Menéame: comentarios [850214]

#45 Nadie pudo ver a Mr. Bean

irenia — Thu, 07 Jan 2010 13:33:35 +0000

#12 ¿¿pero no era mermelada??
Me parece una tontería que digan que no pasó nada, ¿qué más dará? como si nadie se hubiera dado cuenta de que ZP es igualito a Mr.Bean...

» autor: irenia

#44 Nadie pudo ver a Mr. Bean

cor3 — Thu, 07 Jan 2010 10:01:28 +0000

El gobierno de ZP se piensa que somos idiotas?..Dimite ya

» autor: cor3

#43 Nadie pudo ver a Mr. Bean

--81173-- — Thu, 07 Jan 2010 04:39:08 +0000

[Usuario deshabilitado]

» autor: --81173--

#42 Nadie pudo ver a Mr. Bean

--20207-- — Thu, 07 Jan 2010 04:12:44 +0000

la mayor parte de los contenidos de la web sigue sin estar traducidos al catalan.

Ala, 12 millones pa la saca

vergonzoso

» autor: --20207--

#41 Nadie pudo ver a Mr. Bean

provotector — Thu, 07 Jan 2010 03:41:39 +0000

Casi dos mil millones de las antiguas pesetas por una web y su "equipamiento". ¿Esto a alguien le parece normal?

» autor: provotector

#40 Nadie pudo ver a Mr. Bean

txeke — Thu, 07 Jan 2010 02:33:10 +0000

#6 por si te parece poco grave o de poca repercusión, porque se basa en difundir una falsedad comprobable, otro ejemplo:

Publico una noticia, enlace, artículo, un feed de titulares o lo que quieras en medios muy visibles, con un link malintencionado a la web de la presidencia. Ese link inyecta en la web una noticia real de la misma web, y además añade una cajita (puede ser un simple iframe o inyectar código más elaborado) con:

- una encuesta
- suscribirse a las noticias
- comentarios falsos, y posibilidad de comentar
- cualquier otra cosa que llame a participar al visitante

en cualquier caso, en esa cajita hay unos campos de formulario para enviar lo que sea (respuesta a la encuesta, comentario...) y además, dirección de email, DNI, nombre, teléfono, contraseña... Incluso puedo pedir los datos de Hotmail/Gmail/Facebook/Tuenti/Loquesea con la excusa de "Añadir a tus contactos/amigos la Presidencia Europea". Estos datos se envían a un servidor de mi propiedad, donde haré un uso no lícito con ellos (spam electrónico o telefónico, robo de cuentas...)

O podría ir a por nota inyectando una tienda online de merchandising relacionado con la presidencia europea, como pines, camisetas o mecheros, y hacerme por el mismo medio con datos de tarjetas de crédito (mínimo nombre del titular, número, fecha de caducidad y código de validación, suficiente para comprar en millones de tiendas online).

Ale, ahí tienes un ataque con XSS + phising, sin mucha dificultad, camuflado bajo la web REAL de la presidencia europea. El que no se fije en la URL y quiera "participar" la ha cagado, y dudo que NADIE se fije en el 100% de URLs que visita, mucho menos cuando visitas una web ya no solo de la administración pública española, sino europea.

¿Sigues pensando que es algo inocuo un XSS?

» autor: txeke

#39 Nadie pudo ver a Mr. Bean

txeke — Thu, 07 Jan 2010 02:25:30 +0000

#6 veamos un ejemplo:

publico una noticia en un portal bien visitado, tipo Menéame, Digg, o algún periódico con malas intenciones. Es una noticia sensacional, yo que se, una decisión filtrada que ponga patas arriba algún departamento o algo escandaloso. En la noticia pongo un link a la web de la presidencia europea donde se puede leer el comunicado "oficial". Por supuesto, este link está trucado para inyectar código, sólo que en lugar de Mr. Bean, pongo la noticia que me he inventado.

Sí, en un tiempo, minutos si es a las 10 de la mañana, horas si lo hago por la noche, el gobierno lo desmentirá, pero mientras tanto, miles o millones de personas verán mi noticia pufada sin siquiera molestarse en mirar la URL para ver que hay un pufo. Y aunque lo desmientan, el mal ya está hecho.

¿Sigues pensando que es algo inocuo?

» autor: txeke

#38 Nadie pudo ver a Mr. Bean

--162502-- — Thu, 07 Jan 2010 00:34:18 +0000

#37 déjalo es inutil (negacionismo corporativo)

» autor: --162502--

#37 Nadie pudo ver a Mr. Bean

Alvarete — Thu, 07 Jan 2010 00:08:27 +0000

#6 Si ¿verdad?

namb.la/popular/tech.html
namb.la/popular/919d.jpg

» autor: Alvarete

#36 Nadie pudo ver a Mr. Bean

ForatNegre — Wed, 06 Jan 2010 23:50:11 +0000

Como siga asi la pagina, caida a estas horas y con un mensaje de "Forbidden", la levantaran cuando ya se hayan pasado los 6 meses de la presidencia.

