Foro de elhacker.net

Buenas tardes,
Esta mañana estaba analizando una pagina web, en búsqueda de posibles fallos que visualicé gracias a errores de la propia página y pues... realizando técnicas de indexación mediante dorks, he encontrado de casualidad errores de seguridad en esta página:

https://www.mic.gov.py/

Información sensible: Mediante técnicas de Directory traversal y dorks se puede encontrar:
Todos los archivos, formularios, documentos de la página web.
Una copia de seguridad de esta página web y la anterior con su respectiva información.
(Desconozco si hay usuarios y contraseñas, o cuentas de los administradores, no he indagado tanto, a sido estos fallos, y venirme aquí corriendo a pedir ayuda)

Todo esto se muestra en el explorador de archivos del navegador, intuyo que los permisos de las carpetas están mal configuradas.
No pongo imágenes ni más información para evitar que se adelante alguna mala persona.

Donde puedo reportar esto, si podéis facilitarme la información se agradecería, no pido compensación económica a cambio ni nada, solo reportar esto. Un saludo y muchas gracias ::)

¿Y en Paraguay no hay policía?

Usa a la Interpol, lo mismo dejan de indagar sobre los papeles de Pandora y te hacen caso.


Un saludo.

Llevo intentando contactar con ellos varias veces, ningun departamento de la policía de Paraguay me lo coge, pero ni uno.
Los únicos, el propio ministerio de industria que me dan un numero que tampoco me lo cogen.
La interpol de Paraguay me lo coge, pero me dicen que llame al departamento de la policía de paraguay que es 24h (Previamente llamé, y nadie lo coge) se lo digo, y dice que me lo tienen que coger.
Vuelvo a llamar, adivina qué, nadie lo coge. De locos.
Que cojones hago XD

Ve personalmente a la policía... y por si acaso llévate una toalla y tu cepillo de dientes... y no olvides avisar a tu familiares cercanos lo que vas hacer... por si acaso...

Suerte.

 :rolleyes: :o :rolleyes:

A saber el tinglao que tienen montado los Paraguayos...

Si no te cogen el teléfono, acude a la comisaría y señala allí el caso personalmente (imagino que resides en el propio Paraguay), es de suponer que ya ellos contactarán con alguien capacitado para tomar decisiones y hacer las indagaciones pertinentes.

Si ninguno te hace caso, entonces habla con algún periodista para que publique el titular: "Hallan fallos en la web de... y no hacen caso del aviso".
Pero sin explicitar como has encontrado y cuales son (en detalle) los fallos, para no dar más pistas al público avispado de lo preciso. El periodista seguramente quiera una demostración, para asegurarse que no le tomas el pelo... Ya cuando todo el mundo se haga eco y el ministerio sea un hazmereir, a lo mejor te prestan atención.

Soy de España, esa es la cosa, no soy de Paraguay...
Algun periódico que me recomiendes para hacer eso...
Saludos y gracias :-X

https://www.20minutos.es/

Por desgracia es bastante habitual dejar ficheros e información sensible en directorios públicos del servidor web y además configurar "Directory Listing" es el colmo.

Sobre reportarlo o no y cómo hacerlo, es la eterna pregunta....

Vulnerabilidad Directory traversal encontrada, ayuda.
https://foro.elhacker.net/hacking/vulnerabilidad_directory_traversal_encontrada_ayuda-t510701.0.html

Ese post lo realicé yo hace semanas... Y es otra página web, y siguen con el error a pesar de que han cambiado la interfaz grafica de la pagina... :-\
A pesar que les haya avisado del error a varios miembros de esa organización...Una vergüenza... :huh: