30 sept 2012

Informe Flu - 91

 Comenzamos con el resumen de la semana:Lunes 24 de SeptiembreMartes 25 de Septiembre
  • ¿Quieres aprender cómo funciona el protocolo WEP? ¡No te pierdas este artículo!.
Miércoles 26 de SeptiembreJueves 27 de Septiembre

Viernes 28 de Septiembre

  • Ya llegó, ya está aquí, la No cON Name 2012! Si quieres ver todo lo que vas a poder disfrutar este año, no te pierdas este post
Sábado 29 de Septiembre

29 sept 2012

Flu a lo jabalí - ¿Qué es Exploit?

Esta semana en Seguridad a lo Jabalí me quedo con el siguiente artículo, ¿Qué es exploit? Es de esos artículos que merecen la pena leer, porque ayudan a entender el funcionamiento y ciclo de vida de un exploit. Esos grandes desconocidos, que aparentemente son muy conocidos y a la vez tan desconocidos en su interior, composición y funcionamiento. Los chicos de Seguridad a lo jabalí han explicado de una manera muy completa que son estos códigos tan temidos. También me quedo con el artículo sobre el libro de Windows Server 2012, gracias por la adquisición chicos, pero por su contenido técnico me quedo con el artículo del exploit.

Flu a lo jabalí presenta... ¿Qué es Exploit?

Una de los objetivos de este blog es que sea comprensible para la mayor parte de los usuarios de la red, hacía tiempo que no explicábamos "A lo Jabalí" algún termino de seguridad informática. Últimamente se escucha mucho los términos exploit, vulnerabilidad, permite ejecutar código y mucha gente nos está preguntando ¿si esto es seguro? ¿Aquello se puede instalar? ¿Si hay una persona controlando mí equipo? ¿y puede encender mi cámara?
-La respuesta es ¡Sí!
Vamos a ver si podemos resolver una serie de dudas sobre todas estas cuestiones….
El software hoy en día es muy complejo, muchas personas trabajan en su desarrollo y cada una o mejor dicho, cada equipo de muchas profesionales crea una pequeña parte del programa, estos compañeros que la mayoría son muy buenos en su trabajo (que el software realice su función de forma rápida y preferiblemente agradable gráficamente) se enfrentan con varios problemas fundamentales:
  • Los tiempos de producción son muy ajustados en un mercado muy competitivo.
  • No han recibido formación en seguridad informática y desarrollo seguro.
  • Errores inherentes a la programación y el ensamblado de millones de líneas de código.
Esto deriva en una consecuencia lógica, el software, cualquier programa contiene errores, ahora hay que averiguar ¿Qué sucede si se produce ese error?
Entra en juego el Hacker, un investigador de seguridad informática que va a verificar si puede forzar ese error, en muchas ocasiones  implementando software y aprovechando ese fallo para que la maquina realice otra función diferente. Normalmente se desarrolla una prueba de concepto en la que por ejemplo al cargar el navegador una página ejecuta un complemento o permite que el servidor ejecute software en la pc víctima (muchas veces la calculadora).
A partir de ese momento la empresa (si es responsable, que no siempre ocurre) intentara solucionar la vulnerabilidad y publicar una actualización de seguridad para ese software, mientras tanto los chicos malos intentaran desarrollar un software que aprovechando ese error permita infectar las maquinas del mayor número de usuarios.Ese software es el Exploit.
Hay diferentes tipos de error en el software, algunos no permiten ejecutar código simplemente bloquean o saturan el equipo lo que provoca la famosa Denegación de Servicio (Eso puede significar la perdida de mucho dinero en ciertas empresas).
Otros sí que permiten ejecutar código en el ordenador, a veces con privilegios mínimos, aunque esto no los hace menos peligrosos pues se combinan con otros errores para realizar un proceso que se denomina Escalada de Privilegios, es decir ejecutar con cuentas de Sistema o Administrador y los derechos asociados para realizar más funciones.
Debido a todos estos factores es fundamental que todo el software de la computadora este actualizado, utilizar una cuenta de usuario con pocos privilegios, si es Windows mantener activo el Control de Cuentas de Usuario(UAC) y sobre todo el Sentido Común, no hagas click en cualquier enlace, tomate un tiempo para aceptar esas ventanas emergentes que te piden permiso para instalar complementos y otro tipo de software. 
Seguridad a lo Jabalí para Todos!!

28 sept 2012

No cON Name 2012, casi lista!

Uno de los eventos mas destacados en seguridad en España está ya casi listo. Se trata de la No cON Name, aquí ya he escrito varias veces sobre el congreso, de echo tuve la suerte de estar en la organización :D .

Voy a tratar de resumir aquí lo más importante hasta ahora, hay fechas ya “caducadas” como presentar el CFP

Fechas importantes:

15 de Septiembre-Último día para presentar el Call for papers

31 de Octubre-Formación No cON Name

 PONENTE
 HORARIO TÍTULO
Sebastián Guerrero9:00h a 15:20hDesmitificando Android. [PDF]
Juan Garrido [Silverhack]9:30h a 20:00hAnálisis de Malware para administradores de sistema. [PDF]

1 de Noviembre-Formación No cON Name

 PONENTE
 HORARIO TÍTULO
Sergio González9:30h a 20:00h(in)Seguridad en redes inalámbricas. [PDF]
Lorenzo Martínez9:30h a 20:00hBuenas prácticas en entornos corporativos. [PDF]

Recordad que con la formación está la entrada del congreso incluída.

Queréis ganaros una entrada gratuíta al congreso?

Si es así, deberéis de hacer lo que comentan en el apartado del sorteo

Sorteo entrada No cON Name

Como se llega hasta el congreso?

Recordad que para poder llegar hasta el Cosmo Caixa en Barcelona existen distintas alternativas, están todas ellas explicadas en la página web.

¿Como llegar?

Precio de las entradas,

Cuanto antes compres tu entrada de la No cON Name, más barata te saldrá,

En concreto el desglose de fechas para el congreso:

A partir del 15/09/2012 la entrada cuesta 40€

A partir del 15/10/2012 la entrada cuesta 70€

Y a partir del 1/11/2012 la entrada cuesta 130€

Por otro lado os recomiendo pasaros por el apartado de Asociación, para que podáis ver la filosofía del congreso.

27 sept 2012

The Social Engineering Toolkit 4.0

Comparto Excelente Video sobre la salida de la nueva versión de SET ( SOCIAL-ENGINEER   TOOLKIT ) de David kennedy.

Description: This video is all about Social-Engineering Toolkit 4.0. David Kennedy has done lots of changes in this version and this version coming with 50+ new features and he fixed lots of bugs, and also he shows us a demo on the PyInjector Java Applet Attack.New Features are : -Encrypted Payload.Obfuscation Everywhere.PyInjectorConfigurable ShellCod PayloadsDell DRAC Attack VectorNew Tennsy PayloadsRandomized Payload DroppersRewritten Java AppletRewritten Web ClonerImproved ReapeaterIE Zero Day etc …Disclaimer: We are a infosec video aggregator and this video is linked from an external website. The original author may be different from the user re-posting/linking it here. Please do not assume the authors to be same without verifying.Original Source: http://vimeo.com/49653218http://www.securitytube.net/

Análisis de malware en un entorno controlado, peticiones

En el análisis de malware conviene muchas veces poder controlar las peticiones que vaya a realizar la muestra. Imaginaros que el malware en cuestión se trata de un troyano bancario, que lo que hace, es bajarse una configuración que, por ejemplo, afecta a una entidad bancaria en concreto.

Si lo que queremos es conseguir el mismo efecto y tenemos la configuración, pero el panel de control del malware se encuentra caído, no podremos analizar correctamente la muestra ya que el troyano no podrá bajarse la configuración. Es por eso que existen métodos para poder “engañar” a la muestra y servirles nosotros mismos la configuración. Para ello deberemos identificar primero que peticiones realiza la muestra para poder simularlas. Para recoger estas peticiones podemos hacer que una de nuestras máquinas internas pueda actuar como DNS resolver, para poder ver que peticiones realizan las máquinas o con un sniffer como Wireshark capturar dichas peticiones.

