theNinjaBunny.blog

Alaaaa!! Si, creo que este título me dará bastante visitas xD xD pero no anda desencaminado, os contaré como en 3 días me hice con 61 contraseñas, todas de amigos y conocidos.

Actualmente saltarse la seguridad de un servidor es prácticamente imposible, deberás de estudiar MUY MUCHO el servidor, las posibles fallas que tenga etc etc Aunque es ‘técnicamente posible’ no es una opción a tener en cuenta a menos que tus conocimientos sean más que avanzados. Aún así, el problema una vez que estas dentro es que toda la información de valor viene encryptada -codificada- por sistemas de SOLO IDA o UN CAMINO. ¿ A qué te refieres ? Pues que las palabras se pueden codificar pero NO SE PUEDEN descodificar, por lo que si por ejemplo nuestra contraseña es ‘holayadios’ pasa a ser ‘f4FVsvjs89FFrfafjoiDv5465VFFDV’ , pero sabiendo ésta última forma, no hay manera de saber que palabra es la que le corresponde. Si que hay forma, pero requeriría una granja de ordenadores o unas cuantas décadas llegar a descubrila por fuerza bruta, es decir, probar con TODAS las combinaciones alfanuméricas posibles.

¿ Cómo lo hice ?
Usando ingienería social y confiando en la poca visión de los visitantes. Por lo general, las personas usan la misma clave o contraseña para todo, o al menos establecen unas cuantas y las clasifican por ‘importancia’ de lo que guardan.

Hace año y medio, cuando la gente estudiaba para selectividad, yo me lo pasé haciendo un isochat o el típico chat de monigotes que alcanzan a moverse y unas cuantas acciones más. Para que no hubiera dos usuarios con el mismo nombre, creé un mini formulario con nombre de usuario y contraseña para tal efecto, los datos se registrarían en una base de datos y ahi se comprobaría que no hubiese dos personas con el mismo nombre.

Desde entonces ha llovido mucho -en otras partes del globo, claro- antes no sabía lo que se ahora y ni mucho menos conocía como hacer sistemas ’seguros’ ni había oido hablar de algoritmos de encryptación como el MD5. Si ustedes son listos, imaginarán que, efectivamente, el campo de contraseñas NO ESTABA encryptado, por lo que me eran visibles todas y cada una de ellas xD xD

Algunos usaron las típicas 123123 o incluso ‘nochat’ o ‘nodani’ -nombre de la página por aquellos años- como contraseñas, por lo que las desestimé enseguida. La gran mayoría sin embargo utilizaba otras más elaboradas, que indicaban sin duda que las usarían para otras cosas. NO las utilicé NUNCA para entrar en cuentas de correo, pero si para cierta página de envio de SMS, que funcionaba a base de puntos de los cuales yo tenía más bien pocos. El correo es algo que apenas me interesa, prefiero tener algún beneficio como SMS, acceso a zonas, etc etc que enterarme de los últimos cotilleos.

Asi que, solo tienen que montar un chat, página o servicio que requiera un registro, dejais sin encriptar las claves y … a disfrutar! Otra cosa que NUNCA se debe de hacer es, cambiar la contraseña del gili al que estas puteando, si no, se dará cuenta de que lo están puteando y o dejará la cuenta o modificará la contraseña por recuperación. Lo mejor sin duda es simplemente cambiar la pregunta y respuesta secreta, o el sistema de recuperación de claves que tenga.

Ya saben… disfruten :ninja: