cómo encontrar el panel de control? (sin programas)

nort0n · 6 Diciembre 2010, 01:01 AM

cómo encuentro el panel de control de una página web??? manualmente...

www.site.com/admin_panel ????

cómo se llama los mecanismos de defensa para que nadie tenga acceso al panel de administrador????
¨
identificando las unicas IP que pueden tiener acceso? o algo así?

WHK · 6 Diciembre 2010, 15:18 PM

pues para esconder un panel de control hay gente que pone el nombre del directorio o el acceso donde nadie lo vea, para sistemas mas personalizados utilizan otro servidor web en otro puerto.

Yo para buscar manualmente lo que hago es ir testeando los directorios mas comunes como por ejemplo
/admin
/administrator
admin.php
?variable=admin

etc, cuando no se puede localizar se busca en los archivos fuente como hojas de estilo, a veces los programadores utilizan imagenes o rutas del directorio de administración po flojera, si eso no resulta comienza a entrar los bugs, path disclosure y esas cosas o sql inyección.

pero lo que la mayoria de los programas automatizados hacen es testear directorio por directorio de una laaaaarga lista.

winroot · 6 Diciembre 2010, 15:32 PM

Buenas!
Sobre la seguridad de paneles de administración, dentro de poco escribiré algo sobre el tema, mas que nada el uso por ejemplo de addons personalizados de firefox / scripts de gm.
La idea es por ejemplo, tenemos admin.php.
Al usuario que no tiene el script / addon, se le muestra:

Código [Seleccionar]


<html>
<body>
</body>
</html>

El script lo que haría es, poner los forms y esas cosas utilizando javascript.
De este modo, se logra que el atacante solo le quede enviar peticiones post al admin.php, para poder deducir los nombres de las variables.
Si no hay entrada, nos evitamos que alguien encuentre sql injection, xss, etc, usando el formulario de el panel.
Para redondear,Las únicas personas que podrán ver el formulario y demás cosas, solo serán las que tengan el addon/script.

Saludos

seele · 6 Diciembre 2010, 20:00 PM

hola,
para ubicar un panel de control tienes que crearte un script que busque posibles directorios y archivos a partir de un diccionario, es la unica forma.
respecto a este tema se publicaron varios post ultimamente puedes buscar por el foro
en cuanto a la seguridad lo mejor es proteger el directorio directamente con apache, quizas se pueda usar algun que otro mecanismo pero combinarlo con apache es buena solucion

saludos

EvilGoblin · 15 Diciembre 2010, 17:13 PM

xDD cuando tengo q buscar el panel de administrador. Dejo de hacer lo q estaba haciendo..

osea.. pruebo 3 o 4 directorios comunes y me aburro.

Shell Root · 15 Diciembre 2010, 18:07 PM

Tambien se podría buscar dentro del archivo robots.txt, por ejemplo,
:http://www.directoriotelefonico.com.co/robots.txt

G0kuu_G0kuu · 15 Diciembre 2010, 21:12 PM

y si se encuentra en los robots.txt
como se hace para poder visualizarlo ??

.:Swik:. · 15 Diciembre 2010, 21:28 PM

Pues si al ver robots.txt aparece por ejemplo Disallow: /administrator/, pones www.sitio.com/administrator

berz3k · 30 Diciembre 2010, 01:36 AM

Por que tanto rollo con un crawler y listo, mmm algun otra tool Addons como FF etc. con ello encuentras mucha info sin necesidad de realizar algun scan.

-berz3k.