SQL Injection Demo... se me ocurre hacerla en vivo

Pues lo del titulo, antes de publicar la vulnerabilidad sql injection del sitio mencionado anteriormente y dado que el sitio aún sigue de alta... porque no hacerlo en "vivo" y directo? podríamos aprovechar de armar un pequeño taller para hablar un poco sobre el tema...

Les dejo la idea por si alguien se apunta, sino... luego publico el paper!

Saludos,

[update]
Tentativamente se acaba de armar para hacerla en algún bar con internet en San Salvador el día viernes (dependerá de como este de liado en la mina) o sino veremos si armamos algo para el domingo despues de la reunion con las comunidades de software libre.
El que quiera mas información... anótese y pendiente!

Jugando a las inyecciones...

Despues de estar un rato meditando sobre si hacerlo o no hacerlo, me decidí a publicar este post sobre el sitio al que en enero le avisé que era vulnerable a inyeccion SQL, pero el caso es que el ejemplo está bonito para probar y aprender ;) además, si desde enero estan sabedores que tienen este problema y ellos no se preocupan por arreglarlo... porque me voy a preocupar yo por publicarlo? asi que, aprovechando que ya desde hace tiempo no publico nada, les dejo primero el sitio para que hagan sus pruebas y vean si pueden encontrar el/los (si, son varias secciones) agujeros... pero a ser buenos, no arruinen la pagina, se trata nada mas de aprender, luego publicaré los respectivos screenshots y explicación.

El sitio en cuestion:
http://www.bves.com.sv

Vulnerabilidad:
SQL injection que permite luego ingresar como administrador/es del sitio.

Saludos!

Nueva cancion para la selecta?

Si, la verdad es que extraño escribir por estos rumbos, pero la mina me sigue consumiendo la vida, pero ahi vamos saliendo, al menos pueden ver uno que otro twitt para que sepan que sigo por ahi vivo.

Muy alegre por el desempeño que ha tenido "la selecta", triste por la perdida de ayer ante Honduras, pero ni modo "el furgol es asin".

SoySalvadoreño ponia un post esta mañana haciendo referencia a una canción muy buena sobre la selecta que escuche hace unos meses por radio y que nunca pude encontrar mayor información hasta hoy, ahi hay un video, pero si necesitan el mp3 lo pueden bajar de aca.

Saludos!

Estoy vivo...

Bueno... mas o menos!

Al menos estoy aca dejando un post para decir "Aun vivo!", el caso es que la mina ha estado realmente dura, con poco tiempo para responder correos y otras cosas y con pocas ganas de llegar a eso de las 11:00pm a encender la compu y continuar.

Ya vendran tiempos mejores!

Reparando Compaq Presario V3000

Desde hace ya un par de... meses? tenia una laptop de un amigo, justamente la presario V3000, el problema era que al querer encenderla, solo encendia todos los leds pero no presentaba nada en pantalla.

Lo primero que se me ocurrio era que era problema de la pantalla, asi que le conecte un monitor externo... pero nada.

Prestando mas atencion se podia notar que el disco duro no se quedaba funcionando asi que definitivamente la laptop no arrancaba.

La buena costumbre me llevo a la solucion: Revise en google el problema en cuestion y me llevo a un foro donde un tipo da la solucion a este problema.  De hecho, es un problema de fabrica y debido a esto, la garantia se estuvo extendiendo por un anio mas para estas laptops.

Para los interesados, la solucion mas completa y explicada la da el usuario vera_fresh del foro en cuestion, quien inclusive menciona que es un falso contacto debido al calor que hace que el voltaje del procesador baje de 2 v a menos de 1 v, como llego a este dato? bueno, el caso es que la solucion a corto plazo es bastante sencilla y no es nada mas que ponerle una secadora de pelo por unos 5 minutos para calentar el procesador y voila! la compu ha vuelto a la vida.  En mi caso, calente el proce justo despues de "drenar" todo el voltaje (quitar la bateria, mantener apretado el boton de apagado para que se apague la maquina, una vez apagada seguir presionando el boton y quitar el cable de power y mantener presionado el boton por al menos unos 30 segundos).

