Autor Tema: Vulnerabilidad en wordpress 2.0 y 2.01  (Leído 14111 veces)

Desconectado Dabo

  • Administrator
  • *
  • Mensajes: 15197
    • http://www.daboblog.com
Re: Vulnerabilidad en wordpress 2.0 y 2.01
« Respuesta #30 en: 13 de Marzo de 2006, 05:22:57 pm »
Hola, pues si que está interesante la verdad, yo no puedo estar mucho pero está muy bien, Pau lo de alarmismo o no es cuestion de puntos de vista, hay un montón de sites con el path visible y de todos modos, a lo de Halo yo añadiria alguna cosa más, eso que comenta es más o menos lo normal o lo que debería hacer alguien que se preocupa por lo que tiene funcionando  pero asi rápido y sin tiempo algo que he dicho en el foro de Linux, trabajar localmente con las aplicaciones y probar y testear hasta que te aburras y luego subirlo, se puede hacer también mucho a nivel de Apache y además de todo eso expuesto que está muy bien y si no queréis tener problemas con muchas aplicaciones potencialmente peligrosas probar  mod security, http://www.modsecurity.org , un firewall de aplicaciones compatible con vuestro iptables que además de Open Source tiene el reconocimiento de una gran parte de la comunidad de seguridad. Puede que salg aun Bug para vuestro CMS y que sin estar parcheado no llegue  a afectaros, leer los doc y me contáis.

Ya digo, se podría hacer mucho tambien con MySQL, comprobar que tipo de conexiones escucha (locales, remotas), puertos etc etc , afinar el PHP y como he dicho un montón de cosas a nivel de Apache pero vaya, sigo diciendo que para Wordpress tapar eso es un momento, si ellos no quieren pues es cuestion de Wordpress y cada uno que haga lo que estime conveniente, eso si, si el server no tiene configurado el PHP como os comentaba, no parchearlo sería asumir un riesgo de seguridad innecesario aunque  la mayor seguridad es quitar el Cable XD.

Me ha encantado charlar con vosotros bros, dejo este hilo para meterme en otros lios XD, siempre se aprende mucho con tan buenos ponentes :D
Hacking, computing, are in my blood, are a part of me, a part of my life...Debian GNU/Linux rules.

Twitter; @daboblog --> http://twitter.com/daboblog

www.daboblog.com | www.debianhackers.net | www.caborian.com | www.apachectl.com | www.hackeando.com | www.davidhernandez.es

Desconectado Dabo

  • Administrator
  • *
  • Mensajes: 15197
    • http://www.daboblog.com
Re: Vulnerabilidad en wordpress 2.0 y 2.01
« Respuesta #31 en: 13 de Marzo de 2006, 05:44:07 pm »
De todos modos estoy leyendo el hilo entero como a nosotros nos gusta comentar sobre lo que sea (a mi el primero) puede que alguno se "asuste" un poco con tanta información XD.

Porque ya estamos casi hablando de seguridad a nivel de server y ahí cada maestrillo tiene su librillo

Resumen rápido;

Había una vulnerabilidad en Wordpress XSS que para mi no lo es tanto al necesitar estar loggeado como admin en vuesto wp. Ese tema se ha corregido.

Luego hay un Bug provocado por la relacion entre 17 archivos que al ser invocados via navegador, fallan y devuelven el "path" o la ruta completa de vuestro wp o resto de webs, esto lo podéis comprobar escribiendo;

www.vuestrodominio/wp-settings.php

Si aparece un mensaje así; (sacado de un site no pequeño precisamente)

Warning: main(ABSPATHwp-includes/wp-db.php): failed to open stream: No such file or directory in /home/XXXXXXXXX/public_html/wp-settings.php on line 73

Fatal error: main(): Failed opening required 'ABSPATHwp-includes/wp-db.php' (include_path='.:/usr/lib/php:/usr/local/lib/php') in /home/XXXXXXXXX/public_html/wp-settings.php on line 73

Donde /home/XXXXXXXXX/public_html/  es el path o la ruta

3 opciones,

1ª, hacéis click en la url que os he puesto y os sale en blanco, vuestro server está bien configurado

2ª, hacéis click y se ve algo como lo que os he puesto, parcheais los 17 archivos o cogéis el que he parcheado yo

3ª, hacéis click, sale lo de arriba (el path) no hacéis nada y el path será visible

Saludos !

