OWASP A10: falsificación de solicitudes del lado del servidor (SSRF)

Entienda la categoría A10:2021 del OWASP Top 10 desde el desarrollo seguro y la defensa. Aprenda qué es SSRF, por qué es tan grave en la nube y cómo proteger el servicio de metadatos con IMDSv2, reconozca el patrón fuente y sumidero en Python y Node, revise código con un procedimiento repetible, y prevenga la falla con listas de permitidos, validación de URLs, resolución DNS, segmentación de red y proxy de egreso. Construirá una pequeña aplicación propia en localhost, la corregirá con pruebas automáticas y aprenderá a detectar intentos en registros, escribir alertas y redactar un reporte de hallazgo. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Lecciones: 18
Módulos: 5
Duración: 4 h 37 min
Inscritos: 0
Precio: Gratis
XP en juego: 350 XP

$ ./mapa --progreso

Cada nodo es una lección · [x] Completado · [ ] Disponible · [#] Requiere inscripción

# modulo_01 Qué es SSRF y por qué pasa

[ ] 01Bienvenida al cursoSiguiente
[ ] 02Qué es SSRF: el servidor como mensajero
[#] 03SSRF en la nube: metadatos e IMDSv2
[#] 04Variantes, impacto y CWEs relacionadas
[#] 05Laboratorio: mapa de funciones que hacen solicitudes salientes

# modulo_02 Cómo se ve en el código y cómo se revisa

[#] 06SSRF en el código: fuentes y sumideros
[#] 07Por qué fallan las listas de bloqueo
[#] 08Revisión de código para encontrar SSRF
[#] 09Laboratorio: su propia aplicación vulnerable en localhost

# modulo_03 Cómo se previene y se corrige

[#] 10Listas de permitidos y validación de URLs
[#] 11Resolución DNS y rangos internos
[#] 12Defensa en profundidad: red, nube y mínimo privilegio
[#] 13Laboratorio: corregir la aplicación y probarlo

# modulo_04 Detectar, monitorear y reportar

[#] 14Detección de SSRF en registros
[#] 15Alertas y WAF: alcances y límites
[#] 16Laboratorio: detectar intentos y reportar el hallazgo
[#] 17Conclusión y próximos pasos

# modulo_05 Evaluación

[#] 18Evaluación final

$ tree temario/ (vista de lista)

# modulo_01Qué es SSRF y por qué pasa

Bienvenida al cursoPreview5 min
Qué es SSRF: el servidor como mensajeroPreview12 min
SSRF en la nube: metadatos e IMDSv214 min
Variantes, impacto y CWEs relacionadas13 min
Laboratorio: mapa de funciones que hacen solicitudes salientes20 min

# modulo_02Cómo se ve en el código y cómo se revisa

SSRF en el código: fuentes y sumideros16 min
Por qué fallan las listas de bloqueo14 min
Revisión de código para encontrar SSRF16 min
Laboratorio: su propia aplicación vulnerable en localhost25 min

# modulo_03Cómo se previene y se corrige

Listas de permitidos y validación de URLs15 min
Resolución DNS y rangos internos15 min
Defensa en profundidad: red, nube y mínimo privilegio15 min
Laboratorio: corregir la aplicación y probarlo25 min

# modulo_04Detectar, monitorear y reportar

Detección de SSRF en registros15 min
Alertas y WAF: alcances y límites15 min
Laboratorio: detectar intentos y reportar el hallazgo25 min
Conclusión y próximos pasos7 min

# modulo_05Evaluación

Evaluación final10 min

cargando.sh···

$ cargando…

OWASP A10: falsificación de solicitudes del lado del servidor (SSRF)

Lecciones

Módulos

Duración

4 h 37 min

Inscritos

Precio

Gratis

XP en juego

350 XP