Desde que estoy enredando con Apple, me estoy encontrando cosas de lo más curiosas. Primero las carpetas de los usuarios que comparten su disco por AFP sin usuario ni contraseña, luego los servidores XServe con los discos RAID con contraseñas por defecto y ahora esto, que es de lo más curioso.
La historia comienza un viernes como otro cualquiera en el SOCtano, mucho curro y momento de juntarse para intercambiar rápidas ideas o experiencias entre la gente. En esta ocasión Silverhack andaba por allí y le dije. "Oye, si tenéis alguna idea para investigar con Apple avisadme, que estamos mirando cosas". A esto contesta que en un curso, jugando con Shodan, a uno de sus asistentes le había dado por buscar iPhone en Shodan. "¿Cómorl?"
Dicho y hecho, al llegar por la noche a casa me puse a enredar con este tema. Es cierto que se puede instalar un servidor web en los dispositivos iPhone. Puedes instalar Apache, Lighttp o casi lo que quieras. Buscando iPhones en Shodan aparecen servidores por todo el mundo.
Figura 1: Servidor Apache sobre iPhone descubierto con Shodan
Por supuesto, para no ser menos, también tenemos hasta un servidor http sobre iPhone descubierto en... España. ¿Eres tú?
Figura 2: Servidores web en iPhone de distintos tipos. Uno en España
No sé cuanta gente comprará una dirección IP fija para conectar su iPhone a Internet, ni cuantos operadores a nivel mundial darán direcciones fijas a sus clientes de telefonía con iPhone, pero deben ser pocos. Es por eso que llama la atención que justo, en el momento que están haciendo las pruebas, llegue la araña de Shodan y te indexe... ¡Qué putada!
La gracia es que, claro, si montas un servidor web en tu iPhone, es para hacer alguna freakada, y ¿qué mejor que poner una aplicación PHP para ver tus contactos?Así, en uno de los móviles,...bingo, aplicación de contactos actualizada con fecha del mismo viernes. Es decir, que debía de estar en ese momento con las pruebas, y recien indexado por Shodan. ¿Ya es casualidad, no?
Figura 3: Aplicación de contactos en iPhone vía web
Por supuesto, una vez que entras, se puede ver volcada toda la agenda del móvil. NOTA: En ningún momento ha pedido credenciales de acceso.
Figura 4: Lista de contactos publicados en Internet
Buscando por Internet, la verdad es que me costó encontrar más móviles que o estuvieran online en ese momento, pero pensé... si ha llegado Shodan... ¿por qué no Google? Así que busqué por Internet a ver si algún otro iPhone con servidor Web había sido indexado en Google y... Bingo, en la caché es posible encontrar iPhones indexados por la araña de Google.
Figura 5: Servidor web en iPhone cacheado en Google
Es curioso que pase esto, pero, lo sorprendente, es que no pasa solo con los iPhones, sino que también es posible descubrir servidores Web en iPods...
Figura 6: Servidors web en iPods descubiertos por Shodan
Al final, dentro de poco, la leyenda urbana de las empresas que montaban sus CPDs con Play Station y Furbys migrará a los iPods. ¿Malware distribuido a través de servidores web en iPhone? ¿Qué nos deparará el ifuturo?
Saludos Malignos!
La historia comienza un viernes como otro cualquiera en el SOCtano, mucho curro y momento de juntarse para intercambiar rápidas ideas o experiencias entre la gente. En esta ocasión Silverhack andaba por allí y le dije. "Oye, si tenéis alguna idea para investigar con Apple avisadme, que estamos mirando cosas". A esto contesta que en un curso, jugando con Shodan, a uno de sus asistentes le había dado por buscar iPhone en Shodan. "¿Cómorl?"
Dicho y hecho, al llegar por la noche a casa me puse a enredar con este tema. Es cierto que se puede instalar un servidor web en los dispositivos iPhone. Puedes instalar Apache, Lighttp o casi lo que quieras. Buscando iPhones en Shodan aparecen servidores por todo el mundo.
Figura 1: Servidor Apache sobre iPhone descubierto con Shodan
Por supuesto, para no ser menos, también tenemos hasta un servidor http sobre iPhone descubierto en... España. ¿Eres tú?
Figura 2: Servidores web en iPhone de distintos tipos. Uno en España
No sé cuanta gente comprará una dirección IP fija para conectar su iPhone a Internet, ni cuantos operadores a nivel mundial darán direcciones fijas a sus clientes de telefonía con iPhone, pero deben ser pocos. Es por eso que llama la atención que justo, en el momento que están haciendo las pruebas, llegue la araña de Shodan y te indexe... ¡Qué putada!
