Iloo

https://iloo.wordpress.com

Web Applications Security: www.fps.gov.bo (3)

Ya vamos con la última parte del análisis a este portal (podrían haber muchas partes más), ahora vayamos por el “administrador” de la página, generalmente esta parte se encuentra en:

  • /admin.
  • /adm.
  • /administrador.
  • /administrator.
  • wp-admin (XD).
  • O alguno parecido a los anteriores.

De esta manera nos encontramos con:

http://fps.gov.bo/admin/

Probando un poco descubrimos graves fallos de seguridad en el login (SQL injection), básicamente este, sigue el siguiente camino lógico:

si es_correcto(usuario) && es_correcto(contraseña) entonces ingresar();
si es_correcto(usuario) && no_es_correcto(contraseña) entonces mostrar “El password no es correcto”
si no_es_correcto(usuario) && es_correcto(contraseña) entonces mostrar “El nombre de usuario no existe”

Estos mensajes nos dan pautas para realizar pruebas efectivas de acceso a la sección de administración, si inicialmente ingresamos cualquier dato al campo de Login obtenemos:

Y si ahora ingresamos en el campo de Login lo siguiente:

cualquiera’ OR ‘1’=’1

Y dejamos en blanco o introducimos un dato cualquiera en el campo de la Contraseña, obtenemos:

Ahora lo siguiente simplemente es realizar inyección SQL para poder tener acceso al sección de administración del portal.

Un punto a parte de la prueba de seguridad, sobre el área de administración: no tiene registro de acceso para poder controlar quien cambia que, cosa muy importante, al parecer lo hicieron demasiado rápido tomando en cuenta lo anterior mencionado, el contar con restricciones o nivel de usuario también es muy importante cosa que aquí no existe.

Recomendación: limpiar los datos  (magic quotes) antes de realizar las consultas, eliminar los dos mensajes y usar simplemente uno, por ejemplo: “los datos ingresados no son correctos”. Contar con un registro (log) para visualizar las conexiones o ingresos sospechosos al área de administración.

Para aclaración se notifico a la institución, mediante correo electrónico (info@fps.gov.bo)  sobre estas vulnerabilidades en su portal.

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s