Esta tarde me metà en la página de la universidad para comprobar si habÃan subido una nota de una asignatura (la respuesta fue que no, estaba cantado siendo domingo). Ya cuando iba a salir de la página vi que el comportamiento del formulario de acceso era bastante raro, esto que piensas, «Yo lo hubiera hecho de otra manera». Y te pones a probar, a añadir cositas a la URL cuando de repente, bingo, consigues acceder a la aplicación web saltándote el necesario log-in. Probé en diferentes navegadores (con el modo privado activado) y diferentes sistemas consiguiendo entrar con la misma alteración.
Conseguà acceso a las notas de todos los alumnos independientemente de la carrera o el curso y a una unidad de red. Vamos, que aquello es una chapuza.
Cuando vi que funcionaba igual siempre ya envié un correo a la gente que administra el sitio y con copia a un profesor de estos majetes con los que te cruzas 35 correos comentando una presentación de Apple y que da la casualidad que lleva años dedicándose a la seguridad (implantando redes en bancos y tal). Yo, de buena fe, con la única intención de que lo arreglaran.
La respuesta de los técnicos es que no se habÃan dado cuenta y lo solucionarán en cuanto puedan. La del juanker maestro,
Hola adrian
Currandotelo un poco mas y aplicando un ataque de fuerza bruta podrias ganar acceso root y cambiar las notas.
Un saludo.
Enviado desde mi iPhone
Y joder. Porque he avisado ya al resto, pero no me digáis que no es tentador forzar un poco. Igual conseguÃa salir en el periódico.
Visto en: Divertidos métodos GET que trabajan a medias.
Deja una respuesta