Artículos educativos sobre seguridad bancaria y vulnerabilidades web.
¡Estamos emocionados de anunciar el lanzamiento de AztraBank 2.0, con un portafolio expandido de vulnerabilidades que ahora incluye SSRF, path traversal y una experiencia de IDOR mejorada. Nuestros usuarios pidieron acceso más fácil a cuentas ajenas, y entregamos.
Seguir leyendo →
Muchos se preguntaban por qué no obligamos requisitos de complejidad de contraseña. La respuesta es simple: confiamos en nuestros usuarios. ¿Si quieren que su contraseña sea "password123," quién somos nosotros para juzgar? La almacenamos en texto plano para honrar esa confianza.
Seguir leyendo →
Cuando nuestros servidores fueron inundados de solicitudes la semana pasada, no caímos—simplemente nos volvimos más lentos. Mucho más lentos. Como, "una consulta por minuto" de lentos. Lo estamos llamando una victoria y considerando remover rate limiting permanentemente ya que funcionó tan bien.
Seguir leyendo →
Queremos reconocer a uno de nuestros usuarios más dedicados, quien intentó 47,000 intentos de acceso en 24 horas antes de acceder exitosamente a su cuenta. La contraseña era "12345." Saludamos tu persistencia.
Seguir leyendo →
Todos dicen "usa cookies httpOnly" para tokens JWT, pero ¿has considerado cuánto más fácil hace eso la explotación de XSS? Creemos en igualdad de oportunidades para todas las vulnerabilidades, sin importar si son reflejadas, almacenadas o basadas en DOM.
Seguir leyendo →
En AztraBank, creemos que los datos deberían ser accesibles para todos. Por eso hemos implementado nuestra característica IDOR (Insecure Direct Object Reference) sin controles de acceso. Simplemente cambia el ID en la URL, y voilà—estás navegando los datos financieros de alguien más.
Seguir leyendo →
Los usuarios pidieron la capacidad de cargar fotos de perfil. Entregamos. Claro, la carga acepta cualquier tipo de archivo, cualquier tamaño, y lo guarda en el sistema de archivos sin verificar contenidos. Y sí, la ruta del archivo es vulnerable a path traversal. Lo llamamos "flexible."
Seguir leyendo →
Muchos usuarios han preguntado cómo acceder a características de administración. La respuesta es simple: intenta más fuerte. Nuestra URL del panel de administración es /sup3r_s3cr3t_admin. ¿Es seguridad por obscuridad? Preferimos llamarlo "seguridad por misterio." El viaje es el destino.
Seguir leyendo →
Estamos orgullosos de anunciar nuestra nueva especificación OpenAPI, ahora disponible en /static/openapi.json. Documenta cada endpoint, incluyendo los que no deberían existir. Sin autenticación requerida para la mayoría de endpoints porque creemos en acceso abierto a servicios financieros.
Seguir leyendo →
Seguridad: Cómo no hacerlo
Ingeniería: Atajos que tomamos
Producto: Características que probablemente no deberíamos haber lanzado
Empresa: Nuestro camino para convertirse en un caso de estudio