sábado, 30 de abril de 2011

Internet Explorer CSS 0day on Windows 7

Compartir este artículo:

Excelente vídeo de Offensive Security donde muestra la explotación de Internet explorer con el 0day del CSS.

 

[vimeo 18023495 nolink]

Flu KeDaDa!

Compartir este artículo:

 

La KDD de la comunidad es una realidad... Streaming10 lo propuso de manera implícita comentándonos que estará por Madrid en una semana. Juan Antonio me comentó... ¿y si hacemos la KeDaDa por los que anden por Madrid y quieran acercarse a tomarse unas cervezas...? Y como siempre nos apuntamos a un bombardeo así que, esto es una realidad.

No hay un lugar concretado, abrimos un hilo en el foro para que podáis ir dando ideas. Todo el que se quiera apuntar a la KeDaDa que lo diga, o que se mude para siempre! xD. La fecha es el próximo semana, a elegir entre viernes y sabado, cuando lleguemos a ese acuerdo, elegiremos lugar (siempre Madrid o zona sur), horario y bueno las cervezas harán el resto.

Por cierto debéis saber que llevaremos camisetas de Flu, por 7 euros, son las últimas novedades y podéis ayudar al proyecto. Las tallas que quedan son XL, XXL, y no se si alguna M, Juanan os dará mas datos... si no queréis camiseta pero queréis venir también podéis ;)

Por cierto, recordatorio a dan1t0, es hora de vernos no?

Los que no podáis venir, os llevaremos en el corazón... los hecky, zerialkiller, gasdejava, 4v4tar, David Mora, que se encuentran al otro lado del charco... y a todos los que no nombro... Gracias! ;)

viernes, 29 de abril de 2011

Bots

Compartir este artículo:

¿Qué sería de Internet sin los bots? Esos pequeños hijos de puta programas que nos joden ayudan día a día.

Es bastante dificil hacer una definición formal, porque es un término que engloba muchas cosas, pero yo diría que un bot es un programa diseñado para realizar tareas repetitivas, en muchas ocasiones imitando el comportamiento humano, y en la mayoría de los casos, utilizando recursos externos. Un tipo especial de bots son los crawlers (arañas, spiders…), su misión reunir información, normalmente recorriendo internet, y procesarla de distintas maneras. Los términos bot y crawler se suelen usar como sinónimos.

Un ejemplo de crawler que todos conocemos es GoogleBot: recorre la Red e indexa páginas web y documentos para el buscador Google.

Vamos a empezar esta pequeña serie de desarrollo de bots enumerando las herramientas básicas que necesitaremos para crear nuestros bichitos…

Firefox

Todos lo conocéis. No tiene rivales en cuanto a complementos se refiere. Y eso es lo que necesitamos, pequeñas utilidades que nos den acceso rápidamente a la información que deseamos. ¿Para qué rompernos la cabeza?

Firebug

Creo que este plugin para firefox es lo mejor que nos ha pasado a los desarrolladores web después de la cafeína. Puedes ver y editar cualquier parte de una web en vivo, desde el css al javascript. ¡Genial!

TamperData

Este plugin te permite interceptar las peticiones que salgan de tu navegador y ver todos los detalles del HTTP, desde el referer hasta los parámetros POST. No es lo mejor que hay para esto, pero es el que he usado desde hace mucho tiempo, y le tengo cariño.

XPather

Otro plugin para firefox, selecciona cualquier elemento de la página, pulsa botón derecho y tendrás al momento su xpath. Imprescindible.

Python

A día de hoy recomiendo la versión 2.7.x en 32 bits.

Dreampie

La consola interactiva para Python con la que siempre soñastes. ;)

Selenium

Está pensado originalmente para automatizar pruebas sobre páginas web usando un navegador real, pero es tan potente que podemos utilizarlo para muchas maldades.

Además, si eres más vago que un charco, existe un plugin para firefox con el que puedes guardar tus acciones directamente en el lenguaje que quieras (Selenium IDE).

Sikuli

Automatiza cualquier cosa que se te ocurra dentro de un entorno gráfico utilizando capturas de pantalla y jython. Una gran idea.

Y esto es todo por hoy. Como soy un desastre estoy seguro de que se me habrán olvidado la mitad de las cosas, pero a medida vaya escribiendo iré actualizando el post.

 

jueves, 28 de abril de 2011

Las viñetas de Flu Project – 4

Compartir este artículo:
Una nueva edición de las viñetas de Flu Project. ¿Próximas aventuras? 

miércoles, 27 de abril de 2011

Configuración Servidor SSH en GNU/Linux (Parte III)

Compartir este artículo:
 

En los artículos anteriores de la serie se han ido explicando el funcionamiento del protocolo SSH, dónde se encuentra el fichero de configuración del servidor y ciertas características que hacen a SSH de un protocolo muy interesante que nace de la necesidad de securizar ciertos servicios.

A continuación se tratarán distintas directivas, aspectos que pueden hacer nuestra configuración SSH más segura.

Cambio de puerto

Esta opción puede ser interesante siempre que el servidor SSH sea privado, entre amigos, en una empresa siempre que todos sepan el puerto nuevo y no es válida para servicios públicos o por defecto que siempre conectarán al puerto 22. Es una opción con la que se conseguirá quitar a esos ojeadores que escanean por puertos y al detectar un 22 abierto, realizan ataques de fuerza bruta... ahora si colocamos el servicio SSH en el 9465, tardarán más en saber que hay detrás, y la mayoría no tendrán conocimientos para saber que hay detrás.

Veamos como llevar a cabo el cambio de puerto en el fichero de configuración:

Hay que buscar la línea dónde se encuentra la directiva Port, y modificar el puerto 22 que vendrá por defecto por el puerto por el que el servicio quede a la escucha.

Hay que recordar que si se ejecuta está opción para conectar con el servidor desde un cliente se deberá ejecutar la siguiente orden:

ssh -p 9465 usuario@ip

Posibilidad de loguearse como root

Una opción muy interesante es no permitir loguearse a ningún usuario como root directamente a través de SSH, si alguien consigue acceder como root tendrá acceso a todo el sistema.

El objetivo será limitar este posible agujero de seguridad y decidimos que no se pueda loguear como root, de este modo para que un administrador obtenga sus privilegios necesitará autenticarse como usuario y después una vez dentro del sistema podrá cambiar a root.

En la imagen se puede observar como la directiva 'PermitRootLogin' se encuentra con no asociada.

Interesante directiva también para evitar ataques de fuerza bruta al root del sistema.

Número de intentos para loguearse

Esta directiva evita que los ataques de fuerza bruta puedan estar probando indefinidamente credenciales, limitar los intentos a un número bajo ayuda a evitar lo comentado anteriormente. Cualquier persona que conozca las credenciales no necesita más de 3 intentos, ¿no?

