Hackealo, Crackealo, o la seguridad de Menéame

Todos aquellos los que visitan con un mínimo de asiduidad Meneame ya se habrán enterado que se descubrió y explotó una vulnerabilidad en el sistema como se puede comprobar aquí, como Ricardo Galli, su autor explica en un artículo en su bitácora personal: Ricardo Galli, de software libre.

En esa entrada Galli publica tanto las IP’s como los correos electrónicos de los atacantes, además de arremeter contra los mismos a los que dedica un sinfín de adjetivos peyorativos referentes a su actuación y a su ortografía, destaco aquí algunas perlas:

Hoy un graciosillo se dedicó a buscarle problemas de seguridad el menéame

Hmmm, curioso, les llama graciosillos, el señor Galli como programador que es debería saber mejor que nadie que hay mucha gente que se gana la vida buscando bugs, cobrando por ello, y que estos “graciosillos” lo han hecho gratuitamente.

Encontró al menos uso, en editlink.php. Los que estéis usando el código, urgente actualizad por le menos este fichero. Faltaba un control del argumento de la noticia y un control posterior de que el usuario pueda modificarla.

Comenta por encima el problema, como si de una bobada se tratase, pero remarca la necesidad urgente de actualizar el software. Para terminar dedica unas lecciones gratuitas a los atacantes:

Para la próxima yo diría que dejen su rabia de lado, avisen de los bugs y gasten el tiempo en aprender a escribir correctamente.

¿Rabia?, con el bug que los señores atacantes (Martes13.net) habían descubierto podrían haber reventado la base de datos de arriba a abajo y haberle hecho perder unas cuantas horas restaurando copias de seguridad amén de unos cuantos megas de datos perdidos, casi seguro, sin embargo solo modificaron una noticia para probar su hallazgo y así alertar al administrador. ¿Hubiera sido más elegante haberlo comunicado por correo electrónico y que el señor Galli se sacara un parche de la manga?, no lo creo.
Ya lo de la ortografía es de risa, pretender desacreditar a los atacantes debido a sus errores ortográficos-gramaticales, o como quieran llamarlos simplemente me parece patético, una salida de tono.

Y de paso, ya que quieren mantener anónima su rabia, que por lo menos aprendan a esconder su identidad como toca. O que den la cara desde el principio, si es que dejan más pistas que Hansel y Gretel.

Me están intentando decir, que unos individuos que han leído el código de menéame, seguramente más de 1 y más de 15 veces, han localizado al menos un error de seguridad y lo han explotado, ¿han querido ocultar su identidad?, ¿Acaso me están contando que esas personas no saben utilizar un proxy u otros sistemas de “camuflaje??, venga ya… creerá Galli tener más conocimientos por haber sacado las IP’s y los correos electrónicos de los atacantes de los logs del sistema…

Daumau, que gentuza. Encima pontifican y van de “expertos?

¡Ay!, que habrá hecho el pobre Ricardo para merecerse esto.

En los comentarios de la entrada del blog de Galli, hay comentarios aun más divertidos que los del propio Ricardo, como por ejemplo el de Minid Diego Calleja ilustrándonos sobre lo que es y lo que no es un hacker, para luego pasar a calificar, de un plumazo a los atacantes:

Lo único que se merecen es ser tratados como vulgares, sucios y asquerosos crackers puesto es como uno de ellos como lo que se han comportado de esa manera: un verdadero hacker jamás se hubiera puesto a modificar páginas y hubiera avisado e incluso mandado un parche, actuando como un verdadero hacker no como un individuo amargado que como único objetivo tiene joder meneame. Qué triste debe ser tener una mente que solo se sacia cuando jode algo de los demás.

El amigo Diego debe de conocer a muchos “verdaderos hackers” y su “modus operandi”. Por lo tanto ya saben, “vulgares, sucios y asquerosos crackers”, ¿y si hubieran limpiado la Base de Datos de menéame entera, cuales serían los calificativos?, flipante.

Yo tengo conocidos que con 15 años explotaban agujeros de seguridad en el PHP-Nuke (y en decenas de sistemas públicos y privados que ahora no vienen al cuento), al principio reportaban los bugs y los parches pero cuando se dieron cuenta que Burzi (autor del PHP-Nuke) muchas veces se olvidaba de la autoría de los mismos, decidieron tomar otras vías, a fin de cuentas es un proyecto de software libre, de colaboración y mejora gracias a la comunidad, comunidad que muchas veces era olvidada. Hoy día, alguno de esos “vulgares, sucios y asquerosos crackers” trabajan en proyectos de seguridad en Linux para la (NSA) Agencia de Seguridad Nacional Americana.

Bueno, ahora ya voy a olvidarme un poco de la defensa del puritano hacker, de la ética en los proyectos de desarrollo comunitario y estas cosas, que al final, me quemo. Navegando un poco por la web de Martes13.net, los individuos autores del ataque en menéame, leo en su última entrada algo un poco desconcertante.

Sr. Gallir, si usted quiere jugar a este juego, yo tambien se jugarlo. Lamentablemente para mi, tengo todavia algo que honor y no hare datos publicos sobre la supuesta vulnerabilidad ni otros datos que pueda haber obtenido. Solo decir que el Sr. Gallir utiliza un algoritmo de encriptacion de passwords conocido como PLAIN TEXT… con esto ya digo todo.

La verdad que me costaba creérmelo, y una de dos, o lo han corregido a raíz de la publicación de este mensaje, o los integrantes de Martes13.net se han colado en esta ocasión, si revisamos el archivo register.php del código fuente de menéame se puede ver que el sistema encripta en MD5 la contraseña del usuario a la hora de grabarlo en la base de datos:

$password=md5(trim($_POST['password']));

Poco más que decir, que todo esto es muy gracioso, últimamente está muy de moda que la fama traiga consigo la prepotencia.

Actualización: Galli intercambia comentarios con los atacantes, donde revela lo siguiente:

Martes13 > Aun asi, ya sabeis vosotros mismos muy bien lo que implica no utilizar encriptacion…

Gallir> Son cosas distintas, y ya está migrado.

Es decir, que como la gente de Martes13.net publicaba, Gallir estaba guardando las contraseñas sin encriptación, ahora soy yo quien se rie de todas las bobadas que Rivardo Galli dice, como por ejemplo:

Intentar hacer lo que has hecho y dejar tantas pistas para que te cojan, con nombre, apellido, dirección y hasta estudios es de muy novato. Demasiado. No creo que te acepten como scrip kiddie de renombre.

Ergo, no sólo eres un script kiddie, eres también un niñato capullo presuntuoso y que comete una _ilegalidad_ estúpida, lo han pillado más rápido de lo que se pensaba –como el ladrón que se deja el DNI–, y no sólo busca justificaciones tontas, sigue tratando de imbéciles a los demás.

Pero sin duda la que más me gusta es esta:

Nos podemos ver con un juez, me reiré mucho en este caso.

Creo que le señor Galli antes debría leerse algo llamado, como era…¡a si! LOPD: Ley Organica de Protección de Datos, creo que no se lleva demasiado bien con las contraseñas almacenadas en TEXTO PLANO, sin encriptar. ¡Ay!.

Actualización II: Alguien ha meneado esta entrada y gracias a ello, leo en los comentarios de la misma una referencia al Wiki de Mename (el cual no conocía), al acceder, en portada se puede leer esto:

(03/03/06)

El día de ayer Menéame sufrió un ataque debido a bug en el código ya convenientemente subsanado. Ricardo Galli recomienda CAMBIAR LA CONTRASEÑA DE USUARIO de Menéame desde tu página de perfil de usuario

Para evitar futuros problemas de estos (seguramente todavía hay bugs por descubrir y script kiddies por conocer) las claves de usuarios ya se guardan “cifradas” en MD5. Para los que uséis el software: la migración se hace de forma automática al acceder a los datos de usuario o cuando ese usuario accede al servidor. En todo caso, si queréis aseguraros, ejecutad tomd5.php (está en el directorio scripts), si funciona bien el sistema, está actualizado y el cambio se hizo correctamente indicará “Converted” para todos los usuarios. Si hay alguno que no lo haya estado, forzará la conversión y lo indicará.

Es brutal la prepotencia que ha tenido Galli en arremeter contra los agresores, insultandoles, descalificandoles y desprestigiandoles cuando lo que él ha hecho (guardar contraseñas sin encriptar) es un error de los gordos, de auténtico novato y siquiera ha tenido la decencia de disculparse o de agradecer a los atacantes el descubrimiento de semejante garrafal error de programación y seguridad.

Para aquellos lectores que no tengan conceptos básicos de programación y bases de datos, el guardar las contraseñas sin ningún tipo de encriptación significa que Ricardo Galli y cualquier persona con acceso a la base de datos de usuarios de Menéame (como han sido los atacantes) tenian acceso a las contraseñas de nuestros usuarios de Menéname de foram natural, es decir la contraseña que escribimos al registrarnos, tal cual, sin encriptar, sin codificar, nada.

Actualización III: jajajaja, ¡que no falte el humor!

