martes, marzo 05, 2013

Fugas de Información en webs sobre *NIX* con Readahead

Hace no mucho tiempo un tal 4n0nym0us en el PC me describió como, haciendo una de nuestras auditorías de seguridad, en un sitio web se encontró con un par de ficheros que tenían un listado bastante completo de los archivos de un sistema Linux. Revisando esos ficheros descubrió que se trataba de dos ficheros de configuración de un software de prefetching para sistemas *NIX* llamado Readahead, cuyo objetivo es hacer algo similar al ReadyBoot de Windows Vista que os contaba hace tiempo, es decir, un arranque más rápido del sistema.

Figura 1: Fichero custom.early de un Readahead

La gracia es que hay dos ficheros de configuración de este software que si se ha configurado mal, alguien haciendo algo de hacking con buscadores, puede encontrar fácilmente a través de Google, y lo que es peor, que si se encuentran en una web permiten descubrir una buena cantidad de rutas del sistema. Los ficheros en cuestión son:
- custom.early
- early.sorted
Haciendo unos dorks que busquen por esas extensiones y que tengan en la URL el nombre del fichero, es fácil localizar en búsquedas simples unas buenas decenas, que permiten sacar rutas e información de los servidores que no han tenido cuidado y los han publicado.

Figura 2: Fichero sorted.early de un Readahead en la caché de Google

Por si acaso aparecen, es bueno que los metáis en los diccionarios de Fuzzing de vuestras herramientas, porque si los encuentras te pueden hacer progresar en una auditoría "adecuadamente". Si tienes un Apache, añade esto a la lista de cosas que puedes revisar en seguridad.

Saludos Malignos!

14 comentarios:

Anónimo dijo...

' Si tienes un Apache, añade esto a la lista de cosas que puedes revisar en seguridad.'

Me pregunto que tendra que ver esto con securizar apache....

Maligno dijo...

@anónimo, supongo que quieres trollear, porque la supongo que sabrás que la mayor base instalada de Apaches en el mundo es sobre Linux... pero si no lo has entendido, te lo explico.

Saludos!

Anónimo dijo...

Y como proteges el apache, luser?

Maligno dijo...

@anónimo. Controlando las carpetas de tu sistema que publicas en él. Es bastante fácil. Hasta tú podrías haberlo entendido.

Saludos!

El brother de Móstoles dijo...

Joder, brother, no se como soportas tanto anonimo subnormal. Yo hace tiempo que los hubiera mandado a tomar por culo en letras mayusculas, jajaja

FakeDark dijo...

Yo tampoco se que tiene que ver esto con Apache... y no soy troll.

Maligno dijo...

@FakeDark, en el post de Apache yo recomiendo que se miren cosas para fortificar cualquier site con Apache. Cosas como la configuración de PHP - que si te pones tampoco tiene que ver con Apache -. En este caso es una fuga que se da en servidores web que corren sobre Linux, así que me ha parecido conveniente decirle a la gente que tenga Apache - que corre masivamente sobre Linux - que tengan en cuenta esto.

Discutir sobre esto, es discutir por tener ganas de discutir. Sigo pensando que los administradores de Apache son los que más se pueden ver afectados por este fallo y que deberían revisar con un fuzzer esos archivos en sus sitios.

Creo que es útil recordárselo.

Saludos!

FakeDark dijo...

También creo que no haces buena referencia confundiendo UNIX con GNU/Linux.


De entrada porque GNU significa 'GNU is Not Unix'. A parte Linux no es un sistema operativo, deberías de saberlo.

Repito, no soy el troll.

Anónimo dijo...

Vale te entiendo, pero cuida los términos o la gente tiquismiquis te comerá.

Espero verte pronto en la televisión en Discovery Max, un abrazo.


Maligno dijo...

@FakeDark, bueno, también muchas veces pongo Windows y no MS Windows. Creo que por Linux me entiende la gente y la masiva mayoría de los servidores Apache corre sobre sistemas con kernel Linux.

Saludos!

Anónimo dijo...

Yo soy el troll de antes. Sigo sin entender que tiene que ver con apache. Siguiendo tu linea, ¿porque no pones un .htaccess en /etc/ configurado para evitar el listado de directorios?, estás más equivocado... confundes churras con merinas

Maligno dijo...

@Anónimo troll, el artículo de Apache que enlazo está hecho con pruebas que se pueden hacer en caja negra, como revisar si tienes publicados unos determinados archivos. Es fácil de entender, te lo prometo.

Saludos!

Anónimo dijo...

Que gracia me hace eso de "Yo soy el troll de antes...", definitivamente este blog no sería lo mismo sin los maravillosos personajes que lo visitan.

Por cierto troll, no está confundiendo churros con merinas, está confundiendo Apache con merinas, jaja

Maligno dijo...

@Anónimo, sí muchos "personajes". Por eso ya les dedique un No Lusers y todo.

No Lusers 121: Queridos Tertrollianos

Saludos!

Eleven Paths Blog

Seguridad Apple

Entradas populares