Vulnerabilidad De Joomla

En este caso vamos a hablar de JoomScan, una aplicación que ejecutada desde consola (a través de interface web) nos permite localizar vulnerabilidades web conocidas para este CMS. Está escrita en Perl (como todo buen script que se precie) y permite la actualización por svn. Permite detectar la versión de Joomla! que se está ejecutando. Escanea y localiza vulnerabilidades conocidas en Joomla! y sus extensiones. Presenta informes en formato texto o HTML. Permite su actualización inmediata a través de un escáner o svn. Detecta vulnerabilidades de tipo: SQL injection, LFI, RFI, XSS entre otros.

Artículo publicado en www.gnumax.org: Escaneando vulnerabilidades en Joomla! con JoomScan http://gnumax.org/escaneando-vulnerabilidades-en-joomla-con-joomscan/

ANÁLISIS DE INYECCIÓN SQL CRÍTICA EN JOOMLA < 3.2.2

En febrero saltó a la palestra una grave vulnerabilidad de inyección SQL que afectaba al gestor de contenidos Joomla!, reportada por killall-9. En esta ocasión, y a diferencia de lo que suele siempre ocurrir, la vulnerabilidad residía en el núcleo de la aplicación y no en módulos o plugins. Por lo que cualquier instalación de Joomla anterior a 3.2.2 es vulnerable por defecto.

Pues bien, ya tenemos más información acerca de la explotación y la causa de la vulnerabilidad, que por tratarse de una inyección SQL, ya se asumía que se trataba de un problema de validación de parámetros.

Preparamos nuestro entorno para disponer de un conjunto LAMP (Linux, Apache, MySQL, PHP) en el que instalaremos la versión 3.2.1 de Joomla afectada por esta vulnerabilidad. Realizamos una instalación por defecto llamando al portal "Joomla Test", cargándola con datos de prueba.

El error muestra la siguiente información en la parte inferior:En dicho error, nos quedamos con el prefijo establecido durante la instalación de Joomla para la nomenclatura de las tablas en base de datos, tras la sintaxis de INNER JOIN. En este caso, el prefijo corresponde con ls41c para la tabla contentitem_tag_map

Este prefijo lo utilizaremos durante la explotación de la vulnerabilidad para conocer exactamente como se denomina a la tabla de usuarios dentro de la base de datos del sistema afectado. Por lo que, para consultar información de la tabla de usuarios de Joomla, tendremos que realizar sentencias sobre la tabla ls41c_users. La explotación es simple: incluiremos el UNION SELECT tras el identificador vulnerable, seleccionando el valor deusername y posteriormente del password obteniendo su hash (más información sobre esta tabla en la documentación en Joomla), concatenando el carácter '#' entre ellos para su mejor distinción por pantalla: