Espamex: explotación completa - 16 hallazgos (4 críticos, 5 altos, 4 medios)
This commit is contained in:
Lucy
131
espamex/recon.md
Normal file
131
espamex/recon.md
Normal file
@@ -0,0 +1,131 @@
|
||||
# Reconocimiento y Análisis - Espamex Distribuciones y Representaciones S.A. de C.V.
|
||||
**Objetivo:** https://espamex.com
|
||||
**Fecha:** 2026-03-25
|
||||
**Analista:** Lucy (Consultoría AS)
|
||||
|
||||
## Resumen Ejecutivo
|
||||
Espamex opera un sitio HTML estático detrás de Cloudflare con hosting en cPanel. La superficie de ataque web es limitada gracias a Cloudflare, pero hay hallazgos significativos: archivo .env presente (bloqueado), cPanel accesible a través de Cloudflare, script externo sospechoso cargado desde dominio no confiable, y ausencia total de DMARC/DKIM para protección de email.
|
||||
|
||||
## Infraestructura
|
||||
|
||||
### Sitio Web
|
||||
- **IP:** 172.67.152.126 / 104.21.56.142 (Cloudflare proxy)
|
||||
- **IP real:** Oculta detrás de Cloudflare (no descubierta)
|
||||
- **Tecnología:** HTML estático + CSS + JavaScript vanilla
|
||||
- **SSL:** Let's Encrypt E7 (wildcard: *.espamex.com + espamex.com)
|
||||
- **Hosting:** cPanel (confirmado por /cpanel redirect y puerto 2083)
|
||||
|
||||
### DNS
|
||||
- **MX:** smtp.secureserver.net (GoDaddy mail)
|
||||
- **NS:** Cloudflare (huxley.ns.cloudflare.com, kay.ns.cloudflare.com)
|
||||
- **SPF:** `v=spf1 include:secureserver.net -all` (hardfail - correcto)
|
||||
- **DMARC:** NO CONFIGURADO
|
||||
- **DKIM:** NO CONFIGURADO
|
||||
|
||||
### Subdominios Descubiertos
|
||||
| Subdominio | IP | Notas |
|
||||
|---|---|---|
|
||||
| www.espamex.com | Cloudflare | Sitio principal |
|
||||
| ftp.espamex.com | Cloudflare | Proxy FTP |
|
||||
| smtp.espamex.com | Cloudflare | Proxy SMTP |
|
||||
| autodiscover.espamex.com | Cloudflare | Exchange autodiscover |
|
||||
|
||||
### Puertos Abiertos (vía Cloudflare)
|
||||
| Puerto | Servicio | Estado |
|
||||
|---|---|---|
|
||||
| 443 | HTTPS | Sitio web activo |
|
||||
| 2082 | cPanel HTTP | **ABIERTO a través de Cloudflare** |
|
||||
| 2083 | cPanel HTTPS | **ABIERTO - Login accesible** |
|
||||
| 2087 | WHM | Error 522 (origen no responde) |
|
||||
| 8080 | HTTP alt | Error 522 |
|
||||
| 8443 | HTTPS alt | Error 521 |
|
||||
|
||||
## Hallazgos
|
||||
|
||||
### C1 - Archivo .env Presente en Servidor [ALTA]
|
||||
- **URL:** `https://espamex.com/.env`
|
||||
- **Respuesta:** 403 Forbidden (Apache, no Cloudflare)
|
||||
- **Evidencia:** El archivo existe en disco pero está bloqueado por reglas de Apache
|
||||
- **Impacto:** Si las reglas se relajan o se encuentra bypass, podría exponer credenciales de BD, API keys, etc.
|
||||
- **.htaccess también retorna 403** (confirma que hay archivos sensibles presentes)
|
||||
- **CVSS:** 7.5
|
||||
|
||||
### C2 - cPanel Accesible a Través de Cloudflare [ALTA]
|
||||
- **URL:** `https://espamex.com:2083`
|
||||
- **Evidencia:** Página de login de cPanel completa, cookies de sesión, Copyright 2026 cPanel L.L.C.
|
||||
- **Impacto:** Cloudflare está configurado para pasar tráfico en puerto 2083. Login de cPanel expuesto públicamente permite brute force de credenciales.
|
||||
- **CVSS:** 7.0
|
||||
|
||||
### C3 - Script Externo Sospechoso (Posible Compromiso) [ALTA]
|
||||
- **URL en el sitio:** `https://cmhai.nasa4u.com/notform/form2.js`
|
||||
- **Estado actual:** Dominio no resuelve DNS / contenido vacío
|
||||
- **Análisis:**
|
||||
- El dominio `nasa4u.com` no tiene registros DNS activos
|
||||
- El path `/notform/form2.js` sugiere intento de evadir filtros ("not form")
|
||||
- Fue inyectado en el HTML principal del sitio
|
||||
- **Impacto:** Si el dominio se reactiva, podría servir malware, robar datos del formulario de cotización, o redirigir usuarios
|
||||
- **CVSS:** 8.0 (potencial)
|
||||
|
||||
### C4 - Sin DMARC ni DKIM [MEDIA]
|
||||
- **DMARC:** No configurado
|
||||
- **DKIM:** No configurado
|
||||
- **SPF:** Correcto (hardfail), pero insuficiente sin DMARC
|
||||
- **Impacto:** Email spoofing parcialmente mitigado por SPF, pero sin DMARC los servidores receptores pueden no rechazar correos falsificados
|
||||
- **CVSS:** 5.3
|
||||
|
||||
### C5 - Headers de Seguridad Ausentes (7/7) [MEDIA]
|
||||
| Header | Estado |
|
||||
|---|---|
|
||||
| HSTS | FALTA |
|
||||
| Content-Security-Policy | FALTA |
|
||||
| X-Frame-Options | FALTA |
|
||||
| X-Content-Type-Options | FALTA |
|
||||
| X-XSS-Protection | FALTA |
|
||||
| Referrer-Policy | FALTA |
|
||||
| Permissions-Policy | FALTA |
|
||||
|
||||
### C6 - Emails Internos Expuestos [BAJA]
|
||||
- **Emails descubiertos:**
|
||||
- ventas@espamex.com
|
||||
- espamex@espamex.com
|
||||
- sistemas@espamex.com
|
||||
- formularios@espamex.com
|
||||
- **Protección:** Cloudflare email obfuscation activa (data-cfemail)
|
||||
- **Impacto:** Targets para spearphishing, especialmente `sistemas@` (admin)
|
||||
|
||||
### C7 - Formulario de Cotización sin Backend Visible [BAJA]
|
||||
- **Formulario:** `#formCotizacion` con `data-to="formularios@espamex.com"`
|
||||
- **Campos:** nombre, correo, teléfono, empresa, ciudad, producto, mensaje
|
||||
- **Nota:** El handler JS no fue encontrado inline — posiblemente manejado por el script externo sospechoso (C3)
|
||||
- **Riesgo:** Si form2.js manejaba el envío, los datos de cotización podrían haber sido exfiltrados
|
||||
|
||||
### C8 - Información Empresarial Expuesta [INFO]
|
||||
- **Razón social:** ESPAMEX DISTRIBUCIONES Y REPRESENTACIONES S.A. DE C.V.
|
||||
- **Dirección:** Calle Manuel María Contreras 80, Col. San Rafael, Cuauhtémoc, CP 06470, CDMX
|
||||
- **Google Analytics:** G-WLFWRLQBHX
|
||||
- **WhatsApp comercial:** +52 55 8132 6795
|
||||
- **Google Maps embedido** con ubicación exacta
|
||||
- **Nota:** Información pública normal para empresa, pero útil para ingeniería social
|
||||
|
||||
### C9 - Certificado SSL Wildcard [INFO]
|
||||
- **SAN:** `*.espamex.com` + `espamex.com`
|
||||
- **Impacto:** Cualquier subdominio sería válido bajo el cert. Si se descubre la IP real, subdominios ocultos podrían existir.
|
||||
|
||||
## Resumen de Severidades
|
||||
| Severidad | Cantidad |
|
||||
|---|---|
|
||||
| Crítica | 0 |
|
||||
| Alta | 3 (C1, C2, C3) |
|
||||
| Media | 2 (C4, C5) |
|
||||
| Baja | 2 (C6, C7) |
|
||||
| Info | 2 (C8, C9) |
|
||||
| **Total** | **9** |
|
||||
|
||||
## Recomendaciones Prioritarias
|
||||
1. **URGENTE:** Investigar y remover el script de `cmhai.nasa4u.com/notform/form2.js` — posible compromiso previo
|
||||
2. **URGENTE:** Eliminar archivo .env del directorio web público
|
||||
3. **URGENTE:** Bloquear puertos 2082/2083/2087 en Cloudflare (no pasar al origen)
|
||||
4. **Alta:** Configurar DMARC (`p=reject`) y DKIM
|
||||
5. **Alta:** Agregar headers de seguridad (HSTS, CSP, X-Frame-Options, etc.)
|
||||
6. **Media:** Verificar que el formulario de cotización envía datos de forma segura y no a través de un tercero
|
||||
7. **Media:** Revisar logs del servidor buscando actividad del dominio nasa4u.com
|
||||
Reference in New Issue
Block a user