Con Wireshark se pueden capturar las peticiones o bien se puede configurar una máquina que actúe como DNS resolver y capturar dichas peticiones:

remnux@remnux: ~ $ sudo fakednsUsing default IP address in responses. To over-write, use a command line optionpyminifakeDNS:: dom.query. 60 IN A 192.168.1.1Respuesta: XXXXX.cu.cc. -> 192.168.1.1Respuesta: XXXXX.cu.cc. -> 192.168.1.1Respuesta: radXXX.info. -> 192.168.1.1Respuesta: XXXXX.cu.cc. -> 192.168.1.1Respuesta: radXXX.info. -> 192.168.1.1Respuesta: www.microsoft.com. -> 192.168.1.1Respuesta: XXXXX.cu.cc. -> 192.168.1.1Respuesta: XXXX.cu.cc. -> 192.168.1.1Respuesta: XXXX.cu.cc. -> 192.168.1.1Respuesta: radXXX.info. -> 192.168.1.1Respuesta: www.microsoft.com. -> 192.168.1.1Respuesta: java.sun.com. -> 192.168.1.1Respuesta: raXXX.info. -> 192.168.1.1Respuesta: www.microsoft.com. -> 192.168.1.1

Usando un fake DNS también capturamos las peticiones.

Ahora que ya tenemos los servidores a los que la muestra se va a conectar lo que tendremos que hacer es servirles nosotros mismos la configuración. Igual podemos llegar a pensar que es mu complejo llegar a saber hacer esto, pero ya veréis que es mas sencillo de lo que podéis llegar a pensar.

26 sept 2012

El escándalo de Facebook: ¿Son realmente mensajes privados?

Estos días ha saltado a la palestra el supuesto fallo de seguridad de Facebook a través del cual, se podía acceder a los mensajes privados de los usuarios. Con grandes titulares, pero con pocas o nulas explicaciones técnicas (ni siquiera una mísera captura de pantalla como ejemplo/demostración) los medios de comunicación han magnificado un hecho que no es tal. Cuando en todos los medios se supera un porcentaje determinado de la presencia de la palabra “supuesto”, “pudieran”, “quizá” o cuando en el editor pone “Tras la compra deInstagram, un servicio de retoque de fotografía…” demostrando que sabe de esto lo mismo que yo del cultivo de pimientos en la huerta murciana, hay que mantener una prudencia necesaria para que con cunda el pánico (deberíais haber visto mi whatsapp y mi correo esta mañana).

En cuanto al fallo en si mismo, por lo que he estado viendo en mi propio Facebook y en el de algunos amigos que me han hecho el favor de mirar en el suyo, lo que ha pasado es que en la odiada adorada biografía, aparecen los mensajes que se denominaban “De muro a muro”, y que algunos usuarios los tomaban por mensajes privados sin ser nada de eso. Si los quieres ocultar, solo tienes que ir a la biografía, señalar un año y ocultar de la misma la entrada “Amigos”:

muro a muro facebook

Entradas con secretos malignos en facebook

Esto no exonera a Facebook de parte de culpa al mantener una política deseguridad tan angosta de manejar y unos términos tan ambiguos, que puede llegar a confundir a los usuarios. Las políticas de seguridad, y no lo digo yo, ya se contemplaba en el Orange Book, deben ser sencillas de comprender y fáciles de aplicar.

Un Saludo,

25 sept 2012

Protocolo WEP: Funcionamiento

En este artículo se tratará uno de los protocolos más castigados por la historia, el protocolo de sistemas Wireless WEP. WEP significa Wired Equivalent Privacy, y es un protocolo que no ofrece ningún tipo de seguridad en una red inalámbrica. Realmente, decir que no ofrece ninguna seguridad es algo irreal, ofrece seguridad, pero lo que ofrece es obsoleto y se conocen diversas maneras de descifrar el contenido de las tramas que van cifradas con WEP.

Últimamente me ha tocado pasar horas con WEP y WPA, y terminar de entender su funcionamiento a un nivel más o menos bajo. En este caso, toca destripar a WEP, sus conceptos y su funcionamiento. Entender como funcionan realmente los protocolos es una de las cosas que más interesante me resulta, quién sabe quizá en un futuro toque escribir de ello de manera más formal... Bien, ¿Preparados? Comenzamos...

Hay que diferenciar entre la autenticación, confidencialidad e integridad. El protocolo WEP no ofrece una gran capa de seguridad en ninguna de estas 3 fases. En primer lugar veremos la autenticación, en la cual se distinguen dos métodos:

  • Open System
  • Shared Key

Open System deja autenticarse a todos los clientes en el punto de acceso, mientras que el método de autenticación Shared Key requiere que el cliente envíe un mensaje solicitando conexión, el punto de acceso contesta con un desafío, el cual debe ser cifrado por el cliente y reenvíado al punto de acceso, si éste puede descifrarlo la autenticación es válida.

La fase de confidencialidad dispone de los siguientes elementos:

  • RC4. Es el algoritmo utilizado para generar el keystream, el cual se define más adelante.
  • IV. Vector de inicialización, son la parte dinámica de los keystream. Cada trama lleva un IV distinto, siempre que se pueda, ya que son generados aleatoriamente. Cuidado, el IV va en la parte NO cifrada de la trama WEP.
  • RC4 es simétrico, con la misma clave que se cifra se puede descifrar.
  • La creación del keystream dispone de 2 fases: KSA y PRGA.

En la imagen se puede visualizar el proceso que se lleva a cabo para formar la trama WEP que se enviará, ya sea del AP al cliente o del cliente al AP. pero comencemos por partes, La shared key es estática, es la típica clave que configura el dueño de la red en el punto de acceso, o en casa en los router WiFi, la típica de 5 caracteres o 10 hexadecimales, o la de 13 caracteres o 26 hexadecimales... Los IV, como se ha dicho anteriormente, van cambiando aleatoriamente en cada trama enviada. La concatenación del IV y la clave estática es pasada al algoritmo RC4 como entrada, la salida de este algoritmo produce el KEYSTREAM. Este KEYSTREAM es realmente el que generará el cifrado mediante la operación lógica XOR. El resultado de la operación lógica XOR entre el KEYSTREAM y el texto plano da como resultado la parte cifrada de la trama WEP. Hay que hacer un inciso, ya que la integridad se calcula sobre el texto plano, mediante el ICV como se puede visualizar en la imagen.

La operación XOR es una operación cuya inversa genera el resultado inicial, ¿Cómo? explicamos a continuación, pero antes recordemos su tabla de verdad:

Solo cuando las 2 entradas son iguales, el resultado es 0, si no el resultado de la operación es 1. Por lo que se puede entender que A XOR B XOR B = A, ¿Qué se quiere decir con esto? Bien, cuando el cliente genera la parte cifrada de la trama se utiliza un KEYSTREAM XOR texto, obteniendo un CIFRADO.

Cuandoo el AP reciba esa trama si le aplica el mismo KEYSTREAM XOR CIFRADO obtendrá el texto, en otras palabras texto XOR KEYSTREAM XOR KEYSTREAM = texto.

El Keystream se crea mediante el algoritmo RC4, el cual recibe como entrada un seed o semilla, que es el IV, y la clave estática. En la siguiente imagen se puede visualizar como queda formado la trama WEP.

¿Qué problemas tiene WEP?

Por el uso de la clave estática se puede realizar ataques de observación y gracias a la estadística conseguir sacar el patrón de la clave, y de este modo conseguir la clave estática.