Hacking, computing, are in my blood, are a part of me, a part of my life...Debian GNU/Linux rules.

Twitter; @daboblog --> http://twitter.com/daboblog

www.daboblog.com | www.debianhackers.net | www.caborian.com | www.apachectl.com | www.hackeando.com | www.davidhernandez.es

Desconectado halo

  • Pro Member
  • ****
  • Mensajes: 541
Re: Vulnerabilidad en wordpress 2.0 y 2.01
« Respuesta #32 en: 13 de Marzo de 2006, 06:37:14 pm »
Hola Dabo :-d

Citar
Hola, pues si que está interesante la verdad, yo no puedo estar mucho pero está muy bien, Pau lo de alarmismo o no es cuestion de puntos de vista

Con el paso del tiempo se vuelve cuantificable. Cuando es reportado un error de seguridad al bug tracking correspondiente lo primero que se hace es probarlo y lo siguiente evaluar riesgos. Si se decide solucionarlo en el CVS y consideran que no es necesario sacar una nueva versión, el hecho de que pase el tiempo y no aparezcan casos de gente afectada les da la razón. Se evaluó correctamente el riesgo.

Citar
Hay un montón de sites con el path visible

Hayan muchos o hayan pocos sigue siendo cosa del servidor.

Citar
y de todos modos, a lo de Halo yo añadiria alguna cosa más, eso que comenta es más o menos lo normal o lo que debería hacer alguien que se preocupa por lo que tiene funcionando

Ésto sí que es subjetivo, lo que es normal y lo que no. Cuando uno escribe algo ha de tener claro a quien va dirigido para así poder adecuar el lenguaje correctamente. No sería útil tratar de explicarle a Alonso cual es la trazada correcta, y sí lo sería explicárselo a un chaval que empieza en el mundo del Karting. Si el contenido de la noticia lleva implícito que está dirigida a gente que no es capaz de ver que nosequearchivo.php=? no es nigún archivo, mucho me temo es que inútil tratar de explicarles cómo configurar un servidor a grandes rasgos y dar por hecho que cumplen un plan, que por otra parte es personalizable y no sirve a todos por igual, a la que le falta algo sin el cual es inútil: las rutinas. Ese plan no sirve a todos y por tanto no todo el mundo puede o ha de cumplirlo, habrá quien cumpla un 20% del plan y sea suficiente y habrá para quien ese plan sea un 5% del suyo.

Citar
  pero asi rápido y sin tiempo algo que he dicho en el foro de Linux, trabajar localmente con las aplicaciones y probar y testear hasta que te aburras y luego subirlo,


Eso es un error, pues las posibilidades de que estén configurados de la misma manera los servidores es escasa. Intuyo lo que estás pensando, pero dudo mucho que una persona que sea capaz de configurar de esa manera Apache se nutra de la información que nosotros podemos aportar, pues es necesario unos conocimientos muy altos.

Citar
se puede hacer también mucho a nivel de Apache y además de todo eso expuesto que está muy bien y si no queréis tener problemas con muchas aplicaciones potencialmente peligrosas probar  mod security, http://www.modsecurity.org , un firewall de aplicaciones compatible con vuestro iptables que además de Open Source tiene el reconocimiento de una gran parte de la comunidad de seguridad. Puede que salg aun Bug para vuestro CMS y que sin estar parcheado no llegue  a afectaros, leer los doc y me contáis.

En nuestro caso no tenemos acceso a ese nivel. Tal vez algún día nos hagamos mayores y demos el estirón :haha: :haha: :haha:

Citar
Ya digo, se podría hacer mucho tambien con MySQL, comprobar que tipo de conexiones escucha (locales, remotas), puertos etc etc , afinar el PHP y como he dicho un montón de cosas a nivel de Apache pero vaya, sigo diciendo que para Wordpress tapar eso es un momento, si ellos no quieren pues es cuestion de Wordpress y cada uno que haga lo que estime conveniente, eso si, si el server no tiene configurado el PHP como os comentaba, no parchearlo sería asumir un riesgo de seguridad innecesario aunque  la mayor seguridad es quitar el Cable XD.

