Comprobaciones opcionales del diagnóstico: creación de cuentas, archivos ejecutables, ejecución de comandos e importación de datos
Publicado 6 min de lectura
También disponible en: English · 日本語 · 中文 · Français · Deutsch · Português
Puntos clave
- El diagnóstico estándar se basa principalmente en lecturas y se limita a lo que se informa en el texto de consentimiento. Los cuatro elementos opcionales pueden dejar rastros en el objetivo durante la verificación, por lo que solo se ejecutan si usted autoriza cada uno.
- Los rastros solo quedan si el objetivo tiene realmente la debilidad. En caso contrario, las solicitudes se rechazan y solo quedan sus registros en los logs de acceso.
- Los elementos autorizados se incorporan a partir del diagnóstico del mes siguiente y pueden retirarse en cualquier momento. El informe registra qué elementos se ejecutaron y cómo limpiar lo que pueda quedar.
Contenido
- Comprobaciones estándar, opcionales y las que nunca se ejecutan
- Lo que tienen en común los elementos opcionales
- Verificar creando una cuenta
- Qué comprueba
- Qué se envía
- Qué puede quedar si existe la debilidad
- Cómo limpiarlo
- Antes de activarla
- Verificar colocando un archivo ejecutable
- Qué comprueba
- Qué se envía
- Qué puede quedar si existe la debilidad
- Cómo limpiarlo
- Antes de activarla
- Verificar ejecutando un comando
- Qué comprueba
- Qué se envía
- Qué puede quedar si existe la debilidad
- Cómo limpiarlo
- Antes de activarla
- Verificar importando datos
- Qué comprueba
- Qué se envía
- Qué puede quedar si existe la debilidad
- Cómo limpiarlo
- Antes de activarla
- Consentimiento y responsabilidad
El diagnóstico de SPHIOR incluye comprobaciones que se ejecutan por defecto y otras que solo se ejecutan cuando usted las autoriza una a una. Estas últimas pueden encontrar debilidades más graves, pero a cambio pueden dejar rastros en el objetivo durante la verificación.
Esta página sirve para que entienda concretamente qué ocurrirá antes de marcar cada elemento en la pantalla de consentimiento.
Comprobaciones estándar, opcionales y las que nunca se ejecutan
| Qué incluye | Efecto en el objetivo | |
|---|---|---|
| Estándar | Lectura de páginas y configuraciones públicas, envíos (POST) que comprueban cómo se trata la entrada, comprobaciones de carga que colocan un archivo inofensivo con nombre aleatorio y un único intento de inicio de sesión para ver si sigue en uso una contraseña predeterminada | Puede quedar un inicio de sesión fallido o un archivo de prueba inofensivo (informado en el texto de consentimiento) |
| Opcional | Comprobaciones que verifican creando una cuenta, colocando un archivo ejecutable, ejecutando un comando o importando datos | Si existe la debilidad correspondiente, pueden quedar los rastros que se describen para cada elemento más abajo |
| Nunca se ejecutan | Cambiar la configuración, eliminar datos, restablecer contraseñas o repetir la configuración inicial, enviar muchas solicitudes a la vez, enviar más de 200 solicitudes en una sola comprobación y los métodos HTTP que escriben o eliminan datos (PUT / PATCH / DELETE) | No se realizan bajo ningún consentimiento |
Los cuatro elementos opcionales tampoco envían métodos HTTP que escriban o eliminen datos. Las comprobaciones que implican eliminar, restablecer o sobrescribir se excluyen de antemano.
Lo que tienen en común los elementos opcionales
- Solo quedan rastros si existe la debilidad. En un objetivo sin la debilidad, las solicitudes se rechazan y no se crea nada. En todos los casos, sin embargo, las solicitudes quedan registradas en los logs de acceso del objetivo.
- Empiezan con el diagnóstico del mes siguiente a su autorización. Si desmarca un elemento, deja de ejecutarse a partir del mes siguiente.
- Quedan registrados en el informe. El capítulo «Alcance y metodología» enumera los elementos consentidos y cuántas comprobaciones se añadieron; el capítulo «Detalle de hallazgos» indica, para cada hallazgo de una comprobación opcional, qué puede quedar y cómo limpiarlo.
- Los valores enviados son valores de prueba inofensivos. Nunca usamos información de usuarios reales ni sus datos.
Verificar creando una cuenta
Qué comprueba
Una debilidad que permite a cualquiera crear cuentas de usuario o de administrador sin autenticación. Se debe a una configuración errónea del registro público o de funciones de administración. Si se aprovecha, un tercero puede entrar como usuario legítimo.