Claro, si te quieres asegurar que durara un poco mas sin que de este problema, lo mejor es conseguir una pistola de aire especial para calentar los contactos del proces y vuelvan a pegarse o soldar los respectivos pines, agregar pasta termica al proce y a la tarjeta de video.

Hasta hay un video donde hacen todo esto.

Una solucion bastante interesante y rara... pero que les aseguro que funciona y mejor aun, te hace quedar bien con el cliente/amigo que ya tenia su laptop desauciada.

Una gran cosa google y sus respuestas!

Se acabaron las vacas...

Se acaban las vacaciones... y comenzaré con un buen recibimiento, el último día de trabajo antes de las vacaciones se despidió a 8 personas de bodega, no por crisis, no por reubicación... sino que lo mas triste es que fué debido a que esta gente aún a pesar de ver todo lo dificil que está todo afuera, decidieron no solo no dar su 100% sino querer influir a que la gente nueva realice también un trabajo mediocre... triste, pero cierto, a veces se muerde la mano que nos da de comer.

Así comenzamos una nueva etapa de trabajo, con bastante que hacer, con mucho trabajo por hacer pero con ganas de darle para adelante!

Me dí vacaciones tranquilas en casa, descansando lo que se puede, al menos un cambio de rutina y dormir un poco mas de lo normal.

Poca actividad en este blog... pero un poco mas en twitter, ahi vamos haciendo de todo un poco!

Saludos!

Reunion de Twitteros y Bloggers

Casi una semana después, pero acá estoy comentando como estuvo la reunión de twitters y bloggers en multiplaza el domingo pasado.

Ya sali un poco tarde de aca, pensando en dar un poco de tiempo para que llegaran, asi que tipo 10:30am estaba entrando a Multiplaza, entré al foodcourt pero no veía ningún grupo, así que como tampoco iba a comer nada todavía salí por el otro lado y fui a darme una mi "vuelta". Rapidamente encontré la red de turbonett y me puse a twittear para ver donde andaba la gente... parecía que nadie había venido. Volví a entrar a ver si veía a alguien sospechoso, vi a alguien que estaba sentado solo y viendo para todos lados cerca del Mister Donut, entré dispuesto a tomarme un cafe, pero no había señal wireless ahi... asi que rápidamente me salí y vi que la persona que estaba sentada sola me miró de reojo... volví salir y me dijeron que por ahi estaba @hvts, a quien no conocía pero me puse a ver la photo de twitter, en eso vi que iba entrando alguien con telefono en mano y viendo para todos lados... "este ha de ser pense...", dejé que se sentara y lo primero que hizo fue ver para todos lados y tomar su telefono (bueno, en realidad era un ipod touch) asi que me levante y efectivamente resultó ser @hvts así que comenzamos a hablar. Al rato vimos que venía alguien con camiseta de twitter y nos saludo, nuestra sorpresa fue que al saludarnos se acercó otro grupo que estaba en otra mesa y efectivamente, la otra persona que había visto "sospechosa" resultó ser Samuel Bran... luego, al buen rato comenzarón a llegar los demas twitteros.

Pasamos un buen rato, lastima que me retiré antes que terminara la reunión y no tuve oportunidad de conocer a los que llegaron después... otra vez será.

Fue bueno poner "una cara al nombre" de las personas que nos leemos!






Nos veremos en la proxima!

Updated: AHHH se me olvidaba incluir la lista oficial de los asistencias, en el blog que QUeith!

Twittblogs & Multi

Algo ausente de este blog los últimos días aunque siempre se me puede encontrar en IRC y ahora twiteando, después de tener mis reservas al respecto me decidí utilizarlo y he encontrado gente muy interesante por ahí, la mayoría de twitters también son bloggeros.

