Iloo

https://iloo.wordpress.com

Archivos por Etiqueta: blind

Web Applications Security: www.mingobierno.gob.bo (1)

Estoy cansado de ir avisando sobre las vulnerabilidades que existen en algunos sitios a sus respectivos administradores, esto porque no recibo ni siquiera un gracias, todo lo contrario, a una persona le hicieron un problema por comunicar algo que envió a este blog, cosa que demuestra que tales administradores son unos mediocres, así que: administradores se jod…

En este caso el sitio en cuestión es el Ministerio de Gobierno del Estado Plurinacional de Bolivia (www.mingobierno.gob.bo) No es necesario hacer un análisis minucioso para ver que el sitio tiene varias deficiencias en su implementación. Entre ellas: El enlace http://www.mingobierno.gob.bo/detalle_noticia.php?id=57 parece vulnerable, si cambiamos y lo dejamos de la siguiente manera: http://www.mingobierno.gob.bo/detalle_noticia.php?id=’, obtenemos un error:

Ya no queda más que hacer tiene un servidor windows con AppServ., vulnerable a SQL Injection y Blind SQL. Ahora el siguiente horror error es de del módulo encargado de la publicación de noticias:

Esta sección simplemente no tiene control de acceso, el nombre de la dirección es la más común, creo que no aprendieron que la seguridad por oscuridad no es seguridad.

Anuncios

Web Applications Security: www.fps.gov.bo (2)

Ya hecho el análisis de la parte del diseño vayamos con el tema de desarrollo, más propiamente la parte de seguridad.
Inicialmente haciendo un análisis con wapiti obtenemos el siguiente informe:

1. La barra de color rojo indica que hay 2 vulnerabilidades de inyección sql ciega (blind SQL)

Recomendación: las entradas de información que el usuario introduce en la aplicación no deben ser directamente colocadas en sentencias SQL, antes tienen que ser filtradas para evitar ejecuciones malignas en la sentencia SQL.

2. La barra de color naranja indica que existen 7 vulnerabilidades de consumo de recursos, el atacante puede forzar al servidor a consumir muchos recursos y potencialmente provocar un fallo del servidor (Asymmetric resource consumption).

Recomendación: configurar adecuadamente el servidor para evitar el consumo de memoria o la caída del sistema.

Bien ahora vayamos a explotar vulnerabilidades de manera manual:

3. En el siguiente enlace podemos observar otra vulnerabilidad (SQL injection):

http://www.fps.gov.bo/marco_institucional/detalles.php?area=mision%27%20AND%20%271%27=%271

Recomendación: ver punto 1.

4. Revisando un poco el sitio nos encontramos con el siguiente enlace:

http://www.fps.gov.bo/funciones/gestor_descarga.php?dir=sis_gestion_ambiental&file=MANUAL%20DE%20GESTION%20AMBIENTAL.pdf

Es aquí donde hay un error crítico (al parecer el desarrollador no puso mucha dedicación en depurar los errores) el error es un Source Code Disclosure (mi vulnerabilidad favorita).

El error consiste principalmente en que el archivo gestor_descarga.php permite descargar cualquier archivo (incluyendo archivos del sistema).

Ahora lo que sigue es primero descargar el mismo archivo o el archivo index.php, esto para poder ver el archivo de configuración para el acceso a la base de datos, cuyo nombre es  dbconn.php

También se puede descargar el archivo passwd:

Recomendación: reescribir el archivo para no permitir descargar archivos que no se encuentren en un determinado directorio o tener un enlace directo al archivo que se quiere descargar, obviando por consiguiente el archivo encargado de las descargas..

5. Conexión remota a la base de datos, si bien esto puede ser muy útil para el administrador puede ser un punto crítico como en este caso, ya teniendo los datos de usuario y contraseña del servidor mysql podemos conectarnos con este:

Y realizar algunas consultas:

Recomendación: Realizar un mejor portal ya que este puede ser un punto de acceso al servidor (como en este caso) o restringir el acceso remoto a mysql, Un punto que esta fuera de la seguridad es el de la base de datos personalmente no soy un experto pero siempre se recomienda tener un campo de indexación (generalmente llamado id de tipo entero) para realizar búsquedas, ordenamientos, ya que por ejemplo en este caso de la tabla usuario pasar un parámetro entero es mejor que pasar el nombre de usuario, también el uso de la codificación (utf-8) de la base de datos ya que aparecen unos caracteres extraños XD.

Para concluir no importa cuan seguro este el servidor (en este caso CentOS 5), que el administrador del servidor lo controle constantemente y que tan preparado este este, en este caso no contó con que una aplicación pudiera ser un punto fuerte de inseguridad para su servidor, por tanto se tiene que poner mucha dedicación y esfuerzo no solo en el desarrollo de la aplicación si no también en la parte de pruebas de seguridad, ya que compromete información muy valiosa.