aplicación web,
scripting, seguridad de redes, políticas de seguridad.
I. OBJETIVOS
OBJETIVO GENERAL
 Realizar un ataque informático Cross Site Scriting
(XSS) de tipo a un servidor web y proponer un método
para detectar y prevenir ataques web mediante el uso
de políticas y técnicas de seguridad.
OBJETIVOS ESPECIFICOS
 Describir el estado actual de la seguridad en
aplicaciones web.
 Estudiar los ataques web más comunes contra las
aplicaciones web.
 Analizar las técnicas de seguridad utilizadas por los
proxys contra los ataques web e identificar los más
adecuados.
II. INTRODUCCIÓN
Las aplicaciones web son aquellas aplicaciones que los
usuarios pueden utilizar accediendo a un servidor web a través
de Internet mediante un navegador que interpreta el código
independientemente del sistema operativo. Para realizar sus
funciones estos sitios deben interactuar con el usuario para
poder hacer el servicio más dinámico y ser una ventaja
competitiva ante otras empresas. Todo parece marchar
correctamente, pero existen en el mundo de las computadoras
personas capaces de utilizar cualquier tecnología para causar
daño o para obtener beneficios personales a través de la
explotación de los errores de las aplicaciones que hay en
Internet. En la actualidad existen diferentes tipos de
vulnerabilidades de seguridad que son comunes para las
aplicaciones web y cada una de ellas representa una
oportunidad para personas con intenciones de robar
información confidencial, destruir el sitio web, incluso robar
dinero de las cuentas bancarias. Es por eso que la seguridad en
las aplicaciones web no debe tomarse a la ligera e integrar las
mejores prácticas en el desarrollo de software para evitar este tipo
de defecto en nuestras aplicaciones.
Si las grandes compañías que invierten en investigaciones de
seguridad de sus aplicaciones han sido víctimas de ataques a través
de las vulnerabilidades más comunes como XSS y SQL Injection
(WASC, 2011), que se esperaría de pequeñas empresas o
desarrolladores independientes que no tienen tantos recursos como
para invertir en seguridad. En segundo lugar se encuentra la
inserción de secuencias de comandos mejor conocido como Cross-
Site Scripting (XSS) que es de menor impacto pero sus
consecuencias como la deformación de sitios web y la inserción de
Malware están en primer lugar según la base de datos de incidentes
en aplicaciones web de los años 2007 al 2011 recolectados por la
Web Application Security Consortium durante estos últimos 5
años.
Es entonces, Cross-Site Scripting (XSS) el tema que tratará este
estudio, ya que siempre se le ha dado mayor importancia a la
inyección SQL por obvias razones, pero Cross-Site Scripting ha
permanecido presente y sus efectos son mucho más diversos, desde
simplemente insertar una imagen en un sitio web hasta suplantar
sesiones y el robo de credenciales de autentificación, que si son
bien utilizados su impacto también puede llegar a ser muy grave.
Este estudio presenta los conceptos principales de XSS, las formas
de ataque, las razones por las que sigue presente en las aplicaciones
web, los efectos que causa, así como las mejores prácticas para
evitar este tipo de ataques en aplicaciones web desarrolladas en
PHP.
III. MARCO TEÓRICO
ATAQUES DE TIPO Cross-Site Scripting Attacks
Los ataques de tipo Cross-Site Scripting (a menudo abreviados en
la literatura como ataques XSS) son ataques contra aplicaciones
Web en los que un atacante toma control sobre el navegador de un
usuario con el objetivo de ejecutar código o scripts malicioso
(generalmente scripts escritos en lenguaje HTML o Javascript2)
dentro del entorno de confianza del sitio Web asociado a la
aplicación final. Si dicho código es ejecutado satisfactoriamente,
el atacante puede obtener acceso, de forma activa o pasiva, a
recursos del navegador Web asociados con la aplicación (tales
como cookies e identificadores de sesión). Presentamos a
continuación un estudio sobre dos de los ataques XSS más
comunes en la actualidad: ataques XSS persistentes y ataques
XSS no persistentes (también conocidos en la literatura como
stored XSS y reflected XSS).
