Desmenuzando twitter analytics

Antes que nada desear a todos unas felices fiestas de año nuevo 2020, y desear que cumplan con sus metas y objetivos para este año. 

Hace meses que no aparecía por aquí  no por flojera solo estaba estudiando que me quede pegado con unos retos y decidí volver a estudiarlos con mas calma y volver a resolverlos, entre paralelo, pense que debía escribir algo mas con contenido, en algo que me guste, bueno y me vino a la cabeza mi twitter y mis twitteos.

Datos recopilados desde mi twitter @chum1ng0, ocupando la herramienta Analytics de twitter JULIO-AGO-SEPT-OCT-NOV-DIC, 2019, datos extraidos desde la fechas 1 al 30 o 31 según sea el caso, el objetivo es analizar los datos, extraerlos y desmenuzar el contenido.

todo se veia asi en excel( archivo .csv pppffff): 

por las dudas no soy un manejador de excel usuario normal; pero me salio un lindo dashboard o casi ; 

Bueno solo era para desmenuzar los datos que tengo en el twitter y que subo diariamente sobre incidentes de seguridad, espero hacer otro 6 meses mas para comparar y por supuesto mejorar los datos, graficos, imagenes, etc. Todos estos datos son los que twittee en mi twitter personal por supuesto estos datos no son ni la mitad que hubo de incidentes de seguridad en el año 2019.

walaaaaaa :) 

PHP Eval- Rootme

Seguimos con los retos en rootme, de la categoria web server, uno llamado php eval; 

Utilizamos Burpsuite, buscamos que es php eval, 

https://www.php.net/manual/es/function.eval.php,

 pero la pista mas que atrae al exito es el subtitulo,

Non alphanumeric php code, https://insert-script.blogspot.com/2012/09/non-alpha-numeric-php-code.html, http://www.thespanner.co.uk/2012/08/21/php-nonalpha-tutorial/, tal vez una buena busqueda en nuestro buscador favorito, hasta puedas encontrar el payload; 

https://blog.sucuri.net/2013/09/ask-sucuri-non-alphanumeric-backdoors.html

Xpath injection- Authentication-rootme

Seguimos con los retos de rootme, esta vez llamado XPATH Injection Authentication, mas informacion de este tipo de ataque lo puede encontrar en OWASP, https://www.owasp.org/index.php/XPATH_Injection, o en youtube; 

Herramientas usadas, burpsuite, buscar en google algunos payloads y intentar con intruder para ver si podemos forzar o encontrar el payload correcto para solucionar este reto, como también, se puede hacer en forma manual; 

PHP Truncation-Rootme

Dejamos otro reto de la pagina rootme, llamado PHP truncation, que es un tipo de LFI, local file inclusion; con el documento pdf que nos da la pagina del desafio se entendera que es lo que trunca;