pentesting/grupofrisa/explotacion.md

Explotación - Grupo Frisa

Objetivo: https://grupofrisa.com IP: 35.215.119.143 (Google Cloud) Fecha: 2026-03-25 Empresa: ADMINISTRACION DE SERVICIOS ESPECIALIZADOS ASESA SA DE CV

Resumen Ejecutivo

Grupo Frisa es la empresa mejor protegida del lote, con infraestructura en Google Cloud, SiteGround Security plugin activo, email protegido por Trend Micro, MFA con Duo SSO, y VPN GlobalProtect (Palo Alto). Sin embargo, presenta vulnerabilidades significativas: MySQL 8.4.6 y FTP expuestos a internet, 3 usuarios WordPress enumerables, archivo .env presente en disco, y 4 subdominios con servicios adicionales (webmail, FTP, VPN, staging).

Infraestructura Descubierta

Servidores

Servidor	IP	Función
Principal (GCloud)	35.215.119.143	WordPress + FTP + MySQL
Webmail	187.176.187.250	Email (inaccesible)
FTP dedicado	200.94.123.171	FTP (firewall estricto)
VPN	200.94.123.190	GlobalProtect Portal (Palo Alto)
Staging	148.243.153.101	Staging (inaccesible)

Stack Tecnológico

• WordPress + Elementor 3.35.7 + ACF + SiteGround Security
• Google Cloud + SiteGround cache (Nginx)
• Email: Microsoft 365 + Trend Micro Email Security
• Auth: Duo SSO (MFA)
• VPN: Palo Alto GlobalProtect
• SSL: DigiCert/GeoTrust wildcard *.grupofrisa.com

Hallazgos

ALTOS

A1 — MySQL 8.4.6 Expuesto a Internet

• Severidad: ALTA
• IP: 35.215.119.143:3306
• Versión: MySQL 8.4.6-6 (Percona)
• Capacidades: SupportsLoadDataLocal, ConnectWithDatabase, SupportsCompression
• Auth plugin: caching_sha2_password (más seguro que mysql_native_password)
• Impacto: Aunque caching_sha2 dificulta brute force, el servicio NO debería estar expuesto
• CVSS: 7.5

A2 — FTP Expuesto a Internet (Google Cloud)

• Severidad: ALTA
• IP: 35.215.119.143:21
• Versión: Pure-FTPd
• FTP anónimo: No permitido (bien)
• Impacto: Brute force de credenciales FTP, posible subida de webshells si se obtienen credenciales
• CVSS: 6.5

A3 — 3 Usuarios WordPress Enumerables

• Severidad: ALTA
• Endpoint: /wp-json/wp/v2/users y /wp-sitemap-users-1.xml
• Usuarios descubiertos:

  ID	Slug	Nombre	Notas
  1	ipa-at7-dev	ipa.at7.dev	Cuenta de desarrollador (probablemente agencia IPA AT7)
  4	enriqueti	Enrique	Admin principal, Gravatar vinculado
  -	recursos-humanos	Recursos Humanos	Descubierto via sitemap

• Gravatar hash (enriqueti): d105db15e9c5af853cce7e5262d47461563226b20f81057a814dbee4876860ce
• wp-login.php: Accesible (HTTP 200)
• CVSS: 6.5

A4 — Archivo .env Presente en Servidor

• Severidad: ALTA
• URL: https://grupofrisa.com/.env → HTTP 403
• También: .env.bak, wp-config.php.bak, .htaccess.bak, .git/HEAD, debug.log, wp-content/debug.log, error_log — todos retornan 403
• Nota: Los archivos EXISTEN en disco pero están bloqueados por Nginx. Si hay una ruta alternativa (proxy bypass, backup) podrían ser accesibles
• Impacto: .env típicamente contiene credenciales de base de datos, API keys, etc.
• CVSS: 6.2

MEDIOS

M1 — VPN GlobalProtect Portal Expuesto

• Severidad: MEDIA
• URL: https://200.94.123.190/global-protect/login.esp
• Título: "GlobalProtect Portal"
• Impacto: Portal de VPN accesible públicamente. Si la versión de PAN-OS es vulnerable (CVE-2024-3400, CVE-2024-0012), podría permitir RCE
• Nota: No se pudo determinar la versión de PAN-OS (API de versión bloqueada)
• CVSS: 5.3