A. Ataques XSS persistentes
Introducimos en esta sección el primer tipo de ataque. El uso de
este tipo de ataques XSS persistentes son tradicionalmente
dirigidos contra aplicaciones Web relacionadas con servicios de
mensajería cuyos mecanismos de validación presentan
deficiencias de seguridad. Algunos ejemplos reales que han
tenido bastante repercusión en la literatura pueden ser
consultados en [1], [2], [3]. En octubre de 2001, por ejemplo,
vulnerabilidades asociadas con ataques XSS persistentes contra
el servicio de correo de Hotmail fueron reportadas en. De
manera similar a nuestro ataque de ejemplo, usuarios del
servicio Hotmail fueron víctimas de un robo de identidades
asociadas al servicio .NET Passport identifiers de Hotmail a
través de la sustracción de cookies asociadas con dichos
usuarios. Esta vulnerabilidad en MySpace fue utilizada
satisfactoriamente por el gusano Samy para poder propagarse
así mismo a través de los perfiles de los usuarios del servicio.
Más recientemente, en noviembre de 2006, una nueva red
social propiedad de Google, Orkut, se vio igualmente afectada
por vulnerabilidades de XSS de tipo persistente.
B. Ataques XSS no persistentes
Continuamos en esta sección con la segunda categoría de
ataques XSS. En este caso los no persistentes (a menudo
referenciados en la literatura como reflected XSS attacks)
tratan de explotar vulnerabilidades en aplicaciones Web que
utilizan (o reflejan) información proporcionada por el usuario
para generar una página de salida. De esta manera, y en lugar
de inyectar de forma permanente un código malicioso, en este
caso el código en sí mismo ha de ser redirigido por medio de
un tercer mecanismo. Por ejemplo, a través de spoofing de
correo electrónico, un atacante podría convencer a un usuario
para pulsar sobre un enlace dentro del mensaje. Dicho enlace
podría desencadenar en la ejecución de un código Javascript,
redirigiendo además el tráfico del usuario hacia una de las
aplicaciones Web a las que tiene acceso. Si dicha aplicación
Web presenta una vulnerabilidad XSS que permite la ejecución
del código Javascript que ha sido reflejado a través de la
redirección, su ejecución se realizará dentro del entorno de
confianza del sitio Web que aloja la aplicación. Los ataques
XSS no persistentes son con diferencia los ataques más
frecuentes en la actualidad contra aplicaciones Web. Su
complementariedad con otros ataques como phishing e
ingeniería social incrementa su potencia y los hace ideales
como técnica general para ataques de robo de identidad (por
ejemplo, robo de información sensible como números de tarjeta
de crédito para realizar robos en comercio electrónico). Debido
a la naturaleza de esta segunda variante, es decir, el hecho de
no tener que almacenar de forma permanente el código
malicioso en el repositorio de la aplicación Web, así como la
necesidad de complementarlo con técnicas de ingeniería social,
hace que estos ataques se asocien generalmente a atacantes
de alto nivel relacionados con operaciones de fraude por
Internet. El daño ocasionado por estos ataques, además, tiende
a ser considerablemente alto.
C. Técnicas de prevención
Aunque el desarrollo de aplicaciones Web ha evolucionado
mucho desde los primeros casos de ataques XSS conocidos,
estos ataques siguen siendo realizados y explotados día tras día.
Desde finales de los 90, los atacantes han conseguido seguir
realizando ataques XSS en aplicaciones Web a través de
Internet aunque éstas estén protegidas mediante técnica de
seguridad en redes tradicionales como firewalls y mecanismos
criptográficos.
