Google Hack: Identificando servidores XAMPP

Sin duda XAMPP, ese paquete de software preconfigurado que podemos instalar en un servidor web, es una solución extraordinaria para servidores en producción pero muchas veces requiere de ciertas configuraciones de seguridad para terminar de dejarlo en un servidor de producción.

Nuevamente la pereza de los administradores relajado ponen en riesgo y compromenten al servidor dejando la posibilidad de acceder al panel de configuración de XAMPP y todo por una simple búsqueda en Google.

inurl:\"/xampp/index.php\"

Como pueden ver en la imágen más de 85.000 servidores que están utilizando XAMPP como servidor web, seguramente con bases de Datos MySQL y php/perl/python como es un clásico en este paquete.

Google Hack: Archivos con Usuarios y Contraseñas de FrontPage

Y siguiendo un poco con el Buscador Google y sus consultas avanzadas, es interesante ver la cantidad de información que puede indexar y que muchas veces no debería. Ahora bien, la responsabilidad es de Google o de los programadores?

El chiste es que hoy vamos a buscar unos archivos muy sensibles, que por algún motivo desconocido mantienen y se crean en los proyecto de FrontPage.

Por eso es indispensable conocer las estructuras de las paginas, proyectos, notar si son necesarios o no, por estos posibles problemas de indexación de información sensible.

Volviendo al ejemplo existen algunos archivos llamado administrators.pwd, authors.pwd, service.pwd y users.pwd que tal y como su nombre lo indican almacena información de usuarios y claves encriptadas.

Entonces en el buscador de Google podemos hacer lo siguiente:

Mercado negro en fallos de seguridad

Ya es sabido que todos los sistemas o por lo menos en su gran mayoría son vulnerables, donde seguramente influye muchos factores, como por ejemplo la falta de test de aceptación, implementar capas de seguridad en cada una de las etapas del desarrollo del software, experiencia de sus programadores, y seguramente la lista sigue y sigue.

El echo está en que las sociedades están aprendiendo a convivir con estos software por lo que un fallo detectado en alguna aplicación popular o masiva, implica un fallo en cada uno de esos usuarios, se imaginan un fallo de seguridad en el juego Angry Birds que permita manipular los dispositivos en forma total y remota? A que no suena tan lindo verdad?

Imagínense que entonces el mercado negro de los fallos de seguridad, como ser los exploit o los 0-day se fue incrementando a lo largo de estos últimos años y por ello forbes.com elaboró una lista de los posibles precios que se están manejando y que las agencias de seguridad están dispuestas a pagar.

 Como pueden observar, estos precios suben a medida que los fallos son exclusivos y de versiones muy recientes en software.

Google Hack: Cámaras AXIS

La herramienta de búsqueda de información más grande que tenemos hoy en día sin duda es Google, potenciado por sus búsquedas avanzadas que permite a cualquier navegante encontrar información simplemente dejando algunas palabras claves.

Les gustarían ver algunos videos? Bueno hoy vamos a buscar algunos videos pero en vivo, gracias a un pequeño fallo en la configuración de las cámaras de red AXIS, un producto en el mercado realmente muy bueno, y con una gran variedad de cámaras de seguridad con diferentes características.

La característica más importante de estas cámaras, es la posibilidad de administrarlas remotamente, ya sea desde una red local o desde Internet. Dejar la configuración por defecto no es la mejor opción, sobre todo para buscadores como Google que comienza a indexar estas páginas, dando la posibilidad de ver desde cualquier acceso estas cámaras.

Que pasa cuando en Google buscamos lo siguiente:

Esto se complica aún más cuando la administración y manipulación de las cámaras se encuentran con los usuarios y contraseñas predefinidas del producto.