El rincón de Zerial

La semana pasada he descubierto una vulnerabilidad Cross-Site Scripting (XSS) en el sitio web de RedBanc.
Redbanc S.A.. es una empresa que presta servicios de interconexión bancaria, es decir permite a los clientes de todos los bancos asociados realizar distintas operaciones, depósitos, transferencias, giros, etc. a través de una red cajeros automáticos, que son computadores [...]

[Leer Más →]

Para los que no saben lo que es la tarjeta bip:

Este sistema de pago del transporte público de Santiago, tiene un sistema que nos permite monitorear en línea los saldos y los movimientos de nuestra tarjeta y de ésta forma saber dónde cargamos con dinero la tarjeta, en qué buses o metro la usamos, cuánto [...]

[Leer Más →]

Para complementar un poco lo que publicó d3m4s1@d0v1v0 en ITFreekZone sobre el Reflected XSS mediante SQL Injection, me gustaría demostrarles otra manera de realizar Cross-Site Scripting aprovechandose de una vulnerabilidad de inyección SQL.
La teoría es muy sencilla, basta con que encontremos un sitio vulnerable a inyección SQL, no importa que tenga protecciónes contra comillas simples [...]

[Leer Más →]

La idea de este post es crear una lista de sitios que no se preocupan por la protección de datos, ya sea de la misma empresa o bien de personas (clientes o empleados). Si bien estos errores son cometidos por el desarrollador o programador de la plataforma, los que se deben preocupar de que el [...]

[Leer Más →]

El sitio de Eduardo Frei está hecho en Drupal, un CMS (o CMF) libre que podemos descargar y examinarlo, para saber cómo trabaja, directorio de módulos o plugins, themes, etc. Pero basta con leer el código fuente del sitio para saber la ubicación de éstos.

Vamos a probar con las típicas rutas de Drupal para iniciar [...]

[Leer Más →]

Esta es mi tercer objetivo, la empresa Golden Data. Hace un tiempo escribí cosas relacionadas a esta empresa donde mostraba una serie de vulnerabilidades del tipo XSS y Full Path/File disclosure, entre otras.

En ese momento, me comuniqué con los encargados e intercambiamos 4 o 5 correos. Les comuniqué que tanto su sitio como sitios de [...]

[Leer Más →]

Hace un par de semanas tuve la idea de crear un repositorio online de vulnerabilidades web y junto a gente de Insecurity hemos puesto en marcha un proyecto que actualmente aloja a más de 150 sitios chilenos expuestos a distintas vulnerabilidades web como xss, sqli, rfi, lfi, etc.
El fin de todo esto es tener este [...]

[Leer Más →]

El segundo sitio objetivo corresponde a la empresa WebSeo. Debo admitir que a esta empresa no le he informado sobre sus vulnerabilidades por una simple razón: Ellos son expertos en SEO por lo que saber qué sitios hablan de ellos, quienes los linkean, etc no debe ser problema para ellos y se enterarán de inmediato.

Tambien [...]

[Leer Más →]

La primera empresa objetivo para el test de calidad de las empresas de hosting y diseño web corresponde a “DCH Comunicaciones“, una empresa que entrega servicios de webhosting y diseño web.

Antes de exponer cualquir cosa, quiero dejar en claro que intenté comunicarme con los encargados (info@dch.cl email que aparece en la web) y no obtuve [...]

[Leer Más →]