lunes, 27 de septiembre de 2010

Comentarios de seguimiento en Blogger

Desde hace algún tiempo vengo notando un comportamiento extraño a la hora de hacer comentarios en blogger pero siempre he pensado que seria cosa de mi inexperiencia pero después de un tiempo de ver que siempre me pasa lo mismo he decidido comentar el caso para ver si alguien me puede decir si es problema mio o es un "fallo" de blogger.

Mi problema esta relacionado con los comentarios de seguimiento. ¿Que son los comentarios de seguimiento?. Se trata de un aviso que nos llega por correo electrónico cuando alguien deja un comentario después del nuestro. Personalmente es algo que me gusta activar ya me gusta saber las opiniones que se generan pero si no activo esta opción, por lo general, se me olvida volver a visitar el post en cuestión.

Cuando vamos a dejar un comentario (si no estamos autenticados) se nos pide la información necesaria para el mismo, es decir, el texto, nuestra identidad, la palabra del captcha... pero no aparece el check para indicar que queremos que nos envíe los comentarios de seguimiento.


Ni siquiera en la vista previa aparece este check.


Una vez que hemos publicado nuestro comentario vemos que ha aparecido el check para activar los comentarios de seguimiento pero ya es demasiado tarde y no podremos hacerlo a no ser que dejemos otro comentario.


Resulta que esta opción solo esta presente una vez que nos identificamos en el sistema por lo que antes de poner nuestros comentarios deberíamos pasar por www.blogger.com e indicar nuestro usuario y contraseña y después volver al blog que queremos comentar.
En mi opinión este check también debería aparecer aunque no nos hayamos identificado o bien ponerlo en la vista previa para evitar pasar por blogger y que se nos olvide activar esta opción.

viernes, 24 de septiembre de 2010

Wally de compras por Cuatro

Wally vuelve a la carga con otro XSS, en esta ocasión se ha dado una vuelta por la tienda oficial de Cuatro para ver si consigue que algún usuario le ceda sus credenciales y ahorrarse unas pelillas...



NOTA:
El fichero .js solo inserta una imagen que simula ser la pantalla de inicio de sesión en la tienda de Cuatro pero se podría añadir un formulario falso y que Wally engañase a los usuarios para capturar sus datos... felizmente Wally es buena gente.

sábado, 18 de septiembre de 2010

Inyección SQL en la web del metro de Madrid (1/2)

El metro de Madrid dispone de una completa web con información útil para los viajeros desde la cual poder planificar nuestros trayectos ya que es posible realizar búsquedas de las líneas que debemos utilizar en función del lugar de salida y el de llegada. También dispone de información de todas sus estaciones, horarios, tarifas, planos...

Pero lamentablemente el servicio de atención al cliente no es tan completo ya que llevo un par de semanas intentando ponerme en contacto con ellos y no hay manera así que mientras que lo consigo solo puedo comentar que, en su web, existe una vulnerabilidad de tipo inyección de código SQL por la que es posible tener acceso a toda la información contenida en su servidor de datos.

En esta captura se puede ver la lista de bases de datos accesibles

Si alguien sabe como contactar con ellos que me lo indique y una vez solucionado el problema publicaré más información sobre esta vulnerabilidad.

Actualización:
Finalmente el Metro de Madrid se puso en contacto conmigo el día 23 para comentarme que le han pasado mi petición al departamento correspondiente y que se tomarán las medidas oportunas... en resumen, que va para largo.

Detección del problema: 04/09/2010
Comunicado a la empresa: 04/09/2010 (acuse de recibo 23/09/2010)
Resolución: 18/10/2010 (más información)

miércoles, 15 de septiembre de 2010

Nuestra primera copia privada

Hará unos 20 años que hicimos nuestra primera copia privada, evidentemente no se trataba de un DVD, ni siquiera de un CD, se trataba de la pelicula en formato VHS, concretamente de "El nombre de la rosa".

En esos casos, para poder hacer una copia era necesario disponer de dos videos VHS pero eran algo caros y solo teniamos uno así que el primer reto fué buscar a alguien que nos pudiera prestar el suyo.

La verdad es que no fué dificil ya que nuestro amigo y vecino Angar también compartia nuestra aficción por el cine, de hecho, fué él quien sugirió la película, así que se ofreció para prestarnos su video pero como era de esperar sus padres, al igual que los nuestros, no veian bien que los videos salieran de casa ya que podian estropearse y eran bastante caros como para que unos adolescentes los pasearan por ahí.

Cable coaxial
Segundo reto, ¿como conectar los dos videos estando cada uno en una casa distinta?. Por aquellos tiempos no habia emisores de video inalámbricos (o si los habia no los conociamos y seguramente serian carísimos) así que la única forma que conociamos para conectar dos videos era mediante un cable RCA o bien mediante un cable coaxial (el típico cable de antena). Los cables RCA que vendian eran muy cortos pero los cables coaxiales si los vendian con la longitud que se desease así que compramos 25 metros de cable con sus correspondientes conectores.

Angar vivia en el edificio contiguo al nuestro, nuestros balcones quedaban relativamente cerca, de forma que teniamos pensado pasar el cable por el balcon pero a no ser que hicieramos malabarismos a una altura considerable era imposible llegar de un balcon a otro. Entonces ¿como podriamos pasar el cable hasta su balcon?

Tanto a mi hermano Johnson, a Angar y a mi, se nos pasaron varias ideas por la cabeza pero tampoco era plan de poner en riesgo nuestra integridad física así que nos decidimos por una opción bastante sencilla, un avión de papel. Atamos un hilo a un avión de papel y lo lanzamos de un balcón a otro. Tras unos cuantos intentos el avión llegó a su destino y, Angar tiraba del hilo lentamente haciendo que el cable coaxial "volara" hacia él. El proceso lo repetimos varias veces ya que el cable era algo pesado y el hilo se partia con facilidad pero finalmente Angar pudo coger el cable. La verdad es que nos pareció toda una azaña.

Una vez que teniamos una punta del cable en cada casa hicimos las conexiones y Angar puso su video en PLAY al tiempo que nosotros haciamos una búsqueda de su video en el nuestro ya que, al conectarse mediante cable coaxial su video hacia de emisor y nos aparecería en el nuestro como un canal de televisión más. Tras unos segundos de emocionante búsqueda aparecierón las primeras escenas de "El nombre de la rosa", la calidad de la imagen no era 100% nítida pero tampoco nos preocupaba mucho (por aquel entonces no pensabamos que la longitud del cable podia producir perdida de señal).
Salimos al balcón para avisar a Angar y decirle que el "invento" funcionaba y que rebobinase la cinta para iniciar lo que fué nuestra primera copia privada.