Para habilitar esta directiva hay que descomentar 'MaxAuthTries' y se especificará un número, por ejemplo 3, de este modo se habilita el uso de la directiva, recordad que cualquier cosa comentada en el fichero de configuración no se cargará en la ejecución del servicio.

Tiempo máximo de login

Bien, nos encontramos ahora con el tiempo máximo para introducir las credenciales, yo no creo que nadie que conozca las credenciales necesite más de 15 segundos para introducir una contraseña, si ésta es larga. Así que aconsejamos poner un tiempo entre 10 y 20 segundos. La directiva es 'LoginGraceTime' y a continuación el valor en segundos.

Esto es solo el comienzo

Si, esto es solo el comienzo, hay muchas más directivas y métodos que pueden interesarnos para fortificar nuestro servicio SSH, en siguientes artículos iremos destripando este maravilloso y bastante seguro protocolo.

 

=================================================- Configuración Servidor SSH en GNU/Linux (Parte I)Configuración Servidor SSH en GNU/Linux (Parte II)Configuración Servidor SSH en GNU/Linux (Parte III)Configuración Servidor SSH en GNU/Linux (Parte IV)Configuración Servidor SSH en GNU/Linux (Parte V)Configuración Servidor SSH en GNU/Linux (Parte VI)=================================================

 

martes, 26 de abril de 2011

Secunia PSI

Compartir este artículo:

Hola a todos, quizás mucho conozcáis este programa Secunia PSI, pero para mí ha sido todo un hallazgo en este fin de semana.

Os hablo un poco de él, para empezar os diré que basicamente Secunia PSI es una herramienta de seguridad encargada de mantener actualizadas todas las aplicaciones, drivers, programas y plugins para evitar sufrir ataques de terceros.

De forma automatizada recibe e instala (dependiendo de la configuración que pongáis) cada uno de los parches de seguridad nuevos que tengáis en las distintas aplicaciones, sin el engorro de tener que hacerlo manualmente una por una.

Lo bueno que tiene también es que junto a cada de las actualizaciones nuevas que tengáis, el programa os hace un breve resumen en que consiste la vulnerabilidad que váis a subsanar, con lo que si lo véis de otra forma, también podéis aplicar ese conocimiento a vuestro laboratorio de hacking.

Segunia PSI, es gratuito, y se puede descargar desde su web http://secunia.com/vulnerability_scanning/personal/

Un saludo

lunes, 25 de abril de 2011

SSL Strip

Compartir este artículo:
 

La definición de  SSL Strip es variada, intentemos acercarnos a la realidad práctica que es lo que más nos puede interesar. SSL Strip consiste en hacer creer al usuario que está bajo una conexión segura, ya sea porque el usuario ve un candadito que indica seguridad, sslstrip puede falsificarlo, o por que el usuario no se fija si está bajo tráfico cifrado o no.

Cuando un atacante lanza SSL Strip sobre una víctima, ésta sigue navegando felizmente por la red. El problema viene cuando se conecta a una página bajo HTTPS, la víctima puede observar como el HTTPS ha desaparecido de su navegador, si no se fija en ese pequeño detalle y se autentifique en algún sitio, sus credenciales irán en texto plano hacia la víctima.

Para que se vea lo que ocurre realmente se explica a continuación, el recuadro con SSL Strip es el atacante realizando un MiTM. El browser de la víctima realizará una petición que el atacante interceptará, entonces SSL Strip realizará la petición correcta al web server, y la respuesta al navegador de la víctima se envía bajo HTTP y no bajo HTTPS. Se observa que SSL Strip aprovecha el paso de HTTP a HTTPS para realizar sus fechorías.

¡Manos a la obra! Vamos a preparar la PoC y demostrar el funcionamiento de este tipo de MiTM para llegar a la conclusión que no estamos seguros bajo el protocolo SSL. Antes de nada, citar al gran Moxie Marlinspike como el creador de SSL Strip.

PoC

Lo primero que vamos a elegir es el sistema operativo sobre el que realizaremos el ataque, utilizaremos BackTrack, pero cualquier distro de Linux podrá realizarlo sin problemas, recomendamos Blackbuntu y sus distintas posibilidades.

En primer lugar debemos hacer que nuestra máquina enrute el tráfico que llegue a ella, ya que si no dejaríamos sin Internet a la víctima. Para ello, en Linux es bastante sencillo, en la ruta /proc/sys/net/ipv4/ se encuentra el fichero ip_forward que almacena un booleano (0 o distinto) que especifica si nuestro equipo funciona como router o no.

echo 1 > /proc/sys/net/ipv4/ip_forward

Recordad tener permisos de administrador para escribir en ese fichero.

A continuación, vamos a realizar el MiTM básico con la aplicación arpspoof. Para ello debemos especificar la interfaz de red que se usará para realizar el ataque y el objetivo.

arpspoof –i {interfaz de red} –t {obj1} {router}

Ejemplo: arpspoof –i wlan0 –t 192.168.1.67 192.168.1.250

En otra pestaña u otra shell, ya que no debemos dejar de realizar el proceso de envenenamiento, ejecutaremos la redirección de las peticiones al puerto 80 al puerto 10000, por defecto el puerto de la aplicación ssl strip. Para la redirección utilizaremos, el grandioso, iptables.

iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-ports 10000

Una vez realizado todo esto, es el momento de ejecutar ssl strip, aplicación realizada en python. La ejecución es sencilla:

sslstrip –w {nombre fichero}

El nombre del fichero especifica dónde se almacenarán todas las peticiones que pasan por nuestro equipo.

Ejemplo: sslstrip –w cazado.txt

Una vez realizado todo este proceso queda lo peor ¡esperar!

Los resultados por ejemplo son…

Se puede observar como en la petición se puede observar en el recuadro en amarillo y en verde el usuario, y la contraseña en el recuadro naranja y amarillo. No penséis que ese usuario y contraseña existe, solo es una prueba para ver que aunque la página funciona bajo SSL, con SSL Strip se engaña al usuario, que pensará que seguirá bajo SSL pero en realidad todo va en texto plano entre la víctima y el atacante.

domingo, 24 de abril de 2011

Informe Flu - 16

Compartir este artículo:

Damos comienzo al resumen de la semana 16 de Flu:

Lunes 18 de Abril

Martes 19 de Abril

Miércoles 20 de Abril

Jueves 21 de Abril

Viernes 22 de Abril

  • Los chicos de ZenOK nos proporciona un AV diferente, muy interesante, recomendable y GRATUITO

Sábado 23 de Abril

  • Siempre me gustó los artículos de ZerialKiller, claros y concisos... y siempre interesantes y con conocimiento, troyanizando paquetes DEB

 

sábado, 23 de abril de 2011

Troyanizando un paquete .deb con Metasploit

Compartir este artículo:

En este Video muestro como troyanizar un paquete .DEB utilizando el framework de Metasploit y posteriormente la victima lo instala y se obtiene el acceso.

