Este blog ya no está activo, sigue informándote aquí:

lunes, 13 de octubre de 2014

La COPE, La Cache, The Archive y El Robot .txt

Hace unos día vi el siguiente tweet de la cope con su correspondiente contestación.


Que, unido a otro tweet que me he encontrado hoy sobre el robot.txt de la cope.es me ha activado el sentido arácnido.


Así que me he puesto a comprobar quien de los dos lados mentía. Estaba claro, pero tenia que hacerlo.  Lo primero que he hecho es comprobar el robot.txt a mano con lo que me he encontrado con lo siguiente. 


Bueno, pues si no me lo puedes ofrecer lo tendré que conseguir. Así que he utilizado el robot.txt Extractor de la herramienta [Parameter Fuzz] para obtenerlo y veréis que la similitud con la foto es bastante grande solo que ya han sacado ese enlace. 


Ahora ya me podía creer que lo habían tocado, al menos actúan rápido. Pero, como tenia la url, de la noticia la he buscado por la cache de Google y en la misma pagina pero nada solo me he encontrado con este error 404 tan sugerente.


Pues nada, como Internet es así de chulo y aquí no se escribe con lapiz sino con tinta indeleble. Me he dirigido a [The Archive] a ver lo que encontraba con la url www.cope.es el día 9 de noviembre (como se ve en el primer tweet). The Archive solo hizo tres Snaps con esa url y en ninguna de ellas estaba la noticia. Pero, si otra de menos alarmante e igual de falsa. 



Pero, al poner la url entera (www.cope.es/detalle/muere-la-auxiliar-de...etc) es otra cosa.


Así que no se quien es el pobre Community Manager de la cuenta de Twitter pero el o sus jefes se han cubierto de gloria. xD

Sed Buenos ;) 

domingo, 12 de octubre de 2014

ShellShock En Windows

El nombre largo seria Vulnerabilidad Command-injection para Command-Shell Scripts pero Shellshock en Windows me parece mas fácil de entender. Digamos que un usuario normal en una red podría asumir el control de sus servidores de archivos de Windows con sólo la creación de un directorio de nombre especial en uno de los directorios a los que tiene acceso.

Para explotar esta vulerabilidad es tan sencillo como crear una carpeta donde nosotros queramos, de la siguiente manera:

  • Abrimos a cmd y ejecutamos el comando de la siguente foma: md "NombreRandom&comando que queremos ejecutar".
    • Ejemplo:
      • md "StateX&calc&" 
  • Ahora nos movemos dentro de la carpeta con un cd:
    • cd "StateX&calc&" 

    • Con esto el &calc& abriá la calculadora una vez hagamos el siguiente paso gracias a %CD% una variable integrada en el entorno que muestra el directorio actual.
      • Hacemos un echo%CD% y veremos como se abre la calculadora. 
    Bueno, si hay algún paso que no ha quedado claro os aconsejo que os miréis este imprimir pantalla. Ademas, microsoft no tiene planteado lanzar un FIX así que mucho ojo con esto. 


    Para esta vulnerabilidad funciona por el motivo que el Shellshock de Unix así que, para quien no lo sepa aquí tenéis mas información: 

    viernes, 10 de octubre de 2014

    Video.- Hackeando Maquinas de Vending

    Muchas veces esperando en un hospital, aeropuerto, universidad e incluso el metro hemos visto estas maquinas dispensadoras de comida y bebida. Normalmente en estas maquinas suele quedarse el dinero sin darte tu bebida queriendo hacer de todo con la máquina menos vudú. Bueno, vudú también. 


    Pero bueno quien no ha intentado meter la mano a ver si podía coger el producto que ha pagado, pero ya sabéis como puede acabar eso: 


    Aunque también hay gente que se lo ha currado para poder Bypassearlas o Hackearlas pero como ya sabeis cada modelo y versión es un mundo pero aquí tenéis algunos: 




    Fuente: 

    Sed Buenos con esto 0;) 

    jueves, 9 de octubre de 2014

    Metadatos En LibreOffice

    LibreOffice es una suite ofimática de código libre creada por antiguos miembros de OpenOffice.org por miedo a que OpenOffice quedara sin continuación por culpa de la compra por parte de Oracle Corporation de Sun Microsystem. Así que, no es de extrañar que encontrarnos similitudes en la manera de anexar los metadatos. En el blog del maligno hay [muchísima información sobre los metadatos en Openoffice] y rebuscando por Internet he encontrado [los metadatos que podría extraer la herramienta extract ] de un .odt. 



    Metadatos de un .odt con la herramienta extract:
    $ extract documento.odt
    date - 2009-02-28T14:15:50
    creation date - 2009-02-11T20:37:02
    page count - 1
    software - OpenOffice.org/3.0$Linux OpenOffice.org_project/300m15$Build-9379
    mimetype - application/vnd.oasis.opendocument.text
    Así que siguiendo los procedimientos del blog del maligno y después de ver que LibreOffice también usaba el formato ODF (OpenDocument Format definido por OASIS), lo cual se puede ver utilizando un editor hexadecimal, utilizaremos cualquier herramienta que pueda extraer un .zip ya que ODF utiliza este formato para almacenar los archivos con los metadatos. 



    En la carpeta descomprimida nos encontramos con varias carpetas y archivos. Pero ahora, nos centraremos en el archivo llamado meta.xml 
    "meta.xml: Contiene metadatos relativos al documento y, como se indica en la ayuda del producto, este fichero no se cifra ni siquiera cuando el documento esté protegido mediante contraseña."