Me ha encantado charlar con vosotros bros, dejo este hilo para meterme en otros lios XD, siempre se aprende mucho con tan buenos ponentes :D

Sí, realmente puedes hacer tanto como quieras o estés dispuesto, pero, a no ser que la seguridad sea tu hobby, has de buscar rentabilidad, en este caso no económica, pero sí de tiempo.

Saluetes.
Condemnation , Tried , Here on the stand , With the book in my hand , And truth on my side
Accusations , Lies , Hand me my sentence , I'll show no repentance , I'll suffer with pride If for honesty , You want apologies , I don't sympathize...

Desconectado Dabo

  • Administrator
  • *
  • Mensajes: 15197
    • http://www.daboblog.com
Re: Vulnerabilidad en wordpress 2.0 y 2.01
« Respuesta #33 en: 13 de Marzo de 2006, 07:39:46 pm »
Por eso Bro es cuando digo antes;

Resumen rápido;

Había una vulnerabilidad en Wordpress XSS que para mi no lo es tanto al necesitar estar loggeado como admin en vuesto wp. Ese tema se ha corregido.

Luego hay un Bug provocado por la relacion entre 17 archivos que al ser invocados via navegador, fallan y devuelven el "path" o la ruta completa de vuestro wp o resto de webs, esto lo podéis comprobar escribiendo;

www.vuestrodominio/wp-settings.php

Si aparece un mensaje así; (sacado de un site no pequeño precisamente)

Warning: main(ABSPATHwp-includes/wp-db.php): failed to open stream: No such file or directory in /home/XXXXXXXXX/public_html/wp-settings.php on line 73

Fatal error: main(): Failed opening required 'ABSPATHwp-includes/wp-db.php' (include_path='.:/usr/lib/php:/usr/local/lib/php') in /home/XXXXXXXXX/public_html/wp-settings.php on line 73

Donde /home/XXXXXXXXX/public_html/  es el path o la ruta

3 opciones,

1ª, hacéis click en la url que os he puesto y os sale en blanco, vuestro server está bien configurado

2ª, hacéis click y se ve algo como lo que os he puesto, parcheais los 17 archivos o cogéis el que he parcheado yo

3ª, hacéis click, sale lo de arriba (el path) no hacéis nada y el path será visible

Saludos !


Porque me lo paso como dios hablando de estas frikadas con vosotros y creo que se aprende mucho en general pero se nos va o se me va la pinza  :destroyer: y de ahí el resumen, yo mismo lo he releido y me he puesto en el lugar de alguien que tiene poco tiempo y no tiene acceso al server, estarás de acuerdo conmigo en que con lo que he puesto se entera supongo que casi cualquiera (además ojo que yo me lo curré XD y puse el código para que sea más fácil pero es que Antonio de Mangas verdes ya lo ha puesto por carpetas jeje).

La verdad es como he dicho cada uno tiene su manera de trabajar, yo sigo con la mía y digo la que para mi sería la situación ideal que no quiere decir que sea la única o correcta, a mi me queda mucho por aprender, todos los días me voy a la cama con algo nuevo que me ronda la cabeza pero realmente me gusta, ahora tengo en pruebas en local Apache 1,3 , 2.0.54 y 2,2.0 con varias versiones de PHP y MySQL 3,23, otra 4,1 y una versión 5.0.

¿Porque lo hago? porque me gusta, hay gente que con el ordenador hace otras cosas, a mi me gusta lo que hago, así y todo me equivoco como cualquiera pero cierto es que ahora trabajo más a gusto.

Saludos -:) nos leemos !

Hacking, computing, are in my blood, are a part of me, a part of my life...Debian GNU/Linux rules.

Twitter; @daboblog --> http://twitter.com/daboblog

www.daboblog.com | www.debianhackers.net | www.caborian.com | www.apachectl.com | www.hackeando.com | www.davidhernandez.es

 

Aviso Legal | Política de Privacidad | Política de Cookies

el contenido de la web se rige bajo licencia
Creative Commons License