Vulnerabilidades de Sistema de Facturación

Transcripción

1 Vulnerabilidades de Sistema de Facturación Generales - Directorio "class" no es requerido. No hay referencias al mismo en código. - Función de generación de contraseñas es insegura. El nuevo password se genera enteramente aplicando una transformada al RUC que genera un número cuyos dígitos son los mismos del ruc más un valor constante. - Servicios aparentemente innecesarios corriendo en el servidor: postgresql y dovecot - Aplicación depende de phpmailer, que se encuentra instalada en su versión 5.1. Se recomienda actualizar a la más reciente, así como borrar cualquier archivo de ejemplo, testing o documentación de dicha librería. - Mensajes de error mostrados al usuario contienen información sensible. Verificar que los errores de php o postgresql no sean mostrados al usuario final, pues podrían mostrar información como estructuras de las bases de datos. En particular verificar que no se muestre al usuario final la salida de la función pg_last_error o similares. - Passwords de clientes almacenados en texto plano - Todos los clientes tienen el mismo password por defecto, lo que podría traer problemas. - No hay restricción entre usuarios. User A puede ver info de user B. - Variables de sesión comunes entre interfaz de administración y de clientes permite que un administrador entre a la interfaz de cliente y viceversa bajo ciertas condiciones. - Recordar contraseñas no funciona. Concatena basura al final del password. acciones.php - Fallo de lógica: En la línea 16 se especifica que si hay al menos un usuario con las credenciales dadas ($result>0), se permita el ingreso al sistema. Un usuario jamás ingresará con dos credenciales en una misma transacción. Se prefiere un control que especifique que debe existir 1 y solo 1 usuario ($result==1) en la base de datos que cumpla con la dupla usuario:contraseña. - XSS en acción actualizar_perfil: El código HTML del cuerpo del correo puede ser alterado por medio de los parámetros POST dirección, . - SQLi en línea 127, 178

2 conn.php - Borrar líneas siguientes: error_reporting(e_all); ini_set('display_errors','on'); - Password de conexión a la base de datos demasiado sencillo. No debe ser relacionable a la aplicación, creadores, instituciones, etc. - Funciones decryptrj256 y encryptrj256 son parte de un mal esquema de diseño. La pantalla de login permite cifrar y descifrar contenido, volviendo el cifrado reversible por cualquiera. - Usuario de SMTP no tiene password. Posible suplantación de origen en correos. descargar.php - Recurso no requiere autenticación para ser visto. - Acceso arbitrario no autenticado a archivos de sistema en el servidor (Los webservices subyacentes podrían ser los responsables). Ver el siguiente link: documentos.php - SQL injection en líneas: 54, 130, 132, 140, 141, XSS en parámetros GET: secuencial_d1 secuencial_d2 secuencial_d3 secuencial_h1 secuencial_h2 secuencial_h3 desde_fec hasta_fec tipo

3 ordenar imprimir.php - XSS en GET: au - Referencias directas inseguras: Lectura arbitraria de archivos en servidor por medio de parámetro GET docid. index.php - Cookie insegura ebillingesdm contiene user y passwords cifrados. El cifrado puede revertirse en la pantalla de login. Esto es un mal diseño de la funcionalidad recordar datos de usuario. Se prefiere un cookie persistente, aunque realmente es preferible eliminar esta funcionalidad. - "Recordar datos" no funciona correctamente. - XSS en cookie: ebillingesdm panel.php - Recurso no requiere autenticación para ser visto perfil.php - Referencias a twitter y facebook no utilizadas en código. Parece ser código de prueba. Borrar. vista_previamail.php - Archivo en desuso. Borrar vista_previa.php - SQLi en parametros GET: docid

4 plantillas/pdf.php - XSS en parámetros GET y POST: aut - Referencias directas inseguras: Lectura arbitraria de archivos en servidor por medio de parámetro GET y POST path plantillas/telconet.php - XSS en parámetros GET y POST: aut - Referencias directas inseguras: Lectura arbitraria de archivos en servidor por medio de parámetro GET y POST path administrador/clientes.php - XSS en parámetros GET: totaldocumentos ruc paginaactual administrador/diario_documentos.php - SQLi en líneas: 16 administrador/documentos.php - XSS en parámetros GET: ruc secuencial_d1 secuencial_d2 secuencial_d3

5 secuencial_h1 secuencial_h2 secuencial_h3 desde_fec hasta_fec tipo ordenar totaldocumentos - SQLi en lineas: 43 administrador/edicion_usuarios2.php variable administrador/imprimir.php - Variable potencialmente peligrosa: $_SESSION['password']. - Interfaz permite al administrador ver los passwords de clientes. Esto no es recomendado. Posible abuso de autoridad. administrador/logs_autorizacion.php - SQLi en líneas: 11, 21, 43, 44 query2 query administrador/logs_ s.php - SQLi en líneas: 10, 19, 28, 37, 47, 66, 67

6 administrador/logs_error.php - SQLi en líneas: 10, 19, 30, 49, 50 query2 query proceso administrador/logs_procesos.php - SQLi en líneas: 11, 20, 50, 69,70 query2 query archivo administrador/acciones.php - Fallo de lógica: En la línea 19 se especifica que si hay al menos un usuario con las credenciales dadas ($result>0), se permita el ingreso al sistema. Un usuario jamás ingresará con dos credenciales en una misma transacción. Se prefiere un control que especifique que debe existir 1 y solo 1 usuario ($result==1) en la base de datos que cumpla con la dupla usuario:contraseña. - Subida de archivos arbitrarios en acción "cambiar_contrasena". No hay control de extensiones o tipos de archivo. - SQLi en líneas: 186, XSS en acción "actualizar_ " en variable POST:

7 - Referencias directas inseguras en acción "descarga_masiva": Lectura arbitraria de archivos en servidor por medio de parámetro GET p - Referencias directas inseguras en acción "descarga_masiva": Lectura arbitraria de archivos en servidor por medio de parámetro POST masivo - Referencias directas inseguras en acción "descarga_masiva2": Lectura arbitraria de archivos en servidor por medio de parámetro GET masivo - Mala validación de tipos de archivos subidos en acción "cargar_banners". El tipo de archivo puede ser modificado por el usuario. - Referencias directas inseguras en acción "pdf": parámetro GET path contiene una ruta completa a un archivo. Un atacante puede modificarla para apuntar a cualquier archivo del sistema.