VIDEO: AQUI

[youtube -Xm3Pwhw8XI nolink]

viernes, 22 de abril de 2011

Zenok 2012

Compartir este artículo:

Los chicos de Zenok se han puesto en contacto con nosotros para poder haceros llegar información sobre su producto, un interesante AV con funcionalidades interesantes, os dejo con la información que nos han hecho llegar.

ZENOK 2012 es una aplicación que monitorea absolutamente todo lo que se hace en el ordenador, impidiendo que amenazas tales como virus, troyanos, aplicaciones espías, bots o rootkits ingresen a alterar cada una de las funciones del sistema operativo; esta aplicación tiene la posibilidad de ayudarnos a hacer una copia de seguridad en línea, eligiendo para ello todos los archivos que nosotros consideremos importantes, y almacenandolos en sus respectivos servidores.

ZenOK ofrece una plataforma de seguridad informática para protegernos de cualquier fichero malicioso y ataque informático. En la siguiente lista mostramos las características relevantes:

*El antivirus es  totalmente gratuito, no aclaran si para uso personal solamente o las empresas podrían usarlo; este punto debería  estar claro para todos los usuarios

* Su rapidez y sencillez es elocuente, sobre todo cuando de analizar el PC se trata

* La interfaz es muy fácil para entender, podría decir que hasta es minimalista

* Integra un servicio de copias de seguridad

* En tiempo real, realiza escaneos ultralivianos al sistema, en busca de virus; según cifras oficiales de los compañeros de ZenOK, este proceso ocupa un 0,01% de los recursos del CPU, así que el rendimiento del ordenador no se ve afectado por esto

* No se integra con el menú contextual de Windows; esto es muy necesario, porque por ejemplo, con los dispositivos extraíbles, muchos usuarios suelen analizar esos dispositivos, para verificar  asi están libres de cualquier amenaza

* Te protege de virus, malwares, spywares, y cuenta con una innovadora tecnología de investigación que analiza el comportamiento de cualquier  fichero en Windows y de este modo permite determinar si es malicioso, así que los virus y malwares que apenas van naciendo, no se salvarán de ZenOK, pues no se le escapará ninguno

Entre otras de las características de este antivirus, encontramos que ZenOK cuenta con una herramienta de back up en línea, pero hay que suscribirse previo pago para disfrutar de esta interesante e indispensable utilidad.Simplemente agrega tus archivos importantes al backup en línea. Todo lo que  escojas incluir estará allí disponible para que lo puedas descargar en cualquier computadora, mediante la utilización de un navegador Web.

ZenOK Antivirus Gratis 2012 es la ultima versión de este antivirus gratuito, que posee una amigable interfaz y un sencillo manejo.

 

 

 

jueves, 21 de abril de 2011

La Biblia del Footprinting (VII de VII)

Compartir este artículo:
  

La Biblia del Footprinting (I de VII)La Biblia del Footprinting (II de VII)La Biblia del Footprinting (III de VII)La Biblia del Footprinting (IV de VII)La Biblia del Footprinting (V de VII)La Biblia del Footprinting (VI de VII)La Biblia del Footprinting (VII de VII)


 

Buenas a todos, como os comenté a muchos de vosotros en los comentarios que habéis ido poniendonos a lo largo de esta cadena de artículos, hemos recogido todos los posts en un pequeño libro (gratuito), para que lo podáis imprimir y utilizar más comodamente en vuestras auditorías.

Por el momento hemos publicado una primera versión, que iremos ampliando posteriormente con más datos, nuevas herramientas y análisis más exhaustivos.

Si queréis realizar aportaciones técnicas para futuras versiones del libro (con vuestro reconocimiento) serán bienvenidas. Para ello podéis hacérnoslas llegar en formato docx, doc, odt, etc. (algo legible sin quebrarnos la cabeza por favor =) )  a la dirección de correo info@flu-project.com y las estudiaremos.

El libro lo podéis descargar desde AQUÍ. ¡Esperamos que os guste!

 

Saludos!

miércoles, 20 de abril de 2011

Buenas prácticas para usuarios novatos/medios (Parte V)

Compartir este artículo:

Hoy es la última entrega de la serie de buenas prácticas de Flu Project. Hoy se hablará de seguridad en redes P2P y la seguridad en clientes de mensajería. Es importante que en las empresas no se ‘juegue’ con este tipo de aplicaciones ya que pueden traer más de un disgusto a alguno.

Sabemos que la seguridad a la mayoría de las personas no les importa mucho, que los datos para la mayoría de los empleados pueden no tener valor, pero si a un empresario o una gran empresa deja sus datos en manos de cualquiera puede sufrir pérdidas importantes, como dicen hoy en día la información es poder.

Seguridad en redes P2P

Pero a los usuarios ‘caseros’ por así llamarlos esto del p2p les interesa más que alguien pueda ver el porno de su ordenador por lo que…  Claro y tengo una red P2P para compartir… ¡Pirata! Bueno, al obtener un beneficio también corremos un riesgo, como la vida misma. En las redes P2P hay muchísimo malware. Por lo que estamos expuestos a descargar algo que no queremos.

Explorar con una solución antivirus de alta efectividad en la detección de amenazas conocidas y desconocidas, como ESET NOD32, absolutamente todos los archivos que se descargan a través de esta red, sin importar su extensión.

Evitar el almacenamiento de información confidencial y sensible en la misma computadora donde se comparten archivos por redes P2P, para evitar que la misma sea robada.

Verificar que el programa cliente de intercambio de archivos no instale o descargue componentes extras, ya que en la mayoría de los casos son códigos maliciosos del tipo Adware/Spyware.

Asegurarse de que los archivos a descargar no se encuentren sometidos a métodos de engaño como doble extensión, debido a que se trata de una técnica muy empleada por el malware.

Controlar que exista coherencia entre el tamaño original del archivo descargado y el tamaño aproximado que debería tener, para descartar la posibilidad de que se esté en presencia de programas troyanos.

Chequear que la carpeta de intercambio de archivos contenga sólo los archivos que se desea compartir.

Revisar la configuración de seguridad del programa cliente. Esto ayuda a maximizar la seguridad durante el proceso de descarga de archivos.

Y quizá una de las más importantes, es comprobar el hash del archivo. Cuando descargamos software, por ejemplo alguna distro de GNU/Linux, el que distribuye dicho software nos expone en el sitio web cual es el hash del fichero, para que al descargarlo se pueda comprobar si el hash es el mismo, si no es el mismo dicho fichero ha sido modificado, y con mucha probabilidad para algo malo.

