Blind Comment Injection en la ciudad de los krispis

Las técnicas de ataque a ciegas son lo que me está trayendo un poco loco este loco semestre que llevo, que me ha hecho hasta adelgazar unos kilos más (¡y eso que dicen que el alcohol engorda!)

Hoy quiero contaros un experimento empírico realizado con un viejo amigo de todos y fan de las libertades que desde su Internet Corner nos alegra las mañanas, tardes y noches con sus alegres comentarios.

Recientemente se hacía ecode un estudio que ha realizado la gente de Google para analizar donde se aloja el malware en los servidores de Internet. El estudio dice que se aloja por igual en los servidores IIS y Apache. Evidentemente el mensaje subliminal dice: si hay más Linux y tienen el mismo porcentaje de malware entonces IIS es más peor y lo remata con el gran dato de la complejidad de las llamadas.

Porque claro, todos sabemos que mi bicicleta es mucho más segura y más mejor que un complejo Lamborghini Diabolo, solo hay que ver el árbol de funcionamiento. Y esos complejos Formulas 1 llenos de ...llenos de...de ... "cosas", así le va al Kimi ese. Donde esté mi 600 con 4 marchas....


Cuando miras el gráfico de la discordia en el informe de Google, en este link, se ve una cosa muy curiosa, y es que en los países con poca piratería o con un nivel informático alto todo se va hacia Apache, es decir, lo que hace que suba el malware alojado en IIS son los países de ASIA, así la gente de Google dice:

“We suspect that the causes for IIS featuring more prominently in these countries could be due to a combination of factors: first, automatic updates have not been enabled due to software piracy (piracy statistics from NationMaster, and BSA), and second, some security patches are not available for pirated copies of Microsoft operating systems. For instance the patch for a commonly seen ADODB.Stream exploit is not available to pirated copies of Windows operating systems”

A pesar de que esto lo dice la propia gente que ha hecho el informe nuestro amigo dice algo como:

“han comenzado a surgir diversas interpretaciones. Por ejemplo, a la hora de analizar la distribución por países se observa que la presencia de Microsoft IIS es apabullante en los servidores infectados de China y Corea del Sur. Si se tratara de servidores pirata, es de suponer que no estarían convenientemente parcheados. No sé a ustedes, pero a mí tal interpretación -aunque posible- no me convence como argumento exculpatorio…”

Esta teoría NO ha comenzado a surgir va directamente en el informe que ha publicado la gente de Google. No es que Spectra, en su infinito ánimo de gobernar el mundo busque nuevas excusas. Los datos, que hoy tanto le gustan, dicen lo que dicen, así que, como hoy molan los datos, vayamos a los expedientes de seguridad que suceden cosas muy curiosas. La versión 6 de IIS, de allá por el año 2003 tiene los siguientes fallos de seguridad:

Fallos de IIS6.0

Mientras que la versión Apache que salió (de la rama 1.3, la más popular) al mismo (palmo más o palmo menos la 1.3.29) tiempo tiene solo estos otros:

Fallos en Apache 1.3.29

Y eso que a IIS le cargamos los modulos ASP y los de Administración Web y no hacemos lo mismo con el Webmin y el PHP con Apache. Pero esto nuestro amigo aficionado a la seguridad, que no creo que nada más lea la prensa rosa, lo habrá comprobado alguna vez, digo yo.

Venga, cojamos un Apache 1.3.33 del año 2005. ¡Ale!, dos años de ventaja, que sin los mismos módulos tiene 6 en la mitad de tiempo. ¡Que graciosas las mates!. Venga, luego miramos nivel de criticidad, facilidad de explotación, tiempo de exposición al riesgo y demás, pero como he dicho comparando roles completos, como este informe del año 2005: Web Server Role Comparison

Al leer este dechado de virtudes en un tipo “aficionadillo” a la seguridad he pensado en que habría que encontrar un método de ponerle algún comentario para debatir. Esto no es tarea liviana, pues en ese foro de libertad, cualquier cosa que NO comulgue o critique su artículo no será publicada, pues, no tiene tiempo que perder en “debates absurdos” para hacer ver a los demás que él lleva la razón, así que directamente no son publicados.

Tras enviar varios comentarios y ser censurados hemos encontrado el camino. La técnica, como marcaba el título, es a ciegas, así que hemos tenido que indagar en los resultados del resto de los comentarios y un viejo amigo por fin consiguió que le admitiera el comentario, solo había que utilizar un sencillo proceso.

Os posteo el mail del momento final del éxito en el cual se nota la euforia contenida de nuestro primer comentario en la ciudad de los krispis:

“Ya he conseguido que me publique todos los comentarios.

El secreto está en dos claves:

* Titular: "La culpa es de M$" (nótese el símbolo del dólar)
* Decir subnormalidades

¿Por qué no participas en este apasionante reto? ¿Hasta qué punto es capaz de publicar retrasadeces mentales y negar comentarios que no comulguen con su ideología? ¡Participa!

Este es de mi cosecha:
http://www.kriptopolis.org/conclusiones-ciberataques-a-estonia#comment-16106"

Y ahí luce el dechado de inteligencia que se mandó, y que lógicamente pasó el filtro:

La culpa es de M$
Enviado por alguien el 31. Mayo 2007 - 0:36.
Claro, porque está clarisimo que el software libre, por el hecho de ser libre, aguantaría cualquier ataque DDOS mucho mejor que otros productos. Su tolerancia es mayor. Si el monopolio fuese de otros productos, otro gallo cantaria.”

Como veis, totalmente argumentado y fácilmente comprobable, y, dentro de su política de libertad, ese comentario ha entrado, así que ¿a que esperas? Pon el tuyo!! Seguramente con un ”M$ es la culpable de que la vida esté mu cara” y luego pones algo así como “todo el mundo sabe que con Software Libre hasta el café valdría más barato” seguro que te llevas to el premio!

Ánimo, ¡sé libre y usa la técnica de Blind Comment Injection!