El uso de técnicas de desarrollo seguro como las prácticas de
programación segura o modelos de programación segura para
detectar situaciones de ejecución anómalas, están generalmente
limitadas a aplicaciones tradicionales y pueden no ser útiles en el
paradigma de aplicaciones Web.
Por este motivo existen propuestas específicas que tienen como
objetivo la detección y prevención de ataques XSS, como el
análisis y filtrado de la información intercambiada y la
aplicación de medidas de seguridad en los navegadores en
tiempo de ejecución.
 Análisis y filtrado de la información intercambiada
La mayoría, sino todas las aplicaciones Web actuales que
permiten el uso de contenido complejo y elaborado a la hora
de intercambiar información entre el navegador y el servidor
Web, implementan esquemas básicos de filtrado de contenidos
para intentar solucionar tanto los ataques XSS persistentes
como los no persistentes. Este filtrado básico puede ser
fácilmente implementado definiendo una lista de caracteres y/o
tags aceptables, luego, el proceso de filtrado simplemente
rechaza todo lo que no está incluido en dicha lista.
Una de las estrategias basadas en políticas es la
implementación de un servidor proxy que se situaría en el
servidor de la aplicación Web con la finalidad de filtrar los
flujos de datos de entrada y salida. Dicho proceso de filtrado
tiene en cuenta un conjunto de reglas definidas por los
desarrolladores de la aplicación Web. Aunque su técnica
presenta una mejora importante sobre los mecanismos básicos
de filtrado existentes, ésta sigue teniendo limitaciones
importantes ya que la falta de análisis sobre las estructuras
sintácticas puede ser utilizada por atacantes expertos para
evadir sus mecanismos de detección y realizar peticiones
maliciosas. El simple uso de expresiones regulares puede ser
utilizado para evadir estos filtros.
Además de que al situar el proxy de filtrado en el servidor se
puede introducir rápidamente limitaciones de eficiencia y
escalabilidad para la aplicación.
Otra de las soluciones propuestas similar es que el proxy de
filtrado se sitúa en el servidor con el objetivo de diferenciar
tráfico de confianza y el no confiable en canales separados.
Para ello, se propone un análisis con marcación (taint analysis)
para llevar a cabo el proceso de partición. También se modifica
un intérprete de PHP en el servidor para tratar la información
que has sido previamente marcada para cada cadena de datos.
La principal limitación de esta propuesta es que una
aplicación Web implementada con un lenguaje diferente no
puede ser protegida, o requerirá de herramientas adicionales
como un wrapper de lenguaje, etc
Otras soluciones proponen la inclusión de estos procesos de
análisis y/o filtrado en la parte del cliente. Se propone un
método de filtrado en la parte del cliente para la prevención de
ataques XSS previniendo que el navegador de la víctima
contacte con URLs maliciosas. En esta propuesta, se
diferencian buenas y malas URLs incluyendo enlaces a listas
negras en los documentos de la aplicación Web. De esta
manera, la redirección de URLs asociadas a estos enlaces son
rechazadas por el proxy en el cliente.
Como conclusión, consideramos que aunque las propuestas
basadas en filtrado y/o análisis son una mecanismo de defensa
estándar y las más utilizadas hasta el momento, presentan
limitaciones importantes en la detección y prevención de ataques
XSS complejos en aplicaciones Web actuales. Incluso asumiendo
que estos mecanismos de filtrado y análisis pueden ser
propuestos teóricamente como una tarea fácil, consideramos que
su implementación práctica es muy complicada (especialmente
en aquellas aplicaciones con alto procesamiento en la parte del
cliente, como por ejemplo aplicaciones basadas en Ajax). Por una
parte, la utilización de proxies de filtrado, especialmente en la
parte del servidor, introduce limitaciones importantes referentes
 a la escalabilidad y rendimiento de aplicaciones Web. Por otra
parte, los scripts maliciosos pueden estar incrustados en los
documentos intercambiados de manera muy ofuscada (por
ejemplo codificando el código malicioso en hexadecimal o
métodos de codificación avanzados) para aparecer menos
sospechosos ante estos filtros y analizadores.