Seguridad en clientes de mensajería

Otro medio de comunicación popular, y que se emplea masivamente, son los clientes de mensajería instantánea, que, en consecuencia, constituyen uno de los vehículos más explotados por diferentes amenazas, dentro de las cuales una de las más activas es el malware. En Flu Project se vió como securizar un cliente de mensajería para que se pudiera utilizar en las empresas.

Evitar aceptar como contacto cuentas desconocidas sin verificar a quién pertenece, ya que en la mayoría de los casos se trata de intentos de engaños con fines maliciosos.

No descargar archivos sospechosos, sobre todo cuando vienen acompañados de mensajes genéricos o en otro idioma. Esto constituye una de las características principales de los códigos maliciosos que se propagan a través de este canal de comunicación.

En caso de descargar archivos, explorarlos con una solución antivirus con capacidad proactiva como ESET NOD32 antes de ser ejecutados, para verificar que se encuentren libre de amenazas.

Configurar en el cliente de mensajería la exploración automática de archivos en el momento de su recepción. La mayoría de estos clientes contemplan la posibilidad de configurarlos con un antivirus.

Es recomendable, al igual que con el correo electrónico, no hacer clic sobre los enlaces incrustados en el cuerpo del mensaje, ya que pueden direccionar a páginas con contenido malicioso o hacia la descarga de malware.

Cuando se reciben mensajes conteniendo un enlace no esperado, es recomendable preguntar si la otra persona realmente lo ha enviado; de esta manera se puede verificar la autenticidad del mismo.

No escribir los datos de autenticación en páginas que prometen ofrecer información de contactos bloqueados y similares. Estos sitios suelen comprometer la privacidad de la información que se aloja en los correos, además de utilizar la cuenta con otros fines delictivos.

Cambiar la contraseña de manera periódica. Ayuda a maximizar el nivel de seguridad.

No compartir la contraseña con nadie. El carácter de ésta es privado, con lo cual lo recomendable es que sólo la conozca el usuario que la ha creado.

Cuando se accede al mensajero desde lugares públicos, es recomendable deshabilitar la opción de inicio automático para que no quede la dirección (ni la contraseña) grabada. Esto evita que terceros inicien sesión de manera automática.

No compartir información confidencial a través de este medio ya que la misma puede ser interceptada y robada con fines delictivos.

 

==================================================

Buenas prácticas para usuarios novatos/medios (Parte I)

Buenas prácticas para usuarios novatos/medios (Parte II)

Buenas prácticas para usuarios novatos/medios (Parte III)

Buenas prácticas para usuarios novatos/medios (Parte IV)

- Buenas prácticas para usuarios novatos/medios (Parte V)

==================================================

 

 

martes, 19 de abril de 2011

La Biblia del Footprinting (VI de VII)

Compartir este artículo:
  

La Biblia del Footprinting (I de VII)La Biblia del Footprinting (II de VII)La Biblia del Footprinting (III de VII)La Biblia del Footprinting (IV de VII)La Biblia del Footprinting (V de VII)La Biblia del Footprinting (VI de VII)La Biblia del Footprinting (VII de VII)


Buenas a todos, hoy continuaremos la cadena de artículos sobre Footprinting hablando sobre la búsqueda de información de usuarios, software, sistemas operativos, etc. a través de los metadatos.

 

Paso 6. Metadatos

Como sabréis, los metadatos son una serie de datos que son almacenados junto con los documentos para ayudar en su identificación. Su intención es representar el contenido del documento, por lo que suelen almacenar bastantes datos, en ocasiones más de la que nos gustaría, lo que conlleva a que sea más fácil, por ejemplo, identificar al usuario que ha creado cierto documento, las herramientas con las que lo ha hecho, la situación física donde se encontraba, un path que puede darnos información del sistema operativo, etc. Este hecho trae repercusiones que pueden llegar a ser muy graves, pongamos por ejemplo que a través de un metadato se averigua que se ha generado un documento con una versión de cierto programa para generar ficheros PDF que tiene un exploit conocido; entonces se estaría poniendo en peligro un sistema. Otro ejemplo que ha traído una gran repercusión hace unos meses fue el de la caza de unos pederastas a través de la información de los metadatos del posicionamiento por GPS de las fotos realizadas con un iPhone y que compartían por foros de Internet. Por lo que parece que los metadatos pueden ser más peligrosos de lo que inicialmente parece.

Para extraer los metadatos de los documentos y hacerles un footprinting, existen multitud de servicios online y herramientas que automatizan esta tarea, pero creo que una destaca por encima de todas, y esta es la FOCA, de mis amigos de Informática 64. Muchas horas se han tirado Oca, Manu, Alex, Chema y otros tantos por la bat-cueva batallando con ella, y lo se por experiencia porque yo estaba en esa cueva cuando nació la foquita =) (no me pidáis versiones de la Foca Pro, que os conozco, para eso saturarle el correo a Chema =P).

Para no extenderme con la entrada, os enlazo éste post genial que hizo nuestro blogger del Flu Team, Seifreed, sobre el uso de la FOCA.

Como no podía ser menos, yo también he querido hacer mi pequeña aportación a la fase de Footprinting con Anubis, y añadí en la versión 1.1 el primer módulo de análisis de metadatos, que es capaz de analizar los metadatos de los ficheros PDF y realizar listados de usuarios y de software encontrado, para ayudaros en la búsqueda de posibles exploits.

Tengo previsto realizar nuevos módulos para analizar otro tipo de documentos, y publicarlos ya en la versión 2.0 de Anubis, que por cierto está algo parada porque no tengo mucho tiempo libre.

Vamos al lio, si abrís Anubis y vais a la sección “Metadata” os encontraréis con la siguiente pantalla:

 

 

El funcionamiento es tan sencillo como poner un dominio y pulsar el botón “Metadata”. Cuando la barra de progreso llegue al final ya podréis ver los metadatos de los ficheros PDF mostrados en el árbol de la ventana izquierda:

 

 

Ahora si pulsáis sobre el botón “SEND”, se enviará la información a la pestaña “SUMMARY”, donde se listarán todos los usuarios y software encontrados:

 

 

 

Por si os interesa el tema de limpieza de metadatos, os dejo con éste otro artículo de nuestro blogger Hecky sobre limpieza de metadatos en imágenes.

Por cierto, os habréis fijado que hace poco Anubis en las búsquedas automatizadas que tiran contra Google solo encuentra unos pocos de resultados, esto es porque Google ha modificado su interfaz. Intentaré sacar una versión 1.2 solucionando el tema. Si veis que Anubis tiene algún bug más, que tendrá bastantes seguramente, enviadme un correo a jantonio.calles@flu-project.com, y así los voy resolviendo para la versión 2.0.

 Saludos!

lunes, 18 de abril de 2011

Taller de Esteganografia en la FLISoL-Celaya 2011

Compartir este artículo:

El pasado Jueves 7 de abril del 2011 fui a Celaya Guanajuato a la FLISoL del Insituto Tecnologico de Celaya (ITC). Invitado por Abraham(@linux_ska) que le conoci  en BugCon2010 cuando asisitio a mi taller.

El viaje no pudo ser mejor, di la charla a varios estudiantes, aunque creo fue un poco avanzado (segun yo el nivel estaba bien por que era basico-intermedio) por que algunos no me sabian las bases que necesitaba para que entendieran el taller. De ahi en fuera la gente me trato muy bien, y conoci gente muy “chula”

Como por ejemplo conoci a @lesthack que fue uno de los organizadores nacionales de la FLISoL de México etc… Pero bueno a lo que le interesa el publico es el taller.

Hago publica mi presentacion de el taller de Esteganografia para la FLISoL Celaya 2011 “Descarga Directa desde local mirror de neobits.org

Taller Esteganografia FLISoL Celaya 2011

Canal de presentaciones en Slideshare de

Por cierto la ultima tecnica (Esteganografia en tar) a un es muy “basica y nueva” aun no la publico por que esta muy verde y no ah madurado.Nota: A los que me pidieron los scripts mandarme un mail a hecky@neobits.orgY bueno presumo mi linda constancia que me dieron de parte del Instituto tecnológico de Celaya: 

Importante: En esta edicion tuve el gusto de conocer a @dilbiwis una nueva amiga y que recurro a ustedes para un favor. Gente del D.F. que sea humanitario si puede donar sangre para una causa medica, favor de contactarme ami o a ella, antes del viernes, Muchas Gracias.P.D De Esta edicion salieron otras cosas muy buenas como dos compañeros de grupo de estudio, esperamos lograr cosas buenas.Saludos y espero sea de su agrado ;)

Atte.hecky hecky@neobits.org Sigueme en twitter: http://twitter.com/hecky Sigue el Canal de Videos de Neobits.org en Youtube: http://youtube.com/NeobitsOrg

domingo, 17 de abril de 2011

Informe Flu - 15

Compartir este artículo:

Damos comienzo al resumen de la semana 15 de Flu:

Lunes 11 de Abril

Martes 12 de Abril

Miércoles 13 de Abril

Jueves 14 de Abril

Viernes 15 de Abril

Sábado 16 de Abril

sábado, 16 de abril de 2011

Tor

Compartir este artículo:

 

Tor definiciòn segùn WIKIPEDIA:

Tor (The Onion Router) es una implementación libre de un sistema de encaminamiento llamado onion routing que permite a sus usuarios comunicarse en Internet de manera anónima. Originado en el US Naval Research Laboratory y hasta noviembre de 2005 patrocinado por la Electronic Frontier Foundation, Tor es desarrollado por Roger Dingledine y Nick Mathewson junto con otros desarrolladores Gv. SyrinX anonimato.

Tor provee un canal de comunicación anónimo y está diseñado para ser resistente a ataques de análisis de tráfico (traffic analysis). Por lo tanto, usando Tor es posible realizar una conexión a un equipo sin que este o ningún otro tenga posibilidad de conocer el número de IP de origen de la conexión.

Tor es usualmente combinado con Privoxy para acceder a páginas web de forma anónima y segura. Privoxy es un proxy HTTP diseñado para proteger la privacidad en la navegación de internet. La interfaz de Tor es un proxy SOCKS (usualmente en el puerto 9050).

Es importante saber que Tor no es 100% fiable en lo que se refiere al cifrado de la información. Su función principal es asegurar el anonimato del usuario, de forma que no se pueda rastrear la información que envía para llegar hasta él. La red Tor cifra la información a su entrada y la descifra a la salida de dicha red, con lo cual es imposible saber quién envió la información. Sin embargo, el propietario de un servidor de salida puede ver toda la información cuando es descifrada antes de llegar a Internet, por lo que aunque no pueda conocer el emisor sí que puede acceder a la información.

Esto quedó de sobra demostrado por Dan Egerstad, un sueco experto en seguridad informática. Consciente de esa debilidad de Tor, creó un servidor de la red Tor y controló toda la información que salía por su servidor hacia su destino correspondiente en Internet, y de esta forma pudo conseguir importantes contraseñas de empresas, embajadas de todo el mundo y otras instituciones, ya que éstas usaban la red Tor sin cifrar la información primero. Efectivamente, Dan no pudo conocer la identidad del emisor, pero sí el contenido del mensaje y su destino.

Para conseguir el anonimato en internet y, además, la seguridad de que nadie accede a la información que se está enviando, es recomendable utilizar también algún sistema de cifrado como SSL. Además de esto, los desarrolladores del Tor recomiendan bloquear las cookies y los plugins Java, ya que pueden averiguar la ip del emisor. Otra buena opción es deshabilitar el registro (historial) de webs, para tener mayor seguridad en el ámbito de atacantes físicos, como por ejemplo alguna persona del mismo edificio.

 

Servicios ocultos

Aunque la característica más popular del Tor es anonimato de sus clientes, puede también proporcionar anonimato a los servidores. Usando la red del Tor, es posible a los servidores anfitrión ocultarse para que su localización y quienes los usen sean desconocidas.Estos servicios usan una dirección .onion en vez de otro TLD existente. A pesar de que no existe un seguimiento de estos sitios, algunos servidores proporcionan direcciones útiles.---------------------------------------En este video muestro como correr Tor dentro de BT4 y firefox.

[youtube vBFdAyEfLWo nolink]

Video: AQUI

viernes, 15 de abril de 2011

La Biblia del Footprinting (V de VII)

Compartir este artículo:
  

La Biblia del Footprinting (I de VII)La Biblia del Footprinting (II de VII)La Biblia del Footprinting (III de VII)La Biblia del Footprinting (IV de VII)La Biblia del Footprinting (V de VII)La Biblia del Footprinting (VI de VII)La Biblia del Footprinting (VII de VII)


 

Buenas a todos, hoy continuaremos la cadena de artículos sobre Footprinting hablando de los Fuzzers.

 

Paso 5. Fuzzeando por la vida

Como visteis en el artículo anterior, utilizamos algunos fuzzers para encontrar máquinas mediante peticiones automatizadas con Nslookup al DNS. Hoy seguiremos por una temática parecida, pero en vez de encontrar máquinas a través del DNS intentaremos encontrar páginas web NO ENLAZADAS en un sitio web.

