Estos días está siendo noticia el grupo LulzSec, Anonymous y la operación #AntiSec, pero información sobre estos temas hay muchísima por Internet, y no creo que pueda aportar nada nuevo, así que en este post voy a contaros un poco de lo que vais a poder ver en la Campus Party de Valencia, que empezará el día 11 de Julio y acabará el 17 del mismo mes:

Esta mañana Jackh4x0r ha decidido hacer pública una vulnerabilidad en las páginas de MySQL (.fr , .it , .de y .jp). Parece ser que había un parámetro vulnerable a Inyección SQL, que encontraron TinKode y Ne0h hace unos pocos meses (aquí el post, necesitas estar registrado). También publicaron que era vulnerable a XSS.

Jackh4xor ha publicado información sobre los peces gordos de MySQL: emails, contraseñas (crackeadas las más importantes), usuarios…

Desde aquí podemos acceder al documento en pastebin.com

Que mala imagen da esto a MySQL, ¿no?

Parece ser que el grupo LatinHackTeam ha puesto en apuros a la página de TeleCinco, aquí un pantallazo:

Hoy Jueves 3 de Marzo, y hasta el Sábado día 5, se celebra en Madrid el congreso Rooted CON’2011. El objetivo de Rooted CON es fomentar el conocimiento: en la edición del 2010 se publicaron varios “0 day”, herramientas tremendamente útiles como FOCA, EMET… y hicieron presencia varias figuras veteranas de España en esto del hacking (entre ellos Rampa y |savage| de Apòstols).

El contenido de este año promete, aquí tenéis un índice de las charlas de esta edición:

Sin duda, ha sido una semana bastante embarazosa para la empresa de seguridad HBGary y a su rama HBGary Federal. El CEO de HBGary Federal, Aaron Barr pensaba que ya tenia los nombres de la mayoría de hackers pertenecientes a Anonymous, y se disponía a nombrarlos y tomar medidas legales por los ataques de Denegación de Servicio (DoS, Denial Of Service) que afectaron a MasterCard, Visa y otros supuestos enemigos de WikiLeaks.

Cuando Aaron Barr dijo esto en público, la respuesta de Anonymous fue rápida y humillante, muy humillante. Rompieron la seguridad de los servidores de HBGary, obtuvieron la base de datos y la publicaron, borraron datos, y modificaron su página web. Como bonus, gracias a los datos obtenidos de este hackeo, atacaron un segundo sitio, propiedad de Greg Hoglund, al igual que HBGary.

Pero, ¿cómo fue este ataque? Al tratarse de una famosa empresa de seguridad, la mayoría de vosotros pensareís que tuvo que ser difícil, con métodos complejos y uso de varias herramientas, ¿no? Pues estáis equivocados.

La página de HBGary Federal usaba un Sistema de Gestión de Contenidos (CMS, Content Management System) bastante pobre en lo que se refiere a seguridad, y con un código que no es precisamente el mejor: CMSes. El ataque fue muy, pero que muy sencillo: Una Inyección SQL. Si, alucinante, una empresa supuestamente experta en seguridad, y en su web tenía uno de los errores más comunes en cualquier web, que puede comprometer un servidor entero.

Bueno, con una vulnerabilidad de Inyección SQL en sus manos, Anonymous atacó la página y salió victorioso. La URL vulnerable fue exactamente esta:

http://www.hbgaryfederal.com/pages.php?pageNav=2&page=27

Tiene dos parámetros o variables, pageNav y page donde una de las dos, o ambas, no eran verificadas correctamente por el CMS, pudiendo obtener datos privados, como usuarios y contraseñas, en vez de los datos que pide la variable.

Un poco irónico que una empresa de seguridad, sea tan insegura, ¿no?