Espamex: explotación completa - 16 hallazgos (4 críticos, 5 altos, 4 medios)
This commit is contained in:
Lucy
211
mafratijuana/explotacion.md
Normal file
211
mafratijuana/explotacion.md
Normal file
@@ -0,0 +1,211 @@
|
||||
# Reporte de Explotación - Mafra Tijuana
|
||||
**Objetivo:** https://mafratijuana.com
|
||||
**IP:** 162.210.97.174
|
||||
**Fecha:** 2026-03-25
|
||||
**Fase:** Explotación activa (pentest autorizado)
|
||||
**DB:** MySQL 5.7.27, base: ebyted_mafra, usuario: ebyted_mafra@%
|
||||
**Host MySQL:** ph3mysql13.bastun.net
|
||||
**Webroot:** /home/www/mafratijuana.com/
|
||||
|
||||
---
|
||||
|
||||
## RESUMEN EJECUTIVO
|
||||
|
||||
Se logró acceso completo al panel de administración y extracción total de la base de datos de usuarios. El servidor presenta el nivel de compromiso más grave posible: credenciales almacenadas en texto plano, inyección SQL explotable con bypass de WAF, panel admin accesible sin autenticación, y múltiples web shells instalados por atacantes previos.
|
||||
|
||||
**Total de hallazgos de explotación:** 12 vectores explotados
|
||||
- CRITICOS: 6
|
||||
- ALTOS: 4
|
||||
- MEDIOS: 2
|
||||
|
||||
---
|
||||
|
||||
## EXPLOTACIONES CRITICAS (6)
|
||||
|
||||
### EX-C1 — SQL Injection UNION-Based con bypass de ModSecurity
|
||||
- **Endpoint:** `/adminm/muestraimagen.php?tipo=chica&id=`
|
||||
- **Tecnica:** `/*!50000UNION*/ /*!50000SELECT*/` bypass de ModSecurity
|
||||
- **Resultado:** Extraccion completa de datos. La columna 1 del UNION se renderiza como contenido de la respuesta.
|
||||
- **Datos extraidos:**
|
||||
- Version MySQL: 5.7.27
|
||||
- Base de datos: ebyted_mafra
|
||||
- Usuario BD: ebyted_mafra@%
|
||||
- Hostname MySQL: ph3mysql13.bastun.net
|
||||
- Datadir: /usr/local/mysql/2/
|
||||
- **ModSecurity bypass:** information_schema bloqueado, pero se evadio usando PROCEDURE ANALYSE() para enumerar tablas y columnas
|
||||
- **Impacto:** TOTAL — acceso completo de lectura a toda la base de datos
|
||||
|
||||
### EX-C2 — Extraccion completa de credenciales (1,058 usuarios en texto plano)
|
||||
- **Tabla:** ld_usuario
|
||||
- **Columnas confirmadas:** usuario, password, nombre, email
|
||||
- **Total de registros:** 1,058 usuarios
|
||||
- **Contrasenas:** Almacenadas en TEXTO PLANO (sin hash, sin salt)
|
||||
- **Muestra de credenciales extraidas:**
|
||||
|
||||
| # | Usuario | Password | Nombre | Email |
|
||||
|---|---------|----------|--------|-------|
|
||||
| 0 | admin | 1mafram | Administrador | ventas@mafratijuana.com |
|
||||
| 1 | capb | 6349 | AUTOPARTES | armandoapbaja@yahoo.com |
|
||||
| 2 | edgar | eajs1 | Edgar | ebyted@yahoo.com |
|
||||
| 3 | catp | 6012 | AUTOTRANSPORTES | rally_92_@hotmail.com |
|
||||
| 4 | maamc | 6123 | CARLOS ALBERTO | karlosautopartes@hotmail.com |
|
||||
| 12 | vendedor1 | 500419 | Jorge | — |
|
||||
| ... | (1,058 total) | ... | ... | ... |
|
||||
|
||||
- **Impacto:** Compromiso total de todas las cuentas. Riesgo de reutilizacion de credenciales en otros servicios.
