Durante nuestro viaje de aprendizaje en el área de ciberseguridad siempre se ha dificultado al inicio encontrar entornos de prueba vulnerables, no obstante gracias al esfuerzo de muchas personas podemos decir que ese punto ha ido mejorando, dentro de los lugares preferidos de aprendizaje para está área podemos mencionar https://tryhackme.com/, https://hackthebox.com/, https://rangeforce.com/, https://www.vulnhub.com/, etc.

El propósito de este post es mostrar lo vulnerable y peligroso que puede ser tener una mala gestión de los permisos de cualquier software. En esta ocasión, trabajaremos con Git. Git es utilizado por muchísimas personas y empresas alrededor del mundo, por lo que es muy importante asegurarnos de saber cómo prevenir que pueda ser explotado por usuarios malintencionados. Si no sabes qué es Git, básicamente es un software que sirve básicamente para gestionar las versiones por las que va pasando el código de los proyectos, en pocas palabras, Git permite mantener un control sobre los cambios en el proyecto.

La siguiente investigación inicio tratando de entender las POC de varios repositorios en GitHub que compartieron muchos investigadores y termino en una sorpresa interesante, que compartiré en los siguientes parrafos. El 10 de agosto del presente año el grupo de investigación de seguridad Volexity publica en su cuenta de twitter el descubrimiento de la explotación en masa de la suite de ZCS (Zimbra Collaboration Server) que permitir un bypass de la autenticación y que cerca de 1000 instancias de Zimbra se encontraban comprometidas a nivel mundial.

En el grupo de investigación Toadsec, dedicado a ciberseguridad ofensiva nos dimos la tarea de realizar el análisis sobre esta vulnerabilidad en los firewalls de Sophos.

En este articulo vamos asumir que tenemos un conocimiento general de lo que son REST API y vamos a implementar un laboratorio para probar las vulnerabilidades mas conocidas utilizando el OWASP para la demostración. Vamos a utilizar el repositorio Tiredful API el cual es una API diseñada para hacer pruebas de seguridad y enseñar a los desarrolladores o profesionales de seguridad sobre las falles presentes en las API.