» autor: ForatNegre

#35 Nadie pudo ver a Mr. Bean

--162502-- — Wed, 06 Jan 2010 23:35:04 +0000

al final va a cobrar sentido la frase "no somos nadie"

» autor: --162502--

#34 Nadie pudo ver a Mr. Bean

Ppgol — Wed, 06 Jan 2010 23:26:02 +0000

#27 las 'q' y 'u' son tus amigas

» autor: Ppgol

#33 Nadie pudo ver a Mr. Bean

--77307-- — Wed, 06 Jan 2010 23:24:44 +0000

#8 Lo dudo, porque ellos mismos han entrevistado al responsable de la página. Yo no sé si es verdad al final de momento ya es una cagada que el servidor sirva sólo para 300 entradas. Encima lleva colgada hace días.

» autor: --77307--

#32 Nadie pudo ver a Mr. Bean

jineteapocalipsis — Wed, 06 Jan 2010 23:20:58 +0000

#13 entre unos y otros le estáis haciendo una batería de testing que os tendrían también que poner en nómina de la bromita

» autor: jineteapocalipsis

#31 Nadie pudo ver a Mr. Bean

rasca — Wed, 06 Jan 2010 23:11:27 +0000

#10 ¿Es un problema para la seguridad de la propia web? NO

Eso es discutible, en este caso la web no necesita ninguna identificación, pero un fallo de seguridad como este puede dar lugar al robo de cuentas.

» autor: rasca

#30 Nadie pudo ver a Mr. Bean

--138678-- — Wed, 06 Jan 2010 23:11:07 +0000

[Usuario deshabilitado]

» autor: --138678--

#29 Nadie pudo ver a Mr. Bean

--18199-- — Wed, 06 Jan 2010 23:01:32 +0000

#27 rae.es

» autor: --18199--

#28 Nadie pudo ver a Mr. Bean

andressis2k — Wed, 06 Jan 2010 23:01:00 +0000

P.-¿Cuál es la mayor dificultad que se han encontrado?

R.-Son muchas, la verdad. Había que trabajar con un nuevo gestor de contenido

De Wikipedia:
"La historia de OpenCms comienza alrededor de 1999 con su predecesor, el MhtCms, que no era de fuentes abiertas. La primera versión de fuentes abiertas fue liberada en la exposición CeBit 2000."

Si señor, un nuevo gestor de contenidos, totalmente nuevo y hecho a medida, y claro, no saben utilizarlo...

5000 peticiones por segundo? Entonces, en una hora, tuvieron 18 millones de visitas?
Y una MIERDA (con perdón)

Totalmente denigrante lo de esta gente

» autor: andressis2k

#27 Nadie pudo ver a Mr. Bean

thekeeper — Wed, 06 Jan 2010 22:50:20 +0000

ke por favor alguien le diga a esta persona para ke está el <TITLE> ke la direccion de la web ya se ve en la barra de direcciones como para ponerla otra vez en el titulo.

De verguenza lo ke estara cobrando esta persona por mantener la web y los resultados ke esta dando ademas de respuestas.

» autor: thekeeper

#26 Nadie pudo ver a Mr. Bean

kismet — Wed, 06 Jan 2010 21:39:48 +0000

El problema es que no diferencian a Mr Bean de Zapatero y así nos va.

» autor: kismet

#25 Nadie pudo ver a Mr. Bean

morzilla — Wed, 06 Jan 2010 20:58:55 +0000

Error

org.opencms.search.CmsSearchException: Búsqueda de "query:[path:/sites/presidencia/en/agenda/consejoeuropeo/* AND type:EsIeciEvento AND date:[1262811515249 TO 9999999999999]] fields:[type, date] sort:[unknown]" fallida.

La búsqueda va de vicio...

» autor: morzilla

#24 Nadie pudo ver a Mr. Bean

morzilla — Wed, 06 Jan 2010 20:51:24 +0000

Tampoco les vendría mal utilizar la etiqueta <title> en la página

» autor: morzilla

#23 Nadie pudo ver a Mr. Bean

Cotard — Wed, 06 Jan 2010 20:40:43 +0000

"Es importante señalar que los 11.9 millones de euros no son sólo para que se encarguen de la seguridad de nuestra web." Es importante señalar dice. Ya sería la ostia que se gastasen los 11.9 de millones de euros SOLO en la seguridad.

» autor: Cotard

#22 Nadie pudo ver a Mr. Bean

--125770-- — Wed, 06 Jan 2010 20:29:55 +0000

Yo acabo de verlo hace unos minutos en la tele junto al Guey, la Gueina, el Prigsipito y la presentadora del telediario.

