No Coin.- No en mi navegador noooooo.

Hace ya varios meses os hablamos de MinerBlock una extensión para Chrome y Opera que evitaba que se activaran, al acceder a ciertas páginas, scripts destinados al mineo de criptomonedas en nuestro navegador. 

Pues hoy para los usáis/usamos también Firefox os voy a recomendar NoCoin 

Aquí tenéis el enlace al repositorio, a los botones de descarga y a mucha mas información de como funciona esta extensión. 

•  https://github.com/keraf/NoCoin

Sed Buenos ;)

¿Qué hay detrás de la VPN de Opera?

Hace unos días me sorprendió la noticia de que el [navegador Opera incluía una VPN] ya configurada para que todos los usuarios pudieran navegar con seguridad. Algo asó como el TOR Browser y Firefox pero sin la capa de anonimato.  Es una buena idea, pero ya que sabemos un poco de esto, ¿Por qué conformarnos con la noticia si podemos arañar un poco mas?

Por suerte Michal Špaček ha subido en su Git-Hub unas notas muy interesantes sobre esta "investigación" y es que además adjunta hasta los .json. 

Haciendo un poco de resumen de las notas ya que me interesa que os las leáis, solo decir que:

• Opera envía múltiples peticiones a la API de SurfEasy para pedir la IP del proxy.
• A partir de ese momento  el navegador se comunica con el proxy con el dominio de0.opera-proxy.net
• La autenticación se realiza mediante la función sha1(device_id):device_password, donde el device_id y el device_password son diferentes para cada instalación de Opera. 
• Así que no nos estamos conectado a una VPN si no a un servidor proxy con el HTTPS protegiendo el trafico entre el navegador y él.

Enlace a la fuente para que podáis darle caña a mi opinión: 

• https://gist.github.com/spaze/558b7c4cd81afa7c857381254ae7bd10

No es la primera vez que que nos dan gato por liebre, pero normalmente no me importa si el gato está bien hecho y creo que ya podéis intuir un poco por donde voy. Si, tener una VPN o proxy es básico para conectarnos a Internet de una forma apropiada.  Pero, mi instinto paranoico me hace desconfiar de esa función de hash con SHA1 la cual es teóricamente vulnerable y a mi opinión  e la siguiente de la lista en caer. Aix, si es que no hacemos los deberes bien y seguro que tiene su explicación, pero creo que no hubiera costado nada aplicar SHA2 mientras estaban realizando la Fusión con la "VPN". 

Sed Buenos ;) 

¿Pueden Rastrearte Tu Navegador?

Hoy es navidad, el día por antonomasia del turrón y las cosas ricas y seguramente ahora estarás sentado delante de tu ordenador mirando blogs para ponerte un poco al día. Así que, ¿Te animas a comprobar si las compañías pueden rastrear lo que estas haciendo?

En el foro de [Undercode] se han hecho eco de la pagina web Panopticlick la cual ofrece un rápido escaneo de tu navegador para ver si es rasteable y en caso de serlo proponerte que utilices su extensión para evitarlo. 

Por si teneis curiosidad aquí os dejo el enlace: 

• https://panopticlick.eff.org

 Sed Buenos ;)

Patas, Webs y Google Hacking.- "Full Disclosure"

Hace ya unos días jugando con el buscador de Google para ver si encontraba algo nuevo me di de boca con panel para el reset de contraseñas de una empresa. Vi que no existía ningún otro método de seguridad así que con solo buscar las direcciones de correo de la gente cualquier pingüino con patas podría bloquear la cuenta de sus trabajadores. Así que me dispuse a redactar un mail no sin antes haber recopilado mas información. 

Ahora, ya han puesto hasta tres fases de seguridad para que esto no pueda pasar. De esta manera y visto que ya no son tan vulnerables os copio el correo que envié como "Full Disclosure" (si se puede llamar así xD)

"Realizando la búsqueda avanzada inurl:"passwords" la aparece: 

• https://passwords.ogilvy.com/

Aunque afinando un poco mas la búsqueda con site:"ogilvy.com" inurl:"passwords" aparecen una mas y dos verificación del captcha:

• https://passwords.ogilvy.com/

• https://passwords-sharesquare.ogilvy.com/

• https://passwords-ibmams.ogilvy.com/captcha/image/

• https://passwords.ogilvy.com/refresh_captcha

Esta seria una buena practica si la web fuera una red social y tuvierais miles de usuarios registrándose y olvidando sus contraseñas todos los días. Pero creo que este no es vuestro caso. Así que sí esta pagina está indexada por Google se vuelve publica y de hacerse con una dirección de correo electrónico, permitiría a un atacante suplantar al propietario de dicha cuenta y/o al menos bloquearlo ocasionando problemas a la entidad.

