Pasan los años y el mismo software de siempre

Ya van pasando los años y muchas veces por vagueza o por falta de tiempo, mucho tiempo, no arreglan los fallos y siguen poniendo el software para que descarguen, y un usuario que no sabe mucho de fallos ni mira si es vulnerable o no lo que baja, porque como es lo último se imaginará que está sin ningún fallo público.
Pero esto con Simple Blog de 8pixel.net no pasa, tienen la versión 3.0 que es vulnerable a Sql Injection, y no la han arreglado me parece porque es del 2007 la vulnerabilidad y el parche de seguridad es a 2006 de la versión anterior. Además la versión 2.0 y 2.3 deben de estar en algún lado ya que cada 2 x 3 en un reto me envian páginas que encuentran vulenrables,y siguen saliendo después de dos años.

Aquí os dejo la prueba

Exploits públicos:
2007-07-28 SimpleBlog 3.0 (comments_get.asp id) Remote SQL Injection Vulnerability
2006-11-26 SimpleBlog <= 2.3 (admin/edit.asp) Remote SQL Injection Vulnerability
2006-09-04 SimpleBlog <= 2.3 (id) Remote SQL Injection Vulnerability
2006-08-20 SimpleBlog <= 2.0 (comments.asp) Remote SQL Injection Exploit
2006-08-20 SimpleBlog <= 2.0 (comments.asp) Remote SQL Injection Vulnerability

Lista de páginas que han sido o son vulnerables desde( 03/12/2006 - 19/08/2008):
http://www.yashira.org/index.php?showtopic=10033

Fecha del primer parche de seguridad:
28/11/06 --> Me imagino que para la de comments.asp y la de id


Además muchas veces las contraseñas eran las que vienen por defecto o muy relacionadas con el nombre del sitio.

De Vuelta

Después de ver las escalofriantes cifras que llegan a pagar por fallos tanto idefense como tippingpoint, me he animado a buscar fallos en software comercial conocido con la intención de encontrar algún fallo bueno y venderlo a ver que tal pagan, ya que pronto hay que sacarse el carnet de coche y no llega..ahora la cosa es buscar bien y probar y probar, una parte que puede llegar a ser muy aburrida.

Asi que Fuzzing, fuzzing y más fuzzing hasta encontrar algo, de momento descubri algunos que ya fueron vendidos o posteados así que nada...xD

Vacaciones hasta el 14

Pues eso, hasta el 14 no estaré delante de un pc, más bien hasta el día 15, así que cuidense y vayan preparándose para el torneo.

Si me llueve mucho a lo mejor hasta me meto algo, pero espero no meterme y tomar el sol un poco jiji

Byeeee

Yashira-Masters, Cada vez queda menos

Yashira Masters

Es el nombre del nuevo torneo que se está preparando por Yashira.org por motivo de la celebración del 5º Cumpleaños de la comunidad de Yashira, tratará de abordar varios temas relacionados con la informática como son: Hacking, Scripting y HTML, Ing. Inversa, Criptografía, Esteganografía...

Comienzo del torneo:
De momento, sólo os puedo decir que será en la 2º quincena de Septiembre, o al menos se estima que será por esas fechas. Cuando lo tenga seguro hago un post de nuevo.

Reglas:
Aún por concretar aunque claro la fuerza bruta no creo que esté permitida en ninguna prueba. Eso dependerá de los retos que haya, así que tendrán que esperar.

Premios:
Camisetas/remeras conmemorativas así como el título/rango especial de "Yashira Master" el cual portarán durante un año (y que posiblemente podrán conservar en una sección especial de su perfil). Se espera poder aumentar los premios, esperar a g30rg3_x a ver que hace jeje.


Bueno a parte de todo esto, espero que participe mucha gente como pasó en blindsec o como en los retos de Chema. En especial, reto a que mandingo y chema participen por hacernos sufrir en sus retos jeje, habrá que avisarles cuando eso para ver si hay suerte y tienen disponibiidad, cosa difícil.

