294 lines
13 KiB
Markdown
294 lines
13 KiB
Markdown
# Reporte de Seguridad Completo - Mafra Tijuana
|
|
**Objetivo:** https://mafratijuana.com
|
|
**IP:** 162.210.97.174
|
|
**Fecha:** 2026-03-25
|
|
**Estado:** COMPROMETIDO (evidencia de hackeo previo)
|
|
|
|
---
|
|
|
|
## RESUMEN EJECUTIVO
|
|
|
|
Mafra Tijuana presenta **el nivel de riesgo más alto posible**. El servidor ya fue comprometido anteriormente (evidencia: archivo `inf.txt` con mensaje "hacked by EH!" y web shell C99.php presente). La infraestructura está basada en PHP 4.4.9 (fin de vida en 2008), sin prácticamente ningún control de seguridad, con inyección SQL confirmada y el panel de administración accesible sin autenticación.
|
|
|
|
**Hallazgos totales:** 27
|
|
- 🔴 CRÍTICOS: 8
|
|
- 🟠 ALTOS: 9
|
|
- 🟡 MEDIOS: 7
|
|
- 🔵 BAJOS: 3
|
|
|
|
---
|
|
|
|
## HALLAZGOS CRÍTICOS (8)
|
|
|
|
### C1 — Evidencia de compromiso previo (hacked by EH!)
|
|
- **Archivo:** `/adminm/archivosnoticias/inf.txt`
|
|
- **Contenido:** `hacked by EH!`
|
|
- **Impacto:** El servidor ya fue hackeado. No se puede confiar en la integridad de ningún archivo.
|
|
- **Recomendación:** Asumir compromiso total. Reconstruir desde cero.
|
|
|
|
### C2 — Web Shell C99.php presente
|
|
- **URL:** `/adminm/archivosnoticias/C99.php`
|
|
- **Estado:** Retorna HTTP 500 (ionCube Loaders faltantes impiden ejecución), pero el archivo existe
|
|
- **Impacto:** C99 es un web shell PHP famoso que da control total del servidor (ejecución de comandos, exploración de archivos, conexión a BD, etc.)
|
|
- **Nota:** Si se restauran los ionCube Loaders o se actualiza PHP, el shell volvería a funcionar
|
|
- **Recomendación:** Eliminar inmediatamente. Auditar todos los archivos PHP del servidor.
|
|
|
|
### C3 — Web Shell disfrazado en /phpinfo.php
|
|
- **URL:** `/phpinfo.php`
|
|
- **Contenido:** Muestra una página falsa de "Not Found" pero incluye un formulario de password oculto (`<input type=password name=pass>`) con CSS que lo camufla (fondo blanco, borde blanco)
|
|
- **Impacto:** Puerta trasera activa protegida por contraseña. Si alguien conoce el password, tiene acceso al servidor.
|
|
- **Recomendación:** Eliminar inmediatamente. Investigar quién lo instaló.
|
|
|
|
### C4 — Inyección SQL ciega confirmada (Time-Based Blind SQLi)
|
|
- **Endpoint:** `/adminm/muestraimagen.php?tipo=chica&id=`
|
|
- **Prueba:** `id=136 AND SLEEP(3)` → respuesta en 3.2s; `SLEEP(5)` → 5.2s; `SLEEP(0)` → 0.2s
|
|
- **Impacto:** Permite extraer toda la base de datos: usuarios, contraseñas, datos de clientes, pedidos
|
|
- **DB name:** 12 caracteres de longitud (extracción parcial confirmada)
|
|
- **ModSecurity:** Bloquea OR/UNION/SELECT pero NO bloquea SLEEP() ni IF()
|
|
- **Recomendación:** Usar prepared statements. Actualizar reglas de ModSecurity.
|
|
|
|
### C5 — Credenciales de SQL Server expuestas
|
|
- **Archivo:** `/adminm/archivosnoticias/SCRIPTPABORRAR.txt`
|
|
- **Contenido:**
|
|
```
|
|
sqlcmd -U sa -P BREVA@1 -S 201.130.120.52\sqlexpress
|
|
```
|
|
- **Impacto:** Credenciales del usuario SA (administrador) de SQL Server con IP pública. Si el puerto 1433 está abierto en esa IP, acceso total a la base de datos.
|
|
- **Recomendación:** Cambiar contraseña inmediatamente. Eliminar archivo. Auditar accesos.
|
|
|
|
### C6 — Panel de administración sin autenticación
|
|
- **URL:** `/adminm/tipoCambio.php`
|
|
- **Estado:** Totalmente funcional sin login. Permite modificar y eliminar tipos de cambio.
|
|
- **Formulario POST activo** a `tipoCambio_exe2.php` con operaciones CRUD
|
|
- **Otros endpoints admin accesibles:** catalogoUsuarios.php, catalogoPaquetes.php, catalogoNoticias.php, catalogoMarcas.php, catalogoEmail.php, pedidosPrincipal.php, catalogoGalerias2.php, agregarBanner.php
|
|
- **Recomendación:** Implementar control de acceso en todas las páginas admin.
|
|
|
|
### C7 — PHP 4.4.9 (fin de vida hace 18 años)
|
|
- **Header:** `X-Powered-By: PHP/4.4.9`
|
|
- **Impacto:** Miles de CVEs conocidos. Sin soporte de seguridad desde 2008. Incompatible con prácticas de seguridad modernas.
|
|
- **Recomendación:** Migrar a PHP 8.x como mínimo.
|
|
|
|
### C8 — Login de administración vulnerable a fuerza bruta
|
|
- **URL:** `/adminm/` → POST a `/login/logea.php`
|
|
- **Campos:** `txtUsuario`, `txtPassword` (texto plano)
|
|
- **Sin protección:** No CAPTCHA, no rate limiting, no bloqueo de cuenta, no 2FA
|
|
- **Respuesta uniforme:** "Usuario y contrasena no valida" (sin diferenciación usuario/contraseña)
|
|
- **ModSecurity:** Bloquea SQLi con comillas simples en el login, pero no protege contra fuerza bruta
|
|
|
|
---
|
|
|
|
## HALLAZGOS ALTOS (9)
|
|
|
|
### A1 — 420 archivos públicamente accesibles en /adminm/archivosnoticias/
|
|
- **URL:** `/adminm/archivosnoticias/`
|
|
- **Contenido:** 420 archivos incluyendo:
|
|
- 292 imágenes (.jpg, .JPG)
|
|
- 42 PDFs (catálogos, precios)
|
|
- 22 archivos ZIP (listas de precios en dólares y MN)
|
|
- 18 hojas de cálculo Excel (.xls) — intercambios de marcas, catálogos
|
|
- 14 documentos Word (.doc)
|
|
- 1 archivo SQL (script de vista de base de datos INVENTARIO)
|
|
- 1 archivo PHP (C99 web shell)
|
|
- 6 archivos de texto (incluyen credenciales)
|
|
- 1 archivo de log, 1 .gz, 1 .wmv, 1 .swf
|
|
- **Impacto:** Datos comerciales confidenciales expuestos (listas de precios, catálogos internos)
|
|
|
|
### A2 — Script SQL expone estructura de base de datos interna
|
|
- **Archivo:** `/adminm/archivosnoticias/Script VWArticuloUltimo.sql`
|
|
- **Contenido:** `USE [INVENTARIO]` — crea vista `VWULTIMASALIDA` sobre tabla `VWDETALLE4`
|
|
- **DB:** Microsoft SQL Server (no MySQL)