El IV se envia siempre en claro, por lo que son captados por cualquiera, además de los 24 bits de los que están compuestos que es un valor demasiado corto. Recolectando un número alto de IVs se puede, mediante ataque estadístico descifrar la clave. La autenticación se realiza del AP al cliente, pero no del cliente al AP, por lo que el cliente no sabe realmente si se conecta al AP que dice ser. Por esta razón existen los Rogue AP, o MITM a través de un AP.

24 sept 2012

peframe análisis portable de malware

Cuando nos dedicamos al análisis de malware es muy bueno poder tener una vista previa del binario a analizar, de esta manera avanzaremos en el análisis del mismo.

Para que podáis ver la salida de un binario en concreto he realizado el análisis de un bot de un troyano Citadel.

seifreed@darkmac:~/tools/malware/peframe:python peframe.py –auto citadel.exeFile Name: citadel.exeFile Size: 214528 byteCompile Time: 2012-06-15 21:29:40DLL: FalseSections: 3MD5 hash: 230f7b7bb0640136ccdd932e42842378SHA-1 hash: 8a1a9ea594f148234f3884c574ababd92270b298Packer: NoneAnti Debug: YesFile and URL:FILE: update.exeFILE: gdiplus.dllFILE: ole32.dllFILE: gdi32.dllFILE: .swfFILE: facebook.comURL: http://www.google.com/webhpFILE: userenv.dllFILE: urlmon.dllFILE: cabinet.dllURL: http://%02x%02x%02x%02x%02x%02x%02x%02x.com/%02x%02x%02x%02x/%02x%02x%02x%02x.phpFILE: KERNEL32.dllFILE: USER32.dllFILE: ADVAPI32.dllFILE: SHLWAPI.dllFILE: SHELL32.dllFILE: Secur32.dllFILE: ole32.dllFILE: GDI32.dllFILE: WS2_32.dllFILE: CRYPT32.dllFILE: WININET.dllFILE: OLEAUT32.dllFILE: NETAPI32.dllFILE: VERSION.dllFILE: WINMM.dllSuspicious API Functions:Func. Name: VirtualAllocFunc. Name: GetModuleHandleAFunc. Name: GetThreadContextFunc. Name: GetTempFileNameWFunc. Name: FindFirstFileWFunc. Name: ReadProcessMemoryFunc. Name: GetTempPathWFunc. Name: GetFileSizeExFunc. Name: VirtualProtectExFunc. Name: VirtualAllocExFunc. Name: VirtualAllocExFunc. Name: FindNextFileWFunc. Name: VirtualProtectFunc. Name: GetModuleHandleWFunc. Name: GetTickCountFunc. Name: CreateFileMappingWFunc. Name: CreateFileMappingWFunc. Name: DeleteFileWFunc. Name: TerminateProcessFunc. Name: WriteProcessMemoryFunc. Name: GetFileAttributesExWFunc. Name: GetModuleFileNameWFunc. Name: GetVersionExWFunc. Name: GetComputerNameWFunc. Name: GetCommandLineWFunc. Name: MapViewOfFileFunc. Name: CreateThreadFunc. Name: LoadLibraryAFunc. Name: LoadLibraryAFunc. Name: CreateToolhelp32SnapshotFunc. Name: Process32NextWFunc. Name: Process32FirstWFunc. Name: OpenProcessFunc. Name: CreateRemoteThreadFunc. Name: GetProcAddressFunc. Name: CreateFileWFunc. Name: GetFileAttributesWFunc. Name: SleepFunc. Name: LoadLibraryWFunc. Name: CreateDirectoryWFunc. Name: ExitThreadFunc. Name: WriteFileFunc. Name: CreateProcessWFunc. Name: SetKeyboardStateFunc. Name: GetUpdateRgnFunc. Name: GetUpdateRectFunc. Name: GetWindowThreadProcessIdFunc. Name: RegCreateKeyWFunc. Name: RegEnumKeyWFunc. Name: RegCloseKeyFunc. Name: RegDeleteValueWFunc. Name: CreateProcessAsUserAFunc. Name: CreateProcessAsUserWFunc. Name: RegOpenKeyExWFunc. Name: RegEnumKeyExWFunc. Name: OpenProcessTokenFunc. Name: RegCreateKeyExWFunc. Name: ShellExecuteWFunc. Name: WSASendFunc. Name: CertDeleteCertificateFromStoreFunc. Name: InternetOpenAFunc. Name: InternetCloseHandleFunc. Name: InternetQueryDataAvailableFunc. Name: InternetQueryDataAvailableFunc. Name: InternetQueryOptionWFunc. Name: InternetQueryOptionAFunc. Name: GetUrlCacheEntryInfoWFunc. Name: HttpSendRequestAFunc. Name: HttpSendRequestWFunc. Name: InternetReadFileFunc. Name: InternetReadFileExAFunc. Name: InternetCrackUrlAFunc. Name: HttpSendRequestExWFunc. Name: HttpQueryInfoAFunc. Name: InternetConnectAFunc. Name: HttpSendRequestExASuspicious API Anti-Debug:Anti Debug: TerminateProcessAnti Debug: Process32NextWAnti Debug: Process32FirstWAnti Debug: GetWindowThreadProcessIdSuspicious Sections:

La herramienta funciona a las mil maravillas, como elementos a destacar:

El binario posee técnicas anti-debug, además ha sido capaz de extraer 3 URL harcodeadas en el binario

URL: http://www.google.com/webhpURL: http://%02x%02x%02x%02x%02x%02x%02x%02x.com/%02x%02x%02x%02x/%02x%02x%02x%02x.php

Citadel cuando detecta que se está ejecutando en un entorno controlado arroja datos falsos. Entre ellos la URL que hay.

23 sept 2012

Informe Flu - 90

 Comenzamos con el resumen de la semana:Lunes 17 de SeptiembreMartes 18 de Septiembre
  • Gcrack de la mano de Marc Rivero, descifrada hashes gracias al gran buscador Google, siempre es entretenido saber sobre Google Hacking.
Miércoles 19 de SeptiembreJueves 20 de Septiembre

Viernes 21 de Septiembre

Sábado 22 de Septiembre

22 sept 2012

Flu a lo jabalí - Windoleros informáticos

Es probable que en Seguridad a lo jabalí haya habido mejores artículos, por su contenido técnico o de opinión, pero nosotros nos quedamos con éste por su dosis de humor, tan necesario hoy en día. Además, los chicos del jabalí demuestran su cariño hacia nosotros con este tipo de montajes que hacen sacar una sonrisa. No hay mucho más que hablar os dejamos con el artículo, y de nuevo darle las gracias a Ángel por pensar en nosotros y enseñarnos que la vida es más que teclas y pantallas, que la vida también es sonrisa, la vida es vivir... :D

Hace algún tiempo publicábamos un post en tono de humor sobre los usuarios que utilizan Windows, nos causo mucha gracia la expresión y titulamos la entrada como Windolero.
Hace bastante que no hacíamos ninguna travesura y “ya tocaba” hablar de los chicos de Informatica64, cuando mencionamos esta empresa enseguida se piensa enChema Alonso pero detrás del Maligno hay un ejercito de trabajadores incansables haciendo funcionar una de las mejores empresas de seguridad informática que más está aportando a la comunidad.
Uno de esos trabajadores es Juan Garrido más conocido por SilverHack que fue secuestrado de su Triana para trabajar horas y horas en el Soctano, y su llegada a la empresa pudo ser más o menos así…
El encargado de poner al día a Juan pudo haber sido Rubén....
En un trabajo en el que la mente tiene que funcionar al 200% se suelen permitir tiempos de ocio en los que despejar un poco las ideas y distraerse antes de retomar el trabajo con otro enfoque diferente.
Otras veces mientras las maquinas realizan sus funciones es inevitable que una mente inquieta se evada en pensamientos más superfluos....
Así muchas veces la fantasía se abre paso en tierras andaluzas con historias de héroes, damas y bandidos galopando libres por La Sierra...
Si no conoces la serie de Curro Jimenez basada en la vida de los bandoleros españoles en tiempos de la invasión francesa primero mira este vídeo.
Así comienza la historia de los Windoleros de Metadatos...
Para visualizar la historia completa: Seguridad a lo jabalí con los Windoleros Informáticos

21 sept 2012

HTExploit para saltar la protección .htaccess

En la pasada Blackhat presentaron una herramienta muy interesante que sirve para saltar la protección .htaccess

Cuando se configura un acceso protegido con htaccess es importante limitar la autenticación para todos los métodos. Uno de los fallos por ejemplo cuando usamos servicios de generar el htaccess es que no vigilan en incluir todos los métodos que soporta, por lo tanto es posible aprovechar esta vulnerabilidad.