Por ejemplo, puede ocurrir que en la misma carpeta de una máquina donde se encuentra la página web (www, …) haya otro tipo de archivos que el webmaster utilice para sus quehaceres, pero que no tenga enlazados en el sitio Web, porque no es algo que los usuarios deberían ver. Por ejemplo, puede utilizar el servidor para compartir fotos suyas con un amigo, lo típico que las cuelga en un Zip, y les pasa el enlace directo a sus amigos para que las descarguen, o por poner otro ejemplo, un script de mantenimiento, o un panel de control, que no protege con contraseña porque piensa que si no está enlazado al sitio web nadie lo encontrará, o los típicos phpinfo.php, paneles de contol de joomla (/administrator) de wordpress (/wp-admin), etc.

Por si no sabéis como es un fichero phpinfo.php, una búsqueda en Google que os puede ayudar para ver alguno sería:

inurl:phpinfo.php ext:php -site:php.net

Son bastante divertidos cuando los encuentras porque te dan bastante información del servidor Web:

 

 

Otro fichero interesante que podemos buscar es el phpmyadmin. Para buscarlos por Google podéis utilizar la siguiente búsqueda-truquito:

inurl:phpMyAdmin/Documentation ext:html

Y una vez que hayáis encontrado alguna página, quitáis de la URL la parte “/Documentation.html” y deberíais acceder al panel phpMyAdmin.

Ahora que ya sabemos qué tipo de ficheros nos interesaría encontrar vamos a fuzzear. A mí personalmente el fuzzer que más me gusta es Wfuzz. Es un programa de consola, fácil de integrar por tanto con otras aplicaciones, muy sencillo de utilizar y que nos permitirá hacer ataques por diccionario. De serie trae un gran número de diccionarios con palabras, posibles ficheros, inyecciones, etc. Anubis lleva una automatización de este fuzzer =), al que he añadido de hecho un nuevo diccionario que echaba en falta, con palabras “freaks”.

Para acceder a Wfuzz desde Anubis, debéis ir a la pestaña “Fuzzing http”:

 

 

Pulsaremos en “Choose dictionary” para escoger un diccionario. Por ejemplo si vais a auditar un dominio .cat, pues puede ser interesante realizar un fuzzing con el diccionario “catala”:

 

 

Ahora marcaremos "Recursion level" si queremos que cada vez que encuentre una nueva ruta vuelva a realizar un escaneo entero sobre ella. Podremos marcarle el número de recursiones que queremos realizar. Pero tened en cuenta que a más recursiones, más tiempo tardará en finalizar:

 

 

Y pulsáis el botón “Fuzzing scan”:

 

 

Como veis han aparecido algunos ficheros que empiezan por “a” y por “b” ya que hemos realizado un escaneo con el diccionario big.txt. En la captura se ven pocos ficheros porque he parado el fuzzer.

 

¿Y vosotros que otros fuzzers utilizáis?

 

Saludos!

 

jueves, 14 de abril de 2011

Gruyere

Compartir este artículo:
 

Hola a todos, viajando el otro día por las curiosidades de Google Lab me topé con una aplicación que me resultó bastante curiosa, su nombre Gruyere, efectivamente como el queso.

Ambos comparten un denominador común, los agujeros. En el caso de esta aplicación, agujeros de seguridad puestos a propósito por sus creadores, para que mediante una serie de ejercicios podamos ir comprobando nuestras habilidades como hackers. Se puede practicar desde el cross-site scripting, cross-site request forgery, information disclosure, denial of service (DoS) y ejecución de código remoto. En fin, toda una joya.

Hay que decir que Gruyere está escrito en python, con lo que cualquier conocimiento sobre este tipo de lenguaje de programación no nos vendrá nada mal.

Este es un pequeño resumen del código de la aplicación:

  • gruyere.py es el principal servidor web Gruyere.
  • data.py almacena los datos por defecto en la base de datos. Hay una cuenta de administrador y dos usuarios por defecto.
  • gtl.py es el lenguaje de plantilla de Gruyere.
  • sanitize.py es el módulo de Gruyere utilizados para desinfectar HTML para proteger la aplicación de los agujeros de seguridad.
  • resources/... contiene todos los archivos de plantillas, imágenes, CSS, etc

Alguna de las características especiales y tecnologías que se suman al ataque y que debemos aprovechar son:

  • HTML en Fragmentos: Los usuarios pueden incluir un subconjunto limitado de HTML en sus fragmentos.
  • Carga de archivos: Los usuarios pueden subir archivos al servidor, por ejemplo, para incluir imágenes en sus fragmentos.
  • Web de administración: Los administradores de sistemas podemos controlar el sistema usando una interfaz web.
  • Nuevas cuentas: Los usuarios pueden crear sus propias cuentas.
  • Gruyere lenguaje de plantilla (GTL): es un nuevo lenguaje que hace que escribir páginas web fáciles como las plantillas se conectan directamente a la base de datos. La documentación para el GTL se puede encontrar en gruyere/gtl.py.
  • AJAX: Gruyere utiliza AJAX para cargar la aplicación en el hogar y fragmentos de la página. Debemos pasar por alto las partes AJAX de Gruyere, excepto para los desafíos que específicamente dice que se concentre en AJAX.
  • En una aplicación real, volver a cargar la página probablemente sucederá de forma automática, pero en Gruyere lo hemos hecho manual, para que podamos tener el completo control mientras se trabaja con ella. Al hacer clic en el enlace de actualización, Gruyere obtiene feed.gtl que contiene datos de actualización de la página actual y luego del lado del script de cliente utiliza el navegador API DOM (Document Object Model) para insertar los fragmentos de nuevo en la página. Desde AJAX se ejecuta el código en el cliente, este script es visible para los atacantes que no tienen acceso a su código fuente.

A lo largo de sus páginas podemos encontrarnos con varios tipos de retos, divididos en 3 tipos, dependiendo de la técnica utilizada:

  • Retos que pueden ser resueltos sólo mediante el uso de técnicas de caja negra.
  • Desafíos que requieren que nos fijamos en el código fuente de Gruyere.
  • Desafíos que requieren algún conocimiento específico de Gruyere que se dará en la primera pista.

