Todos aquellos los que visitan con un mÃnimo de asiduidad Meneame ya se habrán enterado que se descubrió y explotó una vulnerabilidad en el sistema como se puede comprobar aquÃ, como Ricardo Galli, su autor explica en un artÃculo en su bitácora personal: Ricardo Galli, de software libre.
En esa entrada Galli publica tanto las IP’s como los correos electrónicos de los atacantes, además de arremeter contra los mismos a los que dedica un sinfÃn de adjetivos peyorativos referentes a su actuación y a su ortografÃa, destaco aquà algunas perlas:
Hoy un graciosillo se dedicó a buscarle problemas de seguridad el menéame
Hmmm, curioso, les llama graciosillos, el señor Galli como programador que es deberÃa saber mejor que nadie que hay mucha gente que se gana la vida buscando bugs, cobrando por ello, y que estos “graciosillos” lo han hecho gratuitamente.
Encontró al menos uso, en editlink.php. Los que estéis usando el código, urgente actualizad por le menos este fichero. Faltaba un control del argumento de la noticia y un control posterior de que el usuario pueda modificarla.
Comenta por encima el problema, como si de una bobada se tratase, pero remarca la necesidad urgente de actualizar el software. Para terminar dedica unas lecciones gratuitas a los atacantes:
Para la próxima yo dirÃa que dejen su rabia de lado, avisen de los bugs y gasten el tiempo en aprender a escribir correctamente.
¿Rabia?, con el bug que los señores atacantes (Martes13.net) habÃan descubierto podrÃan haber reventado la base de datos de arriba a abajo y haberle hecho perder unas cuantas horas restaurando copias de seguridad amén de unos cuantos megas de datos perdidos, casi seguro, sin embargo solo modificaron una noticia para probar su hallazgo y asà alertar al administrador. ¿Hubiera sido más elegante haberlo comunicado por correo electrónico y que el señor Galli se sacara un parche de la manga?, no lo creo.
Ya lo de la ortografÃa es de risa, pretender desacreditar a los atacantes debido a sus errores ortográficos-gramaticales, o como quieran llamarlos simplemente me parece patético, una salida de tono.
Y de paso, ya que quieren mantener anónima su rabia, que por lo menos aprendan a esconder su identidad como toca. O que den la cara desde el principio, si es que dejan más pistas que Hansel y Gretel.
Me están intentando decir, que unos individuos que han leÃdo el código de menéame, seguramente más de 1 y más de 15 veces, han localizado al menos un error de seguridad y lo han explotado, ¿han querido ocultar su identidad?, ¿Acaso me están contando que esas personas no saben utilizar un proxy u otros sistemas de “camuflajeâ€??, venga ya… creerá Galli tener más conocimientos por haber sacado las IP’s y los correos electrónicos de los atacantes de los logs del sistema…
Daumau, que gentuza. Encima pontifican y van de “expertos�
¡Ay!, que habrá hecho el pobre Ricardo para merecerse esto.
En los comentarios de la entrada del blog de Galli, hay comentarios aun más divertidos que los del propio Ricardo, como por ejemplo el de Minid Diego Calleja ilustrándonos sobre lo que es y lo que no es un hacker, para luego pasar a calificar, de un plumazo a los atacantes:
Lo único que se merecen es ser tratados como vulgares, sucios y asquerosos crackers puesto es como uno de ellos como lo que se han comportado de esa manera: un verdadero hacker jamás se hubiera puesto a modificar páginas y hubiera avisado e incluso mandado un parche, actuando como un verdadero hacker no como un individuo amargado que como único objetivo tiene joder meneame. Qué triste debe ser tener una mente que solo se sacia cuando jode algo de los demás.
El amigo Diego debe de conocer a muchos “verdaderos hackers” y su “modus operandi”. Por lo tanto ya saben, “vulgares, sucios y asquerosos crackers”, ¿y si hubieran limpiado la Base de Datos de menéame entera, cuales serÃan los calificativos?, flipante.
Yo tengo conocidos que con 15 años explotaban agujeros de seguridad en el PHP-Nuke (y en decenas de sistemas públicos y privados que ahora no vienen al cuento), al principio reportaban los bugs y los parches pero cuando se dieron cuenta que Burzi (autor del PHP-Nuke) muchas veces se olvidaba de la autorÃa de los mismos, decidieron tomar otras vÃas, a fin de cuentas es un proyecto de software libre, de colaboración y mejora gracias a la comunidad, comunidad que muchas veces era olvidada. Hoy dÃa, alguno de esos “vulgares, sucios y asquerosos crackers” trabajan en proyectos de seguridad en Linux para la (NSA) Agencia de Seguridad Nacional Americana.