» autor: --125770--

#21 Nadie pudo ver a Mr. Bean

--90771-- — Wed, 06 Jan 2010 19:52:20 +0000

¿ A mi que me expliquen por que cojones España se tiene que dar autobombo tal y como esta la situación ?

» autor: --90771--

#20 Nadie pudo ver a Mr. Bean

jewel_throne — Wed, 06 Jan 2010 19:02:54 +0000

www.youtube.com/watch?v=cvgUdrzGNys

» autor: jewel_throne

#19 Nadie pudo ver a Mr. Bean

jonolulu — Wed, 06 Jan 2010 18:59:40 +0000

Tenían que hacer camisetas: "Yo vi a Mr Bean"

» autor: jonolulu

#18 Nadie pudo ver a Mr. Bean

ElCuraMerino — Wed, 06 Jan 2010 17:01:16 +0000

#9: Pues yo sí que veo la web ahora mismo, y perfectamente.

Ahora, una web así te la hago yo por unos 3.000 euritos.

» autor: ElCuraMerino

#17 Nadie pudo ver a Mr. Bean

lordraiden — Wed, 06 Jan 2010 16:59:38 +0000

#1 #2 Yeeeee fascistas que si los de ZP dice que no la han pirateado es que no la han pirateado, dejad de pensar y si quereis libertades iros a otro pais. //IRONIC

» autor: lordraiden

#16 Nadie pudo ver a Mr. Bean

--162502-- — Wed, 06 Jan 2010 16:50:03 +0000

Al colectivo "Ricky Martin" parece que no le importa que se gasten 9.650.000 euros de dinero del estado en una web impresentable que no cumple con los requisitos mínimos. Ni siquiera estaba disponible el dia de su presentacion oficial y daba un precioso error 503.

Que curioso, claro que pensándolo bien... ese dinero puede comprar la fidelidad incondicional de no poca gente.

No passsssa nadaaaa

» autor: --162502--

#15 Nadie pudo ver a Mr. Bean

dreierfahrer — Wed, 06 Jan 2010 16:25:21 +0000

#10
¿Es un problema para la seguridad de la propia web? NO

Bueno, y si meto un trozo de codigo con el que elimino la parte en la que el usuario hace login y meto la mia propia... sigue sin tener problemas de seguridad la pagina?

Si la pagina de tu banco tuviera esos 'problemillas' dirias que no tiene problemas de seguridad?

» autor: dreierfahrer

#14 Nadie pudo ver a Mr. Bean

--85315-- — Wed, 06 Jan 2010 14:46:55 +0000

#13 Cierto cierto, hora aprox de arranque del sistema 15:30h
Espero que lo hayan apuntado bien para el SLA del servicio y pasarselo a Telefonica...

Edit: por cierto parece que ya han arreglado el ultimo bug xss que permitia video
Error
Error
This page can't be displayed. Contact support for additional information.

Norabuena a los administradores por su rapidez y eficacia

» autor: --85315--

#13 Nadie pudo ver a Mr. Bean

--157114-- — Wed, 06 Jan 2010 14:36:19 +0000

El sitio vuelve a funcionar, pero con muchísimos fallos, a parte, no tienen nada en "Política de Privacidad" ni en "Condiciones generales de uso", si váis para la traducción en vasco por ejemplo, solo tienen traducidas las pestañas no la información bonita página de 400K, jajaj

» autor: --157114--

#12 Nadie pudo ver a Mr. Bean

areska — Wed, 06 Jan 2010 13:41:17 +0000

Como Ricky Martin y la nocilla, no te godeee

» autor: areska

#11 Nadie pudo ver a Mr. Bean

--85315-- — Wed, 06 Jan 2010 13:11:14 +0000

#5 Puede que este cegado por el dinero del pliego. Corre por los foros una copia de los que se embolsan al mes estos responsables de contenidos de la web de la presidencia, entre los 4.100€ del redactor y los 8.100€ del subdirector de equipo. Y creo que el señor Calvo no figura entres estos cargos asi que... imaginemos pues su retribucion...

» autor: --85315--

#10 Nadie pudo ver a Mr. Bean

--86227-- — Wed, 06 Jan 2010 13:06:23 +0000

No fue fotomontaje. Fotomontaje seria si hacen un captura, con photoshop le metan a mister bean y lo suben a otra pagina, por ejemplo www.juanita.es y dicen que juanita.es es la pagina de la ue.
Pero esto no fue así, la pagina web de la ue, es dinamica, y sale de una forma u otra dependiendo de los parámetros que se le pasa, igual que google, que muestra una cosa u otra dependiendo de lo que estas buscando.
Para que os hagais una idea con google, es como si en el recuadrito de busqueda le pones que busque "ultimo disco de Bisbal", y una trocito de codigo malicioso diciendo que tambien te saque arriba a la derecha la foto de bisbal. El resultado de esa busqueda te mostraría A TI, el ultimo disco de bisbal y una fotito en google arriba a la derecha.
Claro que para que esto ocurra, tienes que hacer esta extraña búsqueda, la cual ya la ha preparado la persona que postea el enlace y te sale un enlace que es un chorizo impresionantemente largo.