 Aplicación de medidas de seguridad en el navegador en
tiempo de ejecución
Se proponen un sistema de auditoría para el intérprete de
Javascript en el navegador Web Mozilla. Esta propuesta está
basada en un sistema de detección de intrusos que detecta el
uso incorrecto o abuso durante la ejecución de operaciones de
Javascript y toma contra-medidas adecuadas para evitar las
violaciones de la seguridad del navegador (por ejemplo un
ataque XSS). La idea principal de su solución es la detección
de situaciones donde la ejecución de un script escrito en
Javascript supone un abuso de los recursos del navegador,
como por ejemplo, la transferencia de cookies asociadas a otra
aplicación Web a otros sitios que no son de confianza violando
de esta manera, la política del mismo origen del navegador.
Una manera diferente a la auditoría de la ejecución de código,
de asegurar que los recursos del navegador no van a ser
abusados es el uso de taint checking para poder detectar si los
recursos del navegador (como identificadores de sesión y
cookies) van a ser transmitidos a una tercera parte no confiable
(por ejemplo en el dominio del atacante). Si se detecta dicha
situación, el usuario es advertido y puede decidir si la
transmisión debe ser aceptada o rechazada.
Aunque la idea básica que hay detrás de esta última propuesta
es buena, podemos sin embargo ver inconvenientes
importantes. Primero, la protección implementada en el
navegador añade un capa de seguridad adicional bajo la
decisión final del usuario. Desafortunadamente, la mayoría de
usuarios de aplicaciones Web no son siempre conscientes de
los riesgos que se corre, y probablemente van a aceptar de
manera automática cualquier trasferencia solicitada por el
navegador. Una segunda limitación que encontramos en esta
propuesta es que no se puede asegurar que toda la
información que fluye de manera dinámica va a ser auditada.
Una tercera técnica para proteger los navegadores Web ante
ataques XSS es realizar una gestión basada en políticas donde
una lista de acciones (como aceptar o rechazar un script
determinado) es incluida en los documentos que se
intercambian el servidor y el cliente. Siguiendo este conjunto
de acciones, y de manera similar a la extensión del navegador
Firefox noscript, el navegador puede decidir por ejemplo si un
script determinado debe ser ejecutado o rechazado por el
intérprete, o si un recurso del navegador puede o no ser
manipulado por el script en cuestión.
D. Aplicación de Políticas de Seguridad
La formulación de políticas es un elemento imprescindible
cuando se pretende gestionar la seguridad de la información en
una empresa. Junto con otros elementos, permiten diseñar
un marco o framework de operación para alcanzar los objetivos
planteados en la materia.
También, son los documentos básicos para respaldar lo que se
ha denominado gobierno de seguridad de la información, es
decir, todas aquellas responsabilidades y prácticas que ejerce
la alta dirección en cuanto a la seguridad.
En la publicación anterior conocimos el objetivo y las
características que deberían tener las políticas, y para
continuar con la serie enfocada en analizar los factores a
considerar durante el desarrollo o actualización de este tipo de
documentos, en esta ocasión vamos a revisar los beneficios que
se obtienen al desarrollar y aplicar políticas de manera efectiva.
La primera utilidad que se obtiene está relacionada con
la protección de los activos, es decir, todo aquello que es
importante para la organización, incluyendo la información
considerada como sensible, y que en la mayoría de los casos no
debería ser del dominio público.
Durante la identificación de los activos a proteger, es muy
importante definir los objetivos de seguridad de la información
y de las políticas, en función de lo que pretende alcanzar el
negocio y de sus procesos más importantes, lo que se conoce
como alineación estratégica.
Las políticas también contribuyen a crear un entorno para que
las medidas de seguridad que han sido aplicadas en la industria
y han generado buenos resultados, puedan ser aplicadas dentro
de la organización. En otras palabras, nos permiten adoptar y al
mismo tiempo adaptar a las necesidades propias, las mejores
prácticas en materia de seguridad.
En este sentido, también ayudan en la definición de los
lineamientos para determinar la conducta esperada de los
miembros de la organización, a través de la definición de
funciones y responsabilidades.
Además, con la declaración de las actividades que están
permitidas y aquellas que se prohíben, se crea un marco
normativo que determina la postura de la organización hacia la
protección de sus activos.
La definición de dicho marco tiene como propósito crear
conciencia entre el personal sobre la importancia de la
información a la cual tiene acceso, los riesgos de seguridad que
pueden afectarlos y principalmente sobre la manera
de minimizar sus consecuencias o la frecuencia con la que se
presentan.
Un beneficio más está relacionado con el cumplimiento, ya que
las políticas deben establecer lo necesario para estar en apego
con las leyes aplicables de acuerdo con el negocio de la
organización, así como con las regulaciones y obligaciones
contractuales directamente relacionadas con seguridad de la
información. Por ejemplo, con las leyes de protección de datos
personales y de privacidad.
Los beneficios de aplicar de manera efectiva las políticas son
diversos y de gran utilidad para los propósitos de seguridad
establecidos. Su importancia es tal, que incluso en estándares
utilizados internacionalmente es mandatorio contar con ellas, si
se desea estar en concordancia con lo que establecen dichos
marcos normativos.
 OWASP (Open Web Application Security Project)
Es una organización sin ánimo de lucro a nivel mundial dedicada
a mejorar la seguridad de las aplicaciones y del software en
general. Su misión es hacer que la seguridad dentro de las
aplicaciones sea más visible para que, así, las organizaciones y
los particulares puedan tomar decisiones sobre conceptos de
seguridad basándose en información verídica y contrastada.
OWASP, cada cierto tiempo, realiza un informe recogiendo las
vulnerabilidades más comunes dentro de las aplicaciones web.
Con este informe, podremos estar al tanto de dichas
vulnerabilidades y podremos emplearlo para comprobar si
nuestra aplicación tiene alguna de las que aparecen en dicho
informe. También, ofrecen herramientas de detección y consejos
sobre medidas a tomar para solucionar dicha vulnerabilidad.
OWASP también realiza una serie de proyectos con el objetivo
de darnos herramientas para afianzar la seguridad de nuestras
aplicaciones.
Las principales características de OWASP ZAP son:
  Herramienta totalmente gratuita y de código abierto.
 Herramienta multiplataforma, compatible incluso con
Raspberry Pi.
 Fácil de instalar, dependiendo únicamente de Java 1.7
o superior.
 Posibilidad de asignar un sistema de prioridades.
 Traducida a más de 12 idiomas, entre ellos, el español.
 Excelente manual de ayuda y gran comunidad en la
red.
Los usuarios de esta herramienta forense de seguridad podrán
auditar diferentes aplicaciones web con una serie de funciones
y análisis específicos:
 Posibilidad de comprobar todas las peticiones y
respuestas entre cliente y servidor.
 Posibilidad de localizar recursos en un servidor.
 Análisis automáticos.
 Análisis pasivos.
 Posibilidad de lanzar varios ataques a la vez.
 Capacidad para utilizar certificados SSL dinámicos.
 Soporte para utilizar tarjetas inteligentes (DNI-e, por
ejemplo) y certificados personales.
 Análisis de sistemas de autenticación.
 Posibilidad de actualizar la herramienta
automáticamente.
 Dispone de una tienda de extensiones (plugins) con
las que añadir más funcionalidades a la herramienta.
Recientemente se ha publicado la versión 2.4 de ZAP. Esta
nueva versión supone un importante cambio en la herramienta
ya que implemente una serie de funciones y herramientas
 Han añadido un nuevo “modo de ataque” para buscar
vulnerabilidades.