Es bueno con HTExploit tener un buen diccionario con el que haremos las pruebas para la descarga de archivos.

Nos descargamos la herramienta HTExploit

Los descargamos y hacemos la prueba

seifreed@darkmac:~/tools/pentesting/HTExploit_v0.7b:./htexploit -u http://www.miweb.es/directorio_protegido

. . .___. .___ . ,|__| | [__ \./ ._ | _ * -+-| | | [___ /'\ [_) | (_) | ||v0.7b

[-] http://www.miweb.es/directorio_protegido is probably NOT exploitable :(You should run the ‘full’ module anyway, just in case.

La herramienta soporta estos parámetros

  • -h //Saca el menú de ayuda de la herramienta
  • -m // nos permite definir un modulo especifico que deseamos utilizardetect // identificar si el directorio es vulnerablefull // opción por defecto y que escanea toda la carpeta en busca de archivos conocidos que estén en su diccionario
  • -u // url que deseamos atacar
  • -o // definir la carpeta de salida de los archivos
  • -w // definir el diccionario de archivos que vamos a utilizar *
  • -v // activar modo verbose para ver en todo momento que esta haciendo la herramienta

En este caso el directorio no es vulnerable :)

20 sept 2012

Flu Project entrevista a David Hernández (Dabo)

Hola David, en primer lugar muchas gracias por dejarte liar por nosotros para robarte unos minutos y que compartas con nuestros lectores un poco más de ti. Y doblemente gracias, por los siempre gratificantes comentarios que tienes con Flu Project, sobre todo teniendo en cuenta que estamos dando los primeros pasos de una senda que habéis comenzado a forjar hace mucho tiempo profesionales de tu altura.

R –         Si lo de la alto va por tamaño es cierto, ando rondando 1,90 m ;D. En serio, gracias a vosotros, estáis haciendo un gran trabajo y con el nivel de los entrevistados que me preceden, es difícil estar a esa altura que aludes.

1.       Llevas 10 años de daboweb, y a poca gente conozco que tras 10 años siga tan fiel a su estilo y no fallando nunca a los lectores. ¿Cómo es tu día a día? ¿Ha cambiado mucho desde 2002 a 2012?

R -          Sobre Daboweb, sólo puedo decir que sin los que están conmigo ahí desde hace algo más de 10 años, estoy seguro que hubiese sido imposible seguir o empezar con DaboBlog, el Podcast, Caborian, DebianHackers, etc. Les debo mucho a todos ellos, lo mejor de todo es que seguimos en contacto tanto a nivel personal como en nuestros foros a diario. Seguro que me dejaría fuera muchos nombres, en la sección “El team” está todo el equipo actual, pero no están todos los que han estado (gracias amigos!!).

¿Mi día a día? Nada del otro mundo de veras, hay varios registros que se repiten, llevo un GTD “razonable” con RTM sin obsesionarme. Intento estar informado de lo que pasa a mi alrededor para no perder la perspectiva, estar con mi chica, escuchar a mis amigos, procuro dormir algo más, tomar menos cafeína y salir de vez en cuando de la cueva a por víveres.

Fuera de la telaraña, lo que más me ayuda a no caerme de ella, es caminar a ritmo rápido todos los días unos 8 o 10 Km por la ciudad para mejorar mi ritmo en la montaña. Allí, en lo más alto y con lo mínimo imprescindible, encuentro el equilibrio.

En lo electrónico todo es más previsible, la típica lucha diaria por llegar al punto óptimo de priorizar correctamente. Discernir entre lo que es urgente y lo que no. Montones de logs, mails, actualizaciones, alertas, webs, foros, mis propios sistemas, RSS, clientes, estudiar, darle algo a Python, probar nuevas herramientas y técnicas de hacking, Debian, Konsole y más Konsole, leeros a un montón de vosotros e intentar escribir algo más. Paro que me estreso!

Sobre si ha cambiado mucho estos últimos 10 años, definitivamente sí. En el 2002, eso de llevar todo el día contigo un ordenador con el que cuando te queda batería, hasta puedes llamar por teléfono, sería impensable...

2.       Siempre que me cruzo con un Apache en mi trabajo me pregunto, ¿qué haría Dabo en este momento? Y en tono de humor alguna vez me dicen, “Siempre estás con Dabo esto, Dabo lo otro, pero nunca dices Jericó esto, Jericó aquello” (frase que dice el Reverendo Lovjoy en los Simpsons, ¡sabéis cuál es frikis!). ¿Cómo es el día a día en  una empresa como APACHEctl?

R -          Ja ja, vaya frikada, muy grande el Reverendo ! /* Disclaimer */ Un honor que te acuerdes de mi, pero no soy buen ejemplo de casi nada ;D

El día a día en tierras Apaches (tribu Kiowa para ser más exactos;) es un tema aparte. Imagina un ecosistema de servers del tipo: Debian GNU/Linux “a pelo” con un sistema GLAMP mínimo (situación ideal para mi, entiendo que no necesariamente para los clientes) y vaya, puede tener un Nginx, Light o Cherokee Server con MySQL, MariaDB, PostgreSQL o Percona...

Quizás te toca una Debian con el Webmin, ISP Config o Plesk de turno para empezar y sigas con CentOS & Cpanel, dejando un Ubuntu Server en Amazon de camino y termines el día en una Red Hat con Pacemaker, Corosync, Tomcat, Liferay, Alfresco y 10 servers en un “supuesto cluster” o “sistema de alta disponibilidad”...

Trabajamos con empresas de Desarrollo, Hosting, educación, juegos online, alguna Universidad, sector financiero, etc. Te puedes imaginar dentro de esa mezcolanza las cuestiones que afectan a tu trabajo.

Actualizaciones, aplicaciones web, desarrolladores, usuarios finales, múltiples vectores de ataque, picos de carga, bugs, relaciones con las empresas de hosting (cada una con su forma de actuar), instalaciones por defecto inseguras, intervenciones de urgencia en sistemas que no ha montado tu equipo entrando con el traje de bombero, daños colaterales, falta de transparencia en ocasiones por parte del “vendor” de turno (a los que el cliente paga en forma de licencias/soporte...), gestión comercial, etc.

Lo más “divertido” que recuerdo es de la semana pasada, una empresa certificadora de renombre en UK mandando una captura de su Nmap 6 con un “por favor, nos pueden quitar el bloqueo, es que estamos haciendo un pentest a (…) y necesitamos continuar”...

Lo más bestia es ver una Debian Testing en producción con un sistema imposible de actualizar con una app en Ruby que daba pánico y por ponerte un ejemplo, con el famoso bug de Apache (range header), todos los de MySQL y unos cuantos de BIND. Claro, imagino que sería más “fácil” (WTF) irse a Testing para meter el paquete de turno que compilarlo o buscarse la vida con ello...En fin, nada que no sepas ;).

Eso sí, las relaciones con nuestros clientes son muy cercanas y nos ayudan mucho, es lo bueno de ser una empresa (muy) pequeña que no ha caído en la sobredimensión. No queremos abarcar más de lo que podemos llevar adelante ya que son entornos delicados, es nuestra máxima.

