Breaking Python: AppSec vs. OffSec — From Code to Exploit

¡Hola Comunidad! 👋
Te invitamos a la próxima Meetup de Python Chile, que se realizará de manera online el día Jueves 29 de octubre a las 19:00, hora de Chile Continental.

En esta oportunidad contaremos con la presentación de:
🎙️ Galoget Latorre con su charla "Breaking Python: AppSec vs. OffSec — From Code to Exploit"

Abstract:

Python domina el desarrollo web, la automatización y la ciencia de datos, pero su flexibilidad facilita errores que terminan en vulnerabilidades críticas. En esta charla partimos de una aplicación web Python intencionalmente vulnerable (e.g. Flask, Django y FastAPI) y recorremos el camino completo: desde el fragmento de código inseguro hasta un exploit automatizado que lo aprovecha.

Analizaremos varios tipos de vulnerabilidades como SQL Injection, Path Traversal/LFI, XXE, XSS, SSTI, inyección de comandos, SSRF y deserialización insegura desde dos perspectivas. Desde AppSec, identificamos el patrón inseguro (source, sink, falta de sanitización) y aplicamos la corrección. Desde OffSec, explotamos la falla en vivo como lo haría un pentester, primero de forma manual y luego con scripts en Python que automatizan el ataque.

Los asistentes saldrán con un método para detectar sinks peligrosos durante la revisión de código, validar su explotabilidad y aplicar controles efectivos, además de un laboratorio con el código vulnerable, los exploits y las versiones corregidas para practicar por su cuenta.

Biografía:

Galoget Latorre es experto en Seguridad Ofensiva (OffSec) y Seguridad de Aplicaciones (AppSec), con experiencia liderando programas de seguridad y conformando equipos desde cero en organizaciones financieras. Ha trabajado con empresas nacionales e internacionales y es speaker internacional, con presentaciones en PyCon (Chile y Colombia), KavaCon, CIDSI, DragonJARCon, INCIBE SBC, 8.8, UbuconLA (Chile y Colombia) y Ekoparty, entre otros eventos.

Posee múltiples certificaciones internacionales de seguridad, entre ellas OSCP, OSWP, eWPTX, eCXD, eCPPT, eMAPT, eCDFP, CNPen, CAPen, CNSP, CAP y CEH Practical, además de varias certificaciones de cloud (BlackSky) de Hack The Box.

Su formación académica es de primer nivel: obtuvo la Maestría en Ciberseguridad (Information Security Track) del Georgia Institute of Technology (Georgia Tech), cuyos equipos de ciberseguridad han ganado cinco años consecutivos el Codebreaker Challenge de la NSA. Complementó esta formación con certificados profesionales de Stanford University, el Rochester Institute of Technology (RIT) y la Florida International University (FIU).

Es fundador de Hackem Cybersecurity, donde además se desempeña como Senior Principal Security Engineer. Es autor de múltiples CVE, exploits propios y herramientas de hacking personalizadas en diversos lenguajes, principalmente Python.

Ganó el CTF del AppSec Village en DEF CON 33, así como CTFs organizados por Google (Mini CTF), Schneider Electric, F-Secure, ESET, DragonJARCon, KavaCon y 8.8, entre otros. Además, ha participado en programas de bug bounty como miembro del Synack Red Team.

Apasionado por enseñar y compartir conocimiento, ha organizado numerosos eventos nacionales e internacionales y es un referente activo de la comunidad técnica de ciberseguridad. Imparte programas de ciberseguridad en USACH, Skillnest, 8.8 Academy y CEC-EPN. Lidera el capítulo OWASP CEC-EPN Ecuador desde 2012 y el grupo DEF CON DCG5932 de Quito.

📺 Este evento será transmitido en nuestro canal de YouTube: Python Chile

¿Te gustaría compartir algún proyecto o conocimiento de Python en nuestras meetups? Entonces completa el siguiente formulario para coordinar tu participación: https://bit.ly/postular_meetup
También te invitamos a visitar nuestro sitio pythonchile.cl

¡No te lo pierdas, será una experiencia única para aprender y divertirse con Python! 🐍