Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

UTN Seguridad de Desarrollo Web > Preguntas > Flashcards

Preguntas Flashcards

1
Q

VoF? La bases de datos No SQL al ser modernas y no usar el lenguaje SQL no son vulnerables a ataques de inyección.

A

F

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

VoF? El WAF puede detener los ataques de inyección NoSQL si filtra caracteres especiales, instrucciones NoSQL y capturar errores en el response.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

VoF? La vulnerabilidad Tabnabbing se puede solucionar simplemente agregando a la etiqueta rel=”noopener noreferrer” cada vez que añadimos un link con target=”_blank”.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

VoF? Utilizar la sentencia $where con inputs del usuario genera una vulnerabilidad de inyección.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

VoF? Un ataque de XSS persistente requiere que se almacene información dentro de la aplicación.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

VoF? Un modelo de seguridad positiva requiere un conocimiento exhaustivos de la aplicación.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

VoF? Esta vulnerabilidad se asocia principalmente a la condición.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

En la aplicación HacmeBank es posible verificar la existencia de la vulnerabilidad A6:2017-Security Misconfiguration debido a?

  • La aplicación web corre con permisos de superusuario.
  • La aplicación utiliza un framework vulnerable.
  • La base de datos está en el mismo servidor que la aplicación.
  • La aplicación no valida los valores ingresados por el usuario en el login
A
  • La aplicación web corre con permisos de superusuario.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

En la aplicación HacmeBank es posible verificar la existencia de la vulnerabilidad A6:2017-Security Misconfiguration debido a?

  • La aplicación web corre con permisos de superusuario.
  • La aplicación utiliza un framework vulnerable.
  • La base de datos está en el mismo servidor que la aplicación.
  • La aplicación no valida los valores ingresados por el usuario en el login
A
  • La aplicación web corre con permisos de superusuario.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

VoF? Un ataque de XSS reflejado necesita almacenar información dentro de la aplicación

A

F

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

VoF? Un WAF que utiliza seguridad positiva requiere un conocimiento exhaustivo de toda la aplicación.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

VoF? La utilización de captcha es una buena alternativa, aunque no la única, para mitigar ataques de fuerza bruta.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

VoF? Utilizando la aplicación SqlNinja es posible lograr tomar control total del servidor web.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

VoF? La vulnerabilidad Broken Access Control hace referencia al acceso a los recursos por perfil y no a la validación de la autenticación.

A

V

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

VoF? Solo puedo ejecutar código arbitrario en un servidor si logro tener un shell reverso.

A

F

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

VoF? Como mi aplicación utiliza MongoDB, no es vulnerable a ataques de inyección.

A

F

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q 
Supongamos el siguiente código PHP
1.
Si hay una vulnerabilidad, de qué tipo es?
- Se puede realizar un XSS.
- Se puede realizar COMMAND INJECTION.
- No hay vulnerabilidad.
- Se puede realizar CSRF.
A
  • Se puede realizar COMMAND INJECTION.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Supongamos el siguiente código PHP.
2.

Es posible realizar un ataque SQLi? De serlo, en qué parámetro?

  • Sí, en el parámetro $pass.
  • No es posible realizar un ataque SQLi.
  • Sí, en el parámetro $user.
  • Sí, en el parámetro $passHash.
A
  • Sí, en el parámetro $user.
How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q 
Supongamos el siguiente código PHP.
1.
Si hay una vulnerabilidad de inyección de código, sobre qué sentencia o sentencias se focaliza?
Seleccione una o más de una:
- En la línea 3
- En la línea 8
- En la línea 5
- En la línea 10
- En la línea 2
A
  • En la línea 8

- En la línea 5

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
20
Q

Supongamos el siguiente código JAVA
3.

Si hay una vulnerabilidad IDOR, sobre qué sentencia se focaliza?

  • En el RETURN final
  • En el MAP
  • En el IF
  • En el GETMAPPING
A
  • En el IF
21
Q 
Supongamos el siguiente código PHP.
4.
Si hay una vulnerabilidad, de qué tipo es?
- Se puede realizar IDOR
- Se puede realizar XXE
- Se puede realizar COMMAND INJECTION
- Se puede realizar CSRF
- Se puede realizar un XSS
A
  • Se puede realizar CSRF
22
Q

Supongamos el siguiente código PHP.
2.
En este login, considera necesario un captcha. Donde lo pondría?
- Después de “$result = CheckDB(query);”
- No es necesario un captcha.
- Dentro del “$result = CheckDB(query):”
- Antes de “$pass = removeBadCharacters($pass);”

A
  • No es necesario un captcha.
23
Q

¿Cuál de los siguientes no se debe loguear?

  • Ninguna opción es correcta.
  • Conexiones TLS fallidas, o incorrectas.
  • Intentos de conexión con un token de sesión inválido o espirado,
  • Excepciones y errores.
  • Intentos de autenticación fallidos, con usuario y contraseña.
  • Intentos de autenticación fallidos, con IP origen.
A
  • Intentos de autenticación fallidos, con usuario y contraseña.
24
Q

¿En qué momento se debe tener en cuenta los aspectos relacionados con la Seguridad de la Información?

