Errores en la Autentificación de los sistemas!!!

 

Cuantas veces hemos visto un login que NO es vulnerable a un «sql injection«, pero queremos entrar a como de lugar, una idea sería «brute-force» lamentablemente no siempre hay una respuesta de esa forma.

Ahora les voy a mostrar un error que algunos programadores aun cometen, la idea es que cuando el usuario y contraseña coinciden hacen que una variable «X» cambie a true, ahora la pregunta es que pasaría si nosotros hicieramos que la variable se ejecutara a taves de un GET?

Por Ejemplo:

<?php
if ($access==true) {
echo 'Access Granted.'; }
else {
echo 'Access Denied.';
}
?>

Como ven en el caso de que access sea true te deja entrar al sistema, entonces que pasaría si nosotros ante el sistema hiciéramos lo siguiente:

1)Entramos en la dirección donde queremos realizar la prueba http://www.bugged.com/admin/login.php

2)Ahí ponemos un usuario para bypass con sql injection y no funciona entonces nos regresa a la misma página correcto, pero nos mostrará algo como lo siguiente:

http://www.bugged.com/admin/login.php?user=&pass=

Entonces si nosotros colocamos una pequeña variante al final

http://www.bugged.com/login.php?access=1

En ese momento cambiaríamos a true la variable access y como la mayoría de personas no ponen una seguridad a sus paneles de control solo faltaría ir a:

http://www.bugged.com/admin/

y ver que estamos logueados como administradores. Es algo muy raro como pueden pasar estas cosas, pero como condicion para que funcione bien los register_blobals en ON, eso que dije es configuración del PHP.INI un archivo como el .htaccess que podremos ver después.

Ahora para reparar este error no hay mucho que haces, básicamente primero que todo deberíamos de ponerle un htaccess a la carpeta ADMIN que solo permita que ingresemos desde sierta IP, con programación también podemos asegurarnos de que solo entren con un tipo de navegador.

Otra cosa deben de asegurar que pida la sesión en el momento de hacer que access cambie a 1.

if($_SESSION[‘access’]

Algo así es como se debería ver. Bueno espero no cometan estos errores, porque pueden causar mucha perdida de información.

Categorías

About Gustavo Martinez

Phd. en computación, Senior Bloguer, Amante de la tecnología móvil, aplicaciones web, educación online.

Deja un comentario

Por favor, usa tu nombre real en vez de un nick.

Time limit is exhausted. Please reload CAPTCHA.