Struts usa entradas de form-bean para asignar formularios HTML a acciones. Si el atributo name de una etiqueta <action> no se corresponde con el nombre de un elemento form-bean, la acción no se puede asignar e indica una definición superflua o un error tipográfico.

Ejemplo 1: La siguiente configuración no contiene una asignación para bean2.

<form-beans>
  <form-bean name="bean1" type="coreservlets.UserFormBean" />
</form-beans>

<action-mappings>
  <action path="/actions/register1" type="coreservlets.RegisterAction1" name="bean1" scope="request" />
  <action path="/actions/register2" type="coreservlets.RegisterAction2" name="bean2" scope="request" />
</action-mappings>

Struts usa el nombre form-bean para asignar formularios HTML a acciones. Si un elemento form-bean no tiene un nombre, no se puede asignar a una acción e indica una definición superflua o un archivo Bean omitido por accidente.
Este es un ejemplo de un elemento form-bean apropiado:
Ejemplo 1: El siguiente elemento form-bean tiene un atributo name vacío.

<form-beans>
  <form-bean name="" type="org.apache.struts.validator.DynaValidatorForm">
    <form-property name="name" type="java.lang.String" />
    <form-property name="password" type="java.lang.String" />
  </form-bean>
</form-beans>

Struts usa entradas de form-bean para asignar formularios HTML a acciones. Si un elemento form-bean no tiene un tipo, no se puede asignar a una acción.
Ejemplo 1: El siguiente elemento form-bean tiene un atributo type vacío.

<form-beans>
  <form-bean name="loginForm" type="">
    <form-property name="name" type="java.lang.String" />
    <form-property name="password" type="java.lang.String" />
  </form-bean>
</form-beans>

Struts exige que las etiquetas <form-property> incluyan un atributo type. Struts lanzará una excepción al procesar un formulario que define un elemento form-property sin tipo.

Ejemplo 1: La siguiente configuración omite un tipo para la propiedad name.

<form-bean name="loginForm" type="org.apache.struts.validator.DynaValidatorForm">
  <form-property name="name" />
  <form-property name="password" type="java.lang.String" />
</form-bean>

Una etiqueta <forward> debe tener los atributos name y path. Sin un nombre, el elemento forward nunca se utilizará.

Ejemplo 1: La siguiente etiqueta <forward> tiene un atributo name vacío.

    <forward name="" path="/results.jsp"/>

Una etiqueta <forward> debe tener los atributos name y path. Es un error omitir una ruta de acceso o especificar una en blanco. Además, todas las rutas de acceso deben comenzar con el carácter "/".

Ejemplo 1: La siguiente etiqueta <forward> no tiene un atributo path.

    <forward name="success" />

Si la opción display_errors está activada, se muestran los errores en la Web, lo cual puede dar indicaciones sobre las posibles debilidades a un atacante. Por ejemplo, un mensaje de error de base de datos puede revelar que la aplicación es vulnerable a ataques de SQL Injection. Otros mensajes de error pueden revelar más pistas evasivas acerca del sistema.

Si la opción expose_php está activada, todas las respuestas generadas por el intérprete de PHP incluyen la versión de PHP instalada en el sistema host. Conociendo la versión de PHP que se ejecuta en el servidor remoto, un atacante puede determinar las vulnerabilidades de seguridad conocidas del sistema y, de este modo, reducir la dificultad de montar un ataque exitoso.

Un servicio que no autentica a sus clientes permite el acceso a todos los visitantes.

Un servicio que no autentica a sus clientes permite el acceso a todos los visitantes.

Los servicios de Windows Communication Framework (WCF) se pueden configurar para exponer información de depuración. La información de depuración no debe utilizarse en entornos de producción. La etiqueta <serviceDebug> define si la característica de información de depuración está habilitada para un servicio WCF.



Si el atributo includeExceptionDetailInFaults está establecido en true, se devolverá a los clientes la información de excepción de la aplicación. Los atacantes pueden valerse de información adicional que obtengan del resultado de seguimiento para planear ataques contra el marco de trabajo, la base de datos o cualquier otro recurso que la aplicación utilice.

Ejemplo: El siguiente archivo de configuración incluye la etiqueta <serviceDebug>:

<configuration>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior name="MyServiceBehavior">
          <serviceDebug includeExceptionDetailInFaults="True" httpHelpPageEnabled="True"/>
...

Si WCF está configurado para no generar una excepción cuando no puede escribir en un registro de auditoría, no se notificará al programa del error y es posible que no se produzcan auditorías de eventos de seguridad esenciales.

Ejemplo 1: El elemento <behavior/> del archivo de configuración de WCF que aparece a continuación indica a WCF que no notifique a la aplicación cuando se produce un error en WCF al escribir en un registro de auditoría.