Esto se solucionaría con el uso de un robots.txt o de la etiquetas HTML META.

También, sabiendo que vuestras cuentas de correo tienen el nombre de @ogilvy.com se pueden localizar hasta 617 resultados con la siguiente búsqueda avanzada: 

• site:"https://groups.google.com" intext:"@ogilvy.com"

Los resultados pueden contener la siguiente información y no los pongo por que si no este mail seria larguisimo:

• Firmas completas de correo electrónico (Nombre, cargo, teléfono, fax y ubicación)

• Direcciones de correo electrónicos

• Nombre de Empleados.

• Todo el contenido de los correos que se cruzaron en dichos grupos. (Algunos de confideciales)

Recuerdo que toda esta información está indexada por google, es publica para todo el mundo y es debido a que no se emplearon buenas practicas a la hora de crear el robots.txt o los grupos de google gruops.  

Deberían tratar de solucionarlo/prevenirlo (ya que es muy difícil que Google borre este tipo de información de sus servidores) y/o contactar con una empresa especializada en seguridad de la información"

Cualquier comentario es bienvenido.

Sed Buenos ;)

imagen.- Así Es Como Funciona Un Navegador.

Hoy repasando un poco mi Twitter he encontrada la que sea, posiblemente, una de las mejores explicaciones de como funciona un navegador. Ademas me encanta como está explicada y dibujada. 

Bueno, hoy toca una entrada  rápida y hacia mucho que no os ponía una imagen así de curiosa. Espero que a vosotros también os guste. 

Sed Buenos ;) 

Owasp Mantra.- El Navegador Para El Web Pentesting

Hoy buscando entre noticias y tweets he encontrado este navegador que, a decir verdad me ha alegrado mucho. No me ha dado tiempo a probarlo todo lo que me gustaría pero aquí os la dejo a ver que os parece. Se trata de un navegador especializado en el analisis de seguridad WEB.

¿Que contiene?

• Herramientas para el Information Garthening
• Herramientas para la Auditoria de Aplicaciones. 
• Un par de editores de codigo
• Utilidades Proxy 
• Utilidades de Red
• Información mas detallada de las Herramientas y utilidades que utiliza:
• http://www.getmantra.com/tools.html

Os dejo la descarga de este navegador aquí y yo voy a jugar un poco mas con el que tengo ganas y como he dicho, aun no he tenido tiempo para hacerlo: 

• http://www.getmantra.com/download.html

Sed Buenos con esto 0,) 

Oryon C.- El Navegador Para Invesitgadores.

Muchas veces me gusta entrar en la web de [ForensicFocus] una pagina que si no la conocéis y os gusta la Informatica forense no podéis dudar en visitar. Pero mas me gusta ver los nuevos juguetes que hay para descargar de tanto en cuanto. Hoy me ha llamado la atención un navegador Portable llamado Oryon C así que he esta jugando un rato con el. 

Por el poco rato que he podido trastear con ella me he dado cuenta que cuenta con un montón de extensiones instaladas o preinstaladas muy utiles, pero lo que mas me ha gustado es lo bien ordenadas las paginas de favoritos, las cuales están cuidadosamente seleccionadas para ayudarte en la investigación y que no tengas que preocuparte en acordarte de las direcciones o poder hacer la misma consulta en mas de una pagina, para contrastar falsos positivos. La verdad bastante util y si os gustan tanto los navegadores raros como a mi, sabréis apreciarlo.

¿Que contiene?

▪ Based on SRWare Iron version 31.0.1700.0 (Chromium)

▪ More than 70 pre-installed tools to support investigators in their everyday work

▪ More than 600 links to specialized sources of information and online investigative tools

▪ Additional privacy protection features

▪ A ready to use opml file containing a sorted collection of information sources in the fields such as: OSINT, Intelligence, online research, InfoSec, defense, and more.

Lo podéis descargar desde aquí:

• http://sourceforge.net/projects/oryon/?source=pdlp

También os he subido el pdf con documentación de este navegador que encuentras una vez lo has descomprimido a mega para que podáis leerlo antes de bajar la herramienta. 

• https://mega.co.nz/#!b4RkHRRA!ulGDY5UqAYX1efIRmLw9sKZ4SqfFU5lg_DSjXHC77-A

Sed Buenos ;)