Einstein enseñando a Ricardo Galli

Encontrado en aNieto2K, realizado con HeteMeel.com

This entry was posted in Blog, Blogocosa, Código abierto, Seguridad/Bugs, Software, Software libre. Bookmark the permalink.

16 Responses to Hackealo, Crackealo, o la seguridad de Menéame

  1. Pingback: meneame.net

  2. Pingback: aNieto2K » El hackeo del meneo

  3. Carlos says:

    ¿minid? ¿Donde? Yo solo veo a un Diego Calleja sin enlace. Y minid me parece que se llama Diego Martín LaFuente.

  4. Spacebom says:

    Tienes toda la razón del mundo Carlos, ya he corregido el error, ¡gracias por avisar!

    David.

  5. Jota says:

    Andres Nieto, Spacebom… y tantos otros… Y digo yo… ¿qué habrá hecho mal Ricardo? Sigo diciendo lo mismo de su menéame… “Qué gran invento hubiera sido… en otras manos”.

    Buena entrada.

    Saludos.

  6. Nukeador says:

    Lo del plain text me ha marcado mucho, no me lo crei al principio, crei que era una broma, lo cual me hace plantearme no volverme a registrar en ningún sitio mas que no tenga la certeza de como se almacenan las contraseñas.

  7. aNieto2k says:

    Jota, en mi opinion, como comento en mi blog, Meneame es una gran aplicación aunque creo que la arrogancia de su fundador le va a traer más de un problema.
    Realmente el tema de las contraseñas es un fallo, que aunq SpaceBom lo maxifique es algo que le puede pasar a cualquiera, pero cuando ese cualquiera va criticando el trabajo de los demás (lee su blog y lo entenderás) normal que se arme tanto jaleo… el diós caido :D

    Personalmente no conozco a este hombre, pero lo que he leido de el… me ha dejado bien claro que con esa actitud lo único que conseguirá son cosas como estas…
    Sigo opinando que meneame es una maravilla e incluso en una ocasión le envie un mail con sugerencias y algunos fallos(menores) que vi…
    Seguiré apoyando el proyecto y sobretodo usandolo.

  8. Pingback: Kamui’s World » Blog Archive » El hackeo de menéame

  9. al says:

    Eso le pasa POR IR DE PUTO GURU DE LA PROGRAMACIÓN que es lo que se cree.

    El meneame tiene los dias contados primero no es un sistema libre, esta muy jerarquizado (lo que va contra sus principios) y Gallir lo unico que quiere es sacarle partido para su gloria personal.

    echen un vistazo a reflexiones como estas:

    http://blogmemes.com/comment.php?meme_id=1316

    o un comentario en barrapunto..

    “menéame a cometido muchos fallos que ya no creo que pueda salvar primero porque su política aunque empeora día a día sus contenidos le da un tráfico muy alto, segundo porque su autor esta más preocupado de sus luchas personales y de utilizar menéame como herramienta de autoridad que de ofrecer un servicio.

    Esto ha echo que además existan demasiadas dudas (muy razonables) de su transparencia. Esperemos que fresqui cree una comunidad interesada en su contenido y no en el continente y que consiga transmitir el espíritu NO JER?RQUICO de digg que en menéame no existe en absoluto, todos sabemos quien manda en el y quien decide como funciona.

    xxxxxxxxxx!”

  10. Spacebom, que bueno el artículo. Se agradece poder leer sobre asuntos de seguridad sin tener que ir a SecurityFocus ;-)

    Mira la ultima perla, ahora se ha hecho amigo suyo.
    Galli Escribio:

    “[…]no se trata del apunte anterior del “ataque? a menéame –que por cierto, uno de ellos ya lo tengo en mi lista del Jabber, y me cae bien el tío…”

    Saludos.

  11. greips says:

    Respecto a la encriptación de contraseñas, qmail almacena las contraseñas del correo en texto plano… lo convierte esto en una mierda de soft? ;-)

  12. Spacebom says:

    @greips: Yo no he dicho nunca, ni lo diré que Meneame sea una mierda, ya que según mi punto de vista no lo es. Por otro lado ¿me vas a comparar el entorno de qmail con la programación de Meneame?. Y aun con todo, qmail, gmail , meneame, y cualquier tipo de aplicación que almacene una contaseña y/o datos sensibles deberian de ser codificados.

  13. indos says:

    excelentisima nota, 101% de acuerdo con la nota publicada.

  14. Pingback: Denken Über » Week-log.166

  15. Andrea says:

    La verdad que si alguien lo hiciera con malicia, sí que se hubieran enterado.
    Sobre lo de la encriptación, alguien leyó en la declaración de privacidad lo que decía sobre esto?

Comments are closed.