# Explotación - Frasa
**Objetivo:** https://www.frasa.com.mx
**IP:** 201.158.32.25
**Fecha:** 2026-03-25
**Hosting:** Hostify/Neoclan (servidor dedicado mexicano)

## Resumen Ejecutivo

Frasa presenta una superficie de ataque significativa con **DNS Zone Transfer exitoso**, **MySQL expuesto a internet**, **cPanel/WHM/Webmail accesibles**, y **14 puertos abiertos**. La empresa maneja proyectos inmobiliarios (Villas Loma Bonita, landing pages en Unbounce) con un WordPress como sitio principal.

## Hallazgos

### CRÍTICOS

#### C1 — DNS Zone Transfer Exitoso (AXFR)
- **Severidad:** CRÍTICA
- **Evidencia:** `dig axfr frasa.com.mx @dns3.neoclan.net.mx` devuelve **53 registros completos**
- **Datos expuestos:**
  - Toda la zona DNS incluyendo subdominios internos
  - `cpanel.frasa.com.mx` → 201.158.32.25
  - `whm.frasa.com.mx` → 201.158.32.25
  - `webmail.frasa.com.mx` → 201.158.32.25
  - `landing.frasa.com.mx` → unbouncepages.com (CNAME)
  - `villaslomabonita.frasa.com.mx` (proyecto inmobiliario con CalDAV/CardDAV)
  - `autoconfig/autodiscover` (configuración automática de email)
  - Tokens ACME challenges de Let's Encrypt
  - Verificación Microsoft 365 y Google
  - IP secundaria: 201.158.32.34 (en SPF)
  - Hosting provider: secure.hostify.com.mx (en SRV records)
- **Impacto:** Un atacante obtiene el mapa completo de la infraestructura sin necesidad de escaneo activo
- **CVSS:** 7.5 (High)

#### C2 — MySQL 5.7.44 Expuesto a Internet
- **Severidad:** CRÍTICA
- **Puerto:** 3306/tcp abierto
- **Versión:** MySQL 5.7.44
- **Auth plugin:** mysql_native_password (vulnerable a brute force sin rate limiting nativo)
- **Capacidades expuestas:** SupportsLoadDataLocal, SupportsCompression, ConnectWithDatabase
- **Impacto:** Brute force viable, y si se obtienen credenciales, acceso completo a todas las bases de datos
- **CVSS:** 9.1 (Critical)

### ALTOS

#### A1 — cPanel Login Accesible Públicamente
- **Severidad:** ALTA
- **URLs:**
  - `https://www.frasa.com.mx:2083/` → HTTP 200 (cPanel Login)
  - `https://cpanel.frasa.com.mx:2083/` → HTTP 200
  - `https://cpanel.frasa.com.mx/` → HTTP 200
- **Nota:** Expone interfaz de login cPanel sin restricción IP
- **CVSS:** 7.2

#### A2 — WHM (WebHost Manager) Accesible
- **Severidad:** ALTA
- **URL:** `https://whm.frasa.com.mx/` → HTTP 200
- **Impacto:** WHM permite administración completa del servidor si se obtienen credenciales
- **CVSS:** 7.2

#### A3 — Webmail Accesible Públicamente
- **Severidad:** ALTA
- **URLs:**
  - `https://webmail.frasa.com.mx/` → HTTP 200
  - `https://webmail.frasa.com.mx:2096/` → HTTP 200
- **Impacto:** Permite ataques de brute force contra cuentas de correo
- **CVSS:** 6.5

#### A4 — Enumeración de Usuario WordPress
- **Severidad:** ALTA
- **Endpoint:** `/wp-json/wp/v2/users`
- **Usuario encontrado:** `guangoadmin` (ID: 8)
- **wp-login.php:** Accesible (HTTP 200, 9.9 KB) sin rate limiting visible
- **Combinación:** Usuario conocido + login accesible = brute force viable
- **CVSS:** 6.5

#### A5 — 14 Puertos Abiertos (Superficie de Ataque Excesiva)
- **Severidad:** ALTA
- **Puertos abiertos:**
  | Puerto | Servicio | Detalle |
  |--------|----------|---------|
  | 21 | FTP | Pure-FTPd |
  | 25 | SMTP | Exim (correo saliente) |
  | 53 | DNS | Named (permite zone transfer) |
  | 80 | HTTP | Apache |
  | 110 | POP3 | Dovecot |
  | 143 | IMAP | Dovecot |
  | 443 | HTTPS | Apache + WordPress |
  | 465 | SMTPS | Exim |
  | 587 | Submission | Exim |
  | 993 | IMAPS | Dovecot |
  | 995 | POP3S | Dovecot |
  | 2083 | cPanel | cPanel Login |
  | 2096 | Webmail | cPanel Webmail |
  | 3306 | MySQL | MySQL 5.7.44 |
- **Impacto:** Servidor multifunción (web + email + DB + FTP + DNS) sin segmentación
- **CVSS:** 7.0

