This page looks best with JavaScript enabled

Mal Filtrado de Sesiones en Mega (Upload Sin Registro)

 ·   ·   2 min read

Y seguimos con los fallos de Mega, ahora con un mal filtrado de sesión como nos demuestra el querido HD_Breaker en el foro Underc0de la cual nos deja tener una sesion ya creada se diria las cookies persistentes nuevamente hacen efecto como hace tiempo ya hablamos en el blog pero bueno me callo y mejor, que el mismo HD_Breaker nos explique del fallo.

Bueno hoy voy a Mostrarles un Fallo de Seguridad en mega.co.nz, donde se puede mantener una session creada al momento de registrarse para loguearse al servicio con una cuenta inexistente sin validar el usuario via email.

Primero vamos a:

https://mega.co.nz/#register

registramos un usuario con información sin importancia, en mi caso

Nombre: HD_Breaker

Email: pentest@underc0de.org

Clave: 1234

Damos Click en Registrar y si somos detallistas podemos ver en la esquina superior izquierda un boton que nos dice Abort session (:/)

Sin Salir de la pagina clickeamos 1 vez hacia atrás, y ganamos acceso por medio de la sesión que se crea al registrarnos

Como Podemos ver en esta imagen sin estar Logeados, podemos acceder al servicio y subir archivos

podemos ver como se pueden generar los link de distribución.

Esto Mismo se Puede Generar con un Administrador de Sesiones, robando la sesión y luego utilizar la misma para Loguearse Temporalmente.

El Fallo se trata de un mal control del tiempo y directorio de la Session creada al Registrarnos.

Url del sitio: https://mega.co.nz/

Autor: HD_Breaker

Reportado: SI

Ahora se viene las preguntas nuestros archivos están seguros con Mega?  en menos de una semana se reportaron ya cierta cantidad de Fallos, es cierto que recién salio es algo nuevo pero no se tuvo el mínimo control de seguridad como el que vimos el día del Lanzamiento en menos de 30 minutos un XSS persistente.

Hace un momento me puse a jugar xDD probando y aun sigue que paso con los chicos de Mega no hacen caso a las fallas :|.

Share on
Support the author with

Avatar
WRITTEN BY