|
|
- **Impacto:** Revela nombres de tablas, columnas y lógica de negocio del sistema de inventario
|
|
|
|
### A3 — Directory listing habilitado en 15+ directorios
|
|
Directorios con listing activo:
|
|
- `/img/` (50+ archivos), `/img/_notes/`, `/img/common/`, `/img/glyph/`, `/img/icons/`, `/img/imgMenu/`
|
|
- `/css/`, `/Scripts/`, `/login/` (archivos PHP visibles)
|
|
- `/principal/img/`, `/principal/css/`
|
|
- `/adminm/img/` (17 archivos), `/adminm/css/` (2), `/adminm/archivosnoticias/` (420)
|
|
- `/uploads/`, `/files/`, `/imgBanner2/` (20 subdirectorios)
|
|
- `/javascript/` (incluye archivos PHP: borraedita.php, borrar.php)
|
|
|
|
### A4 — Fuga de información en formulario de contacto
|
|
- **URL:** POST a `/principal/contactanos_send.php`
|
|
- **Fuga:** Imprime el array completo de `mail()` en la respuesta HTTP:
|
|
- Email interno: `luissigma@hotmail.com`
|
|
- From: `contactenos@mafratijuana.com`
|
|
- Estructura interna del sistema de correo
|
|
- **Impacto:** Phishing dirigido, spam, ingeniería social
|
|
|
|
### A5 — Sin SPF, DKIM ni DMARC
|
|
- **SPF:** No configurado
|
|
- **DKIM:** No configurado
|
|
- **DMARC:** No configurado
|
|
- **MX:** mx1/mx2.ntchosting.com (hosting compartido)
|
|
- **Impacto:** Cualquiera puede enviar emails como @mafratijuana.com (spoofing)
|
|
|
|
### A6 — Posible LFI en accesoarchivos.php
|
|
- **Parámetro:** `txtDestino`
|
|
- **Uso legítimo:** Incluye archivos como `../adminm/archivosnoticias/*.pdf` y `../principal/boletines.php?idNoticia=X`
|
|
- **ModSecurity:** Bloquea `../../../etc/passwd` pero permite rutas relativas a archivos PHP del sitio
|
|
- **Rutas accesibles:** `../adminm/index.php`, `../adminm/config.php`, `../adminm/conexion.php`, `../login/logea.php`
|
|
- **Impacto:** Posible lectura de código fuente PHP y archivos de configuración (requiere análisis más profundo)
|
|
|
|
### A7 — FTP expuesto (Pure-FTPd)
|
|
- **Puerto:** 21/TCP abierto
|
|
- **Versión:** Pure-FTPd [privsep] [TLS]
|
|
- **Anónimo:** Deshabilitado
|
|
- **Límite:** 200 usuarios concurrentes
|
|
- **Impacto:** Vector de fuerza bruta para credenciales FTP
|
|
|
|
### A8 — TLS 1.0 y 1.1 habilitados
|
|
- **Protocolos:** TLSv1.0 ✓, TLSv1.1 ✓, TLSv1.2 ✓, TLSv1.3 ✓
|
|
- **TLS 1.0/1.1:** Deprecados, vulnerables a BEAST/POODLE
|
|
- **Cifrados CBC:** Presentes en TLS 1.0/1.1
|
|
- **Recomendación:** Deshabilitar TLS 1.0 y 1.1
|
|
|
|
### A9 — NRPE (Nagios) expuesto en puerto 5666
|
|
- **Puerto:** 5666/TCP abierto
|
|
- **Servicio:** tcpwrapped (NRPE - Nagios Remote Plugin Executor)
|
|
- **Impacto:** Posible ejecución remota de comandos si NRPE no está restringido
|
|
|
|
---
|
|
|
|
## HALLAZGOS MEDIOS (7)
|
|
|
|
### M1 — Todas las headers de seguridad HTTP ausentes (7/7)
|
|
- HSTS, CSP, X-Frame-Options, X-Content-Type-Options, X-XSS-Protection, Referrer-Policy, Permissions-Policy: NINGUNA presente