|
||||
|
||||
### EX-C3 — Login exitoso al panel de administracion
|
||||
- **URL:** POST a /login/logea.php
|
||||
- **Credenciales:** admin / 1mafram (extraidas via SQLi)
|
||||
- **Resultado:** Autenticacion exitosa, redireccion a /adminm/menu.php
|
||||
- **Cookie de sesion:** PHPSESSID sin Secure, sin HttpOnly, sin SameSite
|
||||
- **Panel accesible con todos los modulos:**
|
||||
- Usuarios (crear/editar/borrar)
|
||||
- Paquetes, Noticias, Marcas
|
||||
- Email, Pedidos, Galerias
|
||||
- Tipo de Cambio, Banners
|
||||
- **Impacto:** Control total del contenido del sitio web
|
||||
|
||||
### EX-C4 — Multiples web shells instalados (5+ confirmados)
|
||||
- **Web shells encontrados (todos HTTP 200):**
|
||||
|
||||
| Shell | Ubicacion | Estado |
|
||||
|-------|-----------|--------|
|
||||
| C99.php | /adminm/archivosnoticias/C99.php | HTTP 500 (ionCube) |
|
||||
| b374k.php | /b374k.php y /adminm/b374k.php | HTTP 200 (ionCube) |
|
||||
| wso.php | /wso.php y /adminm/wso.php | HTTP 200 (ionCube) |
|
||||
| alfa.php | /alfa.php y /adminm/alfa.php | HTTP 200 (ionCube) |
|
||||
| r57.php | /r57.php y /adminm/r57.php | HTTP 500 (ionCube) |
|
||||
|
||||
- **Estado actual:** Bloqueados por falta de ionCube Loaders
|
||||
- **RIESGO:** Si se actualiza PHP o restauran ionCube, TODOS los shells se activan dando control total
|
||||
- **Web shell activo (phpinfo.php):**
|
||||
- Pagina falsa "Not Found" con formulario de password oculto via CSS
|
||||
- El formulario POST esta activo, protegido por contrasena desconocida
|
||||
|
||||
### EX-C5 — Panel admin tipoCambio sin autenticacion
|
||||
- **URL:** /adminm/tipoCambio.php
|
||||
- **Funcional completo sin login** — Crear, modificar, eliminar tipos de cambio
|
||||
- **POST a:** tipoCambio_exe2.php con parametros hfId, hfOp
|
||||
- **Impacto:** Cualquiera puede modificar datos financieros
|
||||
|
||||
### EX-C6 — PROCEDURE ANALYSE() revela estructura de tablas
|
||||
- **Tecnica:** id=136 PROCEDURE ANALYSE()
|
||||
- **Tablas confirmadas:**
|
||||
- ld_usuario (1,058 registros) — usuarios y contrasenas
|
||||
- ld_noticia — noticias/boletines
|
||||
- ld_paquete — paquetes de productos
|
||||
- ld_email — correos del sistema (ventas@, pedidos@)
|
||||
- ld_carrito — carrito de compras
|
||||
|
||||
---
|
||||
|
||||
## EXPLOTACIONES ALTAS (4)
|
||||
|
||||
### EX-A1 — Enumeracion completa de datos
|
||||
- **ld_email:** ventas@mafratijuana.com, pedidos@mafratijuana.com
|
||||
- **ld_noticia:** Listas de precios en dolares y MN, intercambios de marcas
|
||||
- **Emails personales de 1,058 clientes/distribuidores extraidos**
|
||||
- **Impacto:** Base de datos de clientes B2B comprometida
|
||||
|
||||
### EX-A2 — Catch-all de ionCube genera falsos positivos HTTP 200
|
||||
- El servidor retorna HTTP 200 para CUALQUIER URL inexistente
|
||||
- Respuesta: "ionCube Loaders are missing" (91 bytes)
|
||||
- URLs que NO son archivos reales: backup.sql, dump.sql, .git/config, .svn/entries, robots.txt, adminer.php
|
||||
- **Impacto:** Oculta 404 reales, dificulta deteccion de archivos legitimos
|
||||
|
||||
### EX-A3 — Acceso autenticado completo al panel admin
|
||||
- catalogoUsuarios.php — Crear/editar usuarios con passwords en texto plano
|
||||
- catalogoNoticias.php — 35+ noticias editables
|
||||
- pedidosPrincipal.php — Sistema de pedidos
|
||||
- agregarBanner.php — Upload de banners (posible vector de upload de shells)
|
||||
|
||||
### EX-A4 — Path disclosure y fuga de informacion
|
||||
- Webroot: /home/www/mafratijuana.com/adminm/muestraimagen.php linea 32
|
||||
- Contacto interno: luissigma@hotmail.com
|
||||
- /javascript/ con PHP ejecutable (borraedita.php, borrar.php)
|
||||
- 20 subdirectorios en /imgBanner2/ con listing abierto
|
||||
|
||||
---
|
||||
|
||||
## EXPLOTACIONES MEDIAS (2)
|
||||
|
||||
### EX-M1 — ModSecurity parcialmente bypasseable
|
||||
- **Bloqueado:** UNION, SELECT, OR, information_schema, LOAD_FILE, comillas, script tags
|
||||
- **NO bloqueado:** /*!50000UNION*/, /*!50000SELECT*/, SLEEP(), IF(), PROCEDURE ANALYSE()
|
||||
- **Impacto:** WAF da falsa sensacion de seguridad
|
||||
|
||||
### EX-M2 — Inconsistencia en control de acceso admin
|
||||
- Algunas paginas requieren sesion, otras no (tipoCambio)
|
||||
- header.php y menu.php muestran navegacion completa sin sesion
|
||||
|
||||
---
|
||||
|
||||
## CADENA DE ATAQUE COMPLETA
|
||||
|
||||
```
|
||||
1. Reconocimiento -> PHP 4.4.9, Apache, directory listing, 420 archivos publicos
|
||||
2. SQLi Discovery -> SLEEP() en muestraimagen.php confirma inyeccion
|
||||
3. WAF Bypass -> /*!50000UNION*/ evade ModSecurity
|
||||
4. Data Extraction -> UNION SELECT extrae DB name, version, hostname
|
||||
5. Table Enum -> PROCEDURE ANALYSE() revela ld_noticia
|
||||
6. Table Discovery -> Boolean-based confirma ld_usuario, ld_paquete, ld_email, ld_carrito
|
||||
7. Credential Dump -> 1,058 usuarios con passwords en texto plano
|
||||
8. Admin Login -> admin/1mafram -> acceso total al panel
|
||||
9. Persistence -> 5+ web shells ya instalados por atacantes previos
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## CREDENCIALES COMPROMETIDAS
|
||||
|
||||
### Aplicacion web (admin)
|
||||
- Usuario: admin / Password: 1mafram
|
||||
|
||||
### Base de datos
|
||||
- MySQL: ebyted_mafra@% en ph3mysql13.bastun.net
|
||||
- SQL Server: sa / BREVA@1 en 201.130.120.52 (puerto cerrado externamente)
|
||||
|
||||
### 1,058 cuentas de clientes/distribuidores
|
||||
- Todas con contrasenas en texto plano
|
||||
- Incluyen emails personales (hotmail, yahoo, gmail)
|
||||
|
||||
---
|
||||
|
||||
## LIMITACIONES
|
||||
|
||||
1. information_schema bloqueado (no se enumeraron todas las tablas)
|
||||
2. LOAD_FILE() deshabilitado
|
||||
3. SQL Server inaccesible desde internet
|
||||
4. Web shells bloqueados por ionCube
|
||||
5. FTP no acepta credenciales web
|
||||
6. XSS bloqueado por ModSecurity
|
||||
7. NRPE no respondio a probes
|
||||
|
||||
---
|
||||
|
||||
## RECOMENDACIONES URGENTES
|
||||
|
||||
### INMEDIATO (24 horas)
|
||||
1. DESCONECTAR EL SERVIDOR — compromiso total
|
||||
2. Notificar a 1,058 usuarios que sus credenciales estan comprometidas
|
||||
3. Cambiar credencial SA de SQL Server
|
||||
4. Eliminar TODOS los web shells
|
||||
|
||||
### CORTO PLAZO (1 semana)
|
||||
5. Reconstruir servidor desde cero
|
||||
6. Implementar hashing de contrasenas (bcrypt/argon2)
|
||||
7. Migrar a PHP 8.x con framework moderno
|
||||
8. WAF real, no solo ModSecurity basico
|
||||
9. Prepared statements en todas las queries
|
||||
|
||||
### MEDIANO PLAZO (1 mes)
|
||||
10. Auditoria completa de nueva infraestructura
|
||||
11. HTTPS forzado, HSTS, CSP
|
||||
12. SPF/DKIM/DMARC
|
||||
13. Monitoreo continuo
|
||||
|
||||
---
|
||||
|
||||
*Reporte generado por Lucy para Consultoria AS — Pentest autorizado*
|
||||
*Fecha: 2026-03-25*
|
||||
Reference in New Issue
Block a user