La gracia es que, claro, si montas un servidor web en tu iPhone, es para hacer alguna freakada, y ¿qué mejor que poner una aplicación PHP para ver tus contactos?Así, en uno de los móviles,...bingo, aplicación de contactos actualizada con fecha del mismo viernes. Es decir, que debía de estar en ese momento con las pruebas, y recien indexado por Shodan. ¿Ya es casualidad, no?
Figura 3: Aplicación de contactos en iPhone vía web
Por supuesto, una vez que entras, se puede ver volcada toda la agenda del móvil. NOTA: En ningún momento ha pedido credenciales de acceso.
Figura 4: Lista de contactos publicados en Internet
Buscando por Internet, la verdad es que me costó encontrar más móviles que o estuvieran online en ese momento, pero pensé... si ha llegado Shodan... ¿por qué no Google? Así que busqué por Internet a ver si algún otro iPhone con servidor Web había sido indexado en Google y... Bingo, en la caché es posible encontrar iPhones indexados por la araña de Google.
Figura 5: Servidor web en iPhone cacheado en Google
Es curioso que pase esto, pero, lo sorprendente, es que no pasa solo con los iPhones, sino que también es posible descubrir servidores Web en iPods...
Figura 6: Servidors web en iPods descubiertos por Shodan
Al final, dentro de poco, la leyenda urbana de las empresas que montaban sus CPDs con Play Station y Furbys migrará a los iPods. ¿Malware distribuido a través de servidores web en iPhone? ¿Qué nos deparará el ifuturo?
Saludos Malignos!
Cuando busqué hace tiempo iPhones conectados, directamente iba a por los que llevaban lighttpd, y había unos cuantos. ¿Lo mejor? Si lo tenían, implicaba que llevaban jailbreak, y con ello, su SSH abierto.
ResponderEliminarLo malo es la contraseña para acceder, que todos la cambian nada más hacer el jailbreak...:)
Ya lo dices en el título, priceless.. luego todavía se oyen tonterías de privacidad (or the lack of it) de los mismos de siempre..
ResponderEliminarMira Moxie, que bien se lo pasa ultimamente por figurar en el listín de teléfonos de un amigo suyo..
http://news.cnet.com/8301-27080_3-20023341-245.html
En fin, que tenga suerte, aunque de ser yo el, no tocaría ese portátil y teléfono jamás, y menos conectado a red..
Saludos!
Wi
Del mismo modo que has encontrado en iPhone, seguro que algo aparecerá en Android. ¿symbian? Pues sí. También en symbian aparecen equipos. Pero así, en 3 segundos, no puedo continuar jugando...
ResponderEliminarHola maligno, muy bueno el post. quería consultarte por el webcast de html5 esta aquí, porq yo me había anotado pero no pude asistir porq tuve q ayudar a mi papa a pintar mi dormitorio (WTF?!), osea, abrí el navegador para verlo pero cuando me vio sentado me dijo q lo ayude y no pude negarme. en las grabaciones de microsoft este no esta, van a subirlo o ya esta, ya perdí la oportunidad de verlo?
ResponderEliminarvengo siguiendo el blog hace un par de meses, estoy aprendiendo de a poco, quiero ver hasta donde llego jeje. muy bueno el blog
Me sorprende que te sorprendas Maligno...
ResponderEliminarTambién Android tiene servidores web para sus dispositivos y servidores FTP ^_^
@scan, soy fácil de sorprender. Me sorprende que alguien ponga un servidor web con sus contactos sin poner password... soy un clasicote... };)
ResponderEliminar@scan, soy fácil de sorprender. Me sorprende que alguien ponga un servidor web con sus contactos sin poner password... soy un clasicote... };)
ResponderEliminarEste es el tipo de cosas que hacen que iPhone se venda mas que la mierda de WP7.
ResponderEliminarOla. Felizidad por to blog y por tener tiempo pa teclear. Concretamente quiero hacer una pequeña referencia al tema de la IP fija, ya que parece por lo comentado, en este blog y en otros, que es algo raro de tener y potestad de grandes compañias. En EX-paña, el operador Ono, te facilita una IP FIJA, por un adicional de 6 eurillos al mes. Como podeis ver, no es tan complicado tener una ip fija. Hago referencia a ¡o nO! por que es la que yo uso y por que despues de testear varias compañias, NINGUNA en España, me pudo facilitar información de como configurar el "Bucle invertido" en sus routers y poder acceder al server desde la Intranet. Un saludo.
ResponderEliminar