Recebi um e-mail bem interessante quanto a possibilidade de bypass no desafio proposto pelo blog 100Security. Vejam, a ideia aqui é só demonstrar que talento + pesquisa = hacker.

O 100security  está fazendo um excelente trabalho com os seus desafios e posts. Vamos ao conteúdo do e-mail:

Boa tarde a todos… Estava querendo um pouco de diversao para a minha monotonia quando me reparei com o seus WarGame (http://www.100security.com.br/wargame).
Pois bem, comecei o desafio e estava indo relativamente bem, quando me dei conta no terceiro nivel de que todas as paginas do nivel seguinte possuem a extensao .PHP.

Dessa forma pensei na mais simples das possibilidades ao inves de quebrar desafio por desafio: Realizar um Crawler atraves de algum programa de Web Crawler do Backtrack. Nesse momento que me dei conta do programa DIRB /pentest/web/dirb na distro 5 r3.

Utilizei o parametro mais simples: dirb http://www.100security.com.br/wargame -X .php. E acreditem… Na wordlist do proprio DIRB continha a palavra PHONE. Logo o programa achou a url http://100security.com.br/wargame/phone.php. Relativo ao 14 desafio.

Sim colegas, com um Web Crawler eu PULEI DO TERCEIRO DESAFIO PARA O PENULTIMO. Sem gastar neuronios. Agora a questao: Se o desafio valesse dinheiro? O candidato a hacker podera PULAR do terceiro desafio para o PENULTIMO? OU QUEM SABE DEPENDENDO DA CRIATIVIDADE (E MUITA SORTE) PARA O ULTIMO? OU MESMO IR DIRETO PARA A PAGINA DE RESPOSTA? ganhando dinheiro facil facil?

O topico serve apenas de alerta e acredito que eu nao tenha cometido nenhum cyber crime pois se trata de um war game servindo apenas para entretenimento. Minha intencao foi apenas a alerta, mas um web crawler pode revelar muuuuitas coisas no caso de  uma invasao real.

Estava vendo no site e voces nao possuem um artigo falando sobre o DIRB. Como sugestao, voces poderiam colocar no site um pequeno artigo mostrando a vulnerabilidade do WARGAME e o meu relato.

Alem de que podera ser escrito (ainda no artigo) sobre web crawlers e sobre o DIRB e como um criminoso digital obtem informacoes vitais de uma empresa apenas com a espionagem virtual. Caso voces gostarem da ideia apenas peco que referenciem meu nome no artigo do site. Sera muito util a divulgacao do meu nome.
Agradeco a todos pela atencao e cooperacao.
Daniel Moreno

Acho que o Daniel Moreno pode levar um ingresso para o HackingDay 2013 e quem sabe, apresentar, em 15 minutos, essa artimanha para galera. O que vocês acham ?

Aviso:  Mais de 60% dos ingressos para o Hackingday2013 já foram vendidos 🙂