3.       ¿Y su equipo?, sois 3 mosqueteros curtidos en el terreno de juego.

Tengo junto a mi a dos grandes amigos, eso es muy importante, dar el paso de frikear juntos a llevarlo al terreno laboral es complejo. APACHEctl como idea llevaba tiempo rondando mi cabeza, no he podido encontrar mejores compañeros de viaje.

Aj lleva muchos años entre servidores y desarrollando aplicaciones, nos conocimos en Daboweb y seguimos juntos. Oreixa en los 90 fundó el primer ISP de Galicia (con las máquinas “en local”), también está en el equipo IT de Suzuki Motorsport. Tienen experiencia y todos aprendemos de todos.

Los 3 juntos, también co-administramos Caborian y hacemos un podcast con  Forat, lur, n1mh, etc. Como puedes ver, el vínculo laboral vino después.

Luego tenemos a “honorables Apaches” en la reserva, dispuestos a coger el arco y las flechas caso que hiciese falta. Somos pocos pero muy unidos ;).

4.       Creo que empezaste en la informática con un Amstrad/Spectrum al igual que muchos que se mueven en el mundillo. Yo también empecé con uno de estos, pero seguro que algunos años más tarde (por el 90-91). ¿Qué recuerdo te traen aquellas cajas de pandora de fósforo verde? ¿o eras de los suertudos que las disfrutaban a “todo color” :-)?

Fosforo verde ! Lo cierto es que llegué tarde y fue con un 286 de segunda mano (costaban mucha pasta) con el que me empecé a pegar de verdad. Cuando estaban los Pentium yo andaba con un 486 DX 2 recuerdo. Quizás de ahí viene mi primer vínculo con GNU/Linux y su “economía de recursos”.

5.       Sabemos que te gusta decir que eres de los que aprende a “prueba-hostiazo-error”, pero seguro que tienes algún libro de informática que recomendar a los lectores para formarse en informática y/o seguridad ¿verdad?

Es cierto, me sigo dando hostias todos los días, a veces con cosas tan previsibles que luego te das de hostias (de nuevo) por no haberlo visto.

Sonará un poco extraño, pero con “mis 60 mejores partidas” de Bobby Fischer he aprendido algo de la gestión de riesgos. Sobre recomendar algún libro uff, no acabo de ver el “definitivo”, te pongo un enlace a un post con una parte de mi biblioteca “analógica”(del día en el que me vi señalado por tener unos libros “supuestamente delictivos”) http://bit.ly/A99wps

Pero hay uno, “Haking Ético, un enfoque metodológico para profesionales” de la editorial Alfaomega que me trajo un colega desde Colombia, muy recomendable para la gente que empieza en este mundillo.

6.       Desde hace poquito colaboras con INTECO, ¿cómo surgió todo esto?

Tuve la suerte de participar en el 5ENISE dentro de la mesa redonda organizada por INTECO-CERT “Bloggers de Seguridad 2011” junto a gente como José Selvi, Manolo Benet, Sergio De Los Santos y Yago Jesús.

Se portaron genial con nosotros (un saludo para Javier, Fran, Jorge, Ignacio, Pablo , Borja, etc) y cuando me llegó la oportunidad por parte de INTECO de escribir sobre temas que me interesan con total libertad, accedí encantado (tengo que escribir más Cristina, lo sé;).

7.       ¿Para cuándo volveréis a las trincheras desde hackeando.com?

Ya veo que el apartado “information gathering” lo tienes bien controlado xD. Ese es uno de esos proyectos a los que no quieres dar el portazo. Cuando tenga tiempo, quiero montar algún tinglado con unos cuantos colegas de la vieja y nueva guardia (estaría encantado de teneros por allí). No sé si en ese dominio o en otro que recientemente registré.

Pero sí, son tiempos de volver a las trincheras como dices, por muchos motivos. Estamos sufriendo una merma importante de nuestras libertades y derechos  civiles fundamentales de unos años a esta parte en La Red (y fuera de ella). Estoy muy cansado de cómo se trata a la comunidad Hacker no ya sólo desde medios “tradicionales”, sino otros que le deben mucho.

Profesionales o aficionados al Hacking (el conocimiento), nos vemos cada vez más en el punto de mira de absurdas leyes hechas por gente que debe vivir en los mundos de Yupi, queriendo poco menos que auditemos sistemas con un ping. ¿Cómo protegerlos sin saber explotarlos llegado el caso?

8.       ¿Qué opinas de Flu Project?

Es un soplo de aire fresco la verdad. Hay diversidad y regularidad en las publicaciones, con una buena mezcla entre herramientas propias, reseñas, material para comenzar o ir un paso más allá. Flu mola -;).

9.       ¿Qué esperas de las nuevas generaciones en el ámbito de la seguridad?

Que me sigan sorprendiendo y enseñando tanto como hasta ahora. Investigando y escribiendo en sus blogs . Sin olvidar la responsabilidad que conlleva para con la gran comunidad de usuarios, esos conocimientos que adquieren. Se está librando una verdadera batalla por la privacidad...

10.      La última pregunta se la realizamos habitualmente a todos nuestros entrevistados, ¿a quién te gustaría que entrevistásemos?

Me vienen un montón de nombres a la cabeza, pero por muchos motivos y conocimientos, con dosis de humildad que me debería aplicar más a menudo, mi amigo y compañero en Daboweb, Alfon, de Seguridad y Redes sería el elegido. (dicen que se alimenta sólo capturando trazas de Red -;).

Recuerdo que dije en Twitter “tu entrevista me resultó corta”, luego veo las 10 preguntas y ¿ves? “por hablar” xD. De verdad, gracias a ti, para mi ha sido como charlar con un colega en voz alta. Saludos a todos vuestros lectores y enhorabuena al equipazo que os estáis juntando en Flu Project.

Muchas gracias David por dejarte robar unos minutos entre log y log, y por lo gran persona que eres.

19 sept 2012

New Metasploit 0-day exploit for IE 7, 8 & 9 on Windows XP, Vista, and 7

Se ha reportado un nuevo 0day que afecta a los sistemas operativos de Microsoft Windows en sus navegadores Internet Explorer. Para ser mas precisos, Internet Explorer 7, 8 y 9 en  los sistemas operativos windows XP, windows VISTA y windows 7.Por el momento una de las soluciones es que utilices otro navegador como Chrome o bien Firefox,  aunque estuve realizando pruebas y el Antivirus de AVG ya lo detecta como Malware.

Anexo El reporte Completo del Blog de Metasploit.https://community.rapid7.com/community/metasploit/blog/2012/09/17/lets-start-the-week-with-a-new-internet-explorer-0-day-in-metasploit

We have some Metasploit freshness for you today: A new zero-day exploit for Internet Explorer 7, 8, and 9 on Windows XP, Vista and 7. Computers can get compromised simply by visiting a malicious website, which gives the attacker the same privileges as the current user. Since Microsoft has not released a patch for this vulnerability yet, Internet users are strongly advised to switch to other browsers, such as Chrome or Firefox, until a security update becomes available. The exploit had already been used by malicious attackers in the wild before it was published in Metasploit. The associated vulnerability puts about 41% of Internet users in North America and 32% world-wide at risk (source: StatCounter). We have added the zero-day exploit module to Metasploit to give the security community a way to test if their systems are vulnerable and to develop counter-measures.
Here's the back story: Some of you may remember that a couple of weeks ago, the Metasploit exploit team released a blog regarding a new Java exploit (CVE-2012-4681), with a blog entry titled "Let's Start the Week with a New Java 0day in Metasploit". You'd think the 0-day attack from the same malicious group might cool down a little after that incident... well, you'd be wrong. Because last weekend, our fellow researcher and Metasploit contributor Eric Romang just spotted another 0-day, possibly from the same group, exploiting a Microsoft Internet Explorer use-after-free vulnerability.
The Metasploit team has had the pleasure to work with Mr. Romang and @binjo together, and pretty soon we had a working exploit. You may download Metasploit here, and apply the latest update to pick up the exploit.
The following screenshot demonstrates a successful attack against a Windows 7 machine with Internet Explorer 9 installed:
Screen shot 2012-09-17 at 7.59.19 AM.png
This one is against Internet Explorer 8 installed:

Screen shot 2012-09-16 at 5.32.08 PM.png
Here's another example exploiting a fully-patched Windows XP SP3 box:

screenshot.png
The exploit also works against Windows Vista, but I think you guys get the point now.
To try out this module, get your free Metasploit download now, or update your existing installation. In the meantime, we will keep this blog updated when more progress has been made.

Sep 17th, 2012 - Microsoft releases advisory 2757760: http://technet.microsoft.com/en-us/security/advisory/2757760

18 sept 2012

Gcrack descifrando hashes con Google

 

En los procesos de auditoría, cuando se consigue acceso a una máquina, con Meterpreter es posible por ejemplo hacer un volcado de los hashes de la máquina. Aunque se consiga hacer el volcado es importante el poder obtener la contraseña en claro. Como “no somos tan diferentes” seguro que el hash de la contraseña ya está en Internet :P

Así que Grack se encargará de hacer esa búsqueda del hash.

Como dependencias usaremos python-lxml y python-nltk. Hacemos la prueba de búsqueda de hashes de contraseñas.

Primero de todo nos bajamos Grack para usarlo:

git clone https://github.com/tkisason/gcrack.git

Ejecutamos Grack para buscar los hashes en Google

seifreed@darkmac:~/tools/brute_force/gcrack:python gcrack.py hashes[+] Hashes loaded, using google_attack to crack themmd5(qwerty) d8578edf8458ce06fbc5bb76a58c5ca4md5(password) 5f4dcc3b5aa765d61d8327deb882cf99md5(alkali) f7f41ad5328d528a751c55fa2fcf7273md5(password09) 8350513a8aff1d5bc1534dbd90747bb8sha1(123456) 7c4a8d09ca3762af61e59520943dc26494f8941bsha1(security) 8eec7bc461808e0b8a28783d0bec1a3a22eb0821md5(admin) 21232f297a57a5a743894a0e4a801fc3sha1(crypto) 44a9713350e53858f058463d4bf7f1e542d9ca4b[+] Found 8 of 8

Como podéis ver la herramienta ha sido capaz de encontrar los hashes en Google

17 sept 2012

Publicada la herramienta ParameterFuzz v1.1

Hola! hoy vuelvo a Flu Project para compartir con todos vosotros mi última herramienta, ParameterFuzz.

ParameterFuzz es una herramienta destinada a comprobar el nivel de fortificación en aplicaciones web, intenta cubrir el campo más explotado por los hackers, ya que la mayoría de ataques conocidos, se basan en la explotación de parámetros mal filtrados. Así como SQL injection, Cross Site Scripting o RFI entre otros.

La aplicación consta de un Menú principal donde un desplegable nos permite seleccionar el idioma, además de la opción de enviar peticiones GET o POST. Una vez seleccionado el lenguaje, quedará configurado en la aplicación para siguientes usos.

Si presionamos sobre la opción GET, se abrirá un nuevo panel desde donde se lanzarán los ataques. La parte alta del mismo, es el lugar donde se llevarán a cabo las configuraciones de nuestras peticiones, antes de ser enviadas.

La mayor particularidad de ParameterFuzz, se encuentra en la opción de poder ver las respuestas que las páginas atacadas han devuelto en cada petición que enviemos, ya que incorpora un navegador basado en un control Webbrowser, el cual interpreta los resultados ejecutando Javascript como lo haría un navegador real. Las opciones de ataque por diccionario, las encontramos en los apartados “Parametro Fuzz” y “Valor Fuzz”, ambas opciones pueden ser habilitadas conjuntamente o por separado.

En caso de desear la modificación de alguno de los campos de parámetros o valores, podremos hacerlo de forma manual sobre las cajas de texto, en caso de los diccionarios, tan solo hay que tener en cuenta las etiquetas definidas en su interior, para que la aplicación funcione correctamente, ya que estas se utilizan para avisar al auditor cuando se trata de un cambio de ataque.

Mientras realizamos el envío de peticiones, la parte baja de ParameterFuzz, nos permite guardar las longitudes de las peticiones anteriores, con el fin de comparar sus longitudes y avisar al auditor de que la página actual ha respondido de manera diferente, con que parámetro y valor. También podremos agregar el nombre del valor inyectado al buscador, que de igual manera avisará al auditor de las coincidencias encontradas. Esto será crucial para búsquedas de vulnerabilidades de XSS o SQLi.

Es recomendable si aún no conocemos del todo la herramienta, presionar el botón “Petición” antes de enviar las peticiones, ya que muestra de forma detallada como se configuró el envío.

Una vez encontrada la vulnerabilidad, podremos echarle un vistazo al código fuente con el buscador, para ver exactamente el punto o puntos donde se produce nuestra inyección.

La opción más cómoda de la aplicación, es sin duda la de hacer clic sobre el CheckBox de “Peticiones Automáticas”, ya que si activamos uno de los diccionarios, de forma automática enviarán peticiones en busca de posibles parámetros existentes en la página auditada y almacenará el resultado de la longitud en un archivo de Log. Al terminar el diccionario de parámetros, la aplicación preguntará al auditor si desea ver o no, los resultados.

También tendremos la opción de eliminar el contenido de los Logs o verlos de forma rápida, con los botones del margen inferior derecho de la aplicación.

En el caso de elegir auditar peticiones POST, la aplicación se comporta de forma idéntica, tan solo destacando que el envío de parámetros conocidos va separado en una caja de texto aparte.

A continuación, dejo un listado de cambios desde la versión 1.0 a la actual 1.1 de ParameterFuzz.

[+]Agregado un CheckBox para lanzar las peticiones de forma automática, así después comparar resultados en un Log.

[+]Agregado botón "Log", para un acceso más rápido a leer las peticiones automáticas.

[+]Agregado botón "Borrar", para eliminar Logs.

[+]Agregada la opción de selección de idioma Ingles o Español para toda la aplicación.

[+]Agregada una etiqueta para contabilizar el número de caracteres por página HTML (GET y POST).

[+]Agregada la opción de Guardar la longitud de la página, para compararla con la de próximas peticiones.

[+]Agregada la función de búsqueda de palabras en HTML según se escriben.

[+]Agregado ManifestXP a los estilos de la aplicación.

[+]Agregado un botón minimizar en la barra superior.

[+]Deshabilitados los errores en modo debug de Javascript para la navegación.

PD1:Si tienen alguna duda del funcionamiento o simplemente encontraron un fallo, estaría agradecido de que me lo comunicaran.

PD2:El archivo ParameterFuzz.exe.manifest, es un XML que proporciona los nuevos estilos a la aplicación, si lo eliminan es posible que la aplicación no funcione.

Y como siempre...

Saludos 4n4les! ;)

Descarga la herramienta desde aquí.

