Trabajé en una startup donde dejaban que el ORM gestionara la base de datos.
Si un dev necesitaba una columna, la agregaba al modelo y dejaba que la 'magia' ocurriera.
Cada dev hacía lo que quería; cuando supe esto, generé el diagrama de la base de datos y era algo como esto:
The Best Cybersecurity Starter Bundle!
Get the All New Cybersecurity Bundle II for
just $149 during our 9th Birthday Celebration!
https://t.co/XZjrhZhm82
@laprovittera Tras llevar un tiempo en esto del hacking, la mayria de cursos son de hacking etico. ¿Pero por qué tambien me meto a otros lados a aprender hacking no etico? Porque eso tambien me ayuda a entender profundamente como funciona el que ataca y no solo saber cuidar.
@laprovittera Tendré que complementar con otros materiales lo que la Unino enseña. Tanto la Uni y lo que complemente ayudará a que me de ventaja y complementarme mejor ya sea laboral o en conocimiento.
@laprovittera Comenzarón las clases. 4 a 6 horas de estudio de ciberseguridad todos los días y los fines de semana 3 o 4 horas. 2 horas de progrmación durante la semana.
Cada una hora, 15 minutos de repaso todo los días o si quiero en tiempos desocupado tambien.
Atacando un bot malicioso
Se detectó un sitio web que simula ofrecer descargas de Microsoft Excel, pero en realidad distribuye malware. Además, cuenta con un bot conectado a Telegram mediante JavaScript para extraer información del usuario a través de ipInfo, incluyendo la dirección IP, región, ISP, país, ubicación, agente de usuario y zona horaria.
Vamos a ver que podemos hacer:
Hilo👇
Deep Research paints me a clear perspective on app security.
From a security perspective, every component and communication channel is part of the attack surface. For example:
The browser interface (HTML/JS) can be manipulated by the user, so never trust client-side enforcement of rules. A malicious user can craft requests outside the normal UI flow.
HTTP requests include headers, cookies, query params, body data – all of which can be tampered with. Attackers will try unexpected values, very large inputs, or meta-characters to find weakness (hence, robust input validation is vital).
The server integrates with databases, file systems, email servers, and external APIs – each integration point can introduce vulnerabilities if not carefully handled (SQL injection when talking to DB, path traversal when handling file paths, SSRF when fetching URLs, etc.).
In modern apps, an API layer often exposes business logic directly. For instance, a banking SPA might call /api/transfer – if that endpoint isn’t secure, it doesn’t matter how pretty or secure the front-end is.
Understanding data flow is crucial: consider how data enters (HTTP request), how it’s processed (e.g., converted to SQL query, or passed to an internal API), and where it goes (database, external call, etc.). Each step needs appropriate controls (validation, encoding, authentication, etc.).
The concept of trust boundaries helps here – e.g., the boundary between client and server is a zero-trust boundary (never trust client data). In microservices, the boundary between services might be semi-trusted, but still validated, especially if one compromised service could be used to attack another.