Hace tiempo ya se hicieron un par de reuniones bloggers (no pude asistir a ninguna), pero para este 29 de Marzo se está organizando la primera reunión de twitters y bloggers denominada: Twittblogs & Multi.

Aca se da la invitación oficial.

A continuación los detalles:

Asunto: REUNION TWITTBLOGS & MULTI (Bloggeros y twitteros salvadoreños)
Dia: domingo 29 de marzo 2009
Lugar: CENTRO COMERCIAL MULTIPLAZA, area del food court (no olvidar).
Hora: 10AM (para almorzar juntos) a 5PM (o hasta que decidan)


Haré todo lo posible por ir, pero aún no prometo nada!!!

Saludos!

El Salvador ha hablado!!!

Una verdadera fiesta civica la que vivió El Salvador este día, mucho orden, contados eventos de violencia (demasiado pocos como para tomarlos en cuenta), mucho mas presencia del pueblo salvadoreño en las urnas y al final el resultado fué algo totalmente histórico: El partido FMLN llega al gobierno y ARENA se convierte en el partido opositor.

Los resultados aún no oficiales muestran que es una ventaja bastante corta lo que muestra lo dividido que está el país, sin embargo, Mauricio Funes en su discurso (muy bueno por cierto) hace un llamado al apoyo y unidad de todo el pueblo salvadoreño.

Al final de cuentas, los que ganaron o perdieron tienen que quedar atras, extenderse a lo que está adelante y trabajar TODOS por un mejor El Salvador.

El FMLN tiene un gran reto por delante, mucho por demostrar, hoy es momento justo de ganar terreno (aún mas de lo que ganó en estas elecciones), el país está en un momento muy duro y el nuevo gobierno no tiene nada facil el camino, sin embargo, desde este humilde rincón pedimos a Dios le de sabiduría al nuevo presidente de El Salvador, Mauricio Funes, desde acá pedimos muchas bendiciones al pueblo salvadoreño que demostró una gran madurez este día!

Es de notar la gran labor que los twiteros y bloggeros salvadoreños realizaron cubriendo durante todo el día el evento, enhorabuena por este increible medio de información que fué un excelente apoyo y aporte para estar siempre al día!

Mañana comienza una nueva semana, una nueva etapa de nuestro querido El Salvador, todo cambio es traumático, pero confiamos en Dios que el que ganó esta noche, no ha sido un partido ni tendencia política, sino quien ganó es el pueblo salvadoreño al demostrar su democracia y hacer valer el deseo de la mayoría.

Saludos y bendiciones en este camino por delante!!!

Huele a cambio...

6:50 pm y esto ya huele a cambio... los resultados no son los preliminares pero a juzgar la diferencia de votos, todo parece que habrá un cambio para los próximos años, es muy dificil que ante las diferencias que se escuchan el partido de derecha las remonte... conteo final para mas tarde.

Saludos!

Elecciones en vivo!

Desde hace un par de día me dispuse a probar twitter y la verdad está muy interesante ésta herramienta social.

Una prueba de ello es la cobertura de las elecciones minuto a minutos que los "twitters" están haciendo, edwin se ha puesto dicha covertura en su pagina, asi que ha informar en vivo!

En unos momentos me dispongo a ir a ejercer mi voto, clima bastante rico gracias a la lluvia que hubo en la noche (que por cierto... mojo el intenerior de mi vocho al no contar con vidrios).

Saludos y a votar con tranquilidad, Que Dios nos ilumine para tomar la mejor decisión y que sea quien sea que quede, que tenga la sabiduría de Dios para dirigir nuestra patria!

Saludos,

Somos Salvadoreños

Muy bonito el post de Edwin al que quiero hacer mención, incluyendo una imagen que muestra la hermandad que debería de existir a pesar de nuestras diferencias en ideologías políticas... y aún debería ir mas alla de diferencias de cualquier otro tipo.

