Hace unos días intentaron hackear este blog mediante SQL Injection, en entradas sucesivas iba a hablar sobre este tema pero este intento de intrusión en mi propio blog me viene bien para explicar un poco este tema y de paso repasar lo que ya he enseñado.
Lo primero que hice al detectar es intento de inserción de código malicioso ha sido coger la IP del atacante y mediante los sistema que ya expliqué en artículos pasados pude saber que enviaron el código malicioso utilizando un proxy público situado en los Estados Unidos, esto junto con los errores de novato al intentar hacer el ataque me demuestra que el susodicho tiene muy poca idea de estos ataques.
Para empezar este hackercillo (Como lo llamaremos de aquí en adelante) parece ser que se enteró por alguna página que utilizando un código podía vulnerar un fallo en wordpress y adquirir algunos permisos, pero claro, el no saber ha echo que metiera la pata hasta el fondo pero para explicarlo bien empezaré desde el principio.
Mediante el código que me ha intentado enviar he podido saber que intentaba vulnerar un fallo que encontró un famoso Hacker llamado M4g por el cual un atacante con permisos de publish_posts y edit_published_posts podría realizar consultas sql arbitrarias y así obtener datos de la base de datos empleada por wordpress (Primer fallo del “Hackercillo” no tenía ninguno de los permisos). Además el susodicho parece ser que no sabía que este fallo se encontraba en la versión de Worpress 3.0.1 y se resolvió con la actualización de la versión 3.0.2 ( Segundo fallo ni siquiera comprobó que versión de WordPress tenía).
En conclusión, por si me lee el hackercillo al menos aprenderá algo, para realizar este ataque necesitabas permisos de autor para publicar y editar entradas, además debías de comprobar que mi versión de WordPress era 3.0.1 y para culminar de los errores la sentencia que enviaste no se enviaba como comentario como has echo, dicha sentencia en este ataque es introducida en el campo “send trackbacks to:” de una entrada nueva.
De todos modos si me lees decirte que el ataque no es simplemente ese paso detrás van al menos cinco pasos más que quizás otro día explique, para que por lo menos no me vuelva a encontrar un comentario de esta guisa:
AAA’,”)),post_title=(select/**/concat(user_login,’|’,user_p###)/**/from/**/wp_users/**
/where/**/id=1),post_content_filter###=TRIM(REPLACE(to_p###,’
A favor de este chico puedo decir que al menos, el copiar y pegar si lo hizo bien.
IMPORTANTE: Este caso es uno de los motivos más importantes por lo que debemos siempre tener nuestros gestores de contenidos (Joomla, WordPress, Drupal…etc) actualizados a la última versión.
Feliz Año Nuevo y buen Hackeo a todos¡