Presentación y dudas de novato-novato...

[Giacomo69]

A los buenos días:

Lo primero agradeceros simplemente por existir, porque no siempre tienes un amigo con los suficientes conocimientos de este "tema". Y lo segundo presentarme y aclararos que soy un completo novato en estas lides, ni por formación ni por dedicación he adquirido los conocimientos para alguna de las tareas que me propongo, y si la cosa es demasiado complicada, vamos, que desistiré.

Y en tercer lugar explicaré mi caso y mis dudas.

Desde hace años me dedico a un sector productivo, digamos relacionado con la Construcción, y a lo largo de mi vida laboral he manejado multitud de aplicaciones, unas con licencias y otras no. El caso es que tampoco soy un lego en temas informáticos, pero no he pasado de sniffar wifis desde alguna LIVE de Linux tipo wifislax, inyectando paquetes para conseguir las contraseñas de vecinos cuando no tenía posibilidad de suscribir un contrato con alguna compañía, y también he conseguido a través de Multikey o Hasp2010 y similares emular alguna mochila USB.
Como véis, un completo zote tampoco soy.

El desafío entre comillas que tengo entre manos es el siguiente. He rescatado de la basura una antigua mochila hasp rota (le faltan pines) que he conseguido hacer funcionar como si fuera el monstruo de Frankenstein, llena de cables y tal. Luego ante la posibilidad de quedarme sin ella en cualquier momento, la he emulado y he conseguido hacerla funcionar en WXP, en W7 no parece que exista esa posibilidad, pero me encuentro con un problema, al tratar de bajar las actualizaciones (necesarias pues el programa emite unos informes que precisan de legislación actualizada) sólo me deja actualizar hasta el año 2011, y para hacerlo más recientemente o bajar una versión completa y actualizada del programa tendría que tener un servicio de mantenimiento contratado o bien pasar por caja, pagar una pastilla actualizada y volver a comprar una actualización que casi se pone como una licencia nueva. En fin, que no tengo la pasta.

Os cuento como funciona el programa. Entras en las actualizaciones y abre un menu con las diferentes actualizaciones con sus correspondientes vínculos a un servidor, pulsas en las que puedes bajar como usuario sin contrato y te bajas un archivo. He probado a rápidamente "capturar" el vínculo en Explorer y añadirlo a favoritos, y en ese botón funciona perfectamente incluso sin hacerlo a través de la aplicación. El pero viene cuando escribes directamente en ese mismo navegador el vínculo, que no encuentra el mismo archivo que tratas de bajar.

A partir de ahí, he probado a entrar en la zona de usuarios con contrato y se trata de un formulario web, ahí te piden el número de usuario (que es el CIF) y el número de licencia (que supones es la que viene en el contrato). Y se sobreentiende que metiendo los datos en ese formulario accedes a la última versión alojada en ese mismo servidor.

Bien, pues lo que trataba de hacer es un ataque por fuerza bruta a ese formulario web, pero como no puedo hacerlo desde la aplicación (porque no sé), he tratado de hacerlo con herramientas que permitan introducir la dirección web de ese servidor. He probado con Brutus, Bruter y a hacer primero una auditoría con Acunetix e intentarlo desde ahí.

El campo de usuario no puedo probarlo previamente porque no es por registro y porque mis datos no constan como usuario con mantenimiento. Así que he buscado por la red más que posibles usuarios con contratos de mantenimiento del mismo producto que el mío e introducido su CIF. Luego me he confeccionado una lista de pass tomando como referencia mi número de licencia y he dejado que Acunetix probara en ese formulario. Pero visto las horas invertidas (los códigos a probar del orden de 1,5 millones) no he obtenido resultados y mi duda es si esa introducción de códigos sólo puede realizarse desde la aplicación, puesto que he comprobado como antes os explicaba que los vínculos de las actualizaciones descargables solo parecen funcionar cuando son generadas por la aplicación.

He sometido el servidor y la página entera a todo tipo de análisis y claro que tiene agujeros de seguridad (OPENSSL y posibilidad de escritura), pero no quiero hackear la página ni el servidor, sólo bajarme una actualización de una licencia que ya se ha pagado en su momento. Y tampoco tengo los conocimientos ni el tiempo para meterme en ese berenjenal. Por supuesto he intentado hacerlo desde una distribución Linux (Kali) a través de HYDRA, pero es que intorducir simplemente la IP del servidor es una tarea complicada porque simplemente no da respuesta en todo lo que he probado y tampoco tengo claro que el ataque por fuerza bruta dé resultado fuera de la aplicación.

Bueno, si os ocurre algo o habéis tenido una cosa similar espero vuestra opinión. No sé si tampoco es el lugar correcto para el post, lo dejo al criterio del admin.