|
|
- **Impacto:** Clickjacking, MIME sniffing, XSS facilitado
|
|
|
|
### M2 — Cookie PHPSESSID sin flags de seguridad
|
|
- Sin `Secure` flag (transmisión en texto plano posible)
|
|
- Sin `HttpOnly` flag (accesible via JavaScript)
|
|
- Sin `SameSite` flag (CSRF posible)
|
|
|
|
### M3 — Versión de PHP expuesta en X-Powered-By
|
|
- Header `X-Powered-By: PHP/4.4.9` en cada respuesta
|
|
|
|
### M4 — Estructura del login expuesta via directory listing
|
|
- `/login/` muestra: `error.php`, `logea.php`, `logeacookies.php`, `logeapartes.php`, `login.php`, `logout.php`
|
|
- Múltiples endpoints de autenticación revelan la arquitectura interna
|
|
|
|
### M5 — Archivos de Dreamweaver expuestos
|
|
- `/img/_notes/` contiene archivos `.mno` de Adobe Dreamweaver
|
|
- Revelan información sobre el entorno de desarrollo
|
|
|
|
### M6 — Log de aplicación expuesto (shcv2.log)
|
|
- **URL:** `/adminm/archivosnoticias/shcv2.log`
|
|
- **Contenido:** Stack traces de .NET (SHC_V20), errores de facturación electrónica SAT
|
|
- **Impacto:** Revela tecnología interna, rutas de código, lógica de facturación
|
|
|
|
### M7 — Redirección de logout a HTTP (no HTTPS)
|
|
- `/login/logout.php` redirige a `http://www.mafratijuana.com` (sin SSL)
|
|
|
|
---
|
|
|
|
## HALLAZGOS BAJOS (3)
|
|
|
|
### B1 — Código legacy (Dreamweaver/Flash era)
|
|
- JavaScript inline: MM_nbGroup, AC_RunActiveContent
|
|
- Flash ActiveX content (.swf)
|
|
- HTML 4.01 Transitional
|
|
|
|
### B2 — Hosting compartido (NTC Hosting)
|
|
- NS: dns1/dns2.ntchosting.com
|
|
- Riesgo de "vecino ruidoso" y compromiso lateral
|
|
|
|
### B3 — Cache-Control con directivas legacy
|
|
- `post-check=0, pre-check=0` (directivas IE-only obsoletas)
|
|
|
|
---
|
|
|
|
## PUERTOS ABIERTOS
|
|
|
|
| Puerto | Servicio | Estado |
|
|
|--------|----------|--------|
|
|
| 21/TCP | FTP (Pure-FTPd) | Abierto |
|
|
| 80/TCP | HTTP (Apache) | Abierto |
|
|
| 443/TCP | HTTPS (Apache) | Abierto |
|
|
| 5666/TCP | NRPE (Nagios) | Abierto |
|
|
|
|
---
|
|
|
|
## INFRAESTRUCTURA
|
|
|
|
| Componente | Detalle |
|
|
|-----------|---------|
|
|
| IP | 162.210.97.174 |
|
|
| Hosting | NTC Hosting (compartido) |
|
|
| Servidor | Apache |
|
|
| PHP | 4.4.9 (EOL 2008) |
|
|
| SSL | Let's Encrypt E8 (válido hasta 2026-05-02) |
|
|
| FTP | Pure-FTPd [privsep] [TLS] |
|
|
| WAF | ModSecurity (parcial, bypasseable) |
|
|
| Monitoreo | NRPE (Nagios) en puerto 5666 |
|
|
| DNS | dns1/dns2.ntchosting.com |
|
|
| MX | mx1/mx2.ntchosting.com |
|
|
| BD referenciada | SQL Server (EDGAR-PC\sqlexpress / 201.130.120.52\sqlexpress) |
|
|
|
|
---
|
|
|
|
## ENDPOINTS DESCUBIERTOS
|
|
|
|
### Panel de Administración (/adminm/)
|
|
- `index.php` — Login de administración
|
|
- `menu.php` — Menú principal (sin auth)
|
|
