OWASP TOP 10: Broken Access Control

En el número 5 del TOP 10 de OWASP tenemos Broken Access Control, que como ya vimos, se refiere a las zonas de las aplicaciones y/o sistemas que no están correctamente protegidas, lo que provoca que usuarios no autenticados obtengan acceso a ellas o ejecuten acciones que no deberían.

Esta es de las fáciles... Un poco de conocimiento sobre carpetas por default nos permitirá obtener información útil sin tener credenciales válidas en los servidores web, pero si no contamos con esos conocimientos, tenemos herramientas que nos ayudan a identificar esta información de manera automatizada. Un ejemplo muy claro de este tipo de herramientas es nikto.

Nikto es una herramienta de escaneo de servidores web que realiza diferentes tipos de actividades, tales como la detección de malas configuraciones y vulnerabilidades en el servidor objetivo, detección de archivos y directorios en instalaciones por defecto, listado de la estructura del servidor, versiones y fechas de actualizaciones de servidores, tests de vulnerabilidades XSS, ataques de fuerza bruta por diccionario, reportes en formatos txt, csv, html, vulnerabilidades a clicjacking, etc.

Nikto se distribuye bajo licencia GNU/GPL, lo que significa que el código fuente se encuentra a disposición pública para usar, modificar y/o distribuir la herramienta libremente. Si quieres más información al respecto, te recomiendo que visites su sitio oficial.

Ahora bien, si ya tienes tu máquina virtual con Kali o con Parrot OS, no necesitas ni descargarla debido a que ya que viene incluida.

Descubriendo vulnerabilidad Broken Access Control

Vamos a ver de qué manera podemos usar nikto para descubrir esta vulnerabilidad.

1.- En nuestro sistema Kali o Parrot OS, vamos a ejecutar el siguiente comando en una consola.

nikto -host <eldominioaevaluar>

2.- Esperamos a que termine de obtener los resultados, y vamos a buscar alguna carpeta o archivo de interés, en este caso, el archivo robots.txt (incluso, hay ocasiones en las que el propio nikto te dice que puede haber cosas interesantes en algunos archivos que vaya encontrando, pero aunque no lo diga, no perdemos nada con mirar).

3.- Ahora que ya obtuvimos algo de información, vamos a ir al navegador a ver qué es lo que trae este archivo robots.txt.

4.- Como ven, primeramente ya tuvimos acceso a un archivo al cual en teoría no deberíamos tener... Pero si además hacemos caso a nuestra curiosidad, podemos elegir entrar, por ejemplo, al directorio wp-includes/ y ver primero, si nos deja pasar, y segundo, si conseguimos acceso, ver qué contiene este directorio.

A partir de este punto ya nos podemos entretener buscando si podemos realizar algo en alguno de estos directorios, o si los ficheros a los que tenemos acceso tienen información importante como usuarios o contraseñas.

De aquí y de lo que obtenemos con nikto podemos partir para explotar la siguiente vulnerabilidad del TOP 10 de OWASP, que es Security Misconfiguration, pero eso lo veremos en un nuevo post en el blog.

Nota: Es importante mencionar que al terminar de escribir este post, y dado que se encontraron diversas vulnerabilidades en el sitio evaluado, éstas fueron reportadas al administrador del sitio, sin embargo aún no han tomado acciones para mitigarlas.