1) Novedades en la web y el foro 2) Noticias 3) Programas 4) Mensajes interesantes del foro 5) Próximamente en elhacker.net 6) La historia del grave bug (agujero de seguridad) del foro phpbb ===================================================================== 1) Novedades en la web y el foro *- ¿Es realmente eficaz tu antivirus? http://foro.elhacker.net/index.php/topic=58678.0.html *- ToolZ o Utilidades Msn Messenger: http://foro.elhacker.net/index.php/topic=58560.0.html *- Eliminados los enlaces rotos http://www.elhacker.net/links/ *- Paper: Obtener shell con Netcat http://foro.elhacker.net/index.php/topic=58032.0.html *- Exploits y Stack Overflows en Windows http://foro.elhacker.net/index.php/topic=57910.0.html ===================================================================== 2) Noticias *- Disidents E-Zine Nº7 http://zine-store.com.ar/mag/espana/disi/disidents007.rar *- Fallo de seguridad en Hotmail http://cyruxnet.org/foro/viewtopic.php?t=559 ===================================================================== 3) Programas *- phpBB 2.0.13 (sistema de foros) http://www.phpbb.com/downloads.php *- phpMyAdmin 2.6.1-pl2 (administrar mysql) http://www.phpmyadmin.net/ *- WinPatrol 9.0.0.0 http://www.winpatrol.com/wpsetup.exe *- HijackThis 1.99.1 (anti-spyware) http://merijn.arwinianos.net/HijackThis.exe *- Google Hack Honeypot 1.0 http://ghh.sourceforge.net/ *- MySQL 4.1.10 liberado http://dev.mysql.com/downloads/ *- Visualcron, el crontab para Windows http://www.visualcron.com/ *- Trillian Pro 3.1 Beta Build 117 (programa Messenger) http://cerulean.iad.cachenetworks.com/trillian-v3.1-beta.exe *- Freeware XP Codec Pack 1.0.4 (pack códecs) http://www.xpcodecpack.com/download/XP_Codec_Pack_1.0.4.zip *- Google Picasa 2.00 Build 1884 (p2p de imágenes) http://toolbar.google.com/picasa/picasa2-setup-1884.exe *- OpenOffice.org 2.0 (Snapshot Build 1.9.m79) (paquete ofimatica) http://openoffice.mirrors.tds.net/pub/openoffice/developer/680_m79/OOo_1.9.m79_native_Win32Intel_install.zip *- Microsoft Anti-Spyware 1.0.509 http://download.microsoft.com/download/8/1/5/815d2d60-49b5-44dc-ae35-fca2f2c6f0cc/MicrosoftAntiSpywareInstall.exe *- Windows XP Professional x64 Edition RC2 Build 1433 beta (568,7MB) http://download.microsoft.com/download/f/3/0/f30500f0-0eef-48fc-884b-3b0902885ff1/w2k3sp1_1433_usa_x64fre_pro.iso *- Google Toolbar 3.0 http://toolbar.google.com/T3/index *- Azureus 2.2.0.3 Beta 31 (4.6MB) (cliente MSN) http://azureus.sourceforge.net/cvs/Azureus2203-B31.jar *- SmartFTP 1.1 build 984 (1,1MB) (cliente ftp) http://www.smartftp.com/download/ *- eXeem Lite 0.21a en castellano (cliente BitTorrent) http://www.exlite.pl/eXeem.Lite.0.21a.exe ===================================================================== 4) Mensajes interesantes del foro *- Este año...... ¿Quién se viene a la Campus-Party 2005? http://foro.elhacker.net/index.php/topic=59463.0.html *- Programa Enfoque de TVE sobre la Pirateria. http://foro.elhacker.net/index.php/topic=59176.0.html *- PHP Security http://foro.elhacker.net/index.php/topic=58843.0.html *- Clearlogs V1.1, borra logs en sistemas windows http://foro.elhacker.net/index.php/topic=58200.0.html *- Guía de Seguridad del Administrador de Linux http://foro.elhacker.net/index.php/topic=57743.0.html ===================================================================== 5) Próximamente en elhacker.net *- Hacking Bluetooth De la mano de unravel un maravilloso artículo sobre todo lo que hay que saber sobre el Bluetooth. Incluirá un Blooover. *- elhacker.net LiveCD 2.6.10-gentoo-r6 parcheado, una combinación de distro de seguridad y pen-test por el ..sR. aDiKtO.. ===================================================================== 6) La historia del grave bug (agujero de seguridad) del foro phpbb *- Domingo día 27 de Febrero (18:00 horas) Zaerik (moderador del foro de elhacker.net) ve en una url en un foro de de waraxe (conocido por sacar montones de bugs en el php-nuke) un mensaje de Heintz que explica como entrar como administrador en cualquier foro phpbb. *- URL Original del Advisory y Exploit por Heintz http://www.waraxe.us/ftopic-525-0-days0-orderasc-.html Zaerik comenta esto en el foro Privado de elhacker.net con el siguiente título "Bug en foros PhPbb 2.0.12 para logearse como cualquier usuario (admin incluso)" Horas más tarde (sobre las 20:00h.) Zaerik, Nerviozzo y Unravel empiezan a testear el exploit y ver que realmente funciona, y explican un sencillo procedimiento para explotarlo. Decido probarlo con el foro de HackxCrack y efectivamente, entro como Azimut (administrador de HackxCrack) y ante la gravedad de la situación y temiendo que alguien sin mucha ética se aproveche del bug, decido avisar urgentemente a HackxCrack. Azimut desactiva el foro y una vez parcheado el foro con la versión 2.0.13 me da las gracias públicamene (no se merecen). Otros colaboradores de elhacker.net deciden informarn a otros webmasters de la existencia del bug con tal que tomen las medidas necesarias (desactivar foro, hacer copias de seguridad, esperar el parche, etc). *- Lunes día 28 de Febrero *- Mensaje Oficial de Azimut en el foro de HackxCrack http://www.hackxcrack.com/phpBB2/viewtopic.php?t=22483 phpbb me imagino que es informado y saca un parche rápidamente: *- phpBB 2.0.13 released - Critical Update http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=267563 *- phpBB 2.0.13 released - Critical Update http://www.phpbb.com/downloads.php elhacker.net no hizo público el exploit y waraxe hizo bien en censurar también el exploit para evitar males mayores. Durante unas cuantas horas cientos (¿miles?) de foros phpbb fueron vulnerables (no había parche oficial). Por suerte, el exploit no ha sido publicado aún en k-otik.com (imagino que por los mismos motivos que yo he tenido), ni elhacker.net lo va a hacer público hasta que el mayor número de webmasters posible parchee (actualize su foro a la 2.0.13). ===================================================================== |