 Mejoras en el sistema de inyección que permite atacar
varios puntos a la vez.
 Nuevo sistema de políticas que nos permite elegir las
reglas que formarán parte del análisis.
 Nuevos diálogos de escaneo con opciones avanzadas.
 Por defecto sólo se muestran las pestañas básicas del
programa, quedando el resto ocultas hasta que el
usuario las necesita.
 Nuevos plugins: “control de acceso” y “secuencia de
escaneo”.
 Se han añadido nuevas reglas de análisis y se han
cambiado algunos parámetros de otras reglas
existentes.
 Cambios en la interfaz del programa, por ejemplo, una
ventana de carga, mejoras en la barra de progreso y un
nuevo sistema de alertas.
 Z-MAP
ZMap es un escáner de red de paquete único rápido diseñado
para encuestas de red en Internet. En una computadora de
escritorio típica con una conexión Gigabit Ethernet, ZMap
puede escanear todo el espacio público de direcciones IPv4 en
menos de 45 minutos. Con una conexión de 10 dígitos
y PF_RING, ZMap puede escanear el espacio de direcciones
IPv4 en menos de 5 minutos.
ZMap opera en GNU / Linux, Mac OS y BSD. Actualmente,
ZMap ha implementado completamente módulos de sondas
para exploraciones TCP SYN, ICMP, consultas DNS, UPnP,
BACNET y puede enviar una gran cantidad de sondas
UDP. Si está buscando hacer más exploraciones involucradas,
por ejemplo, un anuncio de banner o un saludo de TLS, eche un
vistazo a ZGrab, el proyecto hermano de ZMap que realiza un
apretón de manos de nivel de aplicación con estado.
Es una herramienta para Linux específicamente diseñada para
escanear rápidamente grandes redes. Alcanzando el 97% de la
velocidad máxima teórica de una conexión Ethernet.
Este programa podría escanearía todo Internet en menos de una
hora. Para lograr esto se escanean las direcciones IP de saltos en
saltos se usan grupos multiplicativos para hacer esos saltos de
forma eficiente. Si lo hiciesen, perderían velocidad al enviar
muchos paquetes a la misma subred, que se saturaría y no
respondería tan rápido.
Por otra parte, se saltan los métodos normales de conexiones del
kernel de Linux para evitar que este ejecute procedimientos
innecesarios que ralentizarían el proceso. También evitan
guardar cualquier tipo de estado de las conexiones para ahorrar
tiempo a la hora de enviarlos y procesarlos.
Una de las muchas aplicaciones podría ser tener actualizada
una estadística del número de sitios en Internet que tienen
HTTPS frente a los que sólo tienen HTTP, ver cuántos sitios
tienen fallos de seguridad o monitorizar la disponibilidad y
tiempo de respuesta de servidores en tiempo real. También hay
algún propósito menos inocuo: con Zmap podrían encontrarse
todos los nodos Tor en funcionamiento, lo que podría poner en
peligro la privacidad de sus usuarios.
Es una herramienta muy interesante, y que además es software
libre.
Su desventaja es que sólo funciona con IPv4, cuando usamos
IPv6 el espacio de direcciones será demasiado grande como
para poder plantearse un análisis de todo Internet, sin embargo,
es una herramienta muy potente.
IV. DESARROLLO DEL PROYECTO
 Defensa con el proxy CCproxy
Ejecutamos el instalador y seguimos el asistente paso a paso.
