Desenmascara.me

How to verify whether a website is legitimate or not?: desenmascara.me

jueves, 11 de diciembre de 2014

Que hay detras del portal del transparencia del Gobierno Español?

No podia ser cierto, alguien lo paso por desenmascara.me y me percate de lo siguiente:


El nuevo portal de transparencia del Gobierno bajo una plataforma web con 14 años de antiguedad y sin soporte desde hace 4 años??. Aunque nuestro Gobierno no deje de sorprendernos, no me creia que eso pudiese ser real, asi que investigue algo mas.

Como es muy sencillo alterar las cabeceras web, veamos otros tipos de fingerprinting web como el orden de las cabeceras web.  A partir de otros servidores que se ejecutan sobre IIS/5.0 comparemos resultados:

Orden de las cabeceras en la web del Gobierno:


nc transparencia.gob.es 80
HEAD / HTTP/1.0

HTTP/1.1 200 OK
Date: Thu, 11 Dec 2014 09:34:26 GMT
Server: Microsoft-IIS/5.0
Last-Modified: Fri, 22 Nov 2013 10:27:53 GMT
ETag: "8e6-5ce-4ebc17784c147"
Accept-Ranges: bytes
Content-Length: 1486
Connection: close
Content-Type: text/html



Orden de las cabeceras de otros sitios con IIS/5.0


# nc spainvulnbusiness.es 80
HEAD / HTTP/1.0

HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Content-Location: http://10.93.12.106/error.html
Date: Thu, 11 Dec 2014 09:37:25 GMT
Content-Type: text/html
Accept-Ranges: bytes
Last-Modified: Sat, 11 Oct 2008 12:28:52 GMT
ETag: "2197c4eb9c2bc91:a35"
Content-Length: 175



# nc www.granelesdechile.com 80
HEAD / HTTP/1.0

HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Thu, 11 Dec 2014 10:00:03 GMT
X-Powered-By: ASP.NET
X-AspNet-Version: 1.1.4322
Set-Cookie: ASP.NET_SessionId=krfafj343pu0of554nkwfp45; path=/
Cache-Control: private
Content-Type: text/html; charset=iso-8859-1
Content-Length: 668



Observamos como el orden de los 2 ultimos servidores web es igual, la cabecera HTTP Server esta en el segundol lugar, mientras que en la web de transparencia del Gobierno, la cabecera Server se situa en tercer lugar, lo que puede indicar que no se trata de un IIS sino de un servidor Apache.

Si probamos otra tecnica de fingerprinting web, como observar la respuesta a peticiones invalidas, observemos:

Sitio web de electrica española con IIS/5.0
# nc vulnwebsite.es 80
HEAD / HTTP/9.0

HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Content-Location: http://10.93.12.106/error.html
Date: Thu, 11 Dec 2014 10:20:47 GMT
Content-Type: text/html
Accept-Ranges: bytes
Last-Modified: Sat, 11 Oct 2008 12:28:52 GMT
ETag: "2197c4eb9c2bc91:a35"
Content-Length: 175



 Pequeño sitio web de org con IIS/5.0

# nc www.someorganization.org 80
HEAD / HTTP/9.0

HTTP/1.1 404 Objeto no encontrado
Server: Microsoft-IIS/5.0
Date: Thu, 11 Dec 2014 10:19:47 GMT
Content-Type: text/html
Content-Length: 116

<html><head><title>Sitio no encontrado</title></head>


En las dos peticiones anteriores, las 2 primeras cabeceras son la respuesta HTTP y SERVER, ademas vemos que la cabecera Date, va siempre despues de Server, u otra cabecera adicional como Content-Location. Sin embargo si observamos en el portal de transparencia:  


#nc transparencia.gob.es 80
HEAD / HTTP/9.0

HTTP/1.1 400 Bad Request
Date: Thu, 11 Dec 2014 10:28:29 GMT
Server: Microsoft-IIS/5.0
Connection: close
Content-Type: text/html; charset=iso-8859-1



observamos que la cabecera HTTP: Date, va antes que Server, lo cual es otro signo del servidor web Apache.

Por ultimo si revisamos el perfil de la Cookie:

Cookie tipica de IIS/5.0
Cookie: IdUnico=1328344478; ASPSESSIONIDQQABDBDT=NOKBICDBAMEMHILLDFPPMFCC; __utma=78880587.414170472.1418308647.1418308647.1418308647.1; __utmb=78880587.1.10.1418308647; __utmc=78880587; __utmz=78880587.1418308647.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); __utmt_bt=1; pathname=/ES/

Cookie del portal de transparencia:
Cookie: portal_transparencia=auu5d2bqk7j5uei9ai39sc2ht0; ID_SESSION=1090977034.20480.0000; _ga=GA1.3.586700092.1418287103; _gat=1

ninguna referencia a ASP.


Ademas, como es de esperar por el tamaño, si buscamos un poco mas, veremos que el equipo tecnico detras de .gob.es es bastante heterogeneo como:


Para finalizar, aunque no hubiera sido extraño que el portal estuviese bajo IIS/5.0, parece que no es asi y lo han querido enmascarar de alguna forma, algo ironico tratandose del portal de transparencia.

(Perdonad por los acentos y faltas, no tengo un teclado español)








2 comentarios:

  1. Hay otro indicio de que efectivamente es un apache. Si mandas una peticion HTTP al puerto 443, devuelve un error indicándo que "You're speaking plain HTTP to an SSL-enabled server port", cuando en esa misma situación IIS se queda la conexión abierta sin responder nada.

    ResponderEliminar

Trata a los demás como te gustaría ser tratado.