En la barra lateral derecha se nos indicará los distintos apartados y desafíos con los que podremos encontrarnos

 

Tabla de contenidos

  • Beat the hackers
  • Gruyere
  • Set-up
  • Using Gruyere
  • Cross-Site Scripting (XSS)
  • Client-State Manipulation
  • Cross-Site Request Forgery (XSRF)
  • Cross Site Script Inclusion (XSSI)
  • Path Traversal
  • Denial of Service
  • Code Execution
  • Configuration Vulnerabilities
  • AJAX vulnerabilities
  • Other Vulnerabilities
  • After the Codelab
  •  

    Bueno chicos, espero que os haya gustado esta pequeña presentación de Gruyere, que como podemos ver tiene un fin eminentemente práctico y a todas luces educativo, compartiendo esos aspectos con la página de www.flu-project.com

    Los creadores de este codelab son Leban Bruce, Bendre Mugdha, y Tabriz Parisa:

    http://google-gruyere.appspot.com

     

    Un saludo, streaming10

    miércoles, 13 de abril de 2011

    Gerix Wifi en 5 clicks + iPad Sim

    Compartir este artículo:

    Hoy Zerial Killer trae 2 noticias interesantes:

    Navegando por la red me encontre un simulador de iPad creado con HTML, CSS, y Javascript. Muy interesante, incluido el codigo fuente para jugar con el.EXCELENTE !!!!!! =)

    iPad

    ==========================================

    En este video demuestro la facilidad de crackear redes wifi con encriptación WEP en menos de 3 minutos y en menos de 5 clicks.La mera neta esta herramienta si es para huevones no dudo que sea excelente porque de que está con madres si lo está, lo que pasa es que en lo personal quita toda la diversión y ademàs cualquier persona sin nada de conocimientos al respecto lo puede realizar, en lo personal prefiero el mètodo clàsico como dirìa a capela.

    [youtube o1_fs_n5l3s nolink]

    martes, 12 de abril de 2011

    Buenas prácticas para usuarios novatos/medios (Parte IV)

    Compartir este artículo:

    Hoy se publica la 4ª entrega de la serie de buenas prácticas para usuarios novatos/medios de Flu Project. El tema de hoy es la utilización de herramientas como firewalls para monitorizar las conexiones de red y que ninguna aplicación maligna pueda comunicar con el exterior, pero y ¿si esa herramienta hiciera como Flu que se comunica por puerto 80 en tráfico saliente? entonces la cosa se complica un poco más... si cerramos el puerto 80 no tendremos comunicación HTTP... pues IDS? si sería una solución. Pero lo que aquí nos concierne son herramientas para que los usuarios menos experimentados puedan estar medianamente seguros.

    ‘Capar por capar no es bueno y puede ser contraproducente’. Bien, pues la utilización de un firewall es necesaria hoy en día debido a la multitud de conexiones que tenemos en una máquina. Por lo que es muy recomendable su utilización. Este tipo de Software debe ser correctamente configurado, pero para un hogar realmente puede ser sencillo su configuración o incluso puede implementarse alguna configuración por defecto. Aunque lo ideal es que el usuario pueda gestionar el uso de sus puertos. Para Linux, se dispone de ipTables, que puede ser un verdadero infierno, pero gracias a lainterfaz gráfica Firestarter hace el trabajo mucho más sencillo.

    En Windows se dispone de gran variedad de Software, desde el mítico ZoneAlarm, hasta el propio de Windows (no funciona mal, pero seguro que todos los malware saben como desactivarlo con los privilegios adecuados), firewalls de Panda, BitDefender, Kaspersky, etc. La estrategia sería elegir uno en concreto, y configurarle. Hasta aquí todo es básico, otra opción, ante el caso de ‘maldición se me ha colado malware…’ tendríamos que saber manejarotro firewall y tenerlo en recámara, pero antes eliminar ese malware. Para eliminar malware usad antivirus o la técnica ‘tozuda’ hay que encontrar el proceso… pero ¿y si se inyecta enotros procesos? Uff… la cosa se complica…

    Seguridad en redes sociales

    En la actualidad, las redes sociales son muy populares y los usuarios las utilizan masivamente;estas características las transforman en importantes focos de propagación de malware. Por talmotivo, se torna necesario tener en cuenta y aplicar las siguientes medidas preventivas:

    • Intentar no publicar información sensible y confidencial, debido a que personas extrañas pueden aprovechar esta información con fines maliciosos.
    • También es recomendable evitar la publicación de fotografías propias y de familiares. Las fotografías pueden ser utilizadas para complementar actos delictivos, incluso fuera del ámbito informático.
    • Mantener la privacidad del perfil; es decir, configurar el perfil para que no sea público.
    • No responder las solicitudes de desconocidos, ya que pueden contener códigos maliciosos o pueden formar parte de actividades delictivas.
    • Ignorar los mensajes que ofrecen material pornográfico, pues usualmente a través de ellos suele canalizarse la propagación de malware, además de otras acciones ofensivas desde elpunto de vista ético y moral.
    • No abrir contenidos con spam a través de este medio. De esta manera se evita formar parte del ciclo de vida del spam a través de este canal.
    • Cambiar periódicamente la contraseña para evitar que la misma sea descubierta fácilmente.
    • Antes de aceptar contactos espontáneos, es recomendable verificar su existencia y que realmente provienen de quien dice ser.
    Hasta aquí llegamos con la 4ª entrega de la serie de buenas prácticas, queda la última entrega dónde se tratarán temas como seguridad en redes p2p y seguridad con los clientes de mensajería. ¡Esperamos que os sean útiles estos consejos! ==================================================- Buenas prácticas para usuarios novatos/medios (Parte I)Buenas prácticas para usuarios novatos/medios (Parte II)Buenas prácticas para usuarios novatos/medios (Parte III)- Buenas prácticas para usuarios novatos/medios (Parte IV)==================================================

    lunes, 11 de abril de 2011

    La Biblia del Footprinting (IV de VII)

    Compartir este artículo:
      

    La Biblia del Footprinting (I de VII)La Biblia del Footprinting (II de VII)La Biblia del Footprinting (III de VII)La Biblia del Footprinting (IV de VII)La Biblia del Footprinting (V de VII)La Biblia del Footprinting (VI de VII)La Biblia del Footprinting (VII de VII)


     

    Buenas a todos! Hoy arrancamos el cuarto post de la cadena de artículos sobre Footprinting donde hablaremos de una de las temáticas que a mí personalmente más me gustan en esta fase de los Pentest, los DNS, en especial por la cantidad de información que puede llegar a obtenerse.

     

    Paso 4. Obtener información de los DNS

    Para obtener información de los DNS vamos a utilizar cuatro técnicas diferentes:

    • Forzar transferencias de zona
    • Resolución inversa (a partir de una IP) mediante la consulta a los registros PTR
    • Ataques de fuerza bruta mediante fuzzers o por diccionario
    • Ataques de fuerza bruta mediante identificación de relaciones

    Todos ellos los haremos a la vez con la herramienta Anubis y con la herramienta Nslookup, que tenéis disponible para Windows y Linux. Nosotros utilizaremos la versión para Windows, que cambian los comandos mínimamente con respecto a la versión de Linux.

    ¡Vamos allá!

