RedTomahawk

In questo blog voglio mostrarvi una serie di attacchi che possono essere sferrati a voi o ai sistemi informatci aziendali. Il WWW è ormai diventata la strada digitale per eccellenza. Come nel mondo reale se gli edifici sono ben protetti potremmo sentirci sicuri all'interno delle nostre "mura domestiche", mentre se lasciamo le porte aperte, prima o poi qualcuno proverà ad entrare.

venerdì, gennaio 27, 2006

Falla nel sito www.187.it

E' da più di un anno che cerco di far correggere una falla sul sito del www.187.it che permette a chiunque di accedere ai dati personali di qualsiasi utente di Telecom Italia (telecomitalia) NON REGISTRATO sul sito.

Ma come sappiamo tutti, al 187 di noi utenti non gliene frega un cazzo.

Quindi io pubblico questo 0-day EXPLOIT!!!! (Anche se è presente da mesi)


Questa falla è molto semplice.
Questa scoperta l'ho fatta sulla mia pelle, utilizzando i dati di mia nonna.
Ma vediamo di cosa si tratta.

Mettiamo caso che volete il numero di telefono di un personaggio famoso che però non è in elenco.
Sicuramente "il fantomatico personaggio famoso" non avrà il tempo di registrasi al sito del 187 per usufruire dei meravigliosi servizi del customer care di telecomitalia.
Quindi noi ne approfittiamo.

Andiamo su internet e ricerchiamo i dati personali del personaggio pubblico. Ad esempio PAOLO BONOLIS.
Basta andare su GOOGLE e cercare: "Paolo Bonolis nato il" e in un attimo vi arriveranno i dati:

Nome: Paolo
Cognome: Bonolis
Nato a: Roma
il: 14 giugno 1961

Con un comune software per la generazione del codice fiscale generatevi quello di Bonolis:

C.F.: BNL PLA 61H14 H501 V

Ok.

Ora andate sul sito www.187.it e cliccate su "Registrati ora".
A questo punto vi basta inserire il codice fiscale generato et voilà!
Vi compariranno il nome e cognome non modificabili (segno che l'utente esiste)!!!
Completate i dati di registrazione con un po' di informazioni a caso e annotatevi nome utente e password.

Il sito per completare la registrazione vi chiede:
a) il numero di telefono
b) numero fattura
3) il bimestre e l'anno del numero fattura

voi fregatevene di questi dati e fate "AVANTI" e il gioco è fatto.

Tornate sulla home page del 187 e fate login con i dati inseriti.

Come per magia avrete a disposizione l'utenza telefonica del vostro beniamino!!!

NOTA: Questa falla funziona SOLO per gli utenti che non sono ancora registrati sul sistema.

0 Comments:

Posta un commento

Links to this post:

Crea un link

<< Home

Statistiche sito,contatore visite, counter web invisibile