Xomol, un software realmente inseguro

Xomol es un CMS en PHP 4.x de código libre de mas o menos el 2008 conocido por problemas de seguridad. Instalar el software es bastante complicado ya que su instalador no funciona, asume short tags, ignora notify y su usuario maestro no tiene derechos sobre los diferentes módulos. El software es desde su creación una copia mal hecha de oscommerce, con módulos de 6000 líneas y docenas de archivos para cosas que pueden hacerse en mucho menos, por Ejemplo, el módulo de Usuarios activos puede hacerse en 50 líneas o menos y por lo que recuerdo mide 250kb aprox.

Xomol es un conjunto de miles de archivos que no funcionan, cientos de ellos duplicados (usar clonespy para revisar, si gustan), sin integridad referencial (ni siquiera simulada) es posible borrar info que pegue a otra parte del sistema. Repleto de llamadas recursivas a .php de constantes, con faltas de ortografía en tres idiomas diferentes y 181 tablas de datos, muchas llenas de propaganda al software si logras instalarlo.

Xomol no se actualiza desde el 2008 que nosotros sepamos, no tiene documentación y el autor David Guttmann Quiróz pensaba que su punto fuerte eran el módulo de banners (que no consideraba el antecesor de adsense, existente desde el 2003/2004 ) y un módulo de comercio copia mal hecha de oscommerce de entonces. Considerando que a ) la mayoría de los sitios web no usan banners, b ) si los usan son de adsense por lo general, c ) y que la tienda en línea es muy limitada y no funciona, es poco probable que se encuentre una instalación de Xomol en el mundo real.

Xomol es usado desde 2009 en cursos por Ojos Alerta AC, para seminarios de Refactoring o como tratar con Legacy Apps, y se ha demostrado en varias ocasiones que los objetivos de Xomol pueden cubrirse de manera segura con 4096 líneas de código, y si se sube a 8192 líneas puede usarse un sistema de tickets funcional además de un sistema de foros básico.

Xomol es por lo tanto, una prueba en el mundo real de porqué es peligroso usar software de desconocidos que creen ser código libre, aunque es útil para que otros no cometan los mismos errores.

Descargar Xomol 1.5.2.2

ATENCION: Software inseguro, no usar en producción

Creado por David Guttmann, alias Rafavaldo, Ronportos, Valente Campillo / Juan Camaney / yesorno / Ozzy Hart (identidades de Guttmann)

Descargar Xomol 1.5.2.2.gz

 
SHA1 = 3FC218FF6E67FBE9EE19B0C6EE53765B35FD2914
MD5 = FD2208E4DDA25433E142C7D87947B9B4
Bytes = 8,187,938 = 8mb

-26 Ago 2015

Latest News 26 - ago - 2015

El sitio se actualizará periódicamente

Acerca de

A principios del mes de febrero del año 2009, el director de Ojos Alerta AC recuperó un nombre de dominio expirado relacionado con temas prehispánicos. Se recibieron durante los siguientes meses diversas amenazas de muerte de parte del dueño anterior de dicho dominio, David Guttmann Quiróz, una persona enferma del mal de Yagaré segun sus propios correos.

Guttman trató de hacerse pasar por experto en programación, y creó una serie de identidades múltiples para dar a suponer que el sujeto Guttmann, era un programador respetado. Las amenazas en su momento fueron turnadas a la policía, asi como insultos a personas que eran agentes de ventas de una empresa propiedad por aquella época de Ojos Alerta, y que en su momento trató de suplantar la secta destructiva templo de la serpiente emplumada; creemos que fueron dos incidentes aislados aunque en su momento nos enteramos que Guttmann creó una identidad relacionada con una de las razones sociales de Ojos Alerta AC. Dicho correo/identidad fue utilizado por guttmann para tratar de entrar al ya extinto foro del sitio kinam.org, entonces propiedad de la secta destructiva Templo de la Serpiente Emplumada. Por lo mismo en su momento levantamos una orden de compra sobre el dominio xomol.net, dominio usado entonces por Guttmann para promover su software código libre, llamado Xomol, así como en correos de los que lanzó algunas de sus amenazas de muerte. Se tomó la medida debido a que por entonces kinam.org pertenecía a la secta Templo de la serpiente emplumada, y simpatizantes de la misma, como el ladrón Marco Antonio Arenas Chipola, que ya había tratado de organizar un intento de asesinato ontra el director de Ojos Alerta. Para mayores detalles ver kinam.org, que incluye datos notarizados de la existencia de la secta destructiva.

Como dato, Xomol es un nombre derivado que suponemos viene del medicamento para psicóticos llamado XOMOLIX. y que parece tomaba Guttman como parte de su tratamiento para el mal de Yagaré.

El dia de hoy, 26 de agosto del 2015, el dominio fue capturado por una orden de compra de 12 USD, y Ojos Alerta lo piensa renovar por 10 años. El dominio no está en venta y será usado por fines didácticos.

-26 Ago 2015

Objetivo del sitio

Preservar un software inseguro usado para pruebas de intrusiones. De manera general, se pretende qe el sitio sirva como material de apoyo y de ejemplo a como corregir, en lo posible, aplicaciones LEGACY o viejas, cuando no tenga otro remedio el programador que dar mantenimiento a un software basura como Xomol.

Disclaimer

El dominio xomol.net fue creado anteriormente por David Guttmann usado en su momento para difundir un software lleno de fallas llamado Xomol, que era código libre. Este sitio fue recuperado por Ojos Alerta AC, para evitar suplantación de nuestras razones sociales, así como conservar para la posteridad el software creado por Guttman, mismo que Ojos Alerta AC ha usado de ejemplo en cursos de intrusiones en desarrollo web, gracias a las fallas de seguridad de Xomol. Cabe destacar que Xomol NO ES UN SISTEMA FUNCIONAL, y no debe usarse en producción. En su momento se recomienda usar DRUPAL.

Los daños provocados por el uso de Xomol , creado por Guttmann, son responsabilidad del usuario. Creemos que son pocos, ya que poder instalar el software es casi imposible por razones varias.

Disclaimer UDRP

Este dominio fue comprado para alojar una copia del software de código libre Xomol como estaba en su versión abanadonada por Guttmann, y no está en venta, no vende nada o promueve competidores comerciales, y de ningun modo promueve el uso del sistema Xomol original o de los servicios de Guttmann Quiroz en ninguno de sus muchos nombres.

Los derechos de marca o de desarrollo de Xomol / XOMOLIX son propiedad de sus respectivos dueños y se mencionan con fines informativos.

-26 Ago 2015