Hacking y Seguridad Informatica

Salu2, bueno pues ayer me di cuenta de algo importante e inseguro por parte de la web de la Ucatec, como bien recuerdan puse una entrada en mi web sobre esta universidad de las vulnerabilidades de full path disclosure que tenia, bueno pero ahora veremos otra vulnerabilidad que esta en mi opinion tiene un nivel mucho mas alto que el anterior, ya que con este podemos entrar facilmente en la cuenta de los estudiantes de la universidad y ver las calificaciones del mismo, trabajos, materias asignadas, etc.
En realidad se trata de algo realmente preocupante de como una universidad implemente este tipo de seguridad y después este asegurando a los estudiantes de la misma insitución que la educación en la misma es eficiente.

Bueno, vamos a la accion, el formulario vulnerable a un bypass es el siguiente:

que se encuentra en la direccion http://www.catec.edu.bo/virtual/

Como se puede ver en la imagen anterior, ese formulario pertenece a la “Plataforma virtual” de la universidad, donde tanto los docentes como los alumnos pueden loguearse para ver el contenido personal del mismo, en este caso notamos a primera vista que nos pide llenar los campos Usuario y Contraseña, en los cuales está la vulnerabilidad, o mejor dicho la foma de bypassear.

Cabe mencionar que en el campo Usuario es donde debe entrar el correo electronico del estudiante, y en el campo Contraseña debe entrar el CI del estudiante, ahora veremos de como podríamos entrar mmm, pues en primera necesitamos el Correo Electronico de un estudiante que por cierto ya lo consegui, despues necesitamos el CI, que también lo consegui, esta es la parte interesante de este tipo de ataque.

Consiguiendo el CI de la Victima:

Bien ahora nuestro trabajo consiste en como conseguir el CI de la victima, mmm pues muy facil, mediante un archivo de la corte electoral donde se encuentran registrados los nombres y los CI de las personas que fueron jurados electorales en las ultimas elecciones, basta con buscar el nombre del estudiante y el CI mediante este archivo y ya estaríamos dentro de la “Plataforma Virtual” de la misma. Se preguntarán como consigo el nombre de la persona?. Bueno debo aclacar que yo soy estudiante de esta universidad y conozco el nombre y apellido de los estudiantes, asi que esta parte ya no fue un problema para mi al igual que el correo electronico.

Seguimos a lo nuestro y nos fijamos si algunos de los estudiantes han sido jurados electorales en la ultima eleccion de este año, y efectivamente hay estudiantes que si lo fueron, que por razones de seguridad y etica me limitaré a colocarles esta lista.

Bien hasta aqui ya tengo el correo electronico de un estudiante y tengo el CI de la misma meidante el documento que les mencione anteriormente, ahora el siguiente paso es loguearnos con esos datos.

Bypass en la plataforma Virtual

Bueno pues en los campos metemos el correo electronico y el CI y obtenemos lo siguiente:

Pues como pueden apreciar, tenemos acceso a la cuenta del estudiante ahora podemos ver todo lo que queramos, desde las materias asignadas asi comom tambien de las calificaciones de la misma de anteriores materias.

La anterior imagen son las calificaciones del estudiante, mmm pienso que no hay nada de malo que comprometa la integridad del mismo, por eso se los muestro

Conclusiones

Bueno para terminar me sorpende que este nivel de seguridad sea tan pobre, en mi opnion lo que deberia implementarse es un PIN de seguridad como primera instancia, el cual se genera a partir de la inscripcion del alumno a la universidad y que sin este no se pueda ingresar a la cuenta del mismo, y no solamente eso, resulta que esta plataforma virtual también sirve para los docentes de la misma universidad, que pasaría si mediante ing social logro conseguir el correo de un docente y resulta que esta en la lista que les mencione, mmmm pues grandes cosas pasarían como por ejemplo podría mandar Malware o algun mensaje a todos los estudiantes diciendoles que es para un trabajo o proyecto, o podria decirles que el dia de mañana por ejemplo, no hay clases jajaja, bueno un sin fin de cosas.
Espero les haya gustado este articulo
salu2
by k43l