{"id":5547,"date":"2022-02-15T13:22:49","date_gmt":"2022-02-15T18:22:49","guid":{"rendered":"https:\/\/etek.com\/es\/?p=5547"},"modified":"2022-02-15T13:22:49","modified_gmt":"2022-02-15T18:22:49","slug":"falsificacion-de-ip-en-django-rest-permite-desplegar-ataques-ddos","status":"publish","type":"post","link":"https:\/\/etek.com\/es\/falsificacion-de-ip-en-django-rest-permite-desplegar-ataques-ddos\/","title":{"rendered":"Falsificaci\u00f3n de IP en DJANGO REST permite desplegar ataques DDOS"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-post\" data-elementor-id=\"5547\" class=\"elementor elementor-5547\" data-elementor-post-type=\"post\">\n\t\t\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-d02389b elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"d02389b\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-955bc3a\" data-id=\"955bc3a\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-bb0417f elementor-widget elementor-widget-text-editor\" data-id=\"bb0417f\" data-element_type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t<style>\/*! elementor - v3.20.0 - 13-03-2024 *\/\n.elementor-widget-text-editor.elementor-drop-cap-view-stacked .elementor-drop-cap{background-color:#69727d;color:#fff}.elementor-widget-text-editor.elementor-drop-cap-view-framed .elementor-drop-cap{color:#69727d;border:3px solid;background-color:transparent}.elementor-widget-text-editor:not(.elementor-drop-cap-view-default) .elementor-drop-cap{margin-top:8px}.elementor-widget-text-editor:not(.elementor-drop-cap-view-default) .elementor-drop-cap-letter{width:1em;height:1em}.elementor-widget-text-editor .elementor-drop-cap{float:left;text-align:center;line-height:1;font-size:50px}.elementor-widget-text-editor .elementor-drop-cap-letter{display:inline-block}<\/style>\t\t\t\t<p>Django REST es un Framework que permite el f\u00e1cil desarrollo de una API REST, estas APIs son utilizadas para obtener informaci\u00f3n de diferentes fuentes, dichas APIs est\u00e1n desarrolladas en el lenguaje de programaci\u00f3n <strong>Python<\/strong>, el cual es un lenguaje de programaci\u00f3n de alto nivel que se utiliza para desarrollar aplicaciones de todo tipo, se trata de un lenguaje interpretado, es decir, que no es necesario compilarlo para ejecutar las aplicaciones escritas en Python, sino que se ejecutan directamente por el ordenador utilizando un programa denominado interpretador, por lo que no es necesario traducirlo a lenguaje m\u00e1quina. Django es utilizado por <strong>Mozilla<\/strong>, <strong>Red Hat <\/strong>y <strong>Heroku<\/strong>, entre otros miles de aplicaciones.<\/p><p><strong>ATAQUES <\/strong><strong>DDOS <\/strong><strong>CONTRA MILES DE APLICACIONES<\/strong><br \/>Una vulnerabilidad cr\u00edtica de falsificaci\u00f3n de IP en <strong>django rest <\/strong>habr\u00eda permitido a los atacantes evadir la funci\u00f3n de limitaci\u00f3n de velocidad, las limitaciones indican un estado temporal y se utilizan para controlar la tasa de solicitudes que los clientes pueden realizar a una API, pensada para proteger las aplicaciones web contra solicitudes masivas, un atacante puede usar bots para hacer tantas llamadas repetidas a una API que hace que el servicio no est\u00e9 disponible para nadie m\u00e1s o colapsa el servicio por completo generando una denegaci\u00f3n de servicio DoS<\/p><p>Esta caracter\u00edstica est\u00e1 dise\u00f1ada para proteger las apliaciones contra actividades de bots, ataques de denegaci\u00f3n de servicio DoS, ataques de fuerza bruta e intentos de restablecimiento de contrase\u00f1as, este conjunto de herramientas es utilizadas por <strong>Mozilla, Red Hat y Heroku <\/strong>entre otros miles de aplicaciones que hay en servicio en el mercado<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-f739bfb elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"f739bfb\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-eaf6614\" data-id=\"eaf6614\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-b900474 elementor-widget elementor-widget-image\" data-id=\"b900474\" data-element_type=\"widget\" data-widget_type=\"image.