  • Testeo.
  • Ninguna opción es correcta.
  • Testing.
  • Diseño.
  • Durante todo el ciclo de desarrollo.
  • Planeación.
A
  • Durante todo el ciclo de desarrollo.
25
Q

Los balanceadores de carga se agrupan en las siguientes 2 categorías

  • Layer4 y Layer7.
  • Ninguna opción es correcta.
  • SSL y TLS.
  • TCP y UDP.
  • ICMP y RIP.
  • Layer2 y Layer5.
A
  • Layer4 y Layer7.
26
Q

¿Qué es un WAF?

  • Firewall de Aplicaciones Web.
  • Una certificación de seguridad.
  • Una arquitectura web.
  • Walk Away Frontier.
  • Ninguna opción es correcta.
  • Una tecnologíautiizada en redes WiFi.
A
  • Firewall de Aplicaciones Web.
27
Q

¿Qué es la disponibilidad?

  • Ninguna opción es correcta.
  • Que la información sea accesible en todo momento.
  • Que solo las entidades autorizadas tengan acceso a la información.
  • Que entidades autorizadas puedan modificar información de modo autorizado.
  • Que las entidades autorizadas accedas a la información cuando lo requieran.
A
  • Que las entidades autorizadas accedas a la información cuando lo requieran.
28
Q

¿Que establece el principio de mínimo privilegio?

  • Ninguna opción es correcta.
  • Solo tener los privilegios necesarios para desarrollar tareas permitidas.
  • Tareas críticas deben requerir la interacción de como mínimo dos usuarios.
  • Se deben monitorear que el usuario ejecutando una tarea este autorizado.
  • Nadie debe poder otorgar privilegios.
  • Confianza en terceros.
A
  • Solo tener los privilegios necesarios para desarrollar tareas permitidas.
29
Q

¿Quién es responsable de la seguridad en una aplicación?

  • Todos.
  • Responsable de Seguridad.
  • Ninguna opción es correcta.
  • Desarrollador.
  • Tester.
  • Administrador-
A
  • Todos.
30
Q

¿Qué significa el código HTTP 401?

  • Carece de Autorización para acceder al Recurso.
  • No se permite el uso de ese método sobre el recurso.
  • Recurso no encontrado.
  • Ninguna opción es correcta.
  • Redirección.
A
  • Carece de Autorización para acceder al Recurso.
31
Q

Mi aplicación web está en la Intranet (Red interna)

  • Nadie va a querer atacarla.
  • Solo puede ser accedida por empleados.
  • No contiene datos críticos.
  • Nadie tiene los conocimientos para atacarla.
  • Su ubicación en la red no implica nada. Siempre puede ser objeto de ataque.
  • Ninguna opción es correcta.
A
  • Su ubicación en la red no implica nada. Siempre puede ser objeto de ataque.
32
Q

¿Cual de los siguientes no es un método HTTP?

  • POST.
  • GET.
  • Ninguna opción es correcta.
  • RESET.
  • DELETE.
  • HEAD.
A
  • RESET.
33
Q

¿Qué se debe documentar en el análisis de la seguridad?

  • Criterios de seguridad evaluados.
  • Todas las opciones.
  • Convenio de confidencialidad y referentes involucrados.
  • Resultados obtenidos.
  • Herramientas utilizadas.
  • Ninguna opción es correcta.
A
  • Todas las opciones.
34
Q

¿Qué tipo de análisis es mejor?

  • Estático.
  • Ninguna opción es correcta.
  • No hay un análisis que sea el mejor, cada uno tiene un proósito.
  • Pentest.
  • Dinámico.
  • SATS + DAST.
A
  • No hay un análisis que sea el mejor, cada uno tiene un proósito.
35
Q

¿Qué mecanismo de los siguientes protege la integridad?

  • Autorización.
  • Ninguna opción es correcta.
  • SSL - TLS.
  • HASH.
  • IAM.
  • Auditoría.
A
  • Autorización.
36
Q

El Modelo de Seguridad Positiva es

  • Un Modelo de Amenazas.
  • Un framework para el Desarrollo de Software Seguro.
  • Rechazar todo por defecto y solo aceptar lo que se considera seguro/válido.
  • Aceptar todo por defecto y solo aceptar lo que se considera seguro/válido.
  • Ninguna opción es correcta.
A
  • Rechazar todo por defecto y solo aceptar lo que se considera seguro/válido.
37
Q

¿Qué es la integridad?

  • Que solo las entidades autorizadas tengan acceso a la información.
  • Que esté online.
  • Ninguna opción es correcta.
  • Que las entidades autorizadas accedan a la información cuando lo requieran.
  • Que entidades autorizadas puedan modificar información del modo autorizado.
  • Que solo las entidades autorizadas puedan modificar la información.
A
  • Que entidades autorizadas puedan modificar información del modo autorizado.
38
Q

Un atacante reemplazó su sitio con el logo de la competencia, usted revisa el log y solo ve: “Started on port 8080”

  • Ninguna opción es correcta.
  • CSRF.
  • Injection.
  • Insufficient Logging & Monitorring.
  • Local File Inclusion.
  • Unvalidated Redirects and Forwards.
A
  • Insufficient Logging & Monitorring.
39
Q

¿Qué mecanismo de los siguientes protege la integridad?

