Scripts de terceros en el navegador del cliente

4 tareas · 41 min · Principiante

Los ataques Magecart inyectan código malicioso a través de etiquetas de marketing y chats de soporte. Lees la política de contención de scripts de ElectroPrime para auditar CSP, SRI y sandboxing de iframes.

0 de 4 · 0%

Objetivo de la sala

Una tienda electrónica puede tener sus servidores impecablemente asegurados, pero cargar decenas de scripts de analítica, píxeles publicitarios, motores de reseñas y chats de soporte que se ejecutan directamente en el navegador del comprador. Si los atacantes comprometen a cualquiera de esas empresas de marketing (ataque a la cadena de suministro web o Magecart), pueden modificar el JavaScript para leer el DOM del navegador y robar contraseñas y números de tarjeta en tiempo real.

Responde para continuar

¿En qué consiste un ataque de robo de datos en el cliente tipo Magecart (e-skimming)?

En comprometer scripts de terceros cargados en la web para interceptar silenciosamente las entradas de teclado y datos en el navegador del cliente En enviar correos electrónicos de phishing a los administradores de la base de datos En apagar las máquinas virtuales de la tienda mediante sobrecalentamiento físico de los servidores

Ver pista de ayuda

Analiza el riesgo de ejecución de JavaScript de terceros dentro del contexto de navegación del usuario.

En ElectroPrime se auditan los scripts externos permitidos y sus salvaguardas de contención.

Abre el laboratorio y consulta proteccion-scripts-terceros.txt. Identifica el mecanismo de control de diseño para Google Analytics.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué mecanismo de control de diseño se aplica al script de Google Analytics? Escribe el texto exacto.

Ver pista de ayuda

Consulta la columna mecanismo_control_diseno para Google Analytics.

Para asegurar que un proveedor externo de publicidad no altere el contenido de un script sin previo aviso, se exige verificación criptográfica.

Revisa proteccion-scripts-terceros.txt y localiza el mecanismo de control configurado para Meta Pixel.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué mecanismo de integridad y algoritmo se exige para cargar Meta Pixel? Escribe la respuesta exacta.

Ver pista de ayuda

Consulta la columna mecanismo_control_diseno para Meta Pixel.

El requisito 6.4.3 de PCI DSS v4.0 exige gestionar todos los scripts que se cargan en la página de pago. El arquitecto debe aislar los campos de pago en iframes independientes procedentes de dominios distintos, asegurando que la política de mismo origen (Same-Origin Policy) impida a cualquier script publicitario acceder a las entradas del usuario.

Responde para continuar

¿Qué regla de diseño previene que un script de chat de soporte lea los datos introducidos en el formulario de pago?

Cargar todos los scripts con privilegios de administrador de ventana global Pedir al proveedor del chat que prometa por escrito que no leerá los campos de texto Aislar el formulario de pago en un iframe independiente con distinto origen para que la política Same-Origin impida el acceso al DOM

Ver pista de ayuda

Recuerda la barrera de seguridad fundamental que ofrece la política de mismo origen en los navegadores.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: arquitectura.electroprime.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El vector de ataque en el lado del cliente (Magecart)

2 Mecanismo de control aplicado a Google Analytics Lab

3 Control criptográfico para Meta Pixel Lab

4 Aislamiento del DOM en el flujo de compra

Whoami-Labs Pro utiliza cookies