• Aviso Legal
  • About

Bienvenidos al Blog de David Rodriguez

Category Archives: Seguridad

Eliminar filtro de contenidos de ADSL de telefonica

octubre 22, 2009 8:50 am / Leave a Comment / David Rodriguez

Pues desde hace 2 dias, no se cuanto tiempo llevaba activado, no podiamos entrar a alguna pagina. Me ha resultado extraño, ya que la unica pagina a la que no podiamos acceder era al blog de antevenio .. y a su web corporativa. Del mismo modo, habia ciertos banners que no se visualizaban y aparecía la nueva pantalla que os muestro.

filtro contenidos telefonica

Imagino que esto es debido a que antevenio tiene herramientas de ads, para la visualización y analisis de distintas campañas de marketing online.

El proceso para eliminar, como en todo proceso de telefonica es arduo y laborioso.

Llamar al telefono  900 50 20 10 para conocer el usuario y contraseña para poder acceder a esta herramienta de administración.

Una vez que metes el usuario y password y no logras acceder, luego no vuelve a aparecerte la pantalla del formulario de login, con lo que o tienes que borrar las cookies, o abrir otra sesión en otro navegador.

error filtro de contenidos de telefonica

Como no podía acceder, llamar al numero de telefonica 902 357 022, donde una «amable» voz grabada te dice que te van a facturar esa llamada en tu cuenta, a todo esto con la musiquita puesta y sin ningún tipo de prisa.

Tras multiples esperas mientras el operario comprobaba todos los datos, etc .. (bueno .. no me explayo en esto ya que es como en todas las comunicaciones con telefonica … pasar por 20 opciones predefinidas hasta lograr hablar con un operador.) me dicen que ellos pueden entrar y que es problema de mi ordenador.

Rapidamente caigo … ¿no será por problemas con la versión de navegador?

Efectivamente!!!!!! Yo con 3 navegadores distintos, Internet Explorer 8, Mozilla Firefox 3 y Google Chrome, no he podido acceder con ninguno de ellos. Hemos tenido que ir a otro ordenador para hacerlo con un Internet Explorer 7!!!!!!!

Madre mia … siempre que entro en paginas de empresas muy importates (Hacienda, Renfe, telefónica, etc) tengo problemas con los navegadores!!!! ¿cuanto les cobran a estas empresas por estos desarrollos? Porque nosotros con presupuesto infinitamente menores, hacemos web optimizadas para la usabilidad del usuario, y visible en la mayoria de los navegadores y en casi todas sus versiones!!!!

Alguna consultora se está forrando por hacer una mierda de aplicaciones (perdon que me exprese así … pero es la pura verdad). Las cosas hay que hacerlas pensando en el usuario y en facilitarle las cosas.

Finalmente, entrabas en la aplicación, y tienes que desactivar los filtros de contenidos y de publicidad, y esperar un tiempo a que tomen efecto (un par de horas).

filtro contenidos telefonicafiltro contenidos telefonica

Gracias a telefonica por activar lo que le da la gana en mi nombre …. Mi pregunta es .. ¿y si hay usuarios que no pueden ver los portales de cursos, masters y franquicias que desde Activolution se promocionan? Miedo me da.

Posted in: Empresas, Internet, marketing, Seguridad / Tagged: ADSL, telefonica

Truco para poner trazas en producción

septiembre 14, 2009 2:33 pm / Leave a Comment / David Rodriguez

Cuantas veces no nos ha pasado que nos funciona la aplicación en local .. y en producción falla!!!!.

Obviamente, el tema de tracear una aplicación en producción es complicado … se puede hacer pero siempre trae complicaciones.

Nos podemos tirar por un tema sencillo, y desarrollar un archivo log, en el qeu vayamos escribiendo las trazas que necesitemos. El problema que me ocurre a mi con los logs .. es que con una cantidad considerable de visitas, el log se vuelve dificilmente seguible.

