GRACIAS!!!

ABOUT:

• Security researcher• Analista de Inteligencia• Analista de malware• En varios Hall of fame porreporting de vulnerabilidades

DE DONDE SOY?:

BUG BOUNTY:

LA INDUSTRIA DE LA SEGURIDAD

TIENE CAMBIOS CONSTANTES

¿CÓMO SE REPORTABA ANTES?

• SE COMUNICA LA VULNERABILIDAD A LOS CERT• iNFORMACIÓN DEL WHOIS

¿CÓMO SE REPORTABA ANTES?

• SE COMUNICA LA VULNERABILIDAD A LOS CERT

VULNERABILIDADES QUE HE REPORTADO

• TRANSFERENCIA DE ZONA• INFORMATION DISCLOSURE• ACCESO A RECURSOS INTERNOS (BALANCEADOR DE CARGA WEB)• SQL INJECTION• COOKIE BOMB • VULNERABILIDAD EN PRODUCTOS DE TERCEROS

Y gratis eh !!!

INDUSTRIA DE SEGURIDAD

LA SEGURIDAD TRADICIONAL HA MUERTO

INDUSTRIA DE SEGURIDAD

LAS HERRAMIENTAS AUTOMATIZADAS NO VALENEL COSTE DE AUDITORÍAS SE VUELVE PROHIBITIVONO HAY EQUIPOS DE AUDITORÍABÚSQUEDA NUEVA DE TALENTO

VULNERABILIDADES

XSS

SQLi

RFILFI

RE

XPATH

CASOS REALES

DROPBOX

Comunícanos el problema de seguridad en detalle: Nos proporciones un tiempo razonable para responder al problema antes de hacer públicacualquier información.No accedas ni modifiques datos de usuarios sin el permiso del propietario de la cuenta.Actúes en buena fe y no degrades el desempeño de nuestros servicios (esto incluye la denegación de servicio).

PAYPALMICROSOFT

EBAY

FACEBOOKMOZILLA

BLACKBERRY

CASOS REALES

CASOS REALES

Information disclosureXSSRemote file inclusion

¿No te parece una vulnerabilidad?

@chninoogawa frustado por unbug bounty• Hijo de la recontra mil puta, che

CASOS REALES

CASOS REALES

Facebook

• Vulnerabilidad Open redirect• CWE-601: URL Redirection to untrusted Site (‘Open Redirect’)• Top 10 2013-a10-Unvalidated redirects and forwards

CASOS REALES

Dropbox

CASOS REALES

Dropbox

CASOS REALES

Google

XSRF

<iframe src="http://www.google-melange.com/_ah/logout?continue=https://www.google.com/accounts/Logout%3Fcontinue%3Dhttps://appengine.google.com/_ah/logout%253Fcontinue%253Dhttp://www.google-melange.com/gsoc/document/show/gsoc_program/google/gsoc2013/about_page%26service%3Dah" ></iframe>

CASOS REALES

Pero, no es lo mas gracioso…

ESTADÍSTICAS

TIPOS DE FALLO 70 % son XSS

ESTADÍSTICAS

UN EJEMPLO DE FABRICANTE

BUG BOUNTIES

¿QUÉ SE CONSIDERA UN BUG BOUNTY?

¿Y QUÉ NO?

BUG BOUNTIES

COSAS NEGATIVAS

• Los términos cambian sin que tú te des cuenta• Es una cuenta contra reloj• Otros researchers irán detrás del mismo bug• Fixear los fallos lleva tiempo• En ocasiones no pueden reproducir estos fallos

COMO SER UN CAZADOR DE BUGS “DE PACOTILLA”

COMO SER UN CAZADOR DE BUGS “DE PACOTILLA”

COMO SER UN CAZADOR DE BUGS “DE PACOTILLA”

=

¿COMO EMPEZAR?

¿COMO EMPEZAR?

¿COMO EMPEZAR?

INICIATIVA 0DAY

COMO SER UN CAZADOR DE BUGS “DE PACOTILLA”

DONDE VENDER TU FALLO

DONDE VENDER TU FALLO