{"id":39766,"date":"2013-09-05T10:27:33","date_gmt":"2013-09-05T14:57:33","guid":{"rendered":"http:\/\/www.panfletonegro.com\/v\/?p=39766"},"modified":"2013-09-12T16:15:07","modified_gmt":"2013-09-12T20:45:07","slug":"servidores-del-gobierno-bolivariano-exponen-sus-listados-de-archivos-al-internet","status":"publish","type":"post","link":"https:\/\/www.panfletonegro.com\/v\/2013\/09\/05\/servidores-del-gobierno-bolivariano-exponen-sus-listados-de-archivos-al-internet\/","title":{"rendered":"Servidores del gobierno bolivariano exponen sus listados de archivos al internet."},"content":{"rendered":"

Esto nos lo enviaron esta ma\u00f1ana para que lo public\u00e1ramos:<\/h2>\n

Sigue las instrucciones y ayuda a Sam el tuc\u00e1n.<\/p>\n

Por uno de esos azares de la vida, haciendo una b\u00fasqueda sobre patrullaje inteligente para ver qu\u00e9 carajo era, ca\u00ed en un sitio web que mostraba un PDF en un link tipo raro que indicaba que era una subcarpeta del servidor. El hecho de haber entrado directo al PDF indicaba que Google hab\u00eda indexado el documento directamente y no el enlace que lleva al documento, esto es en general \u00edndice de que el subdirectorio esta indexado y que se puede navegar su contenido.<\/p>\n

Por curiosidad quite el nombre del archivo de la barra de direcci\u00f3n y le di \u201center\u201d\u2026 Mis sospechas se confirmaron\u2026 Se puede pasear por la arborescencia de directorio abrir los documentos, leerlos, bajarlos\u2026<\/p>\n

Esto me pico aun m\u00e1s la curiosidad pues estaba en un sitio que lleva la extensi\u00f3n de dominio gob.ve y me pregunte cuantos otros presentaban esta vulnerabilidad (t\u00edpica de un servidor mal administrado)<\/p>\n

Una r\u00e1pida b\u00fasqueda en Google me ense\u00f1o como lanzar una b\u00fasqueda orientada a dicha vulnerabilidad.<\/p><\/blockquote>\n

\"exponen\"El resultado fue impresionante\u2026 9960 resultados incluyendo: Ministerio del petr\u00f3leo, Ipostel, Corpocentro, Bolipuerto, Conatel\u2026<\/p>\n

Tal vez no se tenga acceso a informaci\u00f3n confidencial o cr\u00edtica o de seguridad o insider que permita ganar dinero\u2026 (\u00bfO s\u00ed?)<\/p><\/blockquote>\n

 <\/p>\n

Lo extenso de la informaci\u00f3n encontrada hace dif\u00edcil apreciar si hay algo sensible\u2026 pero definitivamente es un fallo enorme de seguridad\u2026
\n\"policia<\/p>\n

Imag\u00ednense que en el servidor de la del CONSEJO GENERAL DE POLIC\u00cdA tienen un bojote de libros sobre marxismo \/ comunismo. http:\/\/www.consejopolicia.gob.ve\/documents\/<\/a><\/p>\n


\n<\/span>
\n<\/span>
\nEn ning\u00fan lugar encontr\u00e9 como reportar esta vulnerabilidad, as\u00ed que decid\u00ed hacerla p\u00fablica con la esperanza de que los interesados tomen las medidas necesarias para resolverlo.<\/span>Mi intenci\u00f3n al publicar esto es alertar a las personas responsables de esos servidores para que corrijan este fallo. (Que es una simple manipulaci\u00f3n en apache).<\/p>\n

\"unodemochos\"<\/p>\n

Si no me cree, ponga esto en su barra de b\u00fasqueda de Google:<\/p>\n

site:gob.ve -inurl(html|htm|php) intitle:\u201dindex of\u201d +\u201dlast modified\u201d +\u201dparent directory\u201d<\/p><\/blockquote>\n

O haga click en este enlace:
\nhttps:\/\/www.google.fr\/search?biw=1280&bih=652&q=site%3Agob.ve+-inurl%28html%7Chtm%7Cphp%29+intitle%3A%E2%80%9Dindex+of%E2%80%9D+%2B%E2%80%9Dlast+modified%E2%80%9D+%2B%E2%80%9Dparent+directory%E2%80%9D&oq=site%3Agob.ve+-inurl%28html%7Chtm%7Cphp%29+intitle%3A%E2%80%9Dindex+of%E2%80%9D+%2B%E2%80%9Dlast+modified%E2%80%9D+%2B%E2%80%9Dparent+directory%E2%80%9D&gs_l=serp.3…4270.4270.0.4609.1.1.0.0.0.0.83.83.1.1.0….0…1c.1.26.serp..1.0.0.8jRjyEAjQCE<\/a><\/p>\n

All\u00ed obtendr\u00e1 todos los directorios expuestos, podr\u00e1 navegarlos y leer la informaci\u00f3n en ellos. Tambi\u00e9n vera que muchos de los sitios del gobierno utilizan Debian y apache otros Windows etc.<\/p>\n

—<\/p>\n

Sigue las instrucciones y, en los comentarios, cu\u00e9ntanos qu\u00e9 consigues.<\/p>\n

Si tienes linux o mac, b\u00e1jate la carpeta con: wget -r -np -nH \u2013cut-dirs=3 -R index.html http:\/\/nombredelsitio.gob.ve\/nombredelacarpetanavegable\/<\/a><\/p>\n

 <\/p>\n","protected":false},"excerpt":{"rendered":"

Esto nos lo enviaron esta ma\u00f1ana para que lo public\u00e1ramos: Sigue las instrucciones y ayuda a Sam el tuc\u00e1n. Por uno de esos azares de la vida, haciendo una b\u00fasqueda sobre patrullaje inteligente para ver qu\u00e9 carajo era, ca\u00ed en un sitio web que mostraba un PDF en un link tipo raro que indicaba que […]<\/p>\n","protected":false},"author":1901,"featured_media":39767,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2},"jetpack_post_was_ever_published":false},"categories":[1],"tags":[],"class_list":{"0":"post-39766","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-azares"},"jetpack_publicize_connections":[],"jetpack_featured_media_url":"https:\/\/i0.wp.com\/www.panfletonegro.com\/v\/wp-content\/uploads\/2013\/09\/policia-marxista.png?fit=1331%2C919&ssl=1","jetpack_shortlink":"https:\/\/wp.me\/pfpCD-alo","jetpack_sharing_enabled":true,"_links":{"self":[{"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/posts\/39766","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/users\/1901"}],"replies":[{"embeddable":true,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/comments?post=39766"}],"version-history":[{"count":0,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/posts\/39766\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/media\/39767"}],"wp:attachment":[{"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/media?parent=39766"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/categories?post=39766"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.panfletonegro.com\/v\/wp-json\/wp\/v2\/tags?post=39766"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}