Cuando nos encontramos con otro paisano fuera de nuestro terruño es mas fácil dar/encontrar apoyo, por qué esperar a estar fuera de nuestra patria para hecharnos la mano al saber que somos salvadoreños? Estamos aqui, podemos hacerlo hoy!

Bonito post Edwin!

Probando Twitter

Tanto que había escuchado de twitter, pero hasta ahora me puse a ver que era eso de "twittear", asi que me cree mi cuenta y ahi he comenzado a mandar mis "tweets".

Interesante... veremos si me animo a seguir con esto.

Saludos!

Al fin nos daran descanso!

Si, descanso de estas campañas políticas basadas únicamente en hacer quedar mal al opositor, descanso de ataques de todo tipo por X o Y bandera política.

Creo que es la elección donde mas fea he visto las campañas electorales... creo que será la elección donde tristemente iré a votar nada mas por cumplir con mi deber ciudadano, pero donde, a mi punto de vista muy personal, ambos candidatos han dejado MUCHISIMO que desear.... donde desgraciadamente llego a un punto sin opciones.

Solo espero que después limpien nuestras ciudades de tanta propaganda, solo espero las elecciones se den sin violencia y se respete el pensamiento y la elección de todos, que haya claridad y transparencia, solo espero que algún día tengamos un presidente por el cual verdaderamente valga la pena ir a votar, solo espero que algún día nuestro querido El Salvador pueda ser visto con buenos ojos por el mundo...

Solo espero...

El Salvador en las series Estadounidenses...

Cuando estuve en Honduras tuve la oportunidad de ver un par de episodios de una serie estadounidense llamada "My Own Worst Enemy", muy buena por cierto y debido a que no he puesto cable en casa (ya me tocara!), asi que me puse a ver los episiodios que ya andan rolando por internet y youtube, ayer domingo fue maratónico y mi sorpresa fue ver que en el episodio 7 andan buscando a un ladrón y se da (mas o menos) el siguiente diálogo:

- Carlos "Carlito" Mendez, MS-13
- Salvadoreño!
- Ex militante de la guerrilla F.M.L.N...

Se imginaran mi cara al escuchar eso en una serie... suficiente con que relacionen a El Salvador con lo malo para que para colmo hagan referencia a las maras y al FMLN... es una serie relativamente nueva por lo que no dejó de sorprenderme el caso y mas aún cuando hacen referencia a lo que ahora es un partido político... definitivamente no tenemos buena imagen internacional... y mas aún cuando series de otros paises, que se transmiten a nivel mudial se encargar de seguir hechándonos tierra...

Claro... solo es mi opinion.

Saludos!

Hello world!

Me desconecté un par de días por el nacimiento de mi pequeña, pero quería compartir con todos ustedes una de sus primeras fotografías y de nuevo, agradecerles a todos sus felicitaciones, de parte de mi esposa y un servidor!!!

Este dia.... varias fechas para recordar

Post nocturno que no quería dejar de poner... este día hay 2 motivos de alegría y uno de tristeza, este día se nos adelantó nuestro amigo Kirlian, así que desde acá va un post en su memoria... por otra parte, este día cumplo 4 años de casado (los mejores años definitivamente!) y ahora justamente nació mi bebe!!! realmente, bastantes motivos para recordar el 5 de Marzo... saludos!

Ya nacio Fernanda Abigail

Post express solo para avisarles que ya nacio mi bebe Fernanda Abigail... justo ahorita voy a verles al Seguro!

Saludos!

SQL Injection avisado y todavia vigente

Hace un poco mas de un mes que le avisé al administrador de un sitio sobre un problema serio de injeccion de SQL, con el cual se obtenían las contraseñas de los administradores de diferentes partes del sitio, le mandé un detalle de cada una de las pruebas que hice y que resultaron vulnerables, a lo que me respondieron que ya tenían una semana de estar trabajando en ello, sin embargo hoy por hobbie volví a probar y el sitio seguía aún estando vulnerable por todos lados.