M2 — SiteGround Security REST API Expuesta

• Severidad: MEDIA
• Endpoints descubiertos (30+): fetch-options, reinstall-plugins, force-password-reset, logout-users, lock-system-folders, disable-editors, hide-wp-version, disable-xml-rpc, disable-feeds, delete-readme, xss-protection, 2fa, disable-admin-username, login-access, limit-login-attempts, custom-login-url, notifications, hardening, activity-unknown, activity-registered, blocked-users, block-ip, login-unblock, block-user, get-visitor-status, weekly-report, notification-emails, manage-activity-log, activity-log-lifetime
• Auth: Todas requieren autenticación (endpoints de acción retornan 404 sin auth)
• Impacto: Si se obtiene un token válido, se puede desactivar toda la seguridad, forzar reset de passwords, desbloquear IPs
• CVSS: 5.3

M3 — DMARC Débil (pct=10)

• Severidad: MEDIA
• DMARC: v=DMARC1; p=quarantine; sp=none; pct=10
• Problemas:
  • pct=10 → Solo 10% de emails se evalúan contra la política
  • sp=none → Subdominios sin protección
  • p=quarantine → Debería ser reject
• Impacto: 90% del email spoofing pasaría sin evaluación
• CVSS: 5.0

M4 — readme.html Expone Versión de WordPress

• Severidad: MEDIA
• URL: https://grupofrisa.com/readme.html → HTTP 200
• Info: Requiere PHP 8.3+ y MySQL 8.0+ (indica WordPress 6.7+)
• CVSS: 3.1

M5 — 5/7 Headers de Seguridad Ausentes

• Severidad: MEDIA
• Presentes: X-Content-Type-Options (nosniff), X-XSS-Protection (1; mode=block)
• Faltantes: HSTS, CSP, X-Frame-Options, Referrer-Policy, Permissions-Policy
• CVSS: 5.3

M6 — Custom Post Types Exponen Información de Negocio

• Severidad: MEDIA
• Endpoints:
  • /wp-json/wp/v2/portafolio → Desarrollos inmobiliarios (Multiplaza Tuxtepec, Lindavista, Las Palmas, Cancún, Puerto Aventuras)
  • /wp-json/wp/v2/job_vacancy → Vacantes de empleo
• Impacto: Información de negocio accesible programáticamente para scraping masivo
• CVSS: 3.1

INFORMATIVOS

I1 — wp-admin Bloqueado (SG-Security Custom Login URL)

• https://grupofrisa.com/wp-admin/ → HTTP 403
• /login → 302 → wp-login.php (el login SÍ funciona vía redirección)
• SG-Security tiene custom-login-url habilitado pero el estándar sigue funcionando

I2 — Infraestructura Corporativa Robusta

• Email: Microsoft 365 + Trend Micro (buena protección)
• Auth: Duo SSO (MFA habilitado)
• VPN: Palo Alto GlobalProtect
• SSL: DigiCert wildcard con vencimiento 2027
• Hosting: Google Cloud con SiteGround cache

I3 — Cuenta de Desarrollador Externa

• Usuario ipa-at7-dev (ID: 1) sugiere que la agencia IPA AT7 desarrolló/mantiene el sitio
• Riesgo: cuenta de tercero con acceso admin

I4 — 4 Subdominios Descubiertos

• webmail.grupofrisa.com (187.176.187.250) — inaccesible
• ftp.grupofrisa.com (200.94.123.171) — firewall estricto
• vpn.grupofrisa.com (200.94.123.190) — GlobalProtect
• staging.grupofrisa.com (148.243.153.101) — inaccesible

Recomendaciones (Priorizadas)

1. URGENTE: Cerrar MySQL 3306 a internet (solo acceso local/VPN)
2. URGENTE: Cerrar FTP 21 a internet o migrar a SFTP con restricción IP
3. ALTA: Eliminar archivos sensibles del webroot (.env, .env.bak, wp-config.php.bak, .htaccess.bak, .git/, debug.log, error_log)
4. ALTA: Deshabilitar enumeración de usuarios via REST API y sitemap de usuarios
5. ALTA: Verificar y actualizar versión de PAN-OS en VPN GlobalProtect
6. MEDIA: Fortalecer DMARC: cambiar pct=10 a pct=100, sp=none a sp=reject, p=quarantine a p=reject
7. MEDIA: Implementar headers de seguridad faltantes (HSTS, CSP, X-Frame-Options, Referrer-Policy, Permissions-Policy)
8. MEDIA: Revisar cuenta de desarrollador externo ipa-at7-dev — eliminar si ya no es necesaria
9. BAJA: Eliminar readme.html
10. BAJA: Restringir acceso a custom post types via REST API si no es necesario