Un foro que usa Drupal {Un Black Hat} te muestra los usuarios, solo debes ser un White Hat

Hay mucha gente que se cree que si una web muestra metadatos o si una web muestra los famosos Changelogs, que alguna que otra vez he contado como en la entrada de "Hacerse con un país, aprovechando fallos de seguridad nivel principiante", piensan que son simples fallos sin importancia, es más, alguna que otra vez me han echado en cara que he publicado entradas como esa cuando "no había material hacking". Así que, considero, que hoy es hora de mostrad que lo mismo se equivocaban.

En base a esto, encontré una web de política feminista, y al comprobar sus robots.txt, me di cuenta de que era un Drupal, así que comprobé los Changelogs de dicha web.

Con esto, ya sabes cuál es la versión que tienen instalada y podríamos ver si está o no actualizada a la última versión. Al saber la versión del Drupal, sería hacer algo tan sencillo, como buscar en Google a ver si hay exploits para esta versión de Drupal.

En este caso sí hay, y 257 exploits, para que escojas el que más te guste y hackees el Drupal como más te guste. Pero no pasa nada,  que esto nos es importante, aunque después existan empresas que han sido afectadas por fallos de este tipo.

Extrayendo los metadatos, podemos ver los usuarios que redactan documentos ofimáticos, y para ir probando los usuarios en la web, nos lo podemos pasar a un documento de texto, para poder usarlo en otros tipos de ataques o para si estás haciendo alguna auditoria, ver si se crean nuevos usuarios.

Si probamos los nombres de los usuarios que nos han aparecido y vemos, que no tienen cuenta, nos aparecerá, lógicamente, un mensaje de error, con lo que sabremos que ese usuario, no existe.

Si introduces en la recuperación de la contraseña un usuario válido, te aparecerá un mensaje diciendo que se han enviado instrucciones a tu correo electrónico para recuperar la contraseña, co lo que sabes que el usuario existe y puedes probar a buscar ese usuario en otras redes sociales por si reutiliza el mismo usuario para todo.

En base a esto, yo quería crearme una cuenta, para después escribir mi usuario a ver qué instrucciones son las que envían y en base a eso, preparar un mail de Phishing u otro, pero la verdad es que me fue imporible, porque tenían un captcha imposible de resolver, al menos para mí, es más, esto lo conté en mi cuenta de Instagram con un vídeo :P

Ayuda

Un vídeo publicado por @malvadoalen el 26 de Jul de 2016 a la(s) 12:09 PDT

Así, con esta entrada, creo que dejo ilustrado a todo el mundo que con pequeñas fugas de información, se puede comprometer bastante la seguridad de mucha gente.

¿Hackeamos el mundo?