A simple vista, es la típica página de administración de servicios Microsoft Internet Information Services que la propia Microsoft ofrecía desde las primeras versiones de su servidor web & FTP.
En ella, se pueden ver un montón de opciones, que van desde subir
ficheros, hasta tocar configuraciones del servidor, lo que puede
resultar muy peligroso. No debería estar expuesta a Internet.
 |
| Figura 2: Panel de control de WestWind Technologies |
Por supuesto, cuando haces clic en los enlaces, todos llevan a ficheros
que están protegidos, ya que de no estarlo los servidores durarían unos
segundos en la vorágine de la red, pero sin embargo, se pueden hacer
cosas muy curiosas con este página web de administración que no es de Microsoft, sino de Westwind Technologies.
 |
| Figura 3: Firma que aparece en el panel del fabricante |
Haciendo un poco de Hacking con buscadores
con la firma que la compañía pone a sus paneles de administración web
se pueden encontrar un buen número de otras herramientas de ayuda, y
ejemplos de la compañía, pero yo me voy a centrar en la original.
 |
| Figura 4: Buscando paneles de Westwind indexados en Google. Bing y Shodan dan aún más. |
Aquí tienes otro de los paneles de Westwind Technologies con muchas Demos "peligrosas" que recuerdan a los ejemplos que instalaba Microsoft FrontPage en Server-Side.
 |
| Figura 5: Otro panel de Westwind Technologies con "Demos" jugosas |
En la página original, lo primero que llama la atención es que se puede
acceder a la ruta de instalación del software, lo que ya es un leak en
sí mismo que puede ser de utilidad en ataques LFI o RFI, como hemos visto en tantas ocasiones.
 |
| Figura 6: Ruta de instalación del sitio web |
La segunda cosa que llama poderosamente la atención es que hay un buscador de procesos... What?. Sí
en la parte inferior del panel puedes poner una letra por la que
quieres filtrar, y accedes a la lista completa de los procesos del
sistema - más los del servicio web - que están corriendo, con su PID incluido si pasas el ratón por encima de la opción de matar el proceso, ya que lo usa como parámetro POST.
 |
| Figura 7: Lista de procesos que comienzan por s |
Con ello, puedes averiguar todo el software de seguridad que está en ejecución, pero también si tiene DNS, servicios extras, etcétera. En este ejemplo se puede ver que este servidor utiliza un antivirus avp.exe que apunta directamente a Kaspersky.
 |
| Figura 8: Procesos del antivirus avp.exe |
Pero también se puede saber si el administrador de este sitio navega,
como en este caso, donde se puede ver cómo se está utilizando el web
browser de Moxilla Firefox. Todo esto es debido a que el
formulario que refresca la lista de procesos no está llamando a ningún
otro fichero del servidor web, sino que es una petición directa sobre la
página web que estamos visitando. Es decir, es el propio panel el que
gestiona las llamadas al sistema para acceder a la lista de procesos. Y
además hay opción de procesos, o actualizar constantemente para
ver si hay cambios.
 |
| Figura 9: Procesos de Firefox |
En la imagen superior se puede ver cómo el administrador ha dejado de utilizar Firefox,
o bien alguien ha matado los procesos, o simplemente ha cambiado de
navegador de Internet. Si alguien pudiera matar desde un sitio web un
proceso - incluso los de los vhosts - corriendo en escritorio daría medida de cuáles son los privilegios con los que corre el sitio web (probablemente sin Application Pool), el servicio web, y la falta de uso de niveles de integridad - luego apuntaría a versiones de Windows concretas -.
 |
| Figura 10: Procesos de Firefox cerrados |
Lo cierto es que estos paneles de Westwind Technologies son de gran utilidad para muchos administradores web, pero nunca deberían estar expuestos a Internet sin estar protegidos por credenciales.
