Proximamente publicaremos una gran vulnerabilidad en Facebook, pero primero tenemos que ser buenos y avisar a Facebook…

Contactamos con Facebook y no nos hizo caso.

Pasaron los meses y por miedo al mal uso que la gente pudiera hacer de él no lo publicamos.

Y ahora un ‘albañil’ dice haberlo encontrado (será de nuevo)…

Desde aquí no queremos quitar ‘Fama’ al Albañil, pero sí indicar ciertas cosas que le faltan.

—————-

La vulnerabilidad encontrada es de suplantación de identidad.

Es decir, podemos mandar un mensaje privado a otra persona de Facebook suplantando la identidad de un tercero.

Es decir podemos mandar un mensaje privado a ‘Maria’ y que aparezca que se lo ha enviado ‘Carlos’ o ‘Alberto’.

Para hacer esto simplemente tendremos que saber la dirección @facebook.com de la persona a la que queremos mandar el mensaje privado y también el email con el que se registró la persona que queremos suplantar.

Una vez hagamos esto simplemente tendremos que mandar un email (lo podemos programar en PHP) donde indicaremos.

$remitente= persona_a_suplantar@hotmail.com
$destinatario=a_quien_mandamos_el_mensaje@facebook.com
$el_mensaje=El mensaje…

¡Y ya está!

—————-

Lo que no cuenta las noticias ni el Albañil, es que Facebook si detecta que es falsificado y sale una alerta al usuario donde indica que puede tratarse de una suplantación.

Realmente la falsificación de email ha existido desde el propio email, no es nada nuevo ¿Nadie se acuerda con hotmail?

Aquí os dejo un pequeño esquema:

Siguenos en el Facebook.

El XSS se encuentra aquí: www.cncofrentes.es/wcofrnts/corporativa/iberdrola?buscadorDto.cadenabusqueda=[XSS]&buscar.x=0&buscar.y=0&IDPAG=ESCOFBUSCANDO

————————-

Recordar que nos podeis seguir a nosotros y a nuestras actualizaciones desde nuestro Facebook: http://www.facebook.com/pages/Seguridad-Dimitrix/110339282319959

]]> http://seguridad.dimitrix.es/index.php/2011/11/24/vulneramos-la-web-de-la-central-nuclear-de-cofrentes/feed/ 0 http://seguridad.dimitrix.es/index.php/2011/10/13/5-bancos-espanoles-a-prueba/ http://seguridad.dimitrix.es/index.php/2011/10/13/5-bancos-espanoles-a-prueba/#comments Thu, 13 Oct 2011 11:07:59 +0000 Dimitrix http://seguridad.dimitrix.es/?p=195 Desde Seguridad Dimitrix hemos querido poner de manifiesto de una vez por todas la poca seguridad existente en Bancos, telefonías móviles y tiendas online.

Por ello hemos hecho un informe haciendo una auditoría a cinco bancos españoles (que no vamos a nombrar quien la ha realizado) ni los bancos que se han auditado.

Para ello se han tomado las siguientes medidas:
- 30 minutos de auditoría para cada banco.
- La única vulnerabilidad que se dirá será el XSS.
- Otras vulnerabilidades se tratarán por Baja/Media/Grave (El xss sería entre baja y media)

Recordar que podeis enteraros de nuestras publicaciones en nuestro Facebook.

Hemos conseguido explotar BraziUs en poco tiempo, además de tener muchos fallos más graves que un simple XSS.

http://www.brazi.us/cadastro_usuario.jsp?txtDominio=[XSS]

Me gustaría indicar que… Nosotros no atacamos a las webs, no las desfaceamos y en la mayoría de los casos avisamos a sus administradores. La única razón por la cual la publicamos aquí es para hacer entender a las personas la poca seguridad que existe en este momento en la red.

Sigue nuetas publicaciones desde nuesta página de Facebook:
http://www.facebook.com/#!/pages/Yo-también-soy-Fan-DIMITRIX/110339282319959

Lo curioso es que la vulnerabilidad lo he sacado de un archivo .html que he sacado de un viejo portatil del 2005  que enlazaba a una sección de la página.

La vulnerabilidad reside en la variable action que va por GET.

http://www.elhacker.org/index.php?action=[XSS]

Sigue nuetas publicaciones desde nuesta página de Facebook:
http://www.facebook.com/#!/pages/Yo-también-soy-Fan-DIMITRIX/110339282319959

Aunque no es un banco ni una compañía ‘importante’ me gustaría intentar ‘explicar’ por que me ha interesado este fallo.

La vulnerabilidad del fallo, sí es de programación, pero solamente en parte, si nos leemos el ‘standar’ del HTML veremos que ‘obligatorio poner comillas a:
<img src=“http://server.com/foto.jpg“>

No obstante todos los navegadores, para ‘ayudar al programador’ aceptan que sea sin comillas, por lo que se puede ejectuar XSS que de otra manera no sería eficientes, puesto que por la programación saldrían así:
<img src= \“http://server.com/foto.jpg\“>

La ruta con la vulnerabilidad se encuentra aquí:

http://m.fotolog.com/search.php?auth=[XSS]

Sigue nuetas publicaciones desde nuesta página de Facebook:
http://www.facebook.com/#!/pages/Yo-también-soy-Fan-DIMITRIX/110339282319959

¡Ser buenos y happy Hacking!

El problema viene cuando esto sucede en un ordenador compartido (en nuestra casa, en un ciber, en el trabajo o en clase) pues aunque cierres correctamente la cuenta de Gmail se quedarán los títulos de los mensajes visitados (hay que tener en cuenta que en muchos lugares no se puede borrar el cache del navegador).

Un ejemplo (que no ha sido creado para esto sino que es real) es el siguiente:

Click para ver en Grande

Entre los 6 primeros resultados nos encontramos con:
Carla Martinez Pérez te envió un mensaje en Facebook.
Alberto mi pin de Bancaja es 8598.
Itinerario de Viaje Ryanair….

By Happy && Happy Hacking

¿Donde está la novedad?
La novedad está en que la persona interesada en el anuncio deberá pagar una pequeña cantidad de dinero.

¿Y donde está el fallo?
El fallo está principalmente en… ¡Toda la web!
La web entera es un desastre informático, un ejemplo de como NO hay que programar.

En esta captura que les presentaré vamos a ver algo que nunca hemos visto (que recuerde) en este blog, se trata de un XSS y un fallo en la sentencia SQL a la vez ¡Si es que nos dan 2×1!

Quizás alguno si se haya dado cuenta de la seriedad del asunto, no se trata de mostrar un ‘desface’, más bien se trata de conseguir cupones gratis, ver ofertas sin pagar y hacerte con el control de la web.

¡Happy Hacking!

La poca atención que prestan a la seguridad informática.

Una cosa es que se encontrase la vulnerabilidad en un apartado remoto no actualizado, pero otra cosa es que sea en el propio buscador principal.
Esto da que pensar que si las páginas ‘grandes’ no piensan en la seguridad de sus datos (cuentas, calles, DNI) de sus usuarios ¿Por que los bancos tienen que ser diferentes?

Recordamos que tenemos un Facebook desde el cual podreis acceder a las actualizaciones