Para aplicaciones webs, hay un método muy sencillo y que nos puede salvar de muchos quebraderos de cabeza. Consite en poner las trazas con un [code]<!–[/code] escribir las trazas que deseamos –>.

De esta simple forma, podemos ver la traza en el codigo fuente, sin necesidad que el usuario de la aplicación vea unas molestas trazas aunque sea unos segundos.

Eso si … acordaros de quitar las trazas!!!!!! no seria la primera aplicación que nos encontramos consultas de base de datos comentadas en su codigo fuente.

Posted in: Internet, Programacion, Seguridad / Tagged: Programacion, pruebas, traza

Evolución de la privacidad en internet

junio 22, 2009 11:09 am / Leave a Comment / David Rodriguez

Desde que internet empezó con las BBS (o desde ese momento qeu soy usuario de internet), el tema de la privacidad en internet ha sufrido un cambio brutal.

Antiguamente todos eramos motes. Nadie daba ni siquiera su nombre real. Podia conocer a 100 personas, de las cuales solo sabia mote, email, aficiones, etc … vamos .. poca cosa.

Todavia recuerdo que los usuarios de internet eran muy reacios a dejar sus datos en la red. Nombre, apellidos e email eran muy dificiles de conseguir .. no digo ya dirección completa y telefono movil.

Si los datos eran dificiles de conseguir .. las imagenes de la persona en concreto lo era aún mas. Nadie ponia fotos suyas en internet .. y si las ponia .. obviamente, con todos los datos qeu pudieran relacionarle con algo … estaban tachados, caras, marcas, matriculas,empresa que trabajaba, etc.

Hemos evolucionado, y ahora mismo, la gente no tiene ningún tipo de reparo en poner sus datos reales, fotos, etc. El ejemplo más claro es facebook o tuenti, donde la gente pone sus fotos, se marca para que le puedan ver otros usuarios, da datos reales, su telefono, etc … algo impensable hace años.

¿hacia donde nos movemos en un futuro? es dificil vaticinar que pasará … pero yo creo que seguiremos en esta linea, la gente va perdiendo el miedo a internet. Realmente poca gente puede aprovecharse de estos datos … pero haberlos los hay.

Tendremos muchos amigos virtuales .. y poco amigos fisicos. Cambiaremos el tomar unas cañas para vernos y contarnos como nos va a la vida … a leernos en facebook .. o seguir nuestro blog .. o twitearnos.

¿os acordais de hace unos años cuando no existia el email? Ahora ya no tenemos un email … tenemos varios emails de trabajo, email para amigos, email desconocidos, etc.

Creo que esto es bueno para todos los que trabajamos en internet .. ya que será mas imprescindible para todo el mundo.

Posted in: Internet, Otros, Seguridad / Tagged: , email, facebook, tuenti

Los robots de formularios están de vacaciones de semana santa

abril 7, 2009 11:10 am / Leave a Comment / David Rodriguez

Es algo muy raro que está pasando .. pero en estos días de principio de semana santa, hemos tenido muchos menos ataques de formularios por robots y web spam.

Debe de ser que los spammers tambien se van de vacaciones jejeje aunque en el resto del mundo no son vacaciones, sobre todo en los paises del este, que es donde provienen la mayoria de los ataques hacia nuestras webs.

Veremos que ocurre cuando acabe semana santa .. si vuelven los ataques .. o decididamente han dejado de atacarnos viendo que no conseguian resultados.

Posted in: Internet, Seguridad / Tagged: robots, Seguridad, spam, web spam

WordPress pone enlaces ocultos para google y SEO

diciembre 31, 2008 11:24 am / Leave a Comment / David Rodriguez

¿os habeis fijado en la pagina de login de los blogs de wordpress?

Mirando el codigo podreis ver esta linea arriba del todo de codigo :

<p id="login"> </p><h1><a href="http://wordpress.org/" title="Potenciado por WordPress"></a></h1>Registrarse en el blog

Realmente esto es una accion penalizada por google como link encubierto … ahora empiezo a entender el page rank 7 de wordpress.org …
Entiendo que es una herramienta gratuita y de codigo libre, pero de ahí a enmascarar links hacia su web … me parece demasiado.
Todos los que tengamos blogs deberiamos perder un rato eliminando enlaces a paginas que no queremos en los blogs de wordpress.

Posted in: Internet, Programacion, Seguridad, SEO / Tagged: google, penalizacion, SEO, wordpress

Me han publicado un escrito en la revista SoloProgramadores

noviembre 10, 2008 3:38 pm / Leave a Comment / David Rodriguez

Pues si, la verdad que estoy muy contento porque me han publicado un escrito sobre como proteger formularios contra robots y webspam.

solo programadores

Personalmente creo que es un texto muy bueno, y de una gran utilidad. En todos los aplicacativos y herramientas en las que he implantado este sistema he erradicado 100% los ataques de spam.

Espero seguir colaborando con la revista Solo Programadores así como con Mundo Linux, de las cuales soy un gran lector. Y os animo a suscribiros digitalmente, a un precio bastante barato. Creo que las revistas digitales han ganado el mundo a la revista en papel … aunque yo prefiero tener un texto en papel que se me hace mas facil de leer que en pantalla.

Para leer textos en pantalla tenemos los blogs.

Posted in: Internet, Otros, Seguridad / Tagged: revista, revistas profesionales, solo programadores

Spam desde un servidor con dm.cgi

junio 17, 2008 12:22 pm / 5 Comments / David Rodriguez

Se acaba de caer nuestro servidor, y no sabiamos porque se producia esto. Hemos estado mirando lo logs del sistema y los procesos que estaban corriendo, y nos hemos encontrado unos procesos que estaban comiendose toda la memoria. Este proceso era dm.cgi

Hemos visto que habian subido un cgi a nuestro servidor para realizar spam desde nuestro server.

Para solucionarlo:

1.- Borrar del directorio cgi-bin del dominio atacado todos los ficheros .
drwxrwxrwx 2 xxx psacln 1024 Jun 17 12:00 log
-rw-r–r– 1 xxx psacln 1456 Jun 17 12:00 config.txt
-rwxr-xr-x 1 xxx psacln 74405 Jun 17 12:00 dm.cgi
-rw-r–r– 1 xxx psacln 172 Jun 17 12:00 fff.html
-rw-r–r– 1 xxx psacln 568 Jun 17 12:00 from.txt
-rw-r–r– 1 xxx psacln 8 Jun 17 12:00 letter.txt
-rw-r–r– 1 xxx psacln 0 Jun 17 12:00 macros1.txt
-rw-r–r– 1 xxx psacln 570 Jun 17 12:00 replyto.txt
-rw-r–r– 1 xxx psacln 17 Jun 17 12:00 subject.txt
-rw-r–r– 1 xxx psacln 2450181 Jun 17 12:08 mailbase.txt
drwxrwxrwx 2 xxx psacln 1024 Jun 17 12:45 sys
2.- Suprimir la ejecución de cgi en ese dominio (Nosotros lo hemos desactivado a traves del panel de control de Plesk)

3.- Cambiar y fortalecer las contraseñas del usuario de ftp del dominio atacado.

Posted in: Internet, Seguridad / Tagged: dm.cgi, spam

Proteger pagina web contra SQL Injection

junio 16, 2008 4:03 pm / 2 Comments / David Rodriguez

Creo que los programadores debemos cuidar un poco más nuestro código, puesto que todo el mundo sabe lo que SQL Injection, pero pocos son los que toman medidas oportunas para evitarlo.

Para introducir un poco, decir que hay dos tipos de ataques a una pagina, por software y por hardware.

En cuanto a los ataques por Hardware, se recomienda tener actualizado el sistema operativo, servidor web y servidor de base de datos. Tener siempre los ultimos parches instalados para evitar, en mayor medida, el ataque por la via del servidor.

