lunes, 27 de febrero de 2017

[Slides].- Cazando Malware con Sysinternals

Hace mucho tiempo ya hablamos sobre [esta ponencia de Mark Russinovich] sobre como encontrar y cazar software malicioso gracias al paquete de herramientas para Windows, Sysinternal. a integración de estas herramientas con virus total se ve que ha dado sus frutos y ahora muchas utilizan este servicio para verificar si un archivo esta lanzando procesos maliciosos en cualquier punto en el que se encuentre el sistema. 


De esto tratan estas slides y son muy recomendables junto con la ponencia que os comentaba anteriormente: 
Sed buenos ;) 



domingo, 26 de febrero de 2017

HackThis Basic 4.- La magia de las imágenes

Domingo día de reto y hoy toca darle caña al HackThis Basic 4. Muchas veces las cosas no son lo que parecen y menos en el mundo de la informática. Para superar este reto tendremos que revisar las entrañas de una imagen para poder superar este reto.

Dicho esto os dejo con el vídeo donde Kazukun nos muestra como solucionarlo. 


Sed Buenos ;)

viernes, 24 de febrero de 2017

La "primera" colisión de SHA1

Hoy Google ha anunciado la primera colisión de la función de Hash SHA1. Bueno, la primera colisión pública desde que se [anunciara la vulnerabilidad teórica] en el año 2005. Me acuerdo que en la certificación sobre peritaje telemático forense ya teníamos como recomendación no usar SHA1 y nos prohibían el uso de MD5.

Para empezar, SHA1 es una función de hash muy famosa. Cuando pasamos una entrada (una cadena de caracteres por ejemplo) por dicha función ella nos devuelve un digest o salida en forma de cadena de caracteres que debería de ser única y de una longitud determinada.

Pues si al generar este digest con dos cadenas o documentos diferentes, el resultado es el mismo. Se dice que ha habido una colisión, que por definición en una función de hash segura no debería de pasar.




Pues eso es lo que ha conseguido Google aunque les ha costado un año conseguir. La verdad es que la entrada que han publicado al respecto es muy entretenida así que os recomiendo echarle un ojo ya que SHA1 no solo se usa para verificar documentos:

Sed Buenos ;) 

jueves, 23 de febrero de 2017

Kaspersky.- Top4 del Cibercrimen

Hoy es jueves, día de inforgrafía y hoy rebuscando por la redes me he encontrado con un top 4 de los incidentes de seguridad relacionados con el cibercrimen que, a mi opinión me parece muy acertado. Siempre va bien haceros sentir un poco de miedo, que si no os olvidarais de lo básico y ocurren incidentes.


Sed Buenos ;) 

miércoles, 22 de febrero de 2017

Blockchain.- Mas allá del Bitcoin

Hace bastante tiempo que os hice un resumen de que era blockchain y de como funcionaba esta magia nueva y extraña, la verdad es que me quede con las ganas de saber mas y cuando me vi el 11PathsTalks dedicado a esta tecnología ya me petó la cabeza. 


Siendo blockchain una base de datos distribuida donde "eventos digitales" donde gran parte de los integrantes verifican cada transacción que se realiza, Me queda mas claro que podemos almacenar toda información hecha hash sin pasar por un tercero que tenga que verificar la autenticidad de esa transacción, manteniendo así la seguridad y la privacidad de ambas partes


Así que os voy a recomendar el siguiente paper que me ha hecho ver algunos ejemplos fuera del bitcoin y de las transacciones monetarias, ademas de ser bastante técnico y llegar al terreno arenoso que son las matemáticas y que tanto influyen en nuestro trabajo.

Sed Buenos ;) 

martes, 21 de febrero de 2017

DataSploit.- Believe in OSINT

Si ayer hablábamos de la RogueSploit, una herramienta muy chula para montar un Rogue Ap tuneado, hoy toca hablar de DataSploit, un script que nos ayuda en nuestras tareas de OSINT cuando queramos saber mas sobre una Web en concreto o sobre una dirección de correo electrónico. 


¿Que hace esto?
  • Realiza un análisis OSINT de un dominio / correo electrónico / nombre de usuario / teléfono y obtiene información de diferentes fuentes. 
  • Correlaciona y corrobora los resultados y los muestra de forma consolidada. 
  • Trata de averiguar credenciales, api-claves, fichas, subdominios, historia del dominio, portales heredados, etc. relacionados con el objetivo. 
  • Utiliza scripts específicos (Si echais un vistazo en el GitHub veréis que todo lo que hace está dividido por scripts)/ lanza OSINT automatizado para datos consolidados. 
  • Dispone de una GUI y consola.

Ademas el uso es sencillo: 
  • python domainOsint.py example.com 
  • python domain_subdomains.py example.com
Ya sabéis que yo tengo una debilidad muy grande por el tema de OSINT  y que esté dividido por scripts en Python me ha maravillado. Ademas, cuenta con una documentación muy detallada de como instalarlo y lo que nos vamos a encontrar. 

Enlace a la documentación: 
Sed Buenos ;) 

lunes, 20 de febrero de 2017

RogueSploit.- Un Rogue AP con navaja suiza

Como ya os hemos advertido mucho nunca confiéis en una wifi publica ya que montar un AP y extraer toda la información que queramos de ella no nos llevará mucho tiempo y menos con RogueSploit de Francesco Grotti.


RogueSploit es un script creado para crear un punto de acceso falso, con un servidor dhcpd, spoofing de dns, redirección de host, browser_autopwn1 o autopwn2 o beef + mitmf.

El script ejecutará lo siguiente:
  • Aircrack-ng Suite
  • Dhcpd server
  • Metasploit Framework
  • Browser Exploitation Framework
  • dnsmasq
  • GNU / Linux based Operating Sistem 
  • External Wireless Interface like TP-Link TL-WN722N
  • Zenity
  • MITMF 
Es muy bonito, tiene una pizca de Python y tiene pinta de que quieren actualizarlo y mantenerlo durante bastante tiempo, Ademas de agregar funciones tan divertidas como BeEF.

Enlace a la herramienta: 
Sed Buenos ;) 

domingo, 19 de febrero de 2017

HackThis Basic 3.- Tu pide tu pide

Domingo día de vídeo y hoy Kazukun nos muestra como, manipulando peticiones POST, podemos conseguir acceder a ciertas paginas. Con estoy ya tenemos el Basic 3 de HackThis pasado. 



Sed Buenos ;)

viernes, 17 de febrero de 2017

Migrando a Tonto con 2to3

Hace un poco menos de tiempo hablamos de [como migrar código de Python 2.X a 3.X  gracias al script] que viene con la instalación por defecto de Python, 2to3.py. Es bastante fácil de utilizar y te ahorra mucho tiempo de quitar y poner caracteres. 


Pues como hoy es viernes y quiero trastear con la [CTF de  FWHIBBIT] me he dedicado a usar este sencillo script con Tonto mi asistente virtual que ya necesitaba una migración en condiciones.

Os dejo con el vídeo que ya os lo explica él. 


Sed Buenos ;)

jueves, 16 de febrero de 2017

[Inforgrafia].- Spyware y como protegernos

Spyware ese software que no deja de ser un virus pero no es tan maligno, ese software que normalmente viene con descargas de programas desde ciertas páginas y que como no molesta nos da igual pero puede ser un gran enemigo. Con esta inforgrafia aprenderemos  a como protegernos y sobretodo de como evitarlo.


Fuente y mucha mas información:
Sed Buenos ;)

miércoles, 15 de febrero de 2017

Ojo Que Windows ya no publicará sus famosos boletines.

Ayer por la noche estuve revisando Twitter a ver si veía algún atisbo de los boletines de seguridad de Windows. Pero mi gozo en un pozo. 


A partir de este mes de febrero Microsoft no publicará los famosos boletines de vulnerabilidades cada segundo martes de cada mes y pasará a un sistema mas directo para publicarlas en su portal Microsoft Security Response Center (MSRC) 

Así que, aquí tenéis el enlace donde podréis ver las nuevas vulnerabilidades: 

Aunque yo aconsejo hacerlo desde esta pagina ya que podremos hacer consultas un poco mas elaboradas: 
Sed Buenos ;) 

martes, 14 de febrero de 2017

Atari portfolio y Terminator 2

¿Os acordáis de la mítica escena de Terminator 2 donde John Connor y su amigo hackean un cajero automático con un Atari Portafolio? Pues un grupo de Hackers esta intentando reproducirlo gracias a la magia de RFID y una Raspberry Pi. 


El proyecto está subido a la pagina de [Hackaday.io] una página para compartir proyectos dedicados al desarrollo de hardware y en grandes rasgos, Atari portafolio se convierte en una shell para Raspberry Pi (gracias a la adaptación de su puerto paralelo) con la cual se controla el RFID,

Además parece que funciona: 


Enlace al proyecto y a mas información, yo lo seguiré de cerca: 

Sed Buenos ;) 

lunes, 13 de febrero de 2017

Trump2cash.- Trump, Python y la Bolsa


Os acordáis que hace años jugamos a [extraer información de Google Finance] y [publicar los valores del IBEX] en Twitter al segundo. (Lo cual, provoco que me cerraran la cuenta de Twitter con la que trasteaba al superar el limite de tweets permitidos.) Pues Max Braun le ha dado la vuelta a esto y lo a juntado con los Tweets de Trump.


