Cómo hackear un blog: caso práctico hackeando www.javiergarzas.com (2/2)

Continuando con el post de ayer sobre el hackeo a este blog, el último script codificado dentro del malicioso código contenía un array que hay que parsear en base 24, y cuyo resultado es, esta vez, el siguiente JavaScript:

Para jugar con Javascript yo utilizo http://jsfiddle.net/ o http://jsbin.com, y para desofuscar, es decir, ordenarlo un poquito para leerlo mejor, http://jsbeautifier.org/, porque el código original estaba en un par de líneas.
El código crea un Iframe (incrusta un documento HTML) en una posición no visible. Y al final acaba dejando una cookie en los visitantes de la página (ver la última línea) que usen Windows e Internet Explorer. Aparentemente parece que la idea es cazar la sesión del usuario.

Hay un caso documentado, bastante similar, en Stackoverflow.
Aún me queda (lo tengo apuntado) revisar los logs del servidor para ver desde que IP fue el ataque y por donde entro, aunque tengo alguna sospecha, pero lo dejaré para un estudio más detenido.

Moralejas, reflexiones y lecciones aprendidas

– ¿Podría haberse evitado? Como comentaba en Twitter, es imposible evitar al 100% un ataque y al final a casi toda web con tráfico le acaba pasando (si le ha pasado a twitter, linkedin, etc., que te puedes esperar). Más si usas software popular y muy conocido, como es, en mi caso, WordPress, que por ser la principal plataforma para blogs es de las más atacadas.
– ¿Se puede minimizar el riesgo e impacto? Sí. A más medidas de seguridad, más controles y más medidas de contingencia como, por ejemplo, tener un respaldo con una copia en producción del blog, etc. Pero… todo lo anterior es horas y/o euros. Y yo blogeo más por pasión que por dinero (que un blog no da ingresos), por lo que aquí los medios son limitados.

• Acerca de
• Últimas entradas

Javier Garzás

Javier Garzás es Doctor (Ph.D) en Informática, con un
postdoctorado en la Universidad Carnegie Mellon,
EE.UU. Es pionero en management, planificación,
estimación, product management, Agilidad y en la
aplicación de la inteligencia artificial generativa a la
gestión de la creación de productos y servicios
tecnológicos. Fue el único español en la primera
conferencia Ágil de la historia.

Últimas entradas de Javier Garzás (ver todo)

• Diario: cómo Javier Garzás evita quedarse obsoleto estudiando a un X10 con IA-Esteroides - 7 noviembre, 2024
• Si creas Historias de Usuario con IA ¿A quién pertenecen? ¿A ti o la IA? El mono Naruto te lo explica - 31 octubre, 2024
• HistorIAs de usuario y como a Maximiliano lo ENGAÑABAN con la IA y como una viejuna historia del 1500 le salvó - 24 octubre, 2024