Qué se envía
Solicitudes que crean una cuenta de prueba. El nombre, el correo electrónico y la contraseña son valores de prueba fijos definidos para cada comprobación o valores aleatorios.
Qué puede quedar si existe la debilidad
- La cuenta de prueba (puede tener privilegios de usuario o de administrador)
- En algunas comprobaciones, un registro de prueba distinto de una cuenta
- Notificaciones provocadas por la creación de la cuenta (correos a administradores, correos de bienvenida, etc., según la configuración de su sistema)
Cómo limpiarlo
A partir de la ubicación indicada en el hallazgo, busque la cuenta de prueba en su consola de administración o similar y elimínela. Si se deja con privilegios, puede convertirse en sí misma en una vía de entrada.
Antes de activarla
Si informa externamente del número de usuarios, o si la creación de cuentas está ligada a otros procesos como la facturación o el inventario, decida de antemano cómo tratar las cuentas de prueba.
Verificar colocando un archivo ejecutable
Qué comprueba
Una debilidad que permite colocar, mediante una función de carga u otra similar, un archivo que el servidor ejecuta (como un script). Abre la puerta a la ejecución de código arbitrario y es uno de los tipos de debilidad más graves.
Qué se envía
Un archivo de prueba. Su contenido solo muestra una cadena fija, el resultado de un cálculo o el valor que recibe, o es solo una cadena aleatoria; no tiene capacidad para ejecutar comandos. Después accedemos al archivo colocado y confirmamos por la respuesta si se ejecutó.
Qué puede quedar si existe la debilidad
- Un archivo de prueba ejecutable en el servidor objetivo
Cómo limpiarlo
A partir de la ubicación indicada en el hallazgo, busque el archivo de prueba y elimínelo sin falta. Su contenido solo muestra información, pero dejar un archivo ejecutable en una ubicación pública es indeseable en sí mismo. Revise también la configuración para que los archivos cargados no puedan ejecutarse (ubicación de almacenamiento separada, sin permiso de ejecución, restricción de extensiones).
Antes de activarla
Si utiliza detección de manipulación de archivos o supervisión de cambios en los archivos del servidor, el archivo de prueba puede generar una alerta. Avisar con antelación al equipo responsable evita confusiones.
Verificar ejecutando un comando
Qué comprueba
Una debilidad por la que una entrada externa provoca la ejecución de comandos del sistema operativo en el servidor. Es un tipo de debilidad grave que puede llevar a la toma de control del servidor.
Qué se envía
Un comando que confirma el resultado: mostrar el usuario con el que se ejecuta el proceso, leer un archivo de configuración del sistema, mostrar una cadena fija o realizar un cálculo. Las comprobaciones que implican escribir o eliminar se excluyen de antemano. El contenido de la respuesta no se incluye en el informe; solo se conserva su huella (hash).
Qué puede quedar si existe la debilidad
- Un registro de que se ejecutó un comando en el servidor (logs del sistema operativo o de la aplicación)
- Los comandos no crean archivos, pero su ejecución puede ser detectada por herramientas de supervisión
Cómo limpiarlo
No quedan archivos. Corrija el tratamiento de la entrada en la ubicación indicada en el hallazgo y compruebe, comparando con las fechas del informe, si los rastros de ejecución en sus logs proceden de esta comprobación.
Antes de activarla
Si utiliza detección de intrusiones (EDR, IDS y similares), los comandos de prueba pueden generar alertas. Compartir el calendario del diagnóstico con el equipo responsable ayuda a no tratarlos como un ataque real.
Verificar importando datos
Qué comprueba
Una debilidad que permite importar datos sin autenticación. Un tercero podría registrar datos falsos o usar la función de importación como trampolín hacia otras debilidades.
Qué se envía
Una pequeña cantidad de datos de prueba inofensivos.
Qué puede quedar si existe la debilidad
- Los datos de prueba importados (pueden aparecer en listados o pantallas de administración)
Cómo limpiarlo
A partir de la ubicación indicada en el hallazgo, busque los datos de prueba importados y elimínelos.
Antes de activarla
Si los datos importados pasan automáticamente a otros procesos (agregación, envíos, integraciones con servicios externos), los datos de prueba también pueden llegar a ellos.
Consentimiento y responsabilidad
Usted autoriza los elementos opcionales a su criterio, tras comprender los rastros y efectos descritos. El texto de consentimiento indica que usted acepta esos efectos y que lo demás se rige por las Condiciones del servicio (sección 10, Limitación de responsabilidad).
Si tiene dudas, puede empezar solo con el diagnóstico estándar y añadir elementos después de revisar el informe. Los elementos opcionales pueden añadirse o retirarse en cualquier momento.