Errores Recursivos

Recuerdo que en cuando existía la extinta Windows TI Magazine, el señor Carles del Collado mantenía una sección al final de errores. Recuerdo alguno muy gracioso, pero especialmente me llamaban la atención los que se producían en los módulos de tratamiento de errores, como este de una lista de ellos que recogió Gizmodo.


Error creando el informe de error
En alguna auditoría nos hemos colado en el sistema a través, precisamente, de los módulos de tratamiento de errores, y hoy que estaba un poco aburrido, he decidido mirar como estaban los módulos de tratamiento de erroes en la web.

Si he de ser sincero, no me ha dado tiempo a hacer un estudio ni nada parecido y me he quedado en sólo ASP, que no lleva protección de comillas. No he seguido porque con la primera búsqueda en Google me han salido links a sitios vulnerables suficientes como para plantearme la compra de algún kit de explotación y empezar a hacerme mi propia botnet. Os dejo algunos ejemplos curiosos:


Este es el resultado más habitual, SQL Injection en el módulo


Este módulo de reporte de errores se usa en muchas webs y está llenito de SQL Injections


Este me ha hecho gracia por la referencia a XP ... y por tener SQL injection Level 1


Otro más de la misma fiesta


Uno genial, tiene lo que tú quieras


Este sitio me ha encantado porque detecta la comilla ...



...pero no el XSS


El XSS es otro gran habitual
En fin, que ya escribió David Litchfield el paper de Remote Disassembling Web Applications using ODBC error messages, y debía estar claro que los mensajes de error son importantes, pero por si acaso, recalcad que el módulo de tratamiento de es parte de la aplicación también.

Saludos Malignos!