    Ahora abrimos el archivo. Os recomiendo que lo abráis con alguna herramienta como sublimetext ya que es un poco lioso y poner bien las etiquetas xml os ayudara a entenderlo mejor. 

    Darle a la foto para que se vea mas grande.

    La imagen se ve un poco pequeña pero si le dais un clic podéis ver que están los mismos campos que la herramienta extract ha sacado de un odt por lo que LibreOffice y OpenOffice utilizan el mismo sistema de anexión de metadata.

    Sed Buenos ;)

    Windows 10 Tecnical Preview y Su Keylogger.


    Pues si, la versión Tecnical Preview de Windows 10 viene con una grata sorpresa. Según su política de privacidad Windows sera capaz de captar el nombre, el correo electrónico, preferencias de uso, intereses, navegación e historial de archivos, llamadas de voz, mensajes SMS, cambios en la configuración y resultados de los sensores de tu equipo. 

    Esto mismo ha hecho que no quiera probar Windows 10 en mi equipo actual y dudare mucho en pasar a la siguiente verisón hasta que me lo asegure otra fuente mas fiable que microsoft. Así que, mientras trato de tranquilizarme os dejo los mejores puntos de la política de privacidad de Windows 10.
    1. “Podemos recopilar información acerca de su dispositivo y las aplicaciones instaladas y utilizarlas para fines tales como la mejora de la compatibilidad y la experiencia de usuario” , “utilizar las funciones de entrada de voz como de voz a texto, podemos recopilar información de voz y utilizarla para fines tales como mejorar el procesamiento del habla “
    2. “Microsoft recolectará información acerca del usuario, sus dispositivos, aplicaciones y redes, así como de su uso. Entre esos datos podrían incluirse el nombre, el correo electrónico, preferencias de uso, intereses, navegación e historial de archivos, llamadas de voz, mensajes SMS, cambios en la configuración y resultados de los sensores“.
    3. “Si usted abre un archivo, podemos recopilar información sobre el archivo, la aplicación que se utiliza para abrir el archivo, y el tiempo que tarda en responder para fines tales como la mejora del rendimiento, o si introduce texto, podemos recopilar los caracteres escritos y utilizarlos para fines tales como la mejora de las funciones de autocompletado y corrección ortográfica”
    Sed Buenos ;) 

    martes, 7 de octubre de 2014

    UPM.- Mas Píldoras Formativas Criptored.

    El proyecto de píldoras formativas criptored que lleva la Universidad Politécnica de Madrid (UPM) es una iniciativa que desde siempre me ha encantado, la verdad es que en una época donde los jóvenes (me incluyo) consumimos muchos mas recursos audiovisuales que en formato papel o escrito, vale la pena encontrar información de calidad como la que se encuentran en esta píldoras educativas. 

    Os dejo las dos píldoras nuevas: 




    Reitero que a mi me encanta esta iniciativa y espero que aprendáis tanto como estoy aprendiendo yo. 

    Sed Buenos ;) 

    lunes, 6 de octubre de 2014

    Inteco.- El Servicio AntiBotnet de OSI

    Ya hemos hablado de [INTECO] bastantes veces en este blog pero nunca he caído en hablaros de la [OSI] la Oficina de Seguridad del Internauta. Esta oficina virtual se dedica a proporcionar la información y el soporte necesarios para evitar y resolver los problemas de seguridad que pueden existir en Internet. Así que si no sabéis como actuar cuando tengáis algún problema de seguridad dirigiros rápidamente a OSI. 

    Una vez hablado de esta oficina, me gustaría entrar en un servicio que me ha llamado mucho la atención y que, en mi opinion, va a ayudar a mucha gente. Se trata del Servicio AntiBotnet de OSI. Este servicio utiliza tu IP Publica para comprobarla con su base de datos de IP que utilizan las Botnet ya conocidas. De esta manera te podrán avisar si has sido o estas siendo una victima mas en una de las miles de Botnets que hay en el mundo 

    Mas Información: 
    Podéis descargaros el plugin para Google Chrome desde aquí:

    domingo, 5 de octubre de 2014

    El Dia Que Me Convertí En El Maldito.

    Hace unas semanas andaba liado impartiendo un curso sobre seguridad Informática y Hacking, totalmente combinado con el comienzo de la universidad y el otro trabajo. Así que, os podéis imaginar el tiempo que podía tener para este blog y el que tenia para realizar otros proyectos. Aunque, trabajar con el señor Snifer es muy entretenido la verdad es que podía dedicarme muy poco al proyector que estamos haciendo. De esta menera, cada vez que Snifer no me pillaba en el chat de Facebook o Hangout me dejaba un bonito mensaje con las palabras Maldito como ultima linea final. 

    Así que, al final lo he adaptado como mote y ya creo que es necesario para este blog,  he creado una pagina dedicada a las Erratas de este blog o a lo que me vaya pasando en el mundo de la seguridad informática en forma de MicroBlog. Un Twitter, pero dentro de este blog.  


    El Rincon Del Maldito será el nombre para esta nueva pagina web dedicada a los fallos y a mis tonterías espero que os guste y espero aprender un montón de HTML ya que la estoy haciendo desde 0. Espero que no os sangren los ojos con este primer diseño xD. 
    Hoy os pego el link pero para el próximo día lo tendréis debajo del titulo de este blog, en el apartado de paginas.  

    Sed Buenos ;) 

    Infografia.- Diferencias entre Hacktivista, Cybercriminal y Agente del Gobierno.

    Hoy mirando alguna infografia que me hiciera gracia para este blog, que ya hacia mucho que no ponía ninguna. Ademas, ya os he pegado bronca por no tapar la WebCam y por