Bueno, ahora ya voy a olvidarme un poco de la defensa del puritano hacker, de la ética en los proyectos de desarrollo comunitario y estas cosas, que al final, me quemo. Navegando un poco por la web de Martes13.net, los individuos autores del ataque en menéame, leo en su última entrada algo un poco desconcertante.
Sr. Gallir, si usted quiere jugar a este juego, yo tambien se jugarlo. Lamentablemente para mi, tengo todavia algo que honor y no hare datos publicos sobre la supuesta vulnerabilidad ni otros datos que pueda haber obtenido. Solo decir que el Sr. Gallir utiliza un algoritmo de encriptacion de passwords conocido como PLAIN TEXT… con esto ya digo todo.
La verdad que me costaba creérmelo, y una de dos, o lo han corregido a raÃz de la publicación de este mensaje, o los integrantes de Martes13.net se han colado en esta ocasión, si revisamos el archivo register.php del código fuente de menéame se puede ver que el sistema encripta en MD5 la contraseña del usuario a la hora de grabarlo en la base de datos:
$password=md5(trim($_POST['password']));
Poco más que decir, que todo esto es muy gracioso, últimamente está muy de moda que la fama traiga consigo la prepotencia.
Actualización: Galli intercambia comentarios con los atacantes, donde revela lo siguiente:
Martes13 > Aun asi, ya sabeis vosotros mismos muy bien lo que implica no utilizar encriptacion…
Gallir> Son cosas distintas, y ya está migrado.
Es decir, que como la gente de Martes13.net publicaba, Gallir estaba guardando las contraseñas sin encriptación, ahora soy yo quien se rie de todas las bobadas que Rivardo Galli dice, como por ejemplo:
Intentar hacer lo que has hecho y dejar tantas pistas para que te cojan, con nombre, apellido, dirección y hasta estudios es de muy novato. Demasiado. No creo que te acepten como scrip kiddie de renombre.
Ergo, no sólo eres un script kiddie, eres también un niñato capullo presuntuoso y que comete una _ilegalidad_ estúpida, lo han pillado más rápido de lo que se pensaba –como el ladrón que se deja el DNI–, y no sólo busca justificaciones tontas, sigue tratando de imbéciles a los demás.
Pero sin duda la que más me gusta es esta:
Nos podemos ver con un juez, me reiré mucho en este caso.
Creo que le señor Galli antes debrÃa leerse algo llamado, como era…¡a si! LOPD: Ley Organica de Protección de Datos, creo que no se lleva demasiado bien con las contraseñas almacenadas en TEXTO PLANO, sin encriptar. ¡Ay!.
Actualización II: Alguien ha meneado esta entrada y gracias a ello, leo en los comentarios de la misma una referencia al Wiki de Mename (el cual no conocÃa), al acceder, en portada se puede leer esto:
(03/03/06)
El dÃa de ayer Menéame sufrió un ataque debido a bug en el código ya convenientemente subsanado. Ricardo Galli recomienda CAMBIAR LA CONTRASEÑA DE USUARIO de Menéame desde tu página de perfil de usuario
Para evitar futuros problemas de estos (seguramente todavÃa hay bugs por descubrir y script kiddies por conocer) las claves de usuarios ya se guardan “cifradas” en MD5. Para los que uséis el software: la migración se hace de forma automática al acceder a los datos de usuario o cuando ese usuario accede al servidor. En todo caso, si queréis aseguraros, ejecutad tomd5.php (está en el directorio scripts), si funciona bien el sistema, está actualizado y el cambio se hizo correctamente indicará “Converted” para todos los usuarios. Si hay alguno que no lo haya estado, forzará la conversión y lo indicará.
Es brutal la prepotencia que ha tenido Galli en arremeter contra los agresores, insultandoles, descalificandoles y desprestigiandoles cuando lo que él ha hecho (guardar contraseñas sin encriptar) es un error de los gordos, de auténtico novato y siquiera ha tenido la decencia de disculparse o de agradecer a los atacantes el descubrimiento de semejante garrafal error de programación y seguridad.
Para aquellos lectores que no tengan conceptos básicos de programación y bases de datos, el guardar las contraseñas sin ningún tipo de encriptación significa que Ricardo Galli y cualquier persona con acceso a la base de datos de usuarios de Menéame (como han sido los atacantes) tenian acceso a las contraseñas de nuestros usuarios de Menéname de foram natural, es decir la contraseña que escribimos al registrarnos, tal cual, sin encriptar, sin codificar, nada.
Actualización III: jajajaja, ¡que no falte el humor!
Encontrado en aNieto2K, realizado con HeteMeel.com