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t<style>\/*! elementor - v3.20.0 - 13-03-2024 *\/\n.elementor-widget-image{text-align:center}.elementor-widget-image a{display:inline-block}.elementor-widget-image a img[src$=\".svg\"]{width:48px}.elementor-widget-image img{vertical-align:middle;display:inline-block}<\/style>\t\t\t\t\t\t\t<figure class=\"wp-caption\">\n\t\t\t\t\t\t\t\t\t\t<img decoding=\"async\" src=\"https:\/\/etek.com\/es\/wp-content\/uploads\/2022\/02\/Falsificacion-de-IP-en-DJANGO-REST-permite-desplegar-ataques-DDOS-1.png\" title=\"\" alt=\"\" loading=\"lazy\" \/>\t\t\t\t\t\t\t\t\t\t\t<figcaption class=\"widget-image-caption wp-caption-text\">Solicitudes<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-39d2a62 elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"39d2a62\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-12ab4ab\" data-id=\"12ab4ab\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-00ef525 elementor-widget elementor-widget-text-editor\" data-id=\"00ef525\" data-element_type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t<p>Django REST usa direcciones IP para identificar clientes y aplicar los l\u00edmites de solicitud de aceleraci\u00f3n protegiendo las aplicaciones web de ataques de DoS. Seg\u00fan el reporte de Hosein Vita, los clientes pueden enga\u00f1ar al servidor y enmascarar su direcci\u00f3n IP cambiando los encabezados de sus solicitudes: \u201cDjango usa WSGI para sus comunicaciones con la aplicaci\u00f3n web, adem\u00e1s del encabezado HTTP X-Forwarded-For y la variable WSGI REMOTE_ADDR para identificar de manera \u00fanica las direcciones IP de los clientes para la limitaci\u00f3n\u201d, se\u00f1ala el experto. Si una solicitud web incluye el encabezado X-Forwarded-For, el servidor considerar\u00e1 que esa es la direcci\u00f3n IP del cliente; al usar diferentes valores para X Forwarded-For, fue posible enviar solicitudes ilimitadas con el mismo cliente, cabe resaltar que los actores de amenazas no requieren de un acceso especial al servidor afectado, basta con identificar el sitio web vulnerable para la explotaci\u00f3n.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-eb2d33f elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"eb2d33f\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-8bac24c\" data-id=\"8bac24c\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-cccfa55 elementor-widget elementor-widget-image\" data-id=\"cccfa55\" data-element_type=\"widget\" data-widget_type=\"image.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t\t<figure class=\"wp-caption\">\n\t\t\t\t\t\t\t\t\t\t<img decoding=\"async\" src=\"https:\/\/etek.com\/es\/wp-content\/uploads\/2022\/02\/Falsificacion-de-IP-en-DJANGO-REST-permite-desplegar-ataques-DDOS-2.png\" title=\"\" alt=\"\" loading=\"lazy\" \/>\t\t\t\t\t\t\t\t\t\t\t<figcaption class=\"widget-image-caption wp-caption-text\">Encabezados<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-76199b7 elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"76199b7\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-ad1e5c9\" data-id=\"ad1e5c9\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-6bc5cf6 elementor-widget elementor-widget-text-editor\" data-id=\"6bc5cf6\" data-element_type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t<p><strong>Conclusi\u00f3n<\/strong><br \/>Se recomienda cambiar los m\u00e9todos de prevenci\u00f3n y limitaci\u00f3n de velocidad con otras t\u00e9cnicas de autenticaci\u00f3n m\u00e1s avanzadas, para prevenir futuros ataques de denegaci\u00f3n de servicio DoS y fuerza bruta.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-19f925b elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"19f925b\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-39b7b69\" data-id=\"39b7b69\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-f7fac5a elementor-widget elementor-widget-image\" data-id=\"f7fac5a\" data-element_type=\"widget\" data-widget_type=\"image.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t\t<figure class=\"wp-caption\">\n\t\t\t\t\t\t\t\t\t\t<img decoding=\"async\" src=\"https:\/\/etek.com\/es\/wp-content\/uploads\/2022\/02\/Falsificacion-de-IP-en-DJANGO-REST-permite-desplegar-ataques-DDOS-3.png\" title=\"\" alt=\"\" loading=\"lazy\" \/>\t\t\t\t\t\t\t\t\t\t\t<figcaption class=\"widget-image-caption wp-caption-text\">Autenticaci\u00f3n<\/figcaption>\n\t\t\t\t\t\t\t\t\t\t<\/figure>\n\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<section class=\"elementor-section elementor-top-section elementor-element elementor-element-a135a87 elementor-section-boxed elementor-section-height-default elementor-section-height-default\" data-id=\"a135a87\" data-element_type=\"section\">\n\t\t\t\t\t\t<div class=\"elementor-container elementor-column-gap-default\">\n\t\t\t\t\t<div class=\"elementor-column elementor-col-100 elementor-top-column elementor-element elementor-element-6c2118c\" data-id=\"6c2118c\" data-element_type=\"column\">\n\t\t\t<div class=\"elementor-widget-wrap elementor-element-populated\">\n\t\t\t\t\t\t<div class=\"elementor-element elementor-element-d906862 elementor-widget elementor-widget-text-editor\" data-id=\"d906862\" data-element_type=\"widget\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t<p><strong>Recomendaciones<\/strong><\/p><ul><li>Configurar m\u00e9todos de autenticaci\u00f3n avanzados combinado con t\u00e9cnicas de limitaci\u00f3n de velocidad.<\/li><li>Implementar m\u00e9todos de autenticaci\u00f3n<\/li><li>Autentificaci\u00f3n b\u00e1sica.<\/li><li>Autentificaci\u00f3n basada en token.<\/li><li>Autentificaci\u00f3n basada en clave API.<\/li><li>OAuth 2.0 (Autorizaci\u00f3n abierta).<\/li><li>Autenticaci\u00f3n<\/li><\/ul><p><strong>Para m\u00e1s informaci\u00f3n puede consultar las siguientes fuentes asociadas a la noticia:<\/strong><\/p><ul><li><a href=\"https:\/\/jairoandres.com\/algunos-tips-de-drf-que-quizas-no-conocias\/\">https:\/\/jairoandres.com\/algunos-tips-de-drf-que-quizas-no-conocias\/<\/a><\/li><li><a href=\"https:\/\/www.itdo.com\/blog\/cual-es-el-mejor-metodo-de-autentificacion-en-un-api-rest\/\">https:\/\/www.itdo.com\/blog\/cual-es-el-mejor-metodo-de-autentificacion-en-un-api-rest\/<\/a><\/li><li><a href=\"https:\/\/noticiasseguridad.com\/vulnerabilidades\/vulnerabilidad-critica-de-falsificacion-de-ip-en-django-rest-permite-desplegar-ataques-ddos-contra-miles-de-aplicaciones\/\">https:\/\/noticiasseguridad.com\/vulnerabilidades\/vulnerabilidad-critica-de-falsificacion-de-ip-en-django-rest-permite-desplegar-ataques-ddos-contra-miles-de-aplicaciones\/<\/a><\/li><li><a href=\"https:\/\/www.django-rest-framework.org\/api-guide\/throttling\/#how-clients-are-identified\">https:\/\/www.django-rest-framework.org\/api-guide\/throttling\/#how-clients-are-identified<\/a><\/li><\/ul>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Django REST es un Framework que permite el f\u00e1cil desarrollo de una API REST, estas APIs son utilizadas para obtener informaci\u00f3n de diferentes fuentes, dichas APIs est\u00e1n desarrolladas en el lenguaje de programaci\u00f3n Python, el cual es un lenguaje de programaci\u00f3n de alto nivel que se utiliza para desarrollar aplicaciones de todo tipo, se trata [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":5551,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"_links":{"self":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts\/5547"}],"collection":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/comments?post=5547"}],"version-history":[{"count":0,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/posts\/5547\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/media?parent=5547"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/categories?post=5547"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/etek.com\/es\/wp-json\/wp\/v2\/tags?post=5547"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}