Aquí ya nos aparece nuestra aplicación ccproxy. Esta es la consola
principal en la cual nos aparecen las opciones Start que es para
iniciar el servidor Stop para detener el proxy Options que nos
muestra el siguiente pantallazo de configuración donde podemos
configurar los respectivos puertos de los servicios que vamos a
correr, Acount que es donde vamos a crear los filtros y las reglas y
restricciones que pondremos a los equipos o usuarios Monitor que
nos muestra toda la información de las conexiones de los clientes
Esta opción no la modificamos ya que trabajaremos con el puerto
que vienen por defecto

Aquí por ejemplo voy a crear el usuario para que se hagan los filtros
por usuarios es decir establecer los filtros para los usuarios ya
creados en la maquina cliente le damos el nombre de usuario y la
contraseña además ingresamos la dirección Ip

Ahora seleccionamos en la parte inferior donde dice web filter y le

damos click en el cuadro que tiene una E mayúscula para que nos
permita filtrar por contenidos de la siguiente manera.

En la opción Permit category vamos a darle permit only o

permit all de acuerdo a nuestra necesidad en nuestro caso
varian dependiendo de la regla que vamos a establecer y en
auth type seleccionamos la opciónes de ip addres para crear
filtros por direcciónes ip aunque también nos da la opción de
crear filtros por usuario y contraseña como lo hare yo y
también nos permite hacerlo por la mac y de las maquinas
clientes.

Ahora vamos a proceder a ser filtros por tiempo y horarios

creamos igualmente otro usuario de la misma forma como hemos
creado.

Luego de establecer el ítem por el cual se harán los filtros por

dirección ip procedemos a crear la regla con la opción new.

Ahora vamos a hacer pruebas con uno de nuestros usuarios.
La primera prueba que haremos será dar un ping a nuestro
servidor proxy. Y, luego Ahora vamos a configurar la opción de
proxy en el navegador de nuestro cliente para poder acceder a El creciente desarrollo actual del paradigma Web para el
internet y también para que se apliquen los diferentes filtros.
Ahora vamos a salir a internet a través de nuestro servidor proxy implementadas en la parte del cliente. Un conjunto de acciones
Ahora vamos a restringir contenidos en este caso nuestra página
trampa.
V. SIMULACION
señal.
VI. CONCLUSIONES
desarrollo de aplicaciones está planteando nuevas amenazas de
seguridad contra las infraestructuras de dichas aplicaciones. Los
desarrolladores de aplicaciones Web deben considerar la
necesidad de utilizar herramientas de soporte que garanticen un
desarrollo seguro y libre de vulnerabilidades como técni- cas de
programación segura, modelos de programación segura y
especialmente la construcción de marcos de desarrollo y
producción de aplicaciones Web seguros. Aun así, los atacantes
continúan descubriendo nuevas estrategias para explotar dichas
aplicaciones. La importancia de estos ataques queda latente en
la presencia cada vez más pervasiva de aplicaciones Web, por
ejemplo, en sistema críticos en industrias como la medicina, la
banca, las administraciones gubernamentales, etc.
Concluimos que una solución eficiente y completa para
prevenir ataques XSS debería considerar la aplicación de
políticas de seguridad definidas en el la parte del servidor e
sobre los recursos del navegador pertenecientes a la aplicación
Web deben ser claramente definidos por los de- sarrolladores
i/o administradores y aplicados en el navegador del usuario.
RECOMENDACIONES
 Tener 

REFERENCIAS
[1] Zero. Historic Lessons From Marc Slemko – Exploit
number 3: Steal hotmail account. [Online] Available at:
http://0x000000.com/index.php?i=270&bin=100001110
[2] Samy. Technical explanation of The MySpace Worm.
[Online] Available at: http://namb.la/popular/tech.html
[3] Sethumadhavan, R. Orkut Vulnerabilities. [Online]
Available at: http://xdisclose.com/XD100092.txt
[4] Jeff Williams y Dave Wichers. (2017). OWASP Top 10.
[5] Guillermo Julián, (2014). Genbeta.com/linux/zmap-una-
herramienta- para-
escanear-todo-internet-en-menos-de-una-hora.
[6] Víctor
Cappuccio,(2008).monografias.com/trabajos/seguin.shtml