Viendo mas detenidamente el sitio en cuestión veo que fue hecho por una empresa multinacional dedicada al rubro, aún no me decido si avisarles también, considerando que las personas encargadas ya deberían de haberlo hecho.

Digo, si alguien me dice que mi sitio web esta mostrando las contraseñas de los administradores y que de esta forma se puede agregar, borrar o editar.... en lo personal si no lo puedo arreglar... pues deshabilito el acceso... pero fue triste ver la preocupación de esta gente y mas cuando leo sus políticas de seguridad:

La seguridad de toda la Información Personal que pueda identificar a los usuarios es lo más importante para nosotros. Nosotros ponemos gran cuidado para procurar una transmisión de información segura de su computadora personal a nuestros servidores.

Desafortunadamente, ninguna transmisión de datos en Internet podrá ser garantizada al 100%. Como resultado, en la medida que nos esforzamos en proteger la Información Personal, no es posible asegurar, garantizar o responsabilizarse de la seguridad de la información transmitida a nosotros o transmitida desde nuestros productos o servicios en línea, en el entendido que usted lo hará bajo su propio riesgo.

Una vez que recibamos la transmisión haremos nuestro mejor esfuerzo para asegurar la seguridad de la información personal en nuestros sistemas.

Para todas las transacciones electrónicas e información financiera relacionada, el Sitio utiliza el protocolo de seguridad Secured Socket Layer (SSL) para transferir datos del navegador al servidor, utilizando certificado digital en el servidor web respaldado por la empresa TWATWE SGC CA.

Marco en negrita la parte interesante, será que están poniendo todo su esfuerzo para asegurar la información de los usuarios, al final.. es resonsabilidad del usuario no? al entrar puedo ver correos, nombres , etc de los mismos... y esta gente no ha hecho nada en mas de un mes por arreglar lo mas minimo! claro, la responsabilidad es del usuario...

Ante este tipo de situaciones a veces dan ganas de publicar las cosas como para hacer un "Mini-reto en vivo" y es que vagando por internet uno puede encontrarse con tantos sitios que son vulnerables de alguna manera a este tipo de cosas... por ejemplo podemos hablar de un sitio con un concurso para ganarse un ipod... o se imaginan si el padrón electoral fuera vulnerable y todos nuestra información anduviera por ahi? ooppss... no estoy asegurando que lo es... posiblemente si lo sea, posiblemente no... con algún poco de tiempo es probable que si... en fin basta de trabalenguas y a los administradores y webmasters, mas vivos!

Oh Jerusalen - La Película

El día de ayer llegó a mis manos la película "Oh Jerusalen", a mi punto de vista, excelente película, recomendada, definitivamente.

La película es un drama que gira en torno a 1948 y la institución de Israel como estado. Dos amigos viviendo en Nueva York, uno arabe y el otro judío quienes regresan a Jerusalen para pelear por su tierra.

Por aca pueden ver el trailer y acá está la pelicula completa, claro también la pueden buscar para bajarla ya que no creo que la veamos por aca...

Muy buenas imagenes, buena musica, buen trama...

Seré yo que estoy enamorado de Jerusalen que casi lloro reflexionando en todo lo que dicen de Jerusalen: "Si Dios no está acá, no está en ninguna parte!", "Significa: Ciudad de Paz"... y sin embargo Jerusalen siempre ha estado rodeada de historia de guerra y destrucción, no en vano el salmista decía:

Pidamos por la paz de Jerusalén: "Que vivan en paz los que te aman. Que haya paz dentro de tus murallas, seguridad en tus fortalezas."

Hay una parte en la película que me impactó y justo es cuando se menciona también otro salmo del poeta David:

Ah, Jerusalén, Jerusalén, si llegara yo a olvidarte, ¡que la mano derecha se me seque! Si de ti no me acordara, ni te pusiera por encima de mi propia alegría, ¡que la lengua se me pegue al paladar!

Que haya paz en Jerusalen!