Desde Seguridad Dimitrix hemos querido poner de manifiesto de una vez por todas la poca seguridad existente en Bancos, telefonías móviles y tiendas online.
Por ello hemos hecho un informe haciendo una auditoría a cinco bancos españoles (que no vamos a nombrar quien la ha realizado) ni los bancos que se han auditado.
Para ello se han tomado las siguientes medidas:
- 30 minutos de auditoría para cada banco.
- La única vulnerabilidad que se dirá será el XSS.
- Otras vulnerabilidades se tratarán por Baja/Media/Grave (El xss sería entre baja y media)
Recordar que podeis enteraros de nuestras publicaciones en nuestro Facebook.
Me gustaría indicar que… Nosotros no atacamos a las webs, no las desfaceamos y en la mayoría de los casos avisamos a sus administradores. La única razón por la cual la publicamos aquí es para hacer entender a las personas la poca seguridad que existe en este momento en la red.
Bueno, algo que vi hace tiempo es esta especie de XSS parcial, digo parcial por que no filtra etiquetas HTML, pero tienes muchos problemas para ejecutar código, sobretodo con el símbolo “=”
El XSS se encuentrae en la variable “id” que carga videos de youtube
http://www.tuenti.com/#m=sharevideo&id=GvEh40Sd24
http://www.tuenti.com/#m=sharevideo&id=[XSS]
No obstante, primero tendremos que bloquear el script del video, para así poner nuestro nuevo códigos con menos problemas, yo hice esto
Algo muy importante es que tienes que poner el ID de un video que funcione primero y después el código, el código que muestro en el video (que se puede ver como se desplaza la frase es el siguiente):
http://www.tuenti.com/#m=sharevideo&id=GvEh40Sd24″></script><hr><h1><big><marquee><center>SALUDO A TODOS DESDE TUENTI!, DIMITRIX!</center></h1><hr>
Seguramente, después de este post, pondré uno sobre seguridad, como saltarse algunas restricciones y otras cosas “Muy divertidas”
