Iloo

https://iloo.wordpress.com

Archivos por Etiqueta: social

Web Applications Security: www.fps.gov.bo (3)

Ya vamos con la última parte del análisis a este portal (podrían haber muchas partes más), ahora vayamos por el “administrador” de la página, generalmente esta parte se encuentra en:

  • /admin.
  • /adm.
  • /administrador.
  • /administrator.
  • wp-admin (XD).
  • O alguno parecido a los anteriores.

De esta manera nos encontramos con:

http://fps.gov.bo/admin/

Probando un poco descubrimos graves fallos de seguridad en el login (SQL injection), básicamente este, sigue el siguiente camino lógico:

si es_correcto(usuario) && es_correcto(contraseña) entonces ingresar();
si es_correcto(usuario) && no_es_correcto(contraseña) entonces mostrar “El password no es correcto”
si no_es_correcto(usuario) && es_correcto(contraseña) entonces mostrar “El nombre de usuario no existe”

Estos mensajes nos dan pautas para realizar pruebas efectivas de acceso a la sección de administración, si inicialmente ingresamos cualquier dato al campo de Login obtenemos:

Y si ahora ingresamos en el campo de Login lo siguiente:

cualquiera’ OR ‘1’=’1

Y dejamos en blanco o introducimos un dato cualquiera en el campo de la Contraseña, obtenemos:

Ahora lo siguiente simplemente es realizar inyección SQL para poder tener acceso al sección de administración del portal.

Un punto a parte de la prueba de seguridad, sobre el área de administración: no tiene registro de acceso para poder controlar quien cambia que, cosa muy importante, al parecer lo hicieron demasiado rápido tomando en cuenta lo anterior mencionado, el contar con restricciones o nivel de usuario también es muy importante cosa que aquí no existe.

Recomendación: limpiar los datos  (magic quotes) antes de realizar las consultas, eliminar los dos mensajes y usar simplemente uno, por ejemplo: “los datos ingresados no son correctos”. Contar con un registro (log) para visualizar las conexiones o ingresos sospechosos al área de administración.

Para aclaración se notifico a la institución, mediante correo electrónico (info@fps.gov.bo)  sobre estas vulnerabilidades en su portal.

Anuncios

Web Applications Security: www.fps.gov.bo (2)

Ya hecho el análisis de la parte del diseño vayamos con el tema de desarrollo, más propiamente la parte de seguridad.
Inicialmente haciendo un análisis con wapiti obtenemos el siguiente informe:

1. La barra de color rojo indica que hay 2 vulnerabilidades de inyección sql ciega (blind SQL)

Recomendación: las entradas de información que el usuario introduce en la aplicación no deben ser directamente colocadas en sentencias SQL, antes tienen que ser filtradas para evitar ejecuciones malignas en la sentencia SQL.

2. La barra de color naranja indica que existen 7 vulnerabilidades de consumo de recursos, el atacante puede forzar al servidor a consumir muchos recursos y potencialmente provocar un fallo del servidor (Asymmetric resource consumption).

Recomendación: configurar adecuadamente el servidor para evitar el consumo de memoria o la caída del sistema.

Bien ahora vayamos a explotar vulnerabilidades de manera manual:

3. En el siguiente enlace podemos observar otra vulnerabilidad (SQL injection):

http://www.fps.gov.bo/marco_institucional/detalles.php?area=mision%27%20AND%20%271%27=%271

Recomendación: ver punto 1.

4. Revisando un poco el sitio nos encontramos con el siguiente enlace:

http://www.fps.gov.bo/funciones/gestor_descarga.php?dir=sis_gestion_ambiental&file=MANUAL%20DE%20GESTION%20AMBIENTAL.pdf

Es aquí donde hay un error crítico (al parecer el desarrollador no puso mucha dedicación en depurar los errores) el error es un Source Code Disclosure (mi vulnerabilidad favorita).

El error consiste principalmente en que el archivo gestor_descarga.php permite descargar cualquier archivo (incluyendo archivos del sistema).

Ahora lo que sigue es primero descargar el mismo archivo o el archivo index.php, esto para poder ver el archivo de configuración para el acceso a la base de datos, cuyo nombre es  dbconn.php

También se puede descargar el archivo passwd:

Recomendación: reescribir el archivo para no permitir descargar archivos que no se encuentren en un determinado directorio o tener un enlace directo al archivo que se quiere descargar, obviando por consiguiente el archivo encargado de las descargas..

5. Conexión remota a la base de datos, si bien esto puede ser muy útil para el administrador puede ser un punto crítico como en este caso, ya teniendo los datos de usuario y contraseña del servidor mysql podemos conectarnos con este:

Y realizar algunas consultas:

Recomendación: Realizar un mejor portal ya que este puede ser un punto de acceso al servidor (como en este caso) o restringir el acceso remoto a mysql, Un punto que esta fuera de la seguridad es el de la base de datos personalmente no soy un experto pero siempre se recomienda tener un campo de indexación (generalmente llamado id de tipo entero) para realizar búsquedas, ordenamientos, ya que por ejemplo en este caso de la tabla usuario pasar un parámetro entero es mejor que pasar el nombre de usuario, también el uso de la codificación (utf-8) de la base de datos ya que aparecen unos caracteres extraños XD.

Para concluir no importa cuan seguro este el servidor (en este caso CentOS 5), que el administrador del servidor lo controle constantemente y que tan preparado este este, en este caso no contó con que una aplicación pudiera ser un punto fuerte de inseguridad para su servidor, por tanto se tiene que poner mucha dedicación y esfuerzo no solo en el desarrollo de la aplicación si no también en la parte de pruebas de seguridad, ya que compromete información muy valiosa.

Web Applications Security: www.fps.gov.bo (1)

Hace bastante que no pruebo “vulnerabilidades” en algún sitio, pero esto es algo que no puedo dejar pasar.

El análisis fue al portal del Fondo Nacional de Inversión Productiva y Social (www.fps.gov.bo)

Sobre el diseño se puede destacar:

  • Poner una pantalla inicial de “introducción” no es recomendable ya que el 99% de los usuarios la obvian. Para que añadir un enlace que dice “Ingresar” si el usuario ya ingreso al sitio.

  • Una de las cosas más molestas es que el “desarrollador” del portal desactive el clic derecho asumiendo que lo hace “por protección”, lo más probable es que lo haya hecho para no poder ver su código fuente (que no es de los más organizados ni innovadores que haya visto) mediante el menú contextual, pero hay un opción en el menú principal para poder ver el código cuenteo o presionando: Ctrl+u.

  • Es de muy mal gusto y poco estético que partes del contenido estén fuera del contenedor principal, claro siempre y cuando no haya sido adrede, pero en este caso no es así.

  • Falta de organización de los menús, se puede observar hasta 3 menús que son propiamente del sitio, el menú principal esta hasta arriba y casi es invisible (y una de las opciones ellas lleva al Intro, cosa que esta por demás):

  • El uso de frames (marcos), generalmente es porque el desarrollador tiene poca experiencia y desconoce el funcionamiento de los marcos (que conlleva más problemas para el usuario, buscadores, etc) o quería librarse del trabajo de incluir (include) otro archivo de menú a sus páginas.
  • Inconsistencia en todo el sitio, es decir que no todo el portal se comporta de la misma manera, o tienen la misma vista principal.

Esto es algunos puntos importantes que destacan en el portal, en el siguiente post viene la parte de seguridad…

Google: más social con Buzz

Un nuevo servicio integrado a Gmail acaba de aparecer, este es Buzz, al mero estilo de Facebook o Twitter, pero con un estilo un poco más simplista clásico de Google, desde mi punto de vista en vez de lanzar un nuevo servicio deberían haber integrado Orkut a Gmail que tiene una mejor vista y unos detalles que son simplemente grandiosos.

Buzz se suma a la amplia lista de servicio que ofrece la G en busca de captar más usuarios a sus redes sociales, entre estas tenémos:

Mas información: aquí y aquí.