Si nuestra pagina está alojada en un hosting .. es problema del ISP el mantener estos programas actualizados. En caso de tener un servidor propio o un servidor dedicado .. tenemos que tomar nosotros estas medidas. Los ataques con estas técnicas no suelen ser un tanto por ciento muy elevado.

El ataque por «descuidos» en nuestro software es bastante mas común. A continuación detallo algunos pasos para evitar, en mayor medida, los ataques por SQL Injection:

1.- El usuario de acceso a base de datos debe ser un usuario con privelegios unicamente para hacer INSERT, UPDATE, DELETE y SELECT.

El otro dia solucionamos un problema a un cliente pq le ejecutaban un procedimiento …

pagina.asp?id=909;DECLARE%20@S%20VARCHAR(4000);
SET%20@S=CAST(0x4445434C415245204054205641524348415228323535292C40432056
4152434841522832353529204445434C415245205461626C655F437572736F722043555253
4F5220464F522053454C45435420612E6E616D652C622E6E616D652046524F4D207379736
F626A6563747320612C737973636F6C756D6E73206220574845524520612E69643D622E69
6420414E4420612E78747970653D27752720414E442028622E78747970653D3939204F5220
F7220%20AS%20VARCHAR(4000));EXEC(@S);–

Esto no lo podemos permitir.

2.- Proteger toda entrada de parametros a traves de una función que deseche posibles palabras «peligrosas».

En java no tenemos problema ejecutando todas las consultas con PreparedStatement.

En asp podriamos tener una función de la siguiente forma:

<%
function validar_entrada( input )
palabras = array( «script», «select», «insert», «update», «delete»,»drop»,»DECLARE»,»declare»,»EXEC»,»exec» ,»VARCHAR»,»varchar» , «–«, «‘» )
validar_entrada = True
for i = lbound( palabras ) to ubound( palabras )
if ( instr( 1, input, palabras(i), vbtextcompare ) <> 0 ) Then
validar_entrada = false
exit function
end if
Next
end function

%>

En php, podemos utilizar la funcion addslashes para evitar esto, o incluso, utilizar la funcion descrita en asp .. pero transformada para php

 

<?

function prepararValorSql($cadena) {
return preg_replace(«/(-)+/», «-«, !get_magic_quotes_gpc() ? addslashes(trim($cadena)) : trim($cadena));
}

?>

Espero que con estas pequeñas pautas, elimineis el 90% de ataques contra vuestras paginas.

Posted in: Internet, Seguridad / Tagged: Injection, SQL, SQLInjection

Proteger formularios contra robots y web spam

mayo 20, 2008 9:31 am / 11 Comments / David Rodriguez

Todo el que tenga formularios en internet, más tarde o más temprano, tendrá robots que le envian información para intentar introducir en su base de datos urls, etc.

Un sistema bastante común es el de Captcha, que es la tipica imagen distorsionada, el cual no me gusta como usuario, ya que es obligar al usuario a utilizar un campo más de un formulario, lo que puede hacer perder un posible usuario (a mi me pasa 😉 ). Ademas, los programas OCR reconocedores de imagenes, hacen que las imagenes sean tan distorsionadas que son incluso complicado para un humano reconocerlas. Como veis, no es un campo que me guste, con lo cual, quien quiera proteger sus formularios de esta forma, pues tiene multiples módulos para generar estas imagenes, yo prefiero otras formas.

A continuación, paso a detallar posibles metodos anti-robot los cuales he utilizado para proteger los formularios. Cuanto más pongas, mas dificil tendrá el robot introducir su porquería. Algún ejemplo estará realizado en php, aunque la idea se puede exportar a todos los lenguajes. Para entendernos mejor, llamaremos Pagina1 a la pagina del formulario y Pagina2 a la pagina donde se realiza la operacion de negocio de ese formulario(envio correo, guardar en base de datos, etc).

1.- Realizar comprobaciones de los datos en el lado del cliente y en el lado de servidor.

