La página del Ayuntamiento no aparece

Después de ser publicado el día de ayer en el diario local La Prensa el post anterior de este blog, el sitio del ayuntamiento fue inhabilitado. Al parecer temporalmente. La hora en que fue deshabilitado el dominio es desconocida. Probablemente lo hicieron unos minutos después de leer el artículo. Pero al menos no fue muy temprano, ya que todavía se subieron dos artículos a la página antes de haberla quitado.

Todos los hackers o hacker-wanabees sanluisinos que intentaron ingresar al panel de control se toparon con que la página ya no estaba. Pero la página en realidad no desapareció del todo. Sólo se deshabilitó el dominio. Es decir, ya no se puede entrar tecleando http://www.sanluisrc.gob.mx/, pero se puede seguir accesando de la siguiente dirección:

http://www.grupored.com.mx/sanluis/

Y para los que se quedaron con ganas de probar el control panel, se puede seguir entrando por medio de:

http://www.grupored.com.mx/sanluis/abc/

Claro, es muy posible que esté en remodelación y que pronto se hayan cerrado muchos de los agujeros de seguridad con que contaba. Pero ya sabemos como es la burocracia y es posible que pasen algunos días (o meses) antes de que podamos ver la versión remodelada del sitio.

¿Te consideras un hacker?

Fallas de seguridad en el sitio del Ayuntamiento

Ficha técnica
Dirección del sitio: http://www.sanluisrc.gob.mx/sanluis/
IP: 67.123.110.211
Tecnología: ASP
Desarrollador: Grupo Red (Mexicali)
Servidor en que se encuentra: grupored.com.mx
Base de datos: SQL Server o Access. Muy probablemente Access por la baja velocidad.
Dirección del control panel: http://www.sanluisrc.gob.mx/sanluis/abc/
Sistema de correo electrónico: http://webmail.grupored.com.mx/main.php

Adentrándonos un poco en un sitio gubernamental como es el del gobierno municipal de San Luis Río Colorado, saltan a nuestra vista grandes errores. Comenzando por el hecho de que las imágenes que aparecen son demasiado grandes, pero son reducidas por el navegador que estemos utilizando. Es decir, la foto que se descarga a nuestro disco duro para poder aparecer en la pantalla mide 2560 x 1920 pixeles, mientras que la podemos apreciar en la página a un tamaño de 250 x 200 pixeles. En realidad sólo tendrían que poner una foto de 250 x 200 para que la pudiéramos apreciar exactamente como se ve actualmente, y el tiempo en cargar la página sería mucho menor.

Haciendo una prueba por conexión telefónica se observó que solamente en cargar la página principal se tardó 8 minutos. ¡Solamente la foto principal mide 2 megas! Claro, en el Ayuntamiento no pueden ver esto porque ellos tienen conexión rápida.

Y bueno, si estos pequeños errores son visibles, ¿no tendrá errores menos visibles que puedan comprometer la seguridad del sitio?

Analizando un poco el código, podemos ver algunos directorios donde se almacena la información y de ahí obtener la dirección del panel donde se administra todo lo que aparece en el sitio:

http://www.sanluisrc.gob.mx/sanluis/abc/

Por supuesto, nos pide un nombre de usuario y contraseña. Pero podemos adivinarla: nombre del presidente y su fecha de nacimiento, o al revés. O mejor intentamos con los datos del director de comunicación, que es quien se encarga de actualizar la página. Vemos que al introducir datos incorrectos nos manda a un archivo llamado denegado.htm, pero ese archivo no existe. Entonces nos damos cuenta de que el archivo al que se envían estos datos se llama acceso.asp. Desafortunadamente ya no se puede accesar de manera directa, como se podía hacer en la versión de la página durante la administración pasada. Y como se puede seguir haciendo en la página de Grupo Red para accesar a su intranet sin necesidad de teclear un nombre de usuario y contraseña. Sólo basta con saber la ruta completa. Por ejemplo:

http://www.grupored.com.mx/intranet/acceso.asp

Nos lleva directamente a su sistema de administración de proyectos sin necesidad de password. De cualquier manera, este sistema ya no se utiliza y el ingresar así no implica la posibilidad de ocasionar daños económicos a la empresa.

Estos son algunos de los errores más importantes del sitio y que podrían ser suficientes para algún hacker. Pero mientras en San Luis no haya nadie con este tipo de conocimiento, la amenaza para este sitio es nula.