¿Es un error en la programacion de la web? SI
¿Es un problema para la seguridad de la propia web? NO
¿Es un problema para la seguridad de los usuarios que la visitan? SI
¿Es una cagada por parte de esa empresa? SI, digna de un becario o el "si es informatico sabe hacerlo, asi que ese mismo que es el que menos cobra"
¿Es una burrada de dinero los 9 millones por la web? SI, en especial viendo que son fallos de principiantes.

» autor: --86227--

#9 Nadie pudo ver a Mr. Bean

--85315-- — Wed, 06 Jan 2010 13:04:54 +0000

R.-_Este_ lunes se registraron hasta 5.000 entradas por segundo, cuando nuestros servidores tienen una capacidad de unas 300. Los problemas terminaron hacia las 22.30 horas.

Una polla como una olla, intente entrar en su pagina señor responsable de contenidos www.eu2010.es/
(ahora mismo caida y lleva asi 2 dias entericos...) CHAPUZA Y DE LAS GORDAS

» autor: --85315--

#8 Nadie pudo ver a Mr. Bean

andresrguez — Wed, 06 Jan 2010 12:46:21 +0000

¿Entonces fue un montaje de El Mundo? Recordemos el 11M y el chino

» autor: andresrguez

#7 Nadie pudo ver a Mr. Bean

Wolverine — Wed, 06 Jan 2010 10:56:14 +0000

#6 A mi me crujieron a negativos por pensar lo mismo.
meneame.net/story/mr-bean-cuela-web-oficial-presidencia-espanola/1#c-1

» autor: Wolverine

#6 Nadie pudo ver a Mr. Bean

--50119-- — Wed, 06 Jan 2010 10:39:14 +0000

#1 Yo he hackeado faisbuk!
tinyurl.com/mlsbxt

Vamos a ver, si no se modifica el contenido original, ni hackeo ni leches.
Todo lo demas son magufadas.

» autor: --50119--

#5 Nadie pudo ver a Mr. Bean

kismet — Wed, 06 Jan 2010 09:58:40 +0000

¿Todavía no sabe el responsable de la página lo que es un XSS?

» autor: kismet

#4 Nadie pudo ver a Mr. Bean

--62492-- — Wed, 06 Jan 2010 08:29:00 +0000

#3 Solo que en este caso el gobierno admitió la vulnerabilidad.

Y digo yo ¿Estas noticias no las podía meter en páginas que ya estén en marcha de la UE, en vez de tirar 400.000 € a la basura?

» autor: --62492--

#3 Nadie pudo ver a Mr. Bean

air — Wed, 06 Jan 2010 08:13:38 +0000

Esto adquiere tintes de leyenda urbana tipo ricky-perro-mermelada/foigras, todo el mundo conoce a algún amigo o familiar que lo ha visto...

» autor: air

#2 Nadie pudo ver a Mr. Bean

--30690-- — Wed, 06 Jan 2010 07:46:20 +0000

Un comentario en la noticia de El Mundo: "Yo he trabajado en administración de hosting, despliegue web y desarrollo web, y si el problema de la seguridad es falso como dice este señor, el sitio no estaba comprometido, y el error solo se debe al acceso simultáneo de múltiples usuarios... eso no debería "tumbar" el sistema y tan solo un usuario que intente acceder encontrará un error de acceso al sitio, pero habrá usuarios que sí puedan acceder sin problemas, sin embargo, el hecho es que el sitio está caído aún (8:30 AM), así que lo que este señor comenta en la entrevista sobre la seguridad, no cuela."

» autor: --30690--

#1 Nadie pudo ver a Mr. Bean

demostenes — Wed, 06 Jan 2010 06:54:20 +0000

#0 No es que nadie pudiera verlo en la página. Es que nadie puede ver la página ahora.

Por lo demás este señor o es tonto (lo cual es muy peligroso) o nos quiere engañar. No se trata de una captura con el "fotochop" sino de una vulnerabilidad XSS que -si bien no modifica el contenido de la página- si permite visualizar cualquier cosa en la página mediante un enlace malicioso.

Por ejemplo se podria usar para mostrar una noticia falsa, introducir un virus en el ordenador del usuario, o atacar otras páginas.

Y es que lo de usar document.write con una variable get es una fallo muy básico... Claro que este señor no ha programado nada: el usaba el OpenCMS y no sabe lo que es XSS ni javascript...

» autor: demostenes