Lluvia de 0days en la EKOParty

Una de las charlas mas esperadas en la EKOParty 2010 fue la del argentino Juliano Rizzo y el vietnamita Thai Duong, titulada “Padding Oracles Everywhere” donde estos dos personajes, nos mostraban un nuevo fallo no publico que afectaría el 25% de los sitios en la red.

Juliano Rizzo Duong

Empieza Juliano Rizzo explicándonos de que se tratan los ataques de tipo “Oracle” (oráculo), los conceptos criptográficos de la vulnerabilidad, nos enseño la herramienta POET, que automáticamente puede encontrar y explotar las vulnerabilidades de tipo Oracle y los algoritmos que implementaron en ella.

Vídeo de POET contra Apache MyFaces

Pueden descargar la herramienta para Windows, GNU Linux y Mac OS X, del apartado de investigacion en Netifera.com.

Después de hablarnos sobre POET y los ataques Oracle, empiezan la introducción al 0Day que encontraron en ASP.NET, básicamente el problema radica en que la API de cifrado de ASP.NET que no autentica los mensajes, por lo que usando ataques de tipo Oracle se puede descifrar las cookies, ver estados, obtener tickets en formularios de autenticación, claves de suscripción, datos del usuario, y cualquier otra cosa cifrada usando la API del framework!.

Vídeo de la demo, lanzado contra dotnetnuke, uno de los proyectos en web mas populares que usan este framework de Microsoft .

Después de mostrar el demo y con toda la atención de la audiencia, a Thai se le ocurrió la “brillante” idea de tirar al aire 3 copias del exploit entre los asistentes a la charla (razón del titulo de este post), algo nunca antes visto y que quedó plasmado en el siguiente vídeo grabado por Francisco Amato.

Afortunadamente para quienes tienen desarrollos con el framework de Microsoft, las copias tiradas al aire con el exploit de esta vulnerabilidad, fue cifrado antes como “desafió” y hasta el momento no hay indicios que alguno de sus poseedores lograra romper esta barrera para poder acceder a el.

Alguna información adicional sobre el fallo y como mitigarlo:


Si te ha gustado el post, compartelo y ayudanos a crecer.

Unete a nuestra Fanpage Siguenos en Twitter

Autor: DragoN

Ingeniero en Sistemas y Telecomunicaciones de la Universidad de Manizales. Information Security Researcher con más de 10 años de experiencias en Ethical Hacking, Pen Testing y Análisis Forense. Docente Universitario en Pre y Post-Grado, Speaker y Organizador de diferentes eventos de Seguridad Informática, Fundador del DragonJAR Security Conference y Fundador de DragonJAR SAS y de La Comunidad DragonJAR, una de las comunidades de seguridad informática mas grandes de habla hispana y referente en el sector.

Compartir este Artículo

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES