miércoles, 25 de mayo de 2016

Un Ayuntamiento {el de Córdoba} promiscuo y descuidado

La seguridad informática es divertida y en muchos casos excitante, ya que puedes llegar a ver a la web de una empresa desnuda, y cuando eso ocurre, merece la pena las horas que les eches intentando buscar algo interesante y esto, es lo que ocurrió con el Ayuntamiento de Córdoba, que lo conseguí ver totalmente desnudo.


Todo empezó por el siguiente tweet que me encontré, en el cual se mencionaba una fiesta taurina-con motivo de que este mes se celebra la Feria de Córdoba-.


Y el caso es que yo estoy totalmente en contra del maltrato animal, y me parece mal que se anuncie pero sobre todo, me parece mal que se celebren estas "fiestas", cuales romanos que tiran a hombres a los leones, pero mi lamentación no es por lo que le pase al torero, no, a ese me da igual, me preocupa el pobre e indefenso. Lo que nace en mi un sentimiento de querer cerrar, en primer lugar dicha "fiesta", seguido de la feria, pues son igual de partícipes en este maltrato permitiendo esto-si no lo entendéis es como el testigo o el que obstruye en un caso, es igual de partícipe- y por último lugar, nace en mi un sentimiento de querer echar el cierre al ayuntamiento de Córdoba y que todos sus trabajadores queden en paro. Lo que me obligó a buscar cualquier fallo de seguridad en sus sistemas, lo que en teoría y aplicando la ley, deberían echar el cierre a su web-de donde pueden obtener beneficios, entre otros, por la publicidad-.

Y es que la Ley, es claro, un sistema que no haya pasado una auditoria en profundidad, no debería estar pública en Internet, lo mismo que si no apruebas selectividad, no entras en la Universidad, exactamente lo mismo. Así que si quería conseguir algún fallo de seguridad, y no fue difícil.


Lo primero que me encontré, fue lo mismo que afectaba a Iesbi, el problema del htaccess; el cual muestra la versión del Apache, una fuga de información bastante importante, puesto que cualquiera podría preparar un exploit determinado para esa versión. Pero me animé a seguir buscando, ya que webs del ayuntamiento no es solo Cordoba.es, sino las que tengan un nombre y seguido de.cordoba.es, es decir, por ejemplo micasa.cordoba.es, pertenece también al ayuntamiento y si tenían una fuga de información en su dominio principal, lo lógico es pensar que también lo tendrán en todos sus demás dominios.


Siguiendo, encontré que en uno de sus dominos, tenían un problema, y es que se dejaban los listings abiertos, y buscando, di con ese archivo php, que cuanto menos, es interesante.


Y aquí reside su gran problema, ya que muestran mucha, demasiado información interna y de bastante valor para cualquier atacante, que sin duda, va a aprovechar.

Para mi, estas webs, no deberían estar públicas si no se ha pasado una buena auditoria de seguridad, ya que además de manejar datos de clientes, son webs del ayuntamiento de Córdoba, y cuanto menos, deberían, desde arriba, preocuparse más por la seguridad, ya que un ataque a su organización, pueden conllevar pérdidas económicas mucho más grandes que ver si se suben o no impuestos.

Hasta la Próxima Malvados!

No hay comentarios:

Publicar un comentario

Related Posts Plugin for WordPress, Blogger...

Entrada destacada

El server me sabe a poco.

Soy un fanático del Rock y de Debian . (Creo que voy a inventar Rockbian, que suena bien y todo xD) Llevaba tiempo queriendo unir estos 2 c...