Por mas que uno no quiera portarse bien, existen momentos que nos ponen las cosas en porteria y sin arquero como se dice, listo para meter gol.

Es por ello que uno quiere portarse bien y algunos desarrolladores no, nos dejan mas todo lo contrario nos dejan las puertas abiertas para atacar, como también los administradores de los portales,  llegan a darnos la tentación necesaria para ocasionar daños.

Esto a que viene, hace unos días un amigo mio realizo la siguiente publicación  en su blog La misma Password en la cual dije tendra otras vulnerabilidades? extras….  y sorpresa no fue asi con anterioridad ya fue defaceado aun se tiene el index que lo colgarón como podemos observarlo en la siguiente captura.

Al ir notanto esto, identifique algo mas que cuenta con 2 shells subidas, en el host tras un par de pruebas identifique un foro el cual viene con contraseñas genéricas, si señores el clásico de clásicos  y sorpresa acceso al foro.

No llegue a trastear mas que esto si valide un par de xss, y logre realizar un dumpeo de la base de datos, subir otra shell la cual posteriormente la elimine, las otras shells que identifiqué siguen ahi rondando, si alguien se toma el tiempo necesario para buscar las encontrara estoy totalmente seguro de ello.

Y como pueden observar en estas capturas anteriores tenemos algunas debilidades adicionales, lo que me llamo bastante la atencion fue ver la carpeta css con algunos datos adicionales los cuales son de acunetix! algún hijo de juacker anda haciendo escaneos automáticos, llevando como resultado una inestabilidad general  en el sitio.

Aqui tenemos otro portal donde se tiene acceso al archivo de php que nos brinda informacion adicional un poco de la configuración

Podemos ver que las fallas se repiten iteradamente, sea por vagos, flojos o hacer a la que nos criamos con tal que funcione listo! que dejen de molestar a veces tenemos este tonto pensamiento cuando desarrollamos algo, lo mejor es ponernos a pensar y comenzar a desarrollar bien los que desarrollamos o bien si la entrada lo lee algun desarrollador no juacker porfavor tomen el cuidado necesario para securizar sus ambientes de producción no dejen brechas de seguridad.

 Que en ocaciones como esta uno a veces quiere probar :D….

Regards,
Snifer