JoomlaScan v1.4

La verdad es que pasa el tiempo rapidísimo. He sacado un rato libre hoy y tras revisar la última versión de JoomlaScan he visto que llevaba sin actualizarse desde el 30/11/2011 y la última versión detectada era la 1.7.

Tras echar un ojo a la web de desarrollo de Joomla he visto que la 2.5.x está disponible desde hace bastante tiempo y que la 3.0 está en beta, aún no descargable desde la web. Así que he modificado el script para que detecte hasta la versión 2.5.x.

De paso he añadido los últimos bugs del núcleo y algunos otros de componentes que he visto en algunas páginas de exploits.

 

Para actualizarlo, si tienes la versión 1.3 instalada, sólo debes hacer un update:

$ perl joomlascan.pl -update

Si no lo tienes instalado, o la versión es anterior a la 1.3, debes bajarte el tgz de mi web:  JoomlaScan

 

El gran hermano nos vigila

Andaba yo aburrido jugando con el archiconocido SIPvicious, cuando en un escaneo de puertos 5060 he visto un User Agent algo extraño. Concretamente: VIVOSIPUA v0.1

La verdad es que no me sonaba ningún servidor SIP o terminal con ese nombre. Así que tras un escaneo más minucioso veo que tiene la web abierta. Así que toca cotillear un poco …. y … coño! una webcam apuntando a una playa con féminas bañándose!

Tras geolocalizar la IP veo que es una playa de Palma … joer! si es que uno ya no puede ni bañarse tranquilo.

Bueno, pues ya que me han salido varios User Agent similares, vamos a echar un ojo a ver qué más nos encontramos … por ejemplo, una cámara de vigilancia del Puerto de Vigo:

Entrando en la web del fabricante veo que se trata de cámaras de vigilancia que transmiten también voz, usando el puerto 5060. Pero lo que no logro entender es cómo sigue habiendo gente que no pone contraseña a este tipo de cosas. No es que haya una contraseña por defecto y que no la hayan cambiado, sino que directamente no hay ninguna. Acedes a la web y a disfrutar de las vistas.

Y no sólo eso. Es que además hay acceso a toda la configuración:

Incluso podemos poner una contraseña e impedir el acceso al propietario:

O actualizar el firmware, reiniciar la cámara, etc:

¿Para qué poner una cámara de seguridad si el ladrón puede desactivarla libremente? directamente invítale a entrar y que se lleve lo que quiera.