Hoy, día 24 de Diciembre de 2013, queremos felicitaros las
fiestas y hablar un poco del mundo de la seguridad en el año 2013. Estamos
llegando al final del año y queremos dejaros un buen sabor de boca con todo lo
que el mundo de la seguridad ha visto este año. Seguro que nos dejamos noticias
interesantes o impactantes, esperamos que las añadáis en los comentarios.
Comienza el resumen de Flu Project al 2013.
Para relajarnos un poco hablaremos de uno de los posts que
seguro más lectores tuvo en Security by default, habló del post de cómo
ganar siempre a mezcladitos. En este post, Lorenzo Martínez, nos explicaba
como modificando las peticiones se podía conseguir que la víctima perdiera turno
o reasignara partida. Así que cuidado con quién jugáis a mezcladitos, si no
queréis acabar desesperados perdiendo continuamente.
Otra de las cosas interesantes, lógicamente desde nuestro
punto de vista, es la publicación
de una vulnerabilidad encontrada en Zabbix. La vulnerabilidad
permitía elevar, de cierta manera, los privilegios en un dominio Microsoft.
El movimiento lateral estaba asegurado, mientras que el vertical en un alto
porcentaje de posibilidades.
Uno de los nuevos servicios de Eleven Paths, denominado FaasT, el cual
conozco muy bien, empezaba a colear allá por Julio como se puede visualizar en
este artículo que tuve el placer de publicar en el blog corporativo. FaasT
empezaba a andar representando las técnicas
de un pentester. Por otro lado, nosotros nos
encargamos de hablar del pentesting by design en Flu Project, para que estéis
al tanto de esta nueva metodología tan proactiva e interesante.
Para los amantes del exploiting desde Security Art Work os
traemos este post, el cual me pareció interesante, sobre todo por la
explicación detallada y sencilla que los chicos de Security Art Work siempre
aportan. Este año de este blog me quedo con la resolución
al ejercicio Heap 03 de Exploit-Exercises. Como aporte extra decir que este
blog siempre ha tenido mi atención por el nivel técnico y de presentación que
siempre aportan a su contenido, totalmente recomendado. Para los que queráis
empezar en el mundo del exploiting, os recomiendo este libro: Linux Exploiting.
Técnicas de explotación de vulnerabilidades en Linux para la creación de
exploits.
No me puedo olvidar de HackPlayers, encabezado por Vicente,
siempre proporcionándonos horas y horas de lecturas interesantes y prácticas.
Uno de los artículos que más me gustó este año fue el de como evadir
un portal cautivo mediante un túnel DNS, escrito por Vicente. Flu Project
siempre ha tenido una gran relación con este blog, incluso conociéndonos en la
antigua, y mi querida, Informática 64, un viernes por la tarde ;)
Otro blog del que no me puedo olvidar en este resumen breve,
pero intenso de la seguridad, es de pentester.es,
el blog de José Selvi. Tuve la suerte de coincidir
con José en León, en el ENISE 7, y fue un honor y un placer para mí
compartir mesa redonda con él. Cada entrada que sale es una fuente de
conocimiento, y por ello, ha sido complejo elegir una, por lo que me quedaré
con dos, por un lado por ser una herramienta que he utilizado bastante, me
quedo con el estudio
del nuevo meterpreter para Android. Por otro lado, me quedo con la serie de
SQL
Injection hasta la cocina – Oracle.
También quiero
recordar los 7 años de DaboBlog, que ahora mismo está a unos días de los 8
años. Tuve el placer de desvirtualizar a Dabo en el ENISE 7, también tuve la suerte de coincidir
con él en la mesa redonda, y es una persona que no defrauda a nadie, un tio
sincero, que va de frente y eso siempre es de premiar. Dabo, gracias por
acercarme al tren, aunque eso hiciera que casi no lo cogiera a tiempo ;) Y que
sean muchos más años de DaboBlog!
El nacimiento de HighSec,
un espacio llevado por Roberto y Eduardo, el cual me ha tocado de cerca. Una
comunidad muy interesante, la cual parece tener vida para años y años, supongo
que tomará el testigo de otros muchos que han ido aportando su granito al mundo
de la seguridad informática en España. De ellos me quiero quedar las ganas e
iniciativas para comerse el mundo, ánimo!
En lo que a libros se refiere no me quiero olvidar de mi
gran amigo, el ninja más famoso del ámbito mundial en seguridad, Metasploit
para Pentesters, el cual se encuentra en segunda edición (me pilló muy por
sorpresa, grata sorpresa). Aunque, uno que también me ilusiona mucho, y creo
que será un imprescindible para la gente en 2014, es el reciente libro
de la FOCA y la liberación de la FOCA Final Version por parte de
11Paths.
En Flu Project ha sido nuestro tercer año y nos vamos
haciendo mayores, pero creo que aún hay cuerda, y nos gustaría dejaros algunas
noticias interesantes que hemos tenido este año publicadas por nosotros:
- Generando nuestro propio screenshot para Meterpreter. Aprende a programar tus módulos de Metasploit y scripts de Meterpreter.
- 0-day FreeSSHd Authentication Bypass: Pivote + Zero Day.
- La radio con Pilar Movilla y Flu Project. Gran tarde con Pilar.
- Uno de los artículos más interesantes: Login y ataques CSRF.
- ¿Cómo ser System en Windows 7?
- Para los amantes del forense, como los del buen café, recopilatorio de herramientas Forense para ser un buen CSI.
- Para los amantes del forense, otra vez, Volatility Framework: Old ZeuS Malware.
Por último, y ya que soy parte de Eleven Paths, deciros que Latch será uno de los productos del
2014. Será imprescindible para cualquier usuario y con la que lograremos
acercar el mundo de la seguridad a cualquier usuario, sea cual sea su
conocimiento. He aquí la magia de la informática y lo importante de ello, todo
el mundo la usa y la necesita, nosotros tenemos que hacer que la informática
sea lo más sencillo para todos, manteniendo la seguridad.
Sé que hay miles de noticias interesantes que nos dejamos,
pero hoy hemos querido recordaros éstas. Recordad, estas navidades mucha
familia, amigos, mucho vino, cuidado con la carne y sobretodo, recordad
tapar la webcam o si no… poneros
sexys!