Hacking Techniques (Bouncing Attacks)
Hace unas semanas, por unos motivos u otros, tuve indagar sobre un cierto agujero de seguridad que se producía al emplear una técnica de pirateo simple a la par de efectiva empleada contra aplicaciones web, técnica a la que los "expertos" denominan (Bouncing Attack).
La técnica es bastante simple, lo que se hace es colocar un servidor Proxy, como por ejemplo NGIX, entre el servidor en el que aloja nuestra aplicación web, y el cliente que está ejecutando dicha aplicación. El procedimiento consiste en cazar la petición HTTP que se hace desde cliente en dicho servidor, y modificar nombres de variables, valores, etc... hasta que la aplicación alojada en el servidor pete al recibir dicha petición, pudiendo (si no se tiene controlado), mostrar información sensible del servidor.En el caso con el que me encontré, se podía reventar la aplicación modificando los values que se mandaban desde unos combos no editables, esos values llevaban id's de tipo integer, y se enviaban a una capa de datos que esperaba ese tipo de dato, cuando se empezó a meter como values valores no numéricos, la aplicación reventó a primeras de cambio.Soluciones a este problema??, pues a gusto del consumidor, desde emplear un simple Try...Catch que capture el error, a usar el viewState de la página para que no pueda modificarse así como así la petición HTTP, etc...Más info sobre el Bouncing Attack