Integer Overflow & Cross Site Scripting en Portal del Estado Peruano

Hola, esta vez voy a escribir sobre las vulnerabilidades que tiene la web oficial del Estado Peruano,  la cual están vigentes desde ya hace un tiempo, pero bueno no es novedad que estas paginas de Perú sean vulnerables, porque como ya sabemos la mayoría tienen alguna vulnerabilidad que permite a cualquier persona explotar la misma.

Actualmente todas o la mayoría de paginas que pertenecen al Gobierno Peruano, incluido el Gobierno Electrónico e Informático son vulnerables, la cual en lo personal pienso que a ellos no les interesa tener mejor seguridad en sus sitios webs, oh simplemente laboran ahi por el dinero mas no por lo que realmente tienen que hacer como programador o administrador de dichas webs.

¿Pero de que vulnerabilidades estoy hablando?

Pues la pagina http://www.peru.gob.pe/ la cual es del Gobierno de Peru, tiene muchas vulnerabilidades entre las cuales se encuentran el Integer Overflow, Cross Site Scripting & Shell Injection, la cual son las vulnerabilidades mas peligrosas que puede tener un sitio web.

¿Como explotaría estas vulnerabilidades?

• Integer Overflow: Enviando Payloads al MySQL desde el SQLMap y obtener toda la DB.
• Cross Site Scripting: Creando un servidor para robar las cookies del administrador.
• Shell Injection: Subiendo alguna shell desde un upload.

¿Que puede hacer un Hacker Inescrupuloso con estas vulnerabilidades?

• Robar toda la Base de Datos del Sitio Web.
• Llegar a entrar al servidor mediante una shell y rootear el servidor obteneniendo todos los sitios webs del Gobierno.
• Defacear todos los sitios webs rooteados desde el servidor.
• Vender toda la Base de Datos al Mercado Negro.
• Ganar Dinero.
• Elevar su ego.
• Y mucho mas....

¿Que hace un Hacker Ético con estas vulnerabilidades?

• Reportar al Administrador de la web sobre las vulnerabilidades.
• Espera medio año para recibir una respuesta sobre el reporte que ha realizado.

Bueno, ahora veamos los links que contienen las vulnerabilidades.

Sitio Web Oficial:

http://www.peru.gob.pe/

Vulnerabilidades:

http://www.peru.gob.pe/transparencia/pep_transparencia_lista_planes_frame.asp?id=1 Integer Overflow

http://www.peru.gob.pe/directorio/pep_directorio_ent_busq.asp?pag=2&bloquePag=0&dsc_institucion=%22%3E XSS

http://www.peru.gob.pe/directorio/pep_directorio_ent_busq.asp?pag=%22 Integer Overflow

http://www.peru.gob.pe/nuevo_portal_municipal/admin/gen_inicio.asp?txt_clave=>" XSS

& mucho mas que si coloco todo, no acabaría esta entrada...

Ahora como vos sabrás, yo acostumbro a colocar la Base de Datos de la web vulnerable en las entradas, pero en este caso no lo haré por respeto a la web... pero si queres vos podes explotarla fácilmente con los links vulnerables que he colocado, eso ya queda a tu criterio, solo mostrare una imagen de un XSS para que vean que las vulnerabilidades si existen en dicha web...

Cross Site Scripting:

Ahora que opinas de todo esto? 

Crees que en Peru hay buenos Informaticos?

El Peru es digno de Respetar?

Se merece el Peru llamarse Pais de Hackers?

Amas al Peru?

Respondetelo vos mismo...

Bueno, es todo por ahora pero cabe resaltar que el sitio web del Gobierno Electrónico e Informático  (ONGEI) del Perú, también tiene las mismas vulnerabilidades...

Las Vulnerabilidades fueron respectivamente REPORTADAS, solo toca esperar medio año para que sea reparada.

Saludos...