- `header.php` — Header con menú completo (sin auth)
|
|
- `tipoCambio.php` — Gestión tipo de cambio (funcional sin auth)
|
|
- `catalogoUsuarios.php` — Catálogo de usuarios
|
|
- `catalogoPaquetes.php` — Catálogo de paquetes
|
|
- `catalogoNoticias.php` — Catálogo de noticias
|
|
- `catalogoMarcas.php` — Catálogo de marcas
|
|
- `catalogoEmail.php` — Catálogo de emails
|
|
- `pedidosPrincipal.php` — Gestión de pedidos
|
|
- `catalogoGalerias2.php` — Galerías
|
|
- `agregarBanner.php` — Gestión de banners
|
|
- `muestraimagen.php` — Visualización de imágenes (**SQLi confirmada**)
|
|
|
|
### Sitio Público (/principal/)
|
|
- `index.php` — Página principal
|
|
- `boletines.php?idNoticia=` — Boletines
|
|
- `novedades.php?idNoticia=` — Novedades
|
|
- `scrolldetalle.php?idNoticia=` — Detalles
|
|
- `accesoarchivos.php?txtDestino=` — Acceso a archivos (**LFI potencial**)
|
|
- `contactanos.php` / `contactanos_send.php` — Contacto (**fuga de info**)
|
|
- `descargaarchivos.php` — Descarga de archivos
|
|
- `ventas.php`, `precios.php`, `marcas.php`, `promociones.php`, `nosotros.php`
|
|
- `lineasdetemporada.php` — Líneas de temporada
|
|
|
|
### Login (/login/)
|
|
- `logea.php` — Login principal
|
|
- `logeacookies.php` — Login con cookies
|
|
- `logeapartes.php` — Login por partes (usado por accesoarchivos)
|
|
- `login.php` — Login alternativo
|
|
- `error.php` — Página de error
|
|
- `logout.php` — Cierre de sesión
|
|
|
|
---
|
|
|
|
## RECOMENDACIONES PRIORITARIAS
|
|
|
|
### INMEDIATO (24-48 horas)
|
|
1. **Asumir compromiso total** — El servidor ya fue hackeado. Eliminar C99.php, phpinfo.php (webshell), y auditar todos los archivos.
|
|
2. **Cambiar TODAS las contraseñas** — Especialmente el SA de SQL Server (BREVA@1) expuesto en SCRIPTPABORRAR.txt
|
|
3. **Eliminar archivos sensibles** de /adminm/archivosnoticias/ (credenciales, scripts SQL, web shells)
|
|
4. **Deshabilitar directory listing** en Apache (`Options -Indexes`)
|
|
|
|
### CORTO PLAZO (1-2 semanas)
|
|
5. **Implementar autenticación** en todas las páginas de /adminm/
|
|
6. **Corregir SQL Injection** en muestraimagen.php y todos los endpoints con parámetros
|
|
7. **Actualizar ModSecurity** con reglas que bloqueen SLEEP(), IF(), BENCHMARK()
|
|
8. **Configurar SPF, DKIM y DMARC** para el dominio
|
|
9. **Deshabilitar TLS 1.0/1.1**
|
|
|
|
### MEDIANO PLAZO (1-3 meses)
|
|
10. **Migrar a PHP 8.x** — PHP 4.4.9 es insostenible
|
|
11. **Reconstruir la aplicación** con framework moderno y prepared statements
|
|
12. **Implementar headers de seguridad** (HSTS, CSP, etc.)
|
|
13. **Cerrar FTP** o migrar a SFTP
|
|
14. **Restringir NRPE** solo a IPs de monitoreo autorizadas
|
|
15. **Mover hosting** a proveedor con mejor soporte de seguridad
|
|
|
|
---
|
|
|
|
*Reporte generado por Lucy para Consultoría AS — Pentest autorizado*
|