     

    • Forzar transferencias de zona

    Hace unas semanas hablamos de este tema precisamente en el blog por lo que me basaré en los contenidos ya abordados para explicarla.

    Para comenzar os hemos dibujado un diagrama muy ilustrativo sobre cómo funcionan las zonas, en él os mostramos nuestro dominio flu-project.com, con su nombre de dominio “flu-project” dentro de la zona principal. Por otro lado tenemos tres subdominios “blog”, “www” y “ftp” (hipotéticos), estos subdominios pueden configurarse dentro de la zona principal, o en otra separada, como por ejemplo el caso del subdominio “ftp”, que estaría administrado por la zona “prueba”.

     

    Para que una zona nueva delegada de la principal, por ejemplo la zona prueba, funcione, es necesario configurar algunos recursos, para que tenga información sobre la delegación a los otros servidores de DNS autorizados. Es de extrema importancia que las zonas estén disponibles desde varios servidores de DNS por temas de disponibilidad.Para que otros servidores además del principal puedan alojar zonas, se crearon las transferencias de zona, que se encargan de hacer la replicación de todas ellas y de sincronizarlas.Ahora bien, ¿cuándo se realizan estas transferencias de zona? Tenemos cuatro posibilidades:

    1. La primera de ellas es que se instale o inicie un nuevo servidor DNS y se configure en una zona existente.
    2. La segunda, cuando finaliza el plazo de actualización de una zona.
    3. La tercera, cuando se produce algún cambio en una zona, y es necesario actualizar para replicar los cambios.
    4. Y la última, cuando manualmente se solicita una transferencia de zona.

    Bien, una vez entendido bien el concepto de zona, vamos a llevarlo a la práctica. Vamos a abrir una consola de comandos de Windows y ejecutaremos el programa “nslookup”. Nslookup es una aplicación de línea de comandos que permite probar y solucionar problemas en los servidores DNS. Nosotros lo utilizaremos para activar una transferencia de zona de manera manual.Vamos a iniciar Nslookup en modo interactivo, para ello basta con abrir un CMD y escribir el comando “nslookup”:

     

    Ahora vamos utilizar la instrucción SET TYPE para consultar datos de tipo DNS (NS), para ver otros tipos de consultas podéis utilizar la ayuda poniendo una interrogación ?:

     

     

    Ahora buscaremos los servidores de DNS de nuestro objetivo:

     

    Ya sabemos los servidores DNS de ese dominio, ahora procederemos a ponernos como uno de ellos:

     

    Ahora ya nos queda tan solo para realizar la transferencia de zona ejecutar el comando LS contra el dominio que queramos:Y disfrutar de todo el listado de máquinas que contienen las zonas:

     

    La transferencia de zona la hemos realizado desde fuera de la red interna debido a una mala configuración por parte de la organización. Esto no debería ocurrir, por motivos de seguridad obvios, y es que cualquiera desde su casa puede hacerse con todas las IP y dominios internos de una organización.Para que estuviese bien configurado, nos debería haber respondido al comando LS con algo como lo siguiente:

     

     

    Tenéis más información sobre cómo realizar la configuración correcta aquí.

    Para facilitar la tarea, en Anubis he incorporado un módulo que es capaz de realizar una transferencia de zona con un solo clic:

     

     

    • Resolución inversa (a partir de una IP) mediante la consulta a los registros PTR

    Lo más habitual es utilizar los DNS para obtener una IP, pero habrá ocasiones en la que nos interese lo contrario, dada una IP averiguar el DNS. A este hecho se le conoce como resolución inversa, y es utilizado normalmente para comprobar la identidad de un cliente.

    Existe un dominio, el in-addr.arpa donde se encuentran las direcciones IP de todos los sistemas pero colocados de manera invertida, es decir, para la IP 193.X.Y.Z, le correspondería el nombre Z.Y.X.193.in-addr.arpa, y esto queda definido en los registros PTR, de donde intentaremos obtener la información.

    La idea es hacer lo siguiente, sabemos una dirección IP, que hemos encontrado mediante alguna de las búsquedas que aprendimos a realizar en los artículos 1 y 2 de esta cadena, pero no sabemos el nombre del dominio DNS, por tanto buscaríamos la query:

     

    Z.Y.X.193.in-addr.arpa -> pericoeldelospalotes.com

     

    Y verificaríamos que:

     

    pericoeldelospalotes.com -> 193.X.Y.Z

     

    Para ello volveremos a utilizar la herramienta Nslookup. Configuraremos el DNS interno de la organización y configuramos el type para preguntar por los registros PTR:

     

     

    Y realizamos las búsquedas con algunas IP que habíamos encontrado:

     

     

    Como veis una no se ha resuelto, por lo que no existe, pero la otra sí que ha tenido éxito. Imaginaros el caso de organizaciones grandes, en las que tengáis que hacer este proceso para unas 1000 IPs… ¿qué hartura no? Para este caso he implementado un módulo en Anubis que permite hacer la resolución inversa de DNS por rangos de IP de manera automatizada, simplemente habiendo encontrado previamente una dirección IP:

     

     

     

    • Ataques de fuerza bruta mediante fuzzers o por diccionario

    Volveremos a configurar el DNS interno de la organización, pero ahora nos configuraremos en vez del tipo PTR el tipo A, con SET TYPE=A, para preguntar directamente por la existencia de máquinas. No sabemos el nombre de ninguna máquina, por lo que buscamos por ejemplo los subdominios a.dominioVictima.es e ia.dominioVictima.es:

     

     

    Como veis, una de ellas sí existe.

    Anubis lleva incorporado un módulo de fuerza bruta que nos permitirá hacer fuerza bruta de esta manera contra el DNS, bien preguntando por palabras que irá generando mediante permutaciones de símbolos, letras y números, o bien preguntando por las palabras contenidas en un diccionario:

     

     

     

    • Ataques de fuerza bruta mediante identificación de relaciones

    Como habéis visto, con el ataque anterior hemos obtenido algunas máquinas con nombres curiosos y relacionados entre sí, como por ejemplo nombres de planetas y dioses.

    Ahora vamos a seleccionar por ejemplo neptuno, y vamos a utilizar la funcionalidad Google Sets, que nos permite encontrar listados de palabras relacionadas con una determinada palabra (por ejemplo si buscamos por homer, nos devolverá resultados como bart, lisa, magie, nelson, moe, etc.):

     

    Como vemos, Google Sets ha encontrado varios términos relacionados con la palabra “neptuno”:

    Ahora comprobaremos si existen subdominios con esos nombres:

     

    Y… premio, tenemos un listado de subdominios reales.

     

     

    Eso es todo por hoy, espero que os esté gustando la cadena. Nos vemos en el post 5.

    Saludos!