Trump2Cash está escrito en Python y utiliza la API de Twitter para recibir notificaciones cada vez que Trump publica  un Tweet. Le hace un análisis del tono en el que va dirigido utilizando la API de Google Cloud Natural Language y el Servicio de consulta de Wikidata para proporcionar los datos de la empresa que es mencionada. Ademas, con la API de TradeKing realiza el comercio (venta o compra) de las acciones.

Enlace a la herramienta:
Más información sobre la historia de como se gestó esta herramienta (La verdad es que es muy curiosa): 

domingo, 12 de febrero de 2017

HackThis Basic 2.- Maldito User-Agent

Todos hemos trasteado a veces con el User-Agent, en mi caso casi siempre por privacidad pero como nos muestra Kazukun en este vídeo, también se pueden utilizar para acceder a páginas limitadas por tu User-Agent y así solucionar retos (O ver el contenido limitado para tu país).  

Más información sobre el User-Agent: 


Ahora se que os dejo con el vídeo: 


Sed Buenos ;)

viernes, 10 de febrero de 2017

Nueva vulnerabilidad en ...¿Pokémon Rojo/Azul?

Si, hoy la moda está en la vulnerabilidad de TicketBleed para f5 Big-IP pero ya me ha tocado pelear con ella esta mañana, así que ahora quiero mostraros algo un poco mas divertido. Ademas de esta vulnerabilidad ya [ha hablado largo y tendido el maligno] en su blog.

Cuando era pequeño me dio muy fuerte por el tema Pokémon y me acuerdo que siempre había una persona que iba por el patio fanfarroneando que tenia a Mew, que se había pasado no se que parte del juego o que había ido a un torneo y había ganado. Seguro que también lo habéis sufrido, pues con esta nueva vulnerabilidad podríamos haber borrado su partida.  Os dejo con el vídeo. 


Es un Glitch difícil de conseguir pero si se consigue acceder al offset F928 podremos ejecutar el siguiente código para borrar la partida de nuestro rival. Por lo que nos permitiría ejecutar código arbitrario. (En el vídeo lo explican mucho mejor que yo no llego a tanto)

Código:
Sed Buenos ;) 

jueves, 9 de febrero de 2017

[Infografia].- Identificar correos fraudulentos

La verdad es que muchas veces no hay pararse ni a mirar [cabeceras de correos electrónicos] para si ver si vienen de una fuente fiable o no. Por es OSI (Ya no me paro a describir las siglas) ha creado unos consejos muy simples y prácticos para, al menos empezar a sospechar. 

Os dejo con la imagen:


Fuente:
Sed Buenos ;)

miércoles, 8 de febrero de 2017

credmap.- OSINT en estado puro.

Hace tiempo que tenia en mente programar un script que pudiera buscar la pass de un correo electrónico a través de todas las fuentes públicas de contraseñas o en el mismo pastebin donde cada día se filtran muchas contraseñas y correos.


Aunque Roberto Garcia se me ha adelantado con credmap, una herramienta de código abierto que se creó para concienciar a los peligros de la reutilización de credenciales. Es capaz de probar las credenciales de usuario suministradas en varios sitios web conocidos para probar si la contraseña se ha reutilizado en cualquiera de estos.

Y ademas es facil de usar: 
  • Usage: credmap.py --email EMAIL | --user USER | --load LIST [options]
La verdad es que mola un montón y si tienes suerte puedes llegar a crear magia probandolo con algunas cuentas. Ademas, será que no hay miles de correos y users públicos en Internet para probar.

Enlace a la herramienta:

Sed Buenos ;)

martes, 7 de febrero de 2017

XSSPOSED Digievoluciona en OpenBugBounty

Hace mucho mucho tiempo, en la ahora parte oscura de este blog, os hable sobre una página dedicada a [recopilar vulnerabilidades del tipo Cross-site Scripting] en el cual si reportabas una vulnerabilidad eras recompensado con una imagen muy graciosa. 


Pues ahora, siguen manteniendo la mima imagen, pero no solo han cambiado de nombre a Open Bug Bounty sino que ahora hasta nos permite realizar una comprovación al certificado SSL/TLS de la pagina y ver si cumple con las medidas de seguridad oportunas. 


Así que esta entrada es solo para actualizaros la página y para animaros a revisarla de tanto en cuando que es muy divertida. No tanto como ZoneH pero si igualmente recomendable.  

Enlace a OpenBugBounty: 
Sed Buenos ;) 

lunes, 6 de febrero de 2017

Exploit para CVE-2017-0016 el 0'day de Windows

El viernes por la noche se liberó la vulnerabilidad CVE-2017-0016 la cual, por un fallo al tratar adecuadamente las respuestas de un servidor que contengan demasiados bytes de un server SMB permite a un atacante remoto provocar una denegación de servicio. 


Mas información acerca de la vulnerabilidad: 

Es un problema que seguramente se resolverá en las actualizaciones periódicas de Windows de la semana que viene y que afecta a Windows 8.1, 10, Server 2012 y Server 2016. Pero, también se ha liberado una prueba de concepto mas que un exploit público, así que vamos a poder jugar mucho con él. Ademas esta hecho en Python así que nada mejor para aprender. 

Enlace a la prueba de concepto programada por Laurente:

Sed Buenos ;) 

domingo, 5 de febrero de 2017

HackThis Basic 1.- La Pass y la imagen

Durante todos estos domingos ya nos hemos terminado con el top 10 de retos en HackThis y ahora Kazukun nos trae el primer reto donde un archivo no es lo que parece.


Lo mejor es que ya no estamos de exámenes y podemos disfrutar de estos vídeos comentados.

Sed Buenos ;)

viernes, 3 de febrero de 2017

Proyecto.- Programemos juntos a Tonto

Tonto es una PoC de asistente virtual que programe en una semana santa, en el blog de [Mi hora de código]. Bueno, la verdad es que subí un vídeo a youtube y la gente está respondiendo muy bien ayudándome un montón. Así que como había bastante gente que quería participar en la creación de este programa, hemos decidido abrir un foro típico para organizar los objetivos y hacer push a partes del código que nos parezcan mas chulas. 

Aquí tenéis un vídeo con una sorpresa: 


Y aquí tenéis el link del al foro por si queréis participar vosotros también: 
Sed Buenos ;) 

jueves, 2 de febrero de 2017

Confía en tu imágenes aboot de Android

Cuando se empezaron a poner de moda los Smartphones, me juntaba con gente a la que le gustaba mucho trastear con imágenes "tuneadas" de Android y recuerdo quedarme con unas ganas locas de jugar con esa tecnología. 


Este proceso ahora se encuentra bloqueado por algunos fabricantes para que no podáis modificar el Software del Smartphone pero si conseguís desbloquearlo que se país que es gracias al aboot (Aplication Bootloader) que es el encargado de dirigirnos a las opciones de recovery para poder cargar nuestra imagen.

Por si queréis una descripción más tecnica:
"aboot is a native ARM binary, which is wrapped by a very thin header, which is usually 40 bytes in length. This header provides metadata which is used by the SBL in the process of validating and loading aboot" 
Dicho esto, que me impediría a mi, si fuera malo, coger una de estas imágenes y  otorgarle poderes malignos. 

¿Poco verdad? pues gracias al Android bootloader (aboot) parser de [Nikolay Elenkov] podemos extraer los certificados de estas imágenes y comparar las firmas por si han sido modificadas. Por cierto esta herramienta está programada en Python 2.X y si queréis aprender a como estructurar el código de vuestras herramientas leeros el código del script. (Aunque llamadme fino, pero yo no hubiera usado tantos prints seguido. Es la única pega)

La comprobación es tan fácil como usar el siguiente comando:
  • python parse-aboot.py nombredelaimagen.img 
Y aquí teneis el enlace a la herramienta:
 Sed Buenos ;) 

miércoles, 1 de febrero de 2017

Dame un Exploit para el Kernel de Linux.

Existen miles de vulnerabilidades al año y por muy al día que estemos en este mundo, no creo, al menos yo, poder deciros de cabeza las 5 últimas vulnerabilidades con exploit público. Menos incluso si nos centramos solamente en Linux. 


Mariusz 'mzet' Ziulek ha "reprogramado" la herramienta linux-exploit-suggester un buscador de exploits que cuya idea principal fue de PenturaLabs en 2014. Marius lo ha modernizado y actualizado a 2017 con los nuevos exploits y vulnerabilidades. 

Muy útil y muy fácil de usar:
  • Usage: linux-exploit-suggester.sh [OPTIONS]
Enlace a la herramienta de Marius con muchísimas mas información y los puntos de mejora respecto a la versión de PenturaLabs: