Un error diseño en la página Web de la presidencia la hace vulnerable a un ataque de Cross Site Scripting
Se trata un error de diseño calificado como “fácil de evitar” por parte de cualquier programador web.
Dicho error ha creado polémica, puesto que muchos aseguraron que, el pasado lunes, un atacante había conseguido acceder al servidor, modificando la página web, y añadiendo una imagen del conocido “Mr Bean”.
Pronto se desmintió este hecho tan alarmante, y se aclaró lo ocurrido.
Se confirmó que todo fue debido a un ataque de Cross Site Scripting estático (XSS).
Esto quiere decir, que partiendo de la URL original, y añadiendo parámetros diversos sobre la misma URL, se podía ver una clara inclusión de la foto de Mr Bean dentro de la web.
La URL que el atacante utilizó fue la siguiente:
http://www.eu2010.es/en/resultadoBusqueda.html?query=%3Cscript%3Edocument.write%28%27%3Cimg%20src%3D%22http%3A%2F%2Fblog.tmcnet.com%2Fblog%2Ftom-keating%2Fimages%2Fmr-bean.jpg%22%20%2F%3E%27%29%3C%2Fscript%3E&index=buscadorGeneral_en
Analizando la URL se puede abstraer la inclusión del siguiente script:
<script>document.write(‘img src=http://blog.tmcnet.com/blog/tom-keating/images/mr-bean.jpg” />’)</script>
Lo que revela el origen de la imagen de Mr Bean utilizada.
La URL modificada se extendió a gran velocidad a lo largo de Redes sociales, P2P, etc.., sembrando el pánico.
Cabe destacar que la foto del cómico personaje sólo aparecía si se entraba a la web desde la URL modificada, lo que confirmó que el atacante no consiguió acceso al servidor.
Áudea Seguridad de la Información
www.audea.com