PHP - Auditoría del código fuente

Acostumbrado a entrar en páginas como SecurityFocus o Milw0rm, ya me canso de siempre ver lo mismo, cada segundo sale una vulnerabilidad nueva que tiene que ver con CMS, o demás en lenguaje PHP. Ya sea porque trabajan muchos programadores y aunque intenten programar de forma segura se les escape algo, o porque ni se preocupen de la seguridad, siempre hay vulnerabilidades.

Por lo que, para los vagos, o los pobres que no puedan contratar una empresa especializada, hay bastante buen código que te hace un análisis bastante eficaz.

Os dejo dos herramientas:

Skavenger:
Esta herramienta busca fallos en php, aunque modificándola puede buscar en más tipo de lenguajes mediante el uso de expresiones regulares más que nada.

DAphpscan:
Funciona mediante expresiones regulares y es bastante más completa que la anterior, busca entre otras cosas: RCE, RFI, LFI, XSS, Inyecciones SQL, CSRF, etc...Todo basandose en funciones que suelen conllevar algun peligro y que no sn filtradas adecuadamente, o no están declaradas correctamente.


Yo personalmente no las probe con código, pero con sólo ver como es el código de ambas, sobre todo de la segunda, se ve que puede detectar fácilmente fallos.
Os dejo un sitio donde hablan de la auditoría en PHP

Yashira y CracksLatinos cumplen años

Yashira

Cumple 5 años en la red, el 17 de agosto del 2003, apareció yashira como una comunidad de retos de hacking, programación, ingeniería inversa y demás cosas, y aunque antes era hackyashira. com, ahora quedó como yashira.org

En una comunidad que poco a poco aguanta con los años y con ayuda de los admins, y usuarios, han ido enviando retos, algunos de gran nivel donde aprender bastante.

Poco a poco se ha ido haciendo una gran comunidad y de las primeras web en retos de informática en español.

Además hoy mismo he tenido la suerte que me han nombrado admin del sitio, así que ahora tendré más trabajo aún ejej, cuando necesitéis algo ya sabéis, podéis consultar.

CracksLatinos

Cumple 8 años en la red, el 18 de agosto del 2000, es el lugar por excelencia de ingeniería inversa en castellano y bastante importante a nivel internacional, apareció en la epoca que había muchas páginas de crackers y grupos creo. Bastante buena como ya dije en otro post.

El trabajo de Ricardo Narvaja y el grupo CrackLatinos

Esta vez voy a hablar de la ingeniería inversa, una lista que es CrackLatinos y un autor que es Ricardo Narvaja, cuyo trabajo te da bastantes conocimientos sobre la ingeniería inversa, junto a todas las colaboraciones que se hacen a la lista de Cracklatinos por tantos autores que me extendería demasiado.

La "Introducción al Cracking con ollydbg desde cero" hecha por Ricardo Narvaja. Además de cursos actuales como el de python y otros posteriores que hará de exploiting y todos ellos de bastante buena calidad, le hacen importante en el ámbito de la ingeniería inversa.

Además te contesta siempre que puede en la lista de forma rapidísima, te ayuda y colabora bastante lo que le hace un gran tío.

Para aprender, organiza concursos de distinta temática, entre ellos:

• Para quitar distintas protecciones que pueda traer un programa, unpacking...
  
• Sacar serials a programas hechos para la labor(crackmes)
  
• Exploiting, para entender como se pueden explotar los fallos en software.
  

Son bastante recomendables para aprender. Además en la lista, los usuarios normalmente suelen aportar con tutoriales que hacen mostrando lo que aprenden y como se hace. Un gran nivel para lo único que hace falta es tener Internet, y registrarse en la lista y cuando se pueda aportar, por supuesto.

Tenéis todo el trabajo de CrackLatinos y Ricardo en su FTP, se puede entrar mediante http://www.ricardonarvaja.info, allí se encuentran los concursos, aportaciones de la gente y obras otras cosas que podréis descubrir.
Podrás encontrar hasta un índice de las aportaciones, protecciones que trae y las técnicas antidebugging entre otras cosas.
Así que, en definitiva, pasaros por la lista o por la web si os interesa aprender sobre ingeniería inversa.
Aprovecho para saludar a la gente de allí: dapaf, boken, ricnar, apuromafo, solid, NCR, gera, karmany, etc, etc.