<behaviors>
   <serviceBehaviors>
      <behavior name="NewBehavior">
         <serviceSecurityAudit auditLogLocation="Application"
             suppressAuditFailure="true"
             serviceAuthorizationAuditLevel="Success"
             messageAuthenticationAuditLevel="Success" />
      </behavior>
   </serviceBehaviors>
</behaviors>

Windows Communication Foundation (WCF) ofrece la posibilidad de registrar los intentos de autenticación correctos e incorrectos. El registro de intentos de autenticación incorrectos puede advertir a los administradores de posibles ataques por fuerza bruta. Igualmente, el registro de eventos de autenticación correctos puede proporcionar una pista de auditoría útil cuando una cuenta legítima se ve comprometida.

Los servicios WCF se pueden configurar para mostrar los metadatos. Estos proporcionan información detallada de la descripción del servicio y no deben difundirse en entornos de producción. Las propiedades HttpGetEnabled / HttpsGetEnabled de la clase ServiceMetaData determinan si un servicio mostrará los metadatos.
Ejemplo 1: el código siguiente indica a WCF que difunda los metadatos de un servicio.

    ServiceMetadataBehavior smb = new ServiceMetadataBehavior();
    smb.HttpGetEnabled = true;
    smb.HttpGetUrl = new Uri(EndPointAddress);
    Host.Description.Behaviors.Add(smb);

Si no se usa la autenticación para conectarse a una cola de MSMQ utilizada para entregar un mensaje a otro programa, un atacante podría enviar un mensaje anónimo que sea malintencionado.

Ejemplo 1: El elemento <netMsmqBinding/> del archivo de configuración de WCF que aparece a continuación indica a WCF que desactive la autenticación cuando se conecte a una cola de MSMQ para entregar mensajes.

    <bindings>
      <netMsmqBinding>
        <binding>
          <security>
            <transport msmqAuthenticationMode="None" />
          </security>
        </binding>
      </netMsmqBinding>
    </bindings>

Los programas que transmiten mensajes sin seguridad de transporte o mensaje no pueden garantizar la integridad ni la confidencialidad de los mismos. Cuando un enlace de seguridad de WCF se establece en None, tanto la seguridad de transporte como la de mensajes se desactiva.

Ejemplo 1: el código siguiente establece el modo de seguridad en None de un enlace HTTP básico WCF para un servicio de Widget ficticio.

BasicHttpBinding binding = new BasicHttpBinding();
binding.Security.Mode = BasicHttpSecurityMode.None;

ServiceHost serviceHost = new ServiceHost(typeof(Widget), baseAddress);
serviceHost.AddServiceEndpoint(typeof(Widget), binding, new URI("ExposureAddress"));

La etiqueta <serviceMetadata> habilita la función de publicación de metadatos. Los metadatos de servicio pueden contener información confidencial que no debería ser de acceso público.

Windows Communication Foundation (WCF) ofrece la posibilidad de limitar las solicitudes de servicio. Permitir demasiadas solicitudes de cliente puede inundar un sistema y agotar sus recursos. Por otro lado, permitir solo una pequeña cantidad de solicitudes a un servicio puede evitar que los usuarios legítimos utilicen el servicio. Cada servicio debe ajustarse y configurarse individualmente para permitir la cantidad adecuada de recursos.

La seguridad del transporte especifica que se proporciona confidencialidad, integridad y autenticación mediante los mecanismos de capas de transporte (como HTTPS). Cuando usamos un transporte como HTTPS, este modo tiene la ventaja de ser eficiente en su rendimiento y bien comprendido debido a su prevalencia en Internet. La desventaja es que este tipo de seguridad se aplica de forma independiente en cada salto de la ruta de comunicación, haciendo que la comunicación sea susceptible a un ataque de tipo "man-in-the-middle". WCF ofrece otros dos modos de seguridad de transferencia y ambos son preferibles: mensaje y transporte con credencial de mensaje. La seguridad de los mensajes utiliza la especificación de WS-Security para garantizar la confidencialidad, integridad y autenticación al nivel del mensaje. Esto proporciona seguridad y flexibilidad de un extremo a otro en los métodos de transporte. Sin embargo, reduce el rendimiento.

El método final, transporte con credencial de mensaje, es un híbrido de transporte y método. La seguridad de mensajes se usa para autenticar al cliente, y la seguridad de transporte se usa para autenticar el servidor y aportar confidencialidad e integridad. Es casi tan eficiente como la seguridad del transporte pura.

Cuando un cliente llama a un servicio WCF en concreto, WCF proporciona varios esquemas de autorización que comprueban que el autor de llamada tiene permiso para ejecutar el método de servicio en el servidor. Si los controles de autorización no están activados para los servicios WCF, un usuario autenticado puede obtener la remisión del privilegio.

Ejemplo 1: el siguiente código indica a WCF que no compruebe el nivel de autorización del cliente al ejecutar el servicio:

    ServiceHost myServiceHost = new ServiceHost(typeof(Calculator), baseUri);
    ServiceAuthorizationBehavior myServiceBehavior =
    myServiceHost.Description.Behaviors.Find<ServiceAuthorizationBehavior>();
    myServiceBehavior.PrincipalPermissionMode =
        PrincipalPermissionMode.None;