Opera ya hace unas versiones que tiene integrada una aplicación que se llama Opera Dragonfly es una herramienta para realizar la depuración de JavaScript, monitoreo de tráfico de la red, vista previa de los recursos, la edición de colores, etc Opera Dragonfly también admite la depuración remota, que permite utilizar las características de la libélula para ser utilizado en la depuración de un teléfono móvil, TV u otro equipo de escritorio.-
Pero en este caso la vamos a usar un error de diseño en un formulario de contacto y para realizar una prueba de concepto para suplantación de identidad, Phishing, spamming.-
En esta primera captura tenemos el formulario de contacto original que nos muestra la página web.-
Como medida de seguridad vemos que tiene un captcha, pero ahora vamos a ver como con opera dragonfly vamos modificando este formulario a nuestro gusto.-
Acá vemos el primer error de diseño del cual nos aprovechamos tenemos un combobox donde está los distintos destinatarios de los posibles mensajes. Ahora solo lo que hay que hacer es editar estos valores para que queden de la siguiente manera.-
De este modo los destinatarios puede ser quien nosotros queramos que sean, permitiéndonos realizar desde suplantación de identidad hasta spam, ahora nos queda el molesto captcha , como este es brindado por google de seguro que funciona por script, y si funciona con un script se ejecuta del lado del cliente y de ser así lo podemos quitar del medio.-
Y como hicimos con el combobox lo que hacemos es borrar todo el script del captcha incluyendo su llamada para verificar. Pero eso no es todo el formulario tiene un campo oculto en donde guarda la dirección IP de la persona que está completando el formulario, esta más que claro que no queremos dejar tantos rastros, así que hay que modificar también este valor.-
Y de nuevo Game Over para el formulario, porque puedo editar a gusto el valor del campo en este caso lo complete con x.x.x.x.-
Listo como para engañar a mis víctimas.-
Con los cambios realizados el formulario queda de esta manera, permitiendo la automatización desde el lado del cliente/atacante al eliminar el capcha y con la modificación de los destinatarios para realizar, suplantación de identidad, phishing, spam, etc.-
Cristian Amicelli Rivero
