Erick Andrade: Ekoparty (8a edição): HTExploit - Bypassing your htaccess and beyond - Tempest Blog
Por Erick Andrade em 2013-04-16 11:43:03 0 comentários
Ekoparty (8a edição): HTExploit - Bypassing your htaccess and beyond
Tive a sorte de ser escolhido pela Tempest para ir conferir a oitava edição da ekopary que aconteceu em Buenos Aires, Argentina, no mês de setembro de 2012. A Ekoparty - Electronic Knock Out Party é um evento anual de Segurança da Informação que, por possuir características únicas e um estilo bem particular, vem se tornando um evento de referência em toda América Latina.
Em sua oitava edição o evento se destacou por ter envolvido uma grande quantidade de pessoas, além de oferecer vários workshops especializados realizados por profissionais de referencias na área, algumas atividades paralelas e vários desafios para os participantes do evento.
Durante todo o evento uma palestra que me chamou a atenção foi a de Maximiliano Soler, que trabalha na Security Officer e Matias Katz, que trabalha na MKIT Argentina. A palestra tinha como título: HTExploit - Bypassing your htaccess and beyond!.
Ela fala sobre a ferramenta HTExploit, que é open-source escrito em Python, que explora uma fraqueza na maneira que o arquivo .htaccess é configurado para proteger um diretório web com um processo de autenticação.
Ao utilizar esta ferramenta alguém seria capaz de listar o conteúdo de um diretório protegido, ignorando desta forma o processo de autenticação. A característica principal desta ferramenta é que todas as análises realizadas são feitas dentro do diretório protegido, não a partir do site que tem o acesso público.
Com esta ferramenta, você será capaz de ir de um diretório protegido para uma lista completa de conteúdos e arquivos. A ferramenta, após a análise, gera um relatório com as possíveis variáveis que podem ser afetadas por esses tipos de vulnerabilidades.
Essa é uma ferramenta bastante útil para profissionais de segurança. Quem quiser maiores informações sobre a ferramenta assim também como fazer download, basta acessar o site: