El mes pasado, nos enteramos de que los piratas informáticos hackeó el paquistaní Google y otros sitios por el secuestro de los registros DNS. Los hackers modificaron los registros DNS de modo que apunte al sitio donde host atacante Freehostia la página desfigurar.

Ahora, un investigador indio Mittal Seguridad Aarshit vienen con un hallazgo interesante, que ha descubierto DNS críticos secuestro de vulnerabilidad en el popular web de alojamiento gratuito a los proveedores. La vulnerabilidad permite a los atacantes tomar el control de los sitios web alojados.

Aarshit ha demostrar cómo explotar la vulnerabilidad en su blog. El atacante debe crear una cuenta en la web de destino proveedor de hosting. Ha explicado la vulnerabilidad con 000webhost.com.

Una vez creada la cuenta, debe iniciar sesión en el CPanel donde se puede ver la dirección IP compartida. La búsqueda de la dirección IP con algunas palabras clave en Bing devuelve los sitios alojados en esa dirección IP específica.

Ip compartida 000webhost
Curiosamente, Aarshit logrado encontrar algunos sitios gubernamentales (csirt.gov.bd) que ha sido hosteado en el 000webhost.
Después de descubrir la lista de los sitios alojados, el atacante puede agregar los nombres de dominio en “dominios aparcados” en el CPanel. El CPanel con éxito le permitió agregar el nombre de dominio.

Ahora pirata informático sólo tiene que cargar la página desfiguración de su cuenta de hosting. Boom.! Ahora puedes ver la página de desfiguración en el sitio víctima. Además, puede crear gran cantidad de subdominios en los dominios secuestrados.

Al explotar esta falla de seguridad, investigador éxito secuestró el siguiente dominios:

     test.fraymamertoesquiu.gov.ar
     test.concejodeitagui.gov.co
     dns.hviota.gov.co
     test.digitizeyou.in
     men.csirt.gov.bd
     bd.csirt.gov.bd

Un hacker malintencionado puede apropiarse de millones de sitios alojados en los sitios de alojamiento web gratis. Aarshit tratar de contactar con las empresas afectadas, pero no pudieron responder a él.

Acerca de Mi Dylan Irzi

Colombiano, WebMaster, Independent Security Researcher , Apasionado por la Seguridad Informatica, #WhiteHat. Programador. Co-Fundador y Dueño de WebSecurityDev.com

0Day Noticias Seguridad