lunes, 14 de septiembre de 2009

El Ministerio del Interior usa software trucho - Parte 2

En esta continuación del post anterior no voy a hablar de software trucho en el Ministerior del Interior...pero el titulo así en partes quedaba copado :P. Eso si, seguimos hablando del mismo ente y del mismo site.

No se si le prestaron atención al archivo "Siliper.rar" ubicado en el mismo directorio que el post anterior. El mismo contiene un proyecto realizado en Microsoft Visual Studio el cual se llama de la misma forma que el archivo.

Yo recordaba pobremente que dichos proyectos contienen un archivo de configuración el cual posee varios datos sensibles...y estaba en lo correcto:




Si, hay mucho info "censurada", no? Bueno eso es porque hay demasiada información sensible. Datos de cuentas de correos, el usuario y contraseña de el Active Directory (Directorio Activo) del servidor del Ministerio del Interior, y un par de credenciales mas. Para aquellos que alguna vez hayan escuchado de un Dominio de red y de permisos se estarán dando los teclados por la cabeza.

Para hacer un poco mas "gráfico" con esto que les quiero explicar, les dejo una captura de uno de los lugares a los que llegue gracias a esta información:




Esto es el la ventana de ingreso al webmail del Ministerio del Interior...y ustedes dirán.."Y ahora? Eso no me dice nada". Aja, y esto?:




Les dice algo? Eso es la bandeja de entrada de una cuenta de dicha ente, donde obviamente hay mails oficiales de gran confidencialidad, invitaciones a boliches y todas esas cosas "importantes" que hace la gente que trabaja para el Estado.


Ximo

sábado, 12 de septiembre de 2009

El Ministerio del Interior usa software trucho - Parte1

Esto les va a parecer una joda...pero lamentablemente es cierto. Dentro de la pagina del Ministerio del Interior encontré una carpeta abierta al publico con las siguientes cosas:


  


Y lo primero que llamo mi atención fue el archivo llamado "Windows 7 7600 PWD.txt" . Y no era para menos:


 


Si...números de licencia para registrar la nueva (y todavia no oficialmente liberada) version del sistema operativo de Microsoft, Windows 7 lo llaman. La utilización de este tipo de licencias o parches para registrar un software pago de forma completamente gratuita se llama cracking, y como se imaginaran es una actividad penada por la ley...y quiero creer que es peor aun si se trata de un ente Gubernamental, no?

Y si quedaba alguna duda de que efectivamente la gente del Ministerior del Interior esta crackeando software, el archivo "Windows 7 Toolkit 1.8-by-Mozilla.cw.info.exe" es un kit de herramientas para registrar, activar y validar Windows 7:




Muchas empresas son auditadas a diario por un ente llamada Software Legal la cual verifica que en dicha empresa se este utilizando todo el software pago correctamente licenciado, y ante cualquier irregularidad se multa a la empresa auditada con un monto de dinero considerable. Creo que un mail a los muchacho de Software Legal comentdandoles estoy con un par de capturas adjuntas no va a venir mal, no?

Ahh! Casi me olvidaba, cuando los administradores de la red del Ministerior del Interior no estan crackeando software, se dedican a realizar arduas tareas de un desafio intelectual acorde a sus capacidades...archivo "900.Disney.zip":


 


Ey! No es pavada no salirse de las lineas!!! :P

En la parte 2 de este post les voy a mostrar un par de cosas aun mas jugosas...

PD: Pueden comentar los posts...no les voy a cobrar nada...lo juro!


Ximo

lunes, 7 de septiembre de 2009

Login en Flash (mal armado), mas inseguro imposible...

Como ya sabrán algunos sitios web poseen sectores restringidos o exclusivo para clientes. Estos por lo general se encuentran protegidos por usuario y contraseña. Pero este no es el problema, sino los métodos y forma de autentificación que se emplean.

Hoy vamos a hablar de los objetos Flash (.SWF) los cuales utilizan un lenguaje llamado Action Script y a veces son utilizados para el control de acceso de estas secciones. El beneficio de utilizar este tipo de objetos es que se logra una interfaz mas amigable y animada que viste mejor nuestro sitio (en ciertos casos). El problema radica en que muchos dejan el usuario y contraseña de acceso dentro del mismo Action Script del archivo Flash y no fuera de este, ya sea en una base de datos o con un simple archivo PHP o ASP. Al dejarlo dentro del mismo objeto Flash, esta información se guarda en texto plano, y por medio de la utilización de un simple descompilador de archivos SWF logramos ver estas credenciales.

Este es el objeto dentro el sitio web, es decir lo que vemos al querer ingresar al sector restringido. En este caso se trata de una empresa Argentina de trasporte :




Esto es el objeto Flash descompilado:




Como pueden ver, tenemos una linda liste de contraseñas. En este caso cada cliente tiene su usuario y contraseña, y al acceder se les ofrece una descarga de un archivo .XLS (Planilla Excel) que posee información actualizada de el ultimo servicio brindado por la empresa y detalles del mismo como pueden ver a continuación:


 


Encontré muchísimos ejemplos de esto (Empresa Argentina con una revista del ámbito medico online):




Y aca el objeto Flash descompilado:


 


Y les dejo uno mas, un Estudio Argentino de diseño, fotografía y publicidad:




Y la data de acceso dentro del objeto Flash:


 


Espero que al momento de armar una seccion restringida en su sitio web tengan esto en cuenta...Ojo! No digo que no usen Flash para esto, sino que si lo van a usar, haganlo como corresponde.


Ximo

martes, 1 de septiembre de 2009

Queres pelis o mp3's? Pediselos a la UADE...

Aparentemente los administradores de red de la Universidad Argentina de la Empresa (UADE) se vieron obligados a bloquear ciertos puertos utilizados por programas P2P (Peer to Peer). Con esto me refiero ni mas ni menos que a la mulilta (entre otros) que muchos de nosotros alguna vez hemos utilizado para la descarga de...bueno, de lo que sea...





Esto no es una falla de seguridad ni nada, solo una curiosidad... además me pareció divertido encontrar esto en una universidad privada.


Ximo