[HACK] Paswords en claro en MARCA DIGITAL (y 2)

[David A. Pérez]

Hola,

deciamos ayer, que podiamos acceder a la seccion "Tu Periodico" usando la
siguente URL:

http://www.marca.es/cgi-bin/mimarca.cgi?opcion=2&usuario=jesulin&clave=guess

El parametro Opcion nos muestra diversas vistas de la pagina siendo:

Case 1
    Pagina completa sin frames

Case 2
    Frame superior

Case 3
    Frame inferior

Case Else
    Pagina de login

Un error de programacion nos permite acceder a la opcion 2 sin necesidad de
proveer un password.

http://www.marca.es/cgi-bin/mimarca.cgi?opcion=2&usuario=jesulin

de este modo, podemos conocer el equipo de futbol del usuario y sus deportes
preferidos.

Hasta tempranas horas de hoy por la mañana era posible ACCEDER a TODOS los datos
personales de cualquier usuario haciendo click en el link ">> Personaliza tus
datos". Tambien podiamos MODIFICAR esos datos a nuestro libre albedrio.

En estos momentos el error ya esta corregido y es necesario introducir el numero
de socio y el NIF para poder acceder a esta seccion.

Habia formas alternativas de conseguir esta informacion haciendo uso de
club.cgi, pero esta mañana tambien lo han cerrado, aunque el error en
mimarca.cgi sigue estando presente.

La otra parte de la historia es que tarde mas de 24 horas y correos electronicos
a unas 15 direcciones para ponerme en contacto con algun responsable de Marca.
Me contesto con un bonito "mensaje de marketing" informandome de las bondades de
el nuevo sistema que estaban implementando y que podria ver en "breve". Al final
tuve que amenazarles con presentar denuncia ante la APD (mis datos tambien
estaba en esa base de datos) y hacer publico el error para que tomaran medidas y
cerraran el acceso. Ni las gracias han dado.

Cosas veredes...

Salu2,

    kamborio
================
 David A. Pérez
 _                       _                   _
| | __  __ _  _ __ ___  | |__    ___   _ __ (_)  ___
| |/ / / _` || '_ ` _ \ | '_ \  / _ \ | '__|| | / _ \
|   < | (_| || | | | | || |_) || (_) || |   | || (_) |
|_|\_\ \__,_||_| |_| |_||_.__/  \___/ |_|   |_| \___/
      El perdón es la venganza de los buenos (anónimo)

P.D.: Gracias a Bernardo y a jcea y perdonad por daros tanto la vara ;)