{"id":39740,"date":"2016-11-23T23:16:43","date_gmt":"2016-11-24T05:16:43","guid":{"rendered":"http:\/\/camendoz.wordpress.com\/?p=296"},"modified":"2016-11-24T00:09:07","modified_gmt":"2016-11-24T06:09:07","slug":"vulnerabilidad-de-evaluacion-de-codigo-remoto","status":"publish","type":"post","link":"https:\/\/kenscourses.com\/tc2027fall2016\/syndicated\/vulnerabilidad-de-evaluacion-de-codigo-remoto\/","title":{"rendered":"Vulnerabilidad de evaluaci\u00f3n de c\u00f3digo remoto"},"content":{"rendered":"<p class=\"syndicated-attribution\"><em> --Originally published at <a href=\"https:\/\/camendoz.wordpress.com\/2016\/11\/23\/vulnerabilidad-de-evaluacion-de-codigo-remoto\/\"><a href=\"https:\/\/camendoz.wordpress.com\">CRACK THE NETWORK<\/a><\/a><\/em><br \/><\/p>\n<p>&nbsp;<\/p>\n<p>La evaluaci\u00f3n de c\u00f3digo remoto es una vulnerabilidad que puede explotarse si el input del usuario se inyecta en un archivo o una cadena y se ejecuta mediante el parser del lenguaje de programaci\u00f3n. Por lo general, este comportamiento no est\u00e1 previsto por el desarrollador de la aplicaci\u00f3n web. Una Evaluaci\u00f3n de C\u00f3digo Remoto puede llevar a un compromiso completo de la aplicaci\u00f3n web vulnerable y tambi\u00e9n del servidor web. Es importante se\u00f1alar que casi todos los lenguajes de programaci\u00f3n tienen funciones de evaluaci\u00f3n de c\u00f3digo.<\/p>\n<p><img class=\"aligncenter\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/8d1662a2df5b49cd11999c2560d1a7d4.jpg\" \/><\/p>\n<p>Una evaluaci\u00f3n de c\u00f3digo puede ocurrir si permite el input del usuario dentro de las funciones que est\u00e1n evaluando el c\u00f3digo en el lenguaje de programaci\u00f3n respectivo. Esto puede ser implementado a prop\u00f3sito, por ejemplo, para acceder a funciones matem\u00e1ticas del lenguaje de programaci\u00f3n para crear una calculadora, o accidentalmente porque no se espera la entrada controlada por el usuario del desarrollador dentro de esas funciones. Generalmente no se recomienda hacerlo. De hecho, se considera una mala pr\u00e1ctica usar la evaluaci\u00f3n de c\u00f3digo.<\/p>\n<p>Un atacante que es capaz de ejecutar tal falla suele ser capaz de ejecutar comandos con los privilegios del lenguaje de programaci\u00f3n o el servidor web. En muchos lenguajes puede emitir comandos del sistema, escribir, borrar o leer archivos o conectarse a bases de datos.<\/p>\n<p>Como regla general, debe evitar usar el input del usuario dentro del c\u00f3digo evaluado. La mejor opci\u00f3n ser\u00eda no utilizar funciones como eval en absoluto. Se considera que es una mala pr\u00e1ctica y con frecuencia puede evitarse completamente. Tampoco debe permitir que un usuario modifique el contenido de los archivos que puedan ser analizados por los respectivos lenguajes. Eso incluye no permitir que un usuario decida el nombre y las extensiones de los archivos que \u00e9l o ella podr\u00eda cargar o crear en la aplicaci\u00f3n <div class=\"post-limited-image\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/271eba3c6b5d79dc1b515b4564be3765.jpg\" \/><\/div>\n<div class=\"post-limited-image\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/b48fe555b5815daea51c2e53e5edd1c3.jpg#038;blog=115389887&%23038;post=296&%23038;subd=camendoz&%23038;ref=&%23038;feed=1\" width=\"1\" height=\"1\" \/><\/div><!--more-->.<\/p>\n<p>Recursos adicionales:<\/p>\n<div class=\"jetpack-video-wrapper\"><iframe class='youtube-player' type='text\/html' width='676' height='411' src='https:\/\/www.youtube.com\/embed\/R0Er4SNtMfw?version=3&#038;rel=1&%23038;fs=1&%23038;autohide=2&%23038;showsearch=0&%23038;showinfo=1&%23038;iv_load_policy=1&%23038;wmode=transparent' allowfullscreen='true' style='border:0;'><\/iframe><\/div>\n<p>&nbsp;<\/p>\n<p><a href=\"https:\/\/www.owasp.org\/index.php\/Direct_Dynamic_Code_Evaluation_(&#8216;Eval_Injection&%23038;%238217\" rel=\"nofollow\">https:\/\/www.owasp.org\/index.php\/Direct_Dynamic_Code_Evaluation_(&#8216;Eval_Injection&#038;#8217<\/a>;)<\/p>\n<p>&nbsp;<\/p><br \/>  <a rel=\"nofollow\" href=\"http:\/\/feeds.wordpress.com\/1.0\/gocomments\/camendoz.wordpress.com\/296\/\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/271eba3c6b5d79dc1b515b4564be3765.jpg\" \/><\/a> <img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/b48fe555b5815daea51c2e53e5edd1c3.jpg#038;blog=115389887&%23038;post=296&%23038;subd=camendoz&%23038;ref=&%23038;feed=1\" width=\"1\" height=\"1\" \/>","protected":false},"excerpt":{"rendered":"<p>&#8211;Originally published at CRACK THE NETWORK &nbsp; La evaluaci\u00f3n de c\u00f3digo remoto es una vulnerabilidad que puede explotarse si el input del usuario se inyecta en un archivo o una cadena y se ejecuta mediante el parser del lenguaje de programaci\u00f3n. Por lo general, este comportamiento no est\u00e1 previsto por el desarrollador de la aplicaci\u00f3n &hellip; <a href=\"https:\/\/kenscourses.com\/tc2027fall2016\/syndicated\/vulnerabilidad-de-evaluacion-de-codigo-remoto\/\" class=\"more-link\">Continue reading <span class=\"screen-reader-text\">Vulnerabilidad de evaluaci\u00f3n de c\u00f3digo remoto<\/span><\/a><\/p>\n","protected":false},"author":18,"featured_media":39846,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,4],"tags":[63,64,65,66,50,42,26],"class_list":["post-39740","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogs","category-syndicated","tag-computer","tag-computer-science","tag-information","tag-itesm","tag-malware","tag-security","tag-uncategorized"],"_links":{"self":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39740","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/users\/18"}],"replies":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/comments?post=39740"}],"version-history":[{"count":2,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39740\/revisions"}],"predecessor-version":[{"id":39850,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39740\/revisions\/39850"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/media\/39846"}],"wp:attachment":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/media?parent=39740"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/categories?post=39740"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/tags?post=39740"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}