Iloo

https://iloo.wordpress.com

Archivos por Etiqueta: password

Web Applications Security: tip 2, datos de acceso

Ahora que tengo tiempo (de manera obligatoria, debido a un accidente) voy a mostrar un post que tenía guardado hace rato.

Otro caso de la vida real, si bien el usuario es considerado el eslabón más débil dentro de una aplicación en general, y no por dar un poco más de facilidad a estos se puede exponer su seguridad.

Vamos al grano tenemos la siguiente aplicación perteneciente a Laboratorios Droguería INTI S.A.:

Para entrar a la aplicación hay que “seleccionar” un nombre de usuario y escribir un Contraseña, si escribí “seleccionar”, ya que todos los usuarios son mostrados en un campo tipo select, ahora usando fuerza bruta ya se puede ingresar fácilmente a la aplicación, pero alto esto continúa…

Lo peor es que algunos nombres de usuario son iguales a las contraseñas, y por tanto uno puede ingresar a la aplicación de manera mucho más sencilla.

De todo esto se pueden rescatar las siguientes sugerencias:

  1. Si bien las aplicaciones tienen que ser intuitivas, fáciles y rápidas de usar, pero no por esto se puede dejar de pensar que un usuario no pueda memorizar y escribir el id de acceso a la aplicación.
  2. No se deben de mostrar todos los usuarios y menos en un campo de tipo select.
  3. El clásico error es que la contraseña sea igual al nombre de usuario, no es difícil para un usuario recordar un id de acceso y un contraseña que sean distintas, en caso de que fuera muy muy difícil entonces se podrían usar los correos electrónicos como cuentas de usuario, es algo que siempre ayuda.
Anuncios

Web Applications Security: www.presidencia.gob.bo (1)

No se por donde empezar, tengo esto hace bastante tiempo y la verdad son tantas cosas que intentaré ordenar esto lo más que pueda.

En primer lugar quiero aclarar que mande un mensaje al correo del sitio, lamentablemente la dirección (correo@presidencia.gov.bo) no funciona así que no hay nada más que hacer.

Vamos con el Ministerio de la Presidencia del Estado Plurinacional de Bolivia.

Cuya presentación se puede ver en el propio sitio:

El Ministerio de la Presidencia brinda apoyo a la gestión presidencial, mediante la promoción de un nuevo Estado Plurinacional Democrático Participativo, el fortalecimiento en la coordinación con los poderes del Estado, el establecimiento de la gestión pública intercultural, descentralizada, eficiente, transparente y con la participación activa de las organizaciones sociales y los pueblos indígenas originarios campesinos, así como los mecanismos de comunicación y difusión transparente de la Información Gubernamental.

Primero: probando algunos nombres un tanto comunes (info.php, info.php, informacion.php, etc) nos encontramos con el archivo más dañino de todos (el archivo de información):

Esto nos muestra datos importantes que pueden servir de mucho al momento de vulnerar la seguridad del servidor, módulos cargados, nombre del host, versión del servidor apache, etc.

Recomendación: borrar el archivo.

Navegando un poco más también existe el la Dirección de Prensa de Palacio de Gobierno y al ver por la ip (190.129.71.213) se encuentran en el mismo servidor y es aquí donde hay varios puntos débiles en cuanto a seguridad se refiere.

Segundo: uso de marcos (aunque no es una vulnerabilidad como tal).

Recomendación: dejen de usar marcos por favor, si bien esto ayuda bastante al desarrollador (o eso cree) es una molestia para el usuario, ya que no permite guardar correctamente el sitio ni navegar sobre el.

Tercero: ahora si al grano nuevamente probando (y con algo de suerte) se encuentra la dirección de administración (http://comunicacion.presidencia.gob.bo/administrador/) y lo que viene si que no tiene desperdicio.

Al hacer clic directamente al botón “Iniciar sesión” (con los datos en blanco) tenemos… (música misteriosa) el panel de administración!!!

Y que pasa si añadimos algunos datos al formulario de inicio de sesión:

O sea wtf!!!

Recomendación: para esto pueden haber varias razones, pero por lo que puedo suponer es que deben existir algunos datos vacíos en la base de datos entonces hay que borrar estos registros o no se está filtrando correctamente el ingreso de los datos, en este caso puede un error en la implementación del módulo del control del inicio de sesión.

Web Applications Security: www.coteor.net.bo (1)

Este post no es tanto una prueba de seguridad más bien la notificación de un bug de seguridad bueno uno enorme, inicialmente intente comunicar de esto a la empresa, pero no encuentro ningún correo de contacto en su sitio (o_O), ni tampoco en la guía telefónica y eso que esta empresa brinda el servicio de Internet, telefonía, cable, etc, bueno ya lo dice su nombre Cooperativa de Telecomunicaciones Oruro (www.coteor.net.bo).

Pero vayamos al grano el bug o agujero de seguridad se encuentra en la aplicación para el seguimiento de horas en el servicio dial-up (si, la empresa ofrece servicio dial-up, y a precios demasiado altos y ni siquiera cuenta con un plan ilimitado), la aplicación encargada del registro se llama Orion (o al menos eso supongo) desarrollada por la empresa Solintec (cosa que también supongo, por el nombre de la dirección y los banner’s) y se encuentra en http://orion.coteor.net.bo/orion/usuarios/

La cosa es que esta aplicación genera logs en una dirección que cualquier persona tiene acceso, estos log’s se generan cada hora durante todo el día, y almacenan información delicada de las cuentas (nombre de usuario y contraseña a demás que no están codificadas ni cifradas) también información de la persona que se conecta (línea telefónica, fecha y hora).

Se puede apreciar todo esto en la imagen anterior (ojo que los datos ya no sirven ya que todos son de las tarjetas prepago del mes de enero, tal vez alguien pueda hacer un generador de cuentas y contraseñas XD)

Ya con estos datos y un programa para ocultar o cambiar el id telefónico uno ya podría empezar a usar la cuenta de acceso a internet de otro usuario (aunque sea dial-up).

Algunos datos interesantes que se pueden encontrar (a parte de los datos de acceso) son:

  • Cuentas de administrador, obvios: admin y administrador con sus respectivas contraseñas.
  • También para las personas que tienen contratado un plan estos datos son los mismos que se usan para acceder las cuentas de correo electrónico.
  • Siempre hay personas despistadas que ingresan sus datos de otros correos por ejemplo: hotmail, yahoo, gmail cosa que no ingresa ya que es otro servidor de correo pero estos datos son almacenados por la aplicación y guardados en los archivos log’s.

La recomendación es clara, arreglar el bug de la aplicación ya que los datos (privados) de toda una ciudad son visibles a cualquier persona que de con la dirección donde se almacenan estos datos.