SSHCheck .- Revisa tus conexiones SSH

Muchas veces no conectamos por SSH a nuestros equipos sin revisar correctamente si la conexión es segura o no. Por eso hoy os recomiendo SSHCheck, una aplicación web donde podemos auditar cualquier IP o Hostname que nos sepamos sin necesidad de abrir nuestro Nesus, OpenVAS o Nexpose.

Ademas la info que da es bastante completa sobretodo a lo que cifrados algoritmos de cifrado. Lo mira todo (claro está que no se pondrá a comprobar contraseñas por defecto) . 

Enlace a la la herramienta: 

• https://sshcheck.com/

Sed Buenos ;) 

Auditando SSH con Python

Si, Python ya es un lenguaje de programación digno para la seguridad informática y cada vez hay mas herramientas para poder probar ciertas vulnerabilidades en nuestros sistemas y así poder ver si estamos afectados o no.

Toda esta introducción ha sido solamente para introduciros a SSH-audit una herramienta de [Andris Raugulis] que nos permite sabes si un servidor en el cual se requiere que el puerto SSH este abierto, es seguro para su utilización. Ademas, solo dependemos de tener Python 2.6+ o Python 3.x y PyPy instalados en nuestro equipo así que va perfecto para hacer pruebas rutinarias. 

Usage: 

ssh-audit.py [-bnv] [-l <level>] <host[:port]> 

-1, --ssh1 solo comprueba ssh versión 1
-2, --ssh2 solo comprueba ssh versión 2
-b, --batch salida a batch
-n, --no-colors deshabilita colores
-v, --verbose salida en modo verbose
-l, --level=<level> minimo nivel de salida (info|warn|fail)

Mas información y descarga de la herramienta:

• https://github.com/arthepsy/ssh-audit

 Sed Buenos con esto 0;)

Cambiando de Puerto SSH con TOTP

Esto no deja de ser una broma muy loca que se le ocurrió a [Ben Cox]  (el cual tienes una web muy molona) como solución de seguridad para aquellos que utilizan el cambio de puertos automáticos para SSH como "Seguridad" por oscuridad. Cosa que se utilizaba el ejercito español hace unos años en una ponencia en 2011 (sobre el minuto 45:30), estoy seguro que deben haber mejorado mucho. Esto está bien pero y si utilizamos las maravillas de [TOTP] (Time-based One-time Password Algorithm) descrito en el [RFC 6238] y lo usamos para identificar ese cambio de puertos.

Pues eso es lo que hace la PoC de Ben Cox:

• Genera un contador TOTP 
• Toma el último dígito, si el resultado es mayor que 65536, vuelve a iniciar el contador 
• Añade una regla  de PREROUTING iptables para redirigir arriba ese número generado  
• Espera 30 segundos, retira la regla y repite.

La idea está programada en Go y la verdad es que tiene muy buena pinta y seguro que muchos podéis sacarle partido.

Enlace a la PoC:

• https://github.com/benjojo/totp-ssh-fluxer

Sed Buenos ;) 

Simulación De Un Worm SSH (#Python Of course)

Hoy rebuscado por paginas que tenia un poco olvidadas en los mas oscuro de mis marcadores, me he encontrado una entrada sublime sobre la creación de un Gusano/Worm para SSH utilizando Python. 

Limitando un poco hoy la introducción y poniéndome directamente en el tema, para poder inyectar este malware en a través del protocolo SSH harian falta tres puntos:

1. Analizar una nueva dirección IP y si SSH está funcionando oportunidad y fuerza bruta el usuario / contraseña
2. Si el gusano tiene éxito, a continuación, subir una copia de sí mismo con el host
3. Ejecute la copia, por lo que ahora puede escanear y hacer (1) - (3)

El creador del Worm simplifica estos tres puntos en las siguientes dos funciones: 

1. SSHDictionaryAttack ()

2. UploadAndExecute ()

Para atacar a SSH utiliza [la librería paramiko] para hacer un ataque de fuerza bruta a SSH2 pasandole un diccionario. (¿que, a que ahora veis mas guay el script de ayer? xD)

Código de esta función:

• https://gist.github.com/securitytube/5308280#file-sshdictionaryattack-py

Después solo harria falta crear un directorio en la maquina de la victima utilizando el SSH que hemos vulnerado para colar nuestro gusano. 

Código de función UploadAndExecute:

• https://gist.github.com/securitytube/5308423#file-uploadandexecute-py

El autor no revela el codigo del Worm pero si que deja muchísimas pistas de como hacerlo. Así que os dejo la fuente de esta entrada:

• http://hackoftheday.securitytube.net/2013/04/simulating-ssh-worm-using-python.html

Aquí tenéis una PoC para que veáis que realmente funciona el el gusano se replica:

Sed Buenos con esto 0;) 

Video.- Hacking Etico - Fuerza Bruta a SSH

Hoy revisando armarios he encontrado el primer libro que me compré sobre hacking. Era una guía de campo y fue durante unos años como un Grimorio para mi. No he podido resistirme ha echarle un ojo y a tomar una foto al ver todas las anotaciones y puntos de libro que estaban puestos. 

no se ve muy bien pero a la izquierda están las puntas 

estratégicamente dobladas. 

Este libro hablaba bastante sobre ataques de fuerza bruta así que empezando a buscar información para refrescar ese conocimiento me ha hecho mucha ilusión enocntrar una video demostración del Blog HackingEtico donde explican, paso a paso, como hacer fuerza bruta a un servicio SSSH con Hydra. Lo cual, es una de las cosas que hable con Snifer hace unos días y le pedí información. (Aún la sigo esperado ¬¬ Maldito dinosaurio)

Espero que os guste y no dejéis de pasaros por la fuente que son unos grandes:

• http://hacking-etico.com/2014/02/05/ataque-de-fuerza-bruta-ssh-con-hydra/

Sed Buenos con esto ;) 

MySQL y SSH Afectados Por Fallos De Seguridad

El investigador de seguridad Nikolaos Rangos a descubierto una serie de exploits que afectan a MySQL y SSH se cuentan un total de 10 exploits totalmente funcionales pero solo 5 seria necesario ejecutar código inyectado en una base de datos nuestra que tenga conexión a la red para que el experimento funcione.

Cinco de los errores permiten al atacante, haciendo uso de un exploit, acceso mediante una Shell con los máximos privilegios posibles que existan en el sistema. Sin embargo, algunos indican que es necesario una base de datos legítima para que el código que se inyecte tenga alguna repercusión en el sistema.

Dos de los 10 exploits permiten también llevar a cabo un ataque DoS contra la base de datos MySQL haciendo uso de una vulnerabilidad del día cero (vulnerabilidad relacionada con Java).

Además, existe otra que permitiría obtener nombres de usuario válidos en la base de datos y otras dos que afectarían al proceso de autenticación remota en FreeSSHd y FreeFTPd.

Fuente: http://www.redeszone.net/2012/12/04/exploits-de-mysql-y-ssh-son-publicados-en-internet/