Google sigue sin reparar el Issue chrome

Google Chrome introdujo, en el interfaz de usuario gráfico, la opción de bloquear Javascript en determinadas URLs. Esta es una opción que permite evitar problemas de ataques derivados de sitios maliciosos o vulnerados que buscan engañar o atacar al usuario por medio de Javascript. Por seguridad, un usuario puede decidir deshabilitar javascript en un conjunto de URLS. Sin embargo, un compañero en el SOCtano se encontró con esta sencilla forma de saltarselo.


El funcionamiento es el siguiente, supongamos esta URL http://www.android.com/. En ella, se puede comprobar que Javascript está habilitado y funcionando. Basta con pedirla directamente en el navegador y hacer un clic en el botón para comprobar como Javascript funciona


Ahora bien, haciendo uso de la función de deshabilitar Javascript en este sitio procedemos a bloquearlo.

opciones avanzadas /configurar contenido/javascript

Una vez hecho esto, si se intenta acceder al sitio web bloqueado, se obtiene una página web en la que no se ha activado Javascript.
Ahora cerramos el navegador - esto es importante pues si en la misma sesión se ha bloqueado ya una vez el sitio, no lo habilita más - y abrimos el sitio web dentro de un iframe y lo que se obtiene, a pesar de que la URL está bloqueada, es que se carga la página con Javascript.

google aun no ha dado respuesta desde no se hace 5 años


Bueno, pues ahí es nada. Así funciona este filtrado. Al no hacer la comprobación en base a la URL del recurso, cualquier iframe puede saltarse el filtro. Así, una web permitida podrá ejecutar todo el código javascript/cargar plugins/abrir popups/abrir imágenes de cualquier lugar del mundo. Así, si abres el javascript a tu sistema de webmail y alguien te manda un mail en html o entras en una web en la que se ha metido un iframe, no importa si está bloqueado.

Año 2015 que no dice google Es un bug, que afecta a la seguridad, y lo arreglaremos
bug ha sido re-calificado para definirlo comobug, y ahora sí se define como un bug que afecta a la Seguridad, además de que la prioridad ha pasado de 3 a 2, por lo que parece que tiene más posibilidades de ser tratado. Estamos en la versión Google Chrome 43, en el año 2015

en Conclusion el fallo sigue existiendo, y se puede saltar el filtrado de una ejecución de un dominio con meter la llamada en un iframe este bug fue reportado por primera vez por el doctor en informatica chema alonso y hasta la fecha se sigue en espera igual quizas chema hasta olvido esto.

Hackerone una plataforma que cambia todo

Hoy quiero hablar HackerOne, una plataforma que facilita la comunicación entre el equipo de seguridad de una empresa con profesionales o con principiantes en la seguridad informática también llamados hackers. Gracias a HackerOne se han corregido miles de fallos y actualmente se ha pagado 2.49 Millones de Dólares 

bajo es eslogan de 

Find it First. No Compromises.

Entre las empresas que podemos encontrar hay algunas muy famosas como Twitter, Yahoo!, Dropbox y la propia HackerOne inclusive. Además, hay un programa financiado por organizaciones preocupadas por la seguridad de los demás llamado Internet Bug Bounty, que básicamente está enfocado al reporte de bugs que afectan a todo Internet.

Funcionamiento de HackerOne

Del dinero que se paga por los bugs descubiertos un 20% se lo lleva HackerOne, como broker de reporte. A cambio de ese 20% HackerOne se hace responsable de que al hacker le llegue todo el dinero, evitando los formularios de impuestos y demás quebraderos de cabeza. Por lo que tu equipo no tiene que preocuparse en que loshackers sean pagados y puede centrarse en trabajar. A día de hoy estas son las estadísticas de la web:


Supongo que estaréis pensando, ¿solo hay 83 empresas registradas? En realidad no, además de programas públicos en los que cualquiera puede participar también hay programas en los que solo se puede acceder por invitación, ya sea porque  quieren tener controlados el número de usuarios, estén probando HackerOne o simplemente no quieran aparecer en la lista de programas.

Muchas de las empresas dan recompensas que van desde los 10 a 20.000 dólares y ese dinero lo puedes pasar a una cuenta de Paypal, un monedero de BitCoins o donarlo a una organización de caridad. La edad mínima para cobrar un premio es de solo 13 años.








dejo una captura de pantalla en la que se muestra un reporte realizado aHackerOne por un usuario. Como podéis observar la interfaz es simple. Si ponemos el cursor encima de un nombre de usuario veremos información básica sobre el: el número de bugs encontrados - sólo los aceptados -, las veces que le han dado las gracias y la reputación que tiene.

Gestión de la reputación en HackerOne

La reputación es calculada en base al número de reportes aceptados, los no aceptados por duplicados o porque el bug no existe.

Ganas reputación si:

● Tu reporte es cerrado como “Resuelto”: +7 (Si te han premiado aumenta)
● Tu reporte es cerrado como “Duplicado ( Resuelto) “ Solo se aplica si se envio antes de que el otro reporte fuera solucionado.
● Tu reporte es cerrado como “No se va a resolver” +1
● Tu reporte es cerrado como “Duplicado (No se va a resolver) “ +1

Pierdes reputación si:

● Tu reporte es cerrado como “No aplicable” ­5
● Tu reporte es cerrado como “Duplicado (No aplicable)” ­5
● Tu reporte es cerrado como “Necesita más información” ­1

Si tienes mucha reputación obtendrás algunos privilegios como poder ser invitado a programas antes de que estén disponibles al público por otro lado, si tu reputación baja se limitará el número de reportes que podrás enviar en un periodo de tiempo.

Ventajas de utilizar HackerOne como plataforma de reporte de bugs

Para mi las ventajas de usar HackerOne son estas:

● Evita el papeleo a los equipos de seguridad
● Permite que cualquier persona reporté siendo reconocido por su trabajo y premiado por ello.
● Fomenta la búsqueda de fallos que puedan afectar a todo Internet
● Servicio gratuito que asegura la seguridad de los reportes y anonimato de los usuarios.

aquí están los mejores de acuerdo a su reputación

Top de los mejores