16 sept 2012

Informe Flu - 89

Comenzamos con el resumen de la semana:Lunes 11 de SeptiembreMartes 12 de SeptiembreMiércoles 13 de SeptiembreJueves 14 de Septiembre

Viernes 15 de Septiembre

Sábado 16 de Septiembre

15 sept 2012

Flu a lo Jabalí - Laboratorio Virtual: Hyper-V Una buena opción

Hoy en Flu a lo jabalí traemos este interesante artículo, el cual me ha recordado a mis tiempos en el departamento de sistemas de i64. Hyper-V puro y duro, magnífico servidor de virtualización de Microsoft. ¡Y la que se avecina con Windows 8 y Windows Server 2012! Hyper-V es uno de esos productos que gran cantidad de informáticos conocen solo de oídas, pero cuando lo utilizas no puedes volver a la virtualización de cliente. Personalmente, nos ha gustado el enfoque del artículo que han dado en Seguridad a lo jabalí, claridad en sus explicaciones. Intentan ser políticamente correctos, técnicas making friends puras y duras... Hyper-V comenzará a ser mucho más conocida gracias a su aparición en los sistemas cliente de Microsoft. Bienvenido Hyper-V 3.0, bendito seas... :D

Os dejo con el artículo de Segurdiad a lo jabalí:

Una de las mejoras en la evolución de la informática es la virtualización, la capacidad de utilizar simultáneamente varias maquinas en un solo equipo abre muchas posibilidades en rendimiento, comodidad y costes.
En seguridad informática es indispensable un laboratorio con varias maquinas virtuales que nos permita analizar lo que sucede en las distintos equipos y la comunicación existente entre ellos.
Personalmente había utilizado XenServer deCitrix y por supuestoVMware, en un entorno empresarial ambos productos funcionan muy bien tanto en rendimiento como en estabilidad, aunque todos sabemos que la virtualización “a veces hace cosas raras” sobre todo en pruebas de seguridad. 
Desde server 2008 Microsoft apuesta fuerte por los sistemas de virtualización con unrol integrado en sus sistemas operativos server, Hyper-V. Definido como una delgada capa de software que funciona bajo el sistema operativo anfitrión y proporciona igualdad de acceso al hardware del equipo físico a todos los sistemas instalados, anfitriones e invitados. 
En Hyper-V cada asignación de recursos a una maquina virtual se denomina partición, el sistema operativo anfitrión está en una partición superior y cada huésped en una secundaria. Esta característica nos proporciona una mayor estabilidad para acceder a los recursos del equipo, además de estar perfectamente integrado con el sistema operativo.
En entornos de pruebas para seguridad informática server 2008 R2 nos proporciona un entorno estable donde instalar varias maquinas virtuales para nuestro laboratorio, con la ventaja de poder trabajar sobre una arquitectura sever y un acceso más directo al hardware.
Una posibilidad es realizar una partición en tu equipo para instalar server 2008 R2 y disfrutar de Hyper-V, el tema de las licencias tampoco supone un inconveniente, dado que las maquinas virtuales no suelen resistir mucho en pruebas de concepto, siempre es bueno hacer una copia del disco virtual(VHD).
Microsoft permite utilizar el sistema durante un periodo de 180 días, además de poder renovar una ampliación de esa licencia dos veces. 
La comparativa de mejoras entre server 2008 y 2008 R2 demuestra el interés de Microsoft por mejorar los sistemas de virtualización, iniciativa que aumenta en entornos empresariales con server 2012 y la reducción en costes de licencias para maquinas virtuales.
No quiero con este artículo decir que tecnologías como VMwareVirtual Box oXenServer no sean buenas, simplemente Hyper-V es una opción mas que podemos utilizar. 
Seguridad a lo Jabalí para Todos!!

14 sept 2012

Auditando mi red inalámbrica

 

Hola a todos!

Hoy he pensado en auditar mi red inalámbrica, aunque estaba seguro que mi red era lo bastante robusta, con una clave lo bastante fuerte, con caracteres especiales, números y letras mayúsculas y minúsculas y el acceso protegido con WPA2, siempre queda el “por si acaso”.

Me dispuse a ello, cogí mi distribución favorita Bactrack y vamos a ver que sucedió.

1º Poner la tarjeta en modo monitor

airmon-ng start wlan0

2º El siguiente paso es escanear las redes que nos rodean, en este caso la mía.

airodump-ng mon0

clip_image002

3º Ahora me asocio a la red para capturar el handshake, el paquete especial que se transmite cuando nos conectamos al punto de acceso, así que ya os imagináis ¿no? vamos a interceptar el clave que viene el handshake.

airodump-ng -c CANAL –bssid BSSID –w NombreDeArchivo mon0

clip_image004

4º Abrimos otro terminal para ahora si capturar el handshake, eso si, es imprescindible que haya un cliente conectado, sino no tendréis éxito alguno.

aireplay-ng –deauth 20 -a BSSID -c CLIENTE mon0

clip_image006

5º Sólo falta volver a la consola anterior y comprobar si hemos tenido éxito, pues nos saldrá arriba a la derecha “WPA handshake MAC”.

clip_image008

6º Bien ya tenemos el handshake, sólo falta comprobar la contraseña que tenemos con un buen diccionario. Esto consiste en buscar la contraseña en un archivo de texto, irá mirando hasta que coincida con alguna palabra del diccionario con la clave, y nos saldrá la contraseña.

aircrack-ng -a 2 -w /ruta/al/diccionario NombreDeArchivo-01.cap

clip_image010

En mi caso probé varios días y con distintos diccionarios y no pudo sacarme la clave, por ahora tengo una buena password.

¿Y tu has auditado tu Wifi?

Hasta la próxima, saludos.

Artículo cortesía de Francisco Javier Santiago (@EInformtica, @ElJavi_sv )

13 sept 2012

Entrevista a Juan Antonio Calles de Flu Project

Tras mi entrevista de la pasada semana, hoy llega el turno de conocer un poco mejor a Juanan. Por lo que vamos a lanzarle algunas preguntas :)

Flu Project va a hacer ya 2 años, está a punto de alcanzar las 100 semanas de vida y sigue fiel a sus lectores ofreciéndoles 1 post al día, nuevas herramientas, retos, video tutoriales..., cuéntanos de donde sacas el tiempo para vivir.
Pues uso Google Calendar para distribuirme las horas de la mejor manera posible y no dejarme ninguna cosa en el tintero. A veces es difícil y hay que hacer sacrificios, pero por suerte tengo una novia comprensiva que lleva bien el que me tenga que pasar muchas horas delante del PC. Aún así nunca me falta tiempo para unas cañejas :)
¿Qué imagen tienes del Instituto Juan Gris de Móstoles?
Lo recuerdo cómo el sitio donde conocí a la mayoría de mis amigos actuales y a muchos que por circunstancias de la vida se van perdiendo los lazos. Gratificante en general, estando allí pasé buenos momentos y otros no tan buenos, pero siempre te quedas con lo mejor de cada etapa de la vida.
 ¿Recuerdas algún partido de patio de colegio?
Sí, recuerdo muchos. Me quedo con las ligas de patio que hacíamos entre cursos. Recuerdo un disparo que te tiré estando tú de portero, y me lo paraste (grrrrrrrrrr) ;) Si es que con las pelotas de espuma que nos obligaban a jugar los profesores no podíamos tirar fuerte... :P
¿Crees que algún día la seguridad nos jubilará?

Espero, si no... no me dedicaría a esto :) Ahora, ¿nos hará ricos?, no creo, viviremos posiblemente mejor que gente que está en otras profesiones, ya que es una rama de la informática que se puede adaptar a muchos ámbitos y parece ser que por el momento no es de los gremios en los que hay mas paro, con solo un 7%. Tenemos suerte en ese aspecto, esperemos que no cambie la cosa.