### MEDIOS

#### M1 — Rank Math PRO REST API Expuesta
- **Severidad:** MEDIA
- **Endpoints expuestos (20+):** saveModule, toolsAction, updateMode, updateSettings, updateRedirection, updateMeta, updateSchemas, updateMetaBulk, setupWizard, importCSV, etc.
- **Auth:** Requiere autenticación (401 Forbidden), pero la exposición de rutas revela funcionalidad interna
- **Riesgo:** Si se obtiene un token/cookie válido, se puede manipular SEO, redirecciones, y metadatos
- **CVSS:** 5.3

#### M2 — Breakdance Builder REST API Expuesta
- **Severidad:** MEDIA
- **Endpoints:** `/breakdance/v1/`, `/breakdance/v1/icons/export`
- **Auth:** Requiere autenticación
- **CVSS:** 4.3

#### M3 — wp-admin/upgrade.php Accesible
- **Severidad:** MEDIA
- **URL:** `https://www.frasa.com.mx/wp-admin/upgrade.php` → HTTP 200
- **Título:** "Actualización de WordPress"
- **Impacto:** Confirma WordPress y podría usarse para fingerprinting de versión
- **CVSS:** 4.3

#### M4 — wp-admin/setup-config.php Retorna 409
- **Severidad:** MEDIA
- **URL:** `https://www.frasa.com.mx/wp-admin/setup-config.php` → HTTP 409 (Conflict)
- **Impacto:** El archivo existe y responde, indica que la instalación base no fue limpiada
- **CVSS:** 3.7

#### M5 — 7/7 Headers de Seguridad Ausentes
- **Severidad:** MEDIA
- **Headers faltantes:** HSTS, CSP, X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy
- **CVSS:** 5.3

#### M6 — DMARC sp=none para Subdominios
- **Severidad:** MEDIA
- **DMARC:** `v=DMARC1;p=reject;sp=none;adkim=r;aspf=r;pct=100`
- **Nota:** Dominio principal protegido (p=reject) pero subdominios NO (sp=none)
- **Impacto:** Se puede spoofear email desde @villaslomabonita.frasa.com.mx u otros subdominios
- **CVSS:** 5.0

### INFORMATIVOS

#### I1 — Proyecto Inmobiliario "Villas Loma Bonita" Expuesto en DNS
- Subdominio con CalDAV/CardDAV configurado hacia secure.hostify.com.mx
- Autodiscover configurado para email
- Sugiere operación activa con contactos y calendarios

#### I2 — Landing Pages en Unbounce
- `landing.frasa.com.mx` → CNAME a unbouncepages.com
- Actualmente devuelve 404 (posible landing page expirada/eliminada)

#### I3 — Entorno Híbrido Microsoft 365 + cPanel
- Verificación MS365 en TXT records
- Google Site Verification presente
- Correo posiblemente migrado parcialmente

#### I4 — XMLRPC Deshabilitado
- `xmlrpc.php` devuelve 404 — buena práctica de seguridad

## Cadena de Ataque Potencial

1. DNS Zone Transfer → Obtener mapa completo de infraestructura
2. Enumerar usuario WP `guangoadmin` via REST API
3. Brute force wp-login.php (sin rate limiting visible)
4. Alternativamente: brute force MySQL 3306 (mysql_native_password, sin rate limiting)
5. Si MySQL exitoso → dump de wp_users → obtener hash de password
6. Acceso a cPanel/WHM → control total del servidor

## Recomendaciones (Priorizadas)

1. **URGENTE:** Bloquear DNS Zone Transfer (restringir AXFR a IPs autorizadas)
2. **URGENTE:** Cerrar MySQL 3306 a internet (solo acceso local o VPN)
3. **ALTA:** Restringir acceso a cPanel/WHM/Webmail por IP o VPN
4. **ALTA:** Implementar rate limiting en wp-login.php (plugin como Wordfence o Limit Login Attempts)
5. **ALTA:** Deshabilitar enumeración de usuarios via REST API
6. **MEDIA:** Implementar headers de seguridad (HSTS, CSP, X-Frame-Options, etc.)
7. **MEDIA:** Cambiar DMARC sp=none a sp=reject para subdominios
8. **MEDIA:** Eliminar archivos innecesarios (setup-config.php, upgrade.php accesibles)
9. **BAJA:** Reducir superficie de ataque consolidando servicios o segmentando en diferentes IPs