Navegación forzada
¿Qué es la navegación forzada?
La navegación forzada es un tipo de ciberataque en el que un atacante intenta acceder a directorios, archivos u otros recursos que un sitio web no pretende poner a disposición del público. En lugar de navegar por páginas y enlaces públicos, el atacante introduce directamente una URL en la barra de direcciones del navegador para buscar archivos o directorios ocultos en el servidor. Entre los métodos habituales para identificar rutas no públicas se incluyen:
- Listado de directorios
Si la función de índice de directorios del servidor web está habilitada, al especificar la URL de un directorio se puede mostrar una lista de los archivos que contiene. Si hay archivos confidenciales en esos directorios, los atacantes pueden identificar fácilmente sus nombres. - Comentarios en archivos HTML
Los comentarios incluidos en el código HTML pueden revelar accidentalmente rutas a recursos no públicos. - Adivinación de URL
Al examinar los listados de directorios o la información de los comentarios HTML, los atacantes pueden deducir las convenciones de nomenclatura del sitio. A continuación, pueden utilizar estos patrones para intentar adivinar los nombres de archivos no públicos en otros directorios.
Medidas de prevención:
Para evitar ataques de navegación forzada:
- Deshabilite la función de listado de directorios (en Apache, elimine la opción «Indexes» de http.conf).
- Elimine los comentarios innecesarios de los archivos HTML públicos.
- Restringe el alcance del acceso permitido a las aplicaciones web.
Además, implementar un firewall de aplicaciones web (WAF) puede mitigar eficazmente este tipo de ataques. F5 ofrece F5 BIG-IP, que integra sólidas funciones de WAF para proteger frente a la navegación forzada y otras ciberamenazas.