  • Ninguna opción es correcta.
  • IAM.
  • Auditoría.
  • HASH.
  • SSL - TLS.
  • Autorización.
A
  • Autorización.
40
Q

CIA hace referencia a?

  • Como - Iniciar - Aplicaciones.
  • Código - Interrupción - Aislación.
  • Confidencialidad - Integridad - Disponibilidad.
  • Ninguna opción es correcta.
  • Control - Integración - Autorización.
A
  • Confidencialidad - Integridad - Disponibilidad.
41
Q

Cual de las siguientes medidas nos ayuda a reducir la probabilidad o el impacto el session-hijacking?

  • Ninguna opción es correcta.
  • Construir un perfil de hábitos del usuario (De qué país suele conectarse, en qué horarios suele conectarse, qué tipo de navegador suele usar, etc).
  • Configurar las sesiones con un tiempo de vida corto.
  • Todas las respuestas son correctas.
  • Agregar información de contexto de donde se conecta originalmente el usuario en la session (Ej: IP, versión del browser).
A
  • Todas las respuestas son correctas.
42
Q

¿Por qué se daba la vulnerabilidad que permitía un ataque de fuerza bruta en el laboratorio (labo 3 o 4)?

  • Ninguna opción es correcta.
  • Debido a que el control contra ataques de fuerza bruta lo llevabamos del lado del cliente (frontend).
  • Debido a que no estaba activado el WAF.
  • Debido a que el mensaje de essos que devolvía el servidor era muy detallado.
A
  • Debido a que el control contra ataques de fuerza bruta lo llevabamos del lado del cliente (frontend).
43
Q

¿Cuál de los siguientes estándares de WebService es más seguro?

  • Ninguno, la seguridad del WebService siempre dependerá de aplicar los controles correctos sobre los mismos.
  • Ninguna opción es correcta.
  • REST.
  • GraphQL.
  • SOAP.
  • WSDL.
A
  • Ninguno, la seguridad del WebService siempre dependerá de aplicar los controles correctos sobre los mismos.
44
Q

¿Qué es un WebService?

  • Ninguna opción es correcta.
  • Un servidor que publica en internet una interfaz de comunicaciones bajo ciertos protogolos y estándares.
  • Un framework.
  • Una aplicación web, sin hojas de estilo (CSS).
  • Un intérprete de consultas SQL.
  • Un estándar de comunicación por XML.
A
  • Un servidor que publica en internet una interfaz de comunicaciones bajo ciertos protogolos y estándares.
45
Q

¿Cuál de los siguientes puede ser un factor de autenticación?

  • Usuario y contraseña.
  • Algo que la entidad tiene.
  • Ninguna opción es correcta.
  • Algo que la entidad es.
  • Todas las respuestas son correctas.
  • Algo que la entidad conoce.
A
  • Todas las respuestas son correctas.
46
Q

¿Por qué era vulnerable el WebService del laboratorio?

  • Poque el host está expuesto a internet.
  • Porque no validaba los inputs de sus métodos, permitiendo realizar una inyección SQL, que vulneró el inicio de sesión y además tenía vulnerabilidades de abuso de lógica de negocios.
  • El WebService estaba diseñado para uso interno.
  • Ninguna opción es correcta.
  • Porque nunca se debe exponer un WebService.
  • Porque el XML es un estándar vulnerable a inyecciones SQL.
A
  • Porque no validaba los inputs de sus métodos, permitiendo realizar una inyección SQL, que vulneró el inicio de sesión y además tenía vulnerabilidades de abuso de lógica de negocios.
47
Q

¿Qué es la autenticación?

  • Ninguna opción es correcta.
  • Un proceso mediante el cual le damos permisos a una entidad.
  • Todas las respuestas son correctas.
  • Un proceso mediante el cual verificamos que una entidad es quien dice ser.
  • Un algoritmo.
  • Una de las siglas de la triada CIA.
A
  • Un proceso mediante el cual verificamos que una entidad es quien dice ser.
48
Q

¿Qué requerimiento de seguridad nos ayuda a protegernos contra ataques de fuerza bruta?

  • Utilizar un firewall de aplicaciones web (WAF).
  • Utilizar Múltiples Factores de Autenticación.
  • Ninguna opción es correcta.
  • Todas las respuestas son correctas.
  • Utilizar un captcha y aplicar un ratelimit en los formularios que consideremos suceptibles de ataques de fuerza bruta.
  • Utilizar contraseñas complejas basandonos en un estándar como el NIST.
A
  • Todas las respuestas son correctas.

UTN Seguridad de Desarrollo Web (1 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions