Desarrollando América Latina 2012 – Hackathon 2012

Por definición, una hackathon es una mezcla entre marathon y hack. Podríamos pensar que una multitud de hackers se reunirán durante un periodo de tiempo y destrozarán sistemas o hablaran de seguridad, pero no es el caso. Con un equipo de 6 personas como máximo, compuesto principalmente de desarrolladores web, back-end developer, diseñadores gráficos, front-end designer, interactionRead More

Tagged

Mini-Post: Acceso directo a archivos de descarga

Una forma de hacer un bypass a los sistemas de autenticación es poder acceder a archivos “sensibles” que sólo un usuario con autorización debería poder ver. Existen muchos sitios que tienen panel de administración pero no protegen los directorios donde se encuentran los archivos, por ejemplo, imaginemos que el usuario “admin” subió un archivo conRead More

Tagged

Joomla! Password Cracker

Saber como “hashea” las password el cms Joomla! no es algo muy complicado, no tiene ninguna ciencia y es muy facil de entender para intentar crackear algun password obtenido de alguna base de datos. El hash en la base de datos tiene la forma de “HASH:SALT” y la forma en que genera el HASH esRead More

Tagged

Script monitor de sistemas de archivos y particiones

Existen herramientas que nos permiten monitorear distintas cosas en un parque de servidores, como Zabbix, Nagios, etc. Pero hay veces que no es posible, ya sea por recursos o por tiempo, implementar una solución de monitoreo de alto nivel, por lo que recurrimos a los scrtips. Estoy seguro que bash, las llaves publicas y privadasRead More

Tagged

Cómo validar correctamente la descarga de un archivo en php

Este post es debido a un correo que recibí preguntando como evitar el full path disclosure y el directory transversal desde un fichero php que realiza descargas. El error que plantearé a continuación es muy común en muchos sistemas web y ya he publicado varias webs vulnerables con este mismo problema. Corresponde a la formaRead More

Tagged