¿Un referente en la Seguridad?
Tengo un referente en especial en el mundo de la seguridad, mi tio, Juan Luis G. Rambla, si no fuese por él de hecho no me dedicaría ni a la seguridad informática, ni tan si quiera a la informática, tengo mucho que agradecerle. Desde pequeño me encantaban los coches y siempre he querido ser diseñador de carrocerías como Scaglietti o Pininfarina, me pasaba el día dibujando coches. Pero desde los 4 años tengo ordenador, tenía la suerte de ir heredando todos los pc que me iba dejando Juan Luis (algún día os los enumeraré porque no eran pocos precisamente :P), y entre lo que me iba enseñando desde que era un retaco y lo que iba aprendiendo por mi cuenta, acabé siguiendo sus pasos y entrando de cabeza al mundillo de la seguridad informática. Y hasta el momento no me he arrepentido, es un mundo fantástico en el que cada día aprendes cosas nuevas y conoces a gente especial, ¡es dificil aburrirse!
¿Futuros objetivos de Flu Project?
Pues conociéndo lo culos inquietos que somos y nuestras ideas locas... te puedes esperar cualquier cosa :)
¿Qué opinas de las descargas de Liberad a Wifi en el Play Store?¿Fue una sorpresa para ti como para mi?
Cuando me llamásteis para contarmelo no me lo creía, LaW superaba el record de descargas de Flu Project que hasta el momento tenía Anubis con casi 30.000, y que no era pequeño precisamente para los números en los que nos movemos. Ya cuando superó las 150.000 y entró en la portada de la Play Store fue apoteósico y digno de celebrar en la próxima Flu KDD :) Según los últimos datos creo que vamos cerca de las 300.000 descargas en apenas un mes.
 ¿Cómo es el trabajo en Everis?
El trabajo en Everis es distinto a otras empresas de informática en las que he estado (al menos en mi caso), y en concreto en la rama en la que estoy, muy muy distinto. Trabajo como Solutions Specific Knowledge Analyst en el Centro Hacking de Everis. El Centro Hacking es un mini departamento dentro de la linea de Gobierno TI de la ofina que tenemos en Madrid (una de las más de 40 sedes de la compañía). En Everis somos más de 10.000 empleados y tan solo trabajamos en el departamento de seguridad de la oficina de Madrid unas 20 personas. De los 20, tenemos a algunas personas que se dedican exclusivamente a LOPD, varios que se dedican a temas de ISO 27000, LOPD, PCI-DSS, ENS, etc, y el grueso del departamento nos dedicamos a hacer el power ranger del hacking ético, forense, malware, test de intrusión, auditorías web, auditorías internas, reversing, despliegues,... ¡lo que toque!, si que es verdad que cada uno tenemos nuestra especialidad, pero en general el nivel de los compañeros es muy bueno, y eso me permite aprender con ellos cada día cosas nuevas. La suerte que tenemos en Everis, y que no tenía en otras empresas son los recursos, al ser tan grande puede permitirse invertir en cosas que otras no harían, o tener a gente que se dedica a cosas radicalmente distintas y que pueden ser muy útiles en un momento determinado, por ejemplo tenemos a unos compañeros diseñando bombas teleridigidas ¡y nunca sabes cuando las vamos a necesitar!, pero son para extinguir incendios tranquilos...:P.
¿Cómo te sientes en Everis?
La verdad que por el momento muy contento.
¿Una frase?
Pues ahora mismo se me viene a la cabeza una frase que siempre le gustaba decir a un antiguo compañero de trabajo (un abrazo Jordi si me lees) cuando las cosas se torcían: "Enjoy your life, because the life can be wonderful, salinas!" Y la verdad que la intento recordar a menudo para darme un chute de energía.
¿Una canción?
Siempre he sido muy fan de Jean Michael Jarre, es difícil quedarme con alguna, pero una de las canciones que mejores sensaciones me transmite es Rendez-vous IV.
¿Un recuerdo?
Son muchos los que se me pasan por la cabeza, pero creo que me quedaré con uno de los más recientes, la salida del examen de Automatas (la recordarás :P), al salir de ese examen sabía que por fín iba a ser ingeniero, posiblemente una de las mejores sensaciones de mi vida.
Una aplicación de seguridad?
Anubis :) (barriendo para casa). Aprovecho para decir que habrá versión 2.0 próximamente, estoy trabajando con ella en mis escasos ratos libres, ya os iré contando.
¿Agradecimientos?
Tengo a mucha gente a la que agradecer cosas en la vida, pero creo que merecen especial mención nuestros colaboradores en Flu Project, tanto a los más habituales, como a los que comparten con nosotros sus artículos puntualmente. Marc, Miguel Ángel, Juan Luis, Carmen, Hecky, Kari_243, Germán, Jesús, Jordi, Luis y se que me dejo a muchos, pero ya sabéis que, ¡sois grandes!

12 sept 2012

VNC como Payload en Metasploit

No todo en el mundo de los payloads es Meterpreter, hoy presentamos la posibilidad de utilizar VNC como Payload contra un sistema Windows. Eso sí debemos de tener instalado un cliente VNC, por ejemplo vncviewer en la BackTrack, o la máquina Linux que usemos con Metasploit... Bien, El primer caso que se propone es el del payload vncinject. El payload cargado debe ser windows/vncinject/reverse_tcp, conexión inversa o utilizar una directa con bind_tcp. Este payload inyecta un servidor VNC en la memoria de la máquina vulnerada, el exploit conecta automáticamente con éste y se obtiene la visión del escritorio de la víctima.

Existen algunos problemas con este payload y es que, nada más ejecutarlo, la máquina vulnerada abre una CMD, en color azul muy mono, el cual puede hacer pensar y pensar a la víctima que algo extraño ocurre en su máquina. Vale, muchos diréis, pero te has saltado la fase de explotación, ¿En qué exploit lo pongo? Bien, tenemos la instrucción show payloads, para cuando tengamos cargado un módulo de exploit saber que payloads hay disponibles. Hoy no vamos a decir, tenemos que utilizar este módulo o este ortro, siempre para las pruebas utilizar exploit/windows/smb/ms08_067_netapi, sobre máquinas w2003, XP, e inferiores... y siempre que no estén parcheadas, pero en vuestro laboratorio mandáis vosotros.

Pero podemos afinar un poco mejor esto, ya que lo del CMD en azul canta y bastante... podemos tener un Meterpreter, y ejecutar el script vnc, es decir, run vnc en una sesión de Meterpreter. De este modo, no hay pantalla azul en la maquina victima, y se obtiene la visión del escritorio remoto a modo de espía, eso sí no le mováis el ratón que canta mucho.

Si existen dudas, no dudéis, valga la redundancia, en comentarnos!

11 sept 2012

Análisis de malware – Preparación del entorno

 

He estado siguiendo los tutoriales de Fun Malware analysis que os recomiendo leer si o si! Si tenéis problemas con el Inglés, yo pondré aquí cada capítulo ;) Además haré algunas modificaciones para facilitar los análisis.

Para realizar los análisis de malware necesitaremos un pequeño laboratorio que nos ayudará en los análisis de las muestras. El laboratorio por ahora tendrá una máquina con Windows XP y otra máquina con Ubuntu.

La máquina Windows XP accederá a internet a través de la máquina Ubuntu.

El entorno del laboratorio será virtualizado y la plataforma VirtualBox.

Una vez tengamos los dos sistemas instalados realizaremos algunos cambios a nivel de sistema operativo.

Red en Virtualbox

En Windows XP y en una de las tarjetas de Ubuntu deberemos de dejarlas como Red Interna

Cambios en Windows XP

Para no generar tráfico extra, desactivaremos las actualizaciones de Windows.

También desactivamos el firewall de Windows

También desactivaremos las alertas del Security center

Por último configuraremos la red para que todas nuestras peticiones pasen por la máquina Linux.

Como DNS de momento pondremos los de Google por ejemplo.

Cambios en Ubuntu

En el sistema operativo Ubuntu añadimos 1 tarjeta de red mas. Una estará en la red interna y la otra en NAT para el acceso a Internet.

En la red interna configuramos

Si os fijáis la dirección IP de la tarjeta es el gateway del XP.

En la otra tarjeta lo dejamos en DHCP

Tarjeta externa:

Ahora lo que haremos será un script que nos hara forward de una tarjeta a otra con iptables.

El script tendrá este aspecto:

Le damos permisos al script, lo ejecutamos y comprobamos que tenemos acceso desde la máquina XP.

Ya tenemos mucha parte hecha.