Tres en uno: Vulnerabilidad, Felicidad y Descontento

Noviembre 29, 2008

Hoy tengo que publicar tres cosas, dos de ellas las había querido publicar hace un tiempo y la última surgió hoy.

La primera de ellas es un nuevo aporte que nos hace PerverthsO, un pequeño video donde nos muestra como aprovecharse de un componente de joomla para obtener acceso a las bases de datos de una organización. La vulnerabilidad es más conocida como “Arbitrary download file” o descarga arbitraria de archivos, y se trata principalmente de poder descargar cualquier archivo que queramos. Pues bueno, de esto se encarga este componente, y el error es que no escapan el retroceso de directorios “../../../” y se puede descargar cualquiera archivo.
La URL que se nos muestra en este video es:

El video puede ser descargado de acá:Tutorial de vulnerabilidad en componente Joomla

También me complace en anunciar la inauguración de un nuevo subdominio, llamado Trucosflash. El objetivo de esta página es proveer a aquellos jugadores que adoran los juegos en flash, claves, guías y archivos que servirán para jugar más fácilmente, también se les conoce con el nombre de “trucos”, “claves”, “cheats”, pero si el programador los puso allí, es por algo!. Por el momento solo van dos juegos, así que espero que la comunidad de trucosflash crezca día a día. Todavía falta agregarle unas cosas a la página para que quede completamente terminada, pero nada que en una hora no se pueda añadir.
La página para entrar es: http://trucosflash.sinfocol.org

Y por último, comunicar mi descontento con la página www.seguridadinformatica.org, un sitio con una buena introducción, pero con un contenido de retos mas bien pobre. Los retos que recuerdo son respectivamente:
Autenticación con JavaScript
El problema típico con las variables globales en PHP
Falsificación de cabeceras del navegador
Inclusión local de archivos con PHP
Criptografía clásica
Falsificación de IP por medio de cabeceras del navegador
De nuevo falsificación de IP por medio de tales cabeceras
El séptimo reto fue la gota que colmó la copa, primero porque el reto era repetido, y segundo porque se trata de hacer fuerza bruta a una variable muchas veces. No sé que piensan las demás personas que han llegado hasta “la final”, pero es una pérdida de tiempo hacer fuerza bruta a un reto como estos. Además de los motivos antes mencionados, es poco ético que el organizador del reto se encuentre en el top 10, y de primero…
Sé que esto está mal hecho, pero no hay nada mas preciado que el tiempo. Espero mas de esta página y de paso los invito a que participen de ella (Una forma de contrarestar lo antes dicho)
http://www.seguridadinformatica.org

Archivado en: Hacking, Miscelaneo |