Hacking con Archive.org "The Wayback Machine"

La realización de procesos de hacking con buscadores puede dar muchas sorpresas. Shodan, Robtex, por supuesto Google o Bing pueden ofrecer resultados que no te encuentres en la página web que estas auditando, debido al momento en que el buscador hizo la prueba y la copia del sitio que se capturó cuando se hizo. Hoy le quiero echar un ojo a Archive.org "The Wayback Machine", que te puede dar también alguna alegría, y os dejo algunas cosas que puedes sacar de él.

1.- Obtener todas las URLs históricas de un sitio

El otro día, en el artículo de Técnicas para descubrir los ficheros de un sitio web, hacía referencia a Archive.org como forma de generar una lista de URLs históricas de un sitio para poder utilizarlas en un diccionario. La forma de sacarlas todas es utilizando un par de * en la URL, tal y como se puede ver en esta captura, donde aparecen las URLs históricas de consultants.apple.com.

Figura 1: 1.492 URLs capturadas para este dominio

Como se puede ver, hay que usar un par de asteriscos. Uno en la parte de la fecha de la copia, y otro después del nombre del sitio. Esta tabla es fácilmente analizable por cualquier script para sacar las URLs, y es la que meteremos en FOCA.

2.- Copias históricas del mismo archivo

Como se puede ver en la imagen, en la tabla aparece el número de copias distintas que se han recogido, así que podremos saber si hay varias aplicaciones distintas en el pasado. Por ejemplo, si filtramos por TXT los resultados para ver los cambios en robots.txt vemos que hay 13 copias diferentes que deberemos analizar.

Figura 2: 13 copias distintas de robots.txt en Archive.org

3.- Metadatos históricos

Al igual que los ficheros de aplicaciones o el robots.txt, una de las mayores utilidades es la de poder sacar diferentes copias de los documentos ofimáticos, pudiendo obtener versiones con metadatos distintos en cada una de ellas.

Figura 3: De este documento hay 2 copias diferentes

4.- Navegar por el tiempo hasta el punto de fallo

Como todo buen buscador, puede llegar al sitio adecuado en el momento preciso, así que podría ser que incluso pillara al servidor web en algún momento con un fallo de seguridad. Así podríamos navegar por páginas web aparentemente normales, como macameria.php en todas sus versiones.

Figura 4: MacAmerica.php y su barra de navegación en el tiempo

Y podría suceder como en este caso que una de las copias fuera pillada con el código fuente PHP del sitio entregado al buscador, y obtendríamos nuevos resultados, y nuevas URLs.

Figura 5: Una copia de MacAmerica.php en Archive.org devuelve el código PHP con comentarios y todo

Vamos, que si tienes que hacer un pentesting a un sitio web que ya lleva un tiempo en Internet, no te olvides de darte una vuelta por su pasado, no vaya a tener fotos con hombreras en el album de fotos o medio desnudo o con el pelo corto, traje y corbata...- oh, wait -.

Saludos Malignos!