Iloo

https://iloo.wordpress.com

Web Applications Security: www.fps.gov.bo (2)

Ya hecho el análisis de la parte del diseño vayamos con el tema de desarrollo, más propiamente la parte de seguridad.
Inicialmente haciendo un análisis con wapiti obtenemos el siguiente informe:

1. La barra de color rojo indica que hay 2 vulnerabilidades de inyección sql ciega (blind SQL)

Recomendación: las entradas de información que el usuario introduce en la aplicación no deben ser directamente colocadas en sentencias SQL, antes tienen que ser filtradas para evitar ejecuciones malignas en la sentencia SQL.

2. La barra de color naranja indica que existen 7 vulnerabilidades de consumo de recursos, el atacante puede forzar al servidor a consumir muchos recursos y potencialmente provocar un fallo del servidor (Asymmetric resource consumption).

Recomendación: configurar adecuadamente el servidor para evitar el consumo de memoria o la caída del sistema.

Bien ahora vayamos a explotar vulnerabilidades de manera manual:

3. En el siguiente enlace podemos observar otra vulnerabilidad (SQL injection):

http://www.fps.gov.bo/marco_institucional/detalles.php?area=mision%27%20AND%20%271%27=%271

Recomendación: ver punto 1.

4. Revisando un poco el sitio nos encontramos con el siguiente enlace:

http://www.fps.gov.bo/funciones/gestor_descarga.php?dir=sis_gestion_ambiental&file=MANUAL%20DE%20GESTION%20AMBIENTAL.pdf

Es aquí donde hay un error crítico (al parecer el desarrollador no puso mucha dedicación en depurar los errores) el error es un Source Code Disclosure (mi vulnerabilidad favorita).

El error consiste principalmente en que el archivo gestor_descarga.php permite descargar cualquier archivo (incluyendo archivos del sistema).

Ahora lo que sigue es primero descargar el mismo archivo o el archivo index.php, esto para poder ver el archivo de configuración para el acceso a la base de datos, cuyo nombre es  dbconn.php

También se puede descargar el archivo passwd:

Recomendación: reescribir el archivo para no permitir descargar archivos que no se encuentren en un determinado directorio o tener un enlace directo al archivo que se quiere descargar, obviando por consiguiente el archivo encargado de las descargas..

5. Conexión remota a la base de datos, si bien esto puede ser muy útil para el administrador puede ser un punto crítico como en este caso, ya teniendo los datos de usuario y contraseña del servidor mysql podemos conectarnos con este:

Y realizar algunas consultas:

Recomendación: Realizar un mejor portal ya que este puede ser un punto de acceso al servidor (como en este caso) o restringir el acceso remoto a mysql, Un punto que esta fuera de la seguridad es el de la base de datos personalmente no soy un experto pero siempre se recomienda tener un campo de indexación (generalmente llamado id de tipo entero) para realizar búsquedas, ordenamientos, ya que por ejemplo en este caso de la tabla usuario pasar un parámetro entero es mejor que pasar el nombre de usuario, también el uso de la codificación (utf-8) de la base de datos ya que aparecen unos caracteres extraños XD.

Para concluir no importa cuan seguro este el servidor (en este caso CentOS 5), que el administrador del servidor lo controle constantemente y que tan preparado este este, en este caso no contó con que una aplicación pudiera ser un punto fuerte de inseguridad para su servidor, por tanto se tiene que poner mucha dedicación y esfuerzo no solo en el desarrollo de la aplicación si no también en la parte de pruebas de seguridad, ya que compromete información muy valiosa.

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s