viernes, junio 17, 2011

Los backups de Joomla y las passwords en MD5

Para la charla de ayer en La Red Innova, que ya puedes ver en Youtube, no tenía mucho tiempo, pero quería hacer algo que la gente pudiera ver, así que preparé varias demos de Google Hacking, que me permitieran mostrar cosas sin incumplir ningún precepto del nuevo código penal (creo!)

Así que, entre otras preparé alguna con backups de bases de datos, tal y como cuenta Enrique Rando en su libro de Hacking con Buscadores, ya sabéis, buscando ficheros con extensiones SQL o DUMP, muy comunes en las copias de seguridad de bases de datos.


Figura 1: Buscando backups en ficheros SQL

Haciendo esas búsquedas salen muchos archivos, pero aún así la demo me obligaba a buscar en varías páginas, abrir varios links para encontar "carnaza" que enseñar. Había que afinar más la query.

Como ya habíamos estado mirando Joomla, por aquel bug que reportamos en un componente - y que luego se lo parcheamos y todo -, sabía que la tabla de los usuarios de Joomla, por defecto, se llamaba jos_users, así que para afinar más la búsqueda podría pasar a hacer algo como esto: ext:sql jos_users.


Figura 2: Buscando backups de Joomla


En ese punto ya salen los resultados de sitios que tienen backup de esa tabla en concreto, lo que hace que salgan muchos sitios con sus usuarios y sus contraseñas. Sin embargo, muchas salen en Hashes, que hay que crackear - sí, también podemos utilizar Google para ello y ver si ya están crackeados - pero para simplificarlo, me di cuenta que en algunos ficheros se utiliza la función md5() para indicar que lo que se va a introducir en ese campo es el hash md5 de lo que se le pase por parámetro. Es decir, que como parámetro de la llamada a la función md5() va la password en texto claro. Así que es suficiente con buscar algo como: ext:sql jos_users "md5(" y leer las passwords en texto claro. Sencillo, ¿no?


Figura 3: Buscando backups de Joomla con passwords en texto claro


Saludos Malignos!

8 comentarios:

Cubano dijo...

Yo, la verdad, hay veces que no sé si seguir leyéndote o apagar el ordenador, dejar la profesión y meterme a monje, que en el convento seguro que es difícil encontrar vulnerabilidades.

Feliz cumple.

VaxMAN dijo...

Interesante artículo Chema, como siempre. Hace unos días en Hacktimes también comentamos el tema de la seguridad con Joomla y puede servir para conocer mejor cómo funciona:
http://www.hacktimes.com/seguridad_en_joomla

Daniel Rodriguez dijo...

Muy buen artículo Chema, y felicitaciones por la charla fue muy divertida.

Saludos desde Colombia.

Anónimo dijo...

Partiendo de la idea de Cubano... yo a veces no se si dejar de leerte para evitar la tentación. Muchos de tus artículos son como tener a una preciosidad (masculina o femenina, según gustos) desnuda encima de tu cama y decirle que a ti te gusta dormir en el sofá.

Enhorabuena por tu capacidad didáctica.

Anónimo dijo...

Parece que a los de Red Innova no les parecio muy agradable tu charla, por lo menos la demo ya que no se atreven a enfocar la pantalla. ¿Por que sera?

Oliver Barreto dijo...

La verdad es que la charla que preparaste fue muy divertida y a la vez muy práctica... la gente busca en google de todo, pero no piensaa que los malignos también van a buscar allí de todo, y menos que no puedan encontrar con tanta facilidad... es una forma de mostrar a la gente el verdadero poder de Google, o de cualquier herramienta que se precie, que depende de para que se use y por quien...

Pero te quería pedir que te extiendas un poco más y que trates sobre la seguridad en el mundo móvil... como te pedía en el turno de preguntas... he visto que has puesto artículo sobre las redes wifi de los iPhone, pero podrías darle más juego !!!

muchas gracias,
Olivers

Anónimo dijo...

hola el video en youtube de red innova de chema no funciona el audio, podrian resubirlo por fa, era muy interezante que le quitaron la voz...

Anónimo dijo...

Al parecer ya no funciona, ya que aparecen las passwords encriptadas..o algo hago mal...

...Saludos --->

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares