jesusprubio
Twitter: @jesusprubio
Entradas de jesusprubio
BadStore, SQLi y otras chicas del montón
15 nov
Buenas a todos otra vez, como no me quedé demasiado a gusto con que mi primer post aquí fuese “de opinión” me gustaría compartir una de las demos que no me dio tiempo a hacer (error de principiante
en el HM.
No me voy a extender explicando lo que es un SQLi o inyección SQL porque en este blog hay información más que suficiente sobre el tema. El entorno que voy a utilizar es el siguiente:
- Badstore: Máquina virtual con aplicación web vulnerable.
- W3af: Escáner de vulnerabilidades web.
- SQLMap: “automatic SQL injection and database takeover tool”
NOTA: En este artículo de este mismo blog se explica como obtener la máquina virtual y ponerla andar.
El primer paso es identificar las vulnerabilidades, como sabéis, la forma típica suele ser introducir alguna comilla en algún formulario. Si probamos a pasarle una doble comilla en el campo “Search” pasa lo siguiente:
Vemos que tiene toda la pinta de que va a ser vulnerable
.
Para intentar encontrar más vulnerabilidades de este tipo vamos a utilizar el escáner W3af. Más de una vez escuché que la interfaz gráfica no va demasiado fina, lo cual es verdad si seleccionamos demasiados plugins, pero usando los típicos como “sqli” y “xss” no suele dar problemas. Por supuesto que no va a encontrar todas las vulnerabilidades de una aplicación, al igual que cualquier otro software de este tipo, pero está al nivel de los de pago en cuanto a las detecciones, aunque suele encontrar más falsos positivos que éstos.
Como vemos en la imagen la interfaz es sencilla de configurar, simplemente elegir “empty profile” y veremos que los plugins están colocados por grupos. Del grupo “Audit” seleccionamos “sqli” y de “Discover” hacemos lo propio con “webSpider”. Para la salida es cómodo seleccionar que, a mayores de mostrar los resultados en la propia aplicación, los almacene en otro formato para su posterior consulta, elijo “html” en este caso.
Al pulsar en el botón iniciar veremos como empieza a trabajar:
Y tras finalizar nos mostrará los resultados encontrados, 6 SQLi en este caso. Si seleccionamos en alguno, podemos consultar con más precisión que parámetro es vulnerable y la cadena con la que lo descubrió:
Podemos consultar además los resultados en formato html:
En este punto tenemos localizados los parámetros vulnerables, así que llegó el momento de explotarlos. Para hacerlo también de forma automática utilizaremos la herramienta SQLMap, lo primero es confirmar que no estemos ante un falso positivo, yo suelo hacerlo pidiéndole que identifique la versión del SGBD que utiliza la aplicación con el siguiente comando:
NOTA: En este ejemplo se intenta atacar el parámetro “searchquery”.
./sqlmap.py -u "http://192.168.122.63/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" -b
Como vemos que parece que funciona le decimos ahora que nos identifique el nombre de la BD que utiliza la aplicación:
./sqlmap.py -u "http://192.168.122.63/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" --current-db
Podríamos decirle también que intente identificar las tablas de esa BD, esto llevará un rato porque prueba con los nombres comunes:
./sqlmap.py -u "http://192.168.122.63/cgi-bin/badstore.cgi?searchquery=hi&action=search&x=0&y=0" --tables -D badstoredb
Ahora haríamos lo mismo para las columnas y seguiríamos utilizando los parámetros que nos ofrece la herramienta hasta obtener la información que creamos oportuna. Enumero aquí algunos interesantes para los que os apetezca probarlos
wizard, is-dba, tor, gpage, cleanup, beep, current-user, dump[-all], agent ...
De paso por el Hackmeeting 2o11
11 nov
Buenas a todos, me propusieron que hiciese una crónica sobre el Hackmeeting de este año (MeigHacks) en A Coruña y aquí estoy, pero antes de nada me gustaría dejar claro que este post refleja mi opinión personal y parcial, ya que solo pude asistir una tarde y una noche (sí, también hay charlas de noche
principalmente por preparar lo mejor posible el nodo que impartí (allí las charlas se llaman así).
Lo primero es aclarar que el Hackmeeting (HM a partir de ahora) no es un CON de seguridad como se suele pensar en un principio, se trata de un evento en torno al hacktivismo y la cultura libre, especialmente sobre software y medios libres. Sí es verdad que a las primeras ediciones asistieron los principales grupos de hackers de la época, así que ésa era la idea que tenía yo desde hace bastantes años. Aquella época que nos pasábamos el día en el irc y leíamos la SET-ezine en la que yo no podía asistir
. Por diversos problemas, en los que no voy a entrar para no extenderme, la presencia de temática sobre la seguridad de la información fue desapareciendo hasta el punto de que casi no se imparten nodos, para el que quiera enterarse un poco más del tema recomiendo esta lectura. Ésto en un principio me desanimó bastante pero luego decidí que iba a proponer uno, precisamente porque una de las ideas principales de este tipo de eventos es que si algo no te gusta puedes cambiarlo.
Otro aspecto a tener en cuenta es que se celebra siempre en una casa ocupada y se trata de un evento autogestionado, lo que quiere decir que todo el mundo participa en la organización en la medida que le apetece, con sus ventajas e inconvenientes. Así que, tanto si vas de visita como a dar un nodo, tómatelo con calma porque los horarios son muy muy flexibles, incluso el orden de las charlas. Un consejo, búscate alguien que amadrine tu nodo con tiempo, es una persona que suele conocer la casa y a la gente, se encarga de echarte una mano para conseguir el proyector, luz y demás… Aunque pueda sonar un poco extraño todo esto en un principio, este pequeño descontrol queda de sobra compensado con el buen ambiente y las ganas de hablar de todo el mundo, en especial de tecnología.
Respecto al nivel técnico, a mi me sugirieron que preparase algo sencillo para que todo el mundo puediese asistir, de hecho en las que tuve la oportunidad de ver era una constante, en temas que no controlas es de agradecer y en los que sí, se puede hacer algo pesado. En lo relativo al mío, el título de la charla era “Herramientas de botón gordo y hacktivismo”, así que todos os podéis hacer más o menos una idea, básicamente mostré como utilizar muchas de las herramientas que se tratan en este blog, entre ellas nuestro “verme” (como se dice por aquí
verde. Me comentaron que en la zona de “cacharreo” sí se tratan temas más en detalle, pero como estuve poco tiempo tampoco pude disfrutar esa parte como se merece.
Me gustaría animaros a todos asistir en próximas ediciones proponiendo nodos, porque creo que sería muy interesante volver a darle un poco el toque de seguridad y porque, por lo que noté, es algo que valoran mucho los asistentes. Incluso si no estás de acuerdo con los principios que defiende el hacktivismo y lo que te interesa son las charlas a nivel técnico, estoy seguro de que nadie va a poner ningún tipo de problema en que participes y las disfrutes como uno más.
Mi valoración final es más que positiva, primero porque desde pequeño quería asistir y acabé participando con un nodo y segundo porque, en el poco tiempo que estuve, tuve la oportunidad de conocer y hablar con un montón de gente interesante. De hecho, están montando un Hacklab para reunirnos gente de la zona, así que si alguno de los que lee anda por aquí y le apetece, que se anime a pasarse
.
.png)



