Obviamente, solemos realizar las comprobaciones Javascript en el lado del cliente para que el «usuario normal» no introduzca datos erroneos en la Pagina1. Los robots se saltan esta limitación, asi que debemos comprobar en el servidor, que todos los datos tienen el formato correcto, en la Pagina2.

Por ejemplo, si pedimos el telefono o código postal, pues en el lado del servidor debemos comprobar que nos llega un dato numérico , o la misma comprobación que hagamos en javascript.

2.- Controlar la sesión del usuario.

Controlar mediante sesiones, que el usuario que entra en la Pagina2 viene exclusivamente de la Pagina1. Es decir, tenemos una variable que guardamos en la sesion del usuario, por ejemplo, con valor 1, y cuando leamos esa variable en Pagina2, pues si tiene ese valor es que viene de Pagina1, y modificamos su valor para que tenga que volver a pasar por el formulario. De esta forma, tambien limitamos que el usuario pueda dar 100 veces a refrescar la página, y nos introduzca sus datos 100 veces.

3.- Introducir un campo oculto en el formulario con la una clave dinámica y encriptada.

Podremos poner en el formulario, un campo «hidden» cuyo valor sea una clave encriptada que nosotros sabemos. Si esta clave es dinámica, pues mucho mejor.

Por ejemplo,

<input type=»hidden» name=»clave» value=»<?=md5(‘CLAVEqueQueremos’.$datodinamico.$numeroaleatorio)?>»

Es decir, en este ejemplo, nos generamos una clave con los siguientes campos:

– CLAVEqueQueremos: Una cadena de texto que nosotros definimos y que solo nosotros conocemos.

– $datodinamico: algun dato que identifique al formulario y que sea dinamico, si por ejemplo estamos haciendo una compra de un producto, pues el productoId sería la opción

– $numeroaleatorio: Número aleatorio que generamos en cada petición y que podemos pasarselo a la Pagina2 en otro campo hidden o guardarlo en una tabla o fichero temporal para consultarlo desde Pagina2.

Una vez hecho esto, se encripta para que el resultado visible en el navegador sea una cadena de texto extraña. Aquí he puesto como ejemplo el metodo de encriptación md5, pero se puede utilizar cualquier método de encriptación.

En Pagina2, volvemos a generar esta clave, la encriptamos, y comprobamos que es lo mismo que nos viene de Pagina1 del campo «clave».

4.- Introducir un campo oculto por css con nombre email

Introducir un campo cuyo nombre contenga la palabra «email», y ocultarlo con estilos(style=»display:none»). En el value del campo, introducimos un valor que no sea un email, ya que está comprobado que los robots rellenan con un email aleatorio todos los campos que encuentran con ese nombre. De esta forma, en Pagina2, podemos comprobar que ese campo que nos llega no tenga formato de email.

Ejemplo:

En Pagina1:

<input type=»text» name=»emaildementira» value=»A» style=»display:none»>

En Pagina2:

Comprobamos que en el campo «emaildementira» no nos llega una @.

Con todo esto, lo que haremos será entorpecer un poco más los robots de envio de porqueria con formularios. Esto evoluciona cada día, con lo cual, no es una panacea, pero por lo menos se lo ponemos más dificil a los spam-robots. Por lo menos que el programador que lo ejecuta … que se lo curre un poco más.

Si teneis algún otro método que no conozca .. aquí estamos para conocerlo.

Si alguno tiene muchos problemas de realizar estos pasos, que me mande un email que se lo explico con más detalle.

Espero que os sirva.

Posted in: Internet, Programacion, Seguridad / Tagged: form, formularios, robots, spam, spam attack, web spam, webspam

Post Navigation

« Anterior 1 2

Categorias

  • Base de datos
  • Empresas
  • Internet
  • Mac
  • marketing
  • Otros
  • Prensa
  • Programacion
  • Redes Sociales
  • Retos deportivos
  • Seguridad
  • SEO
  • servidores
  • SPAM
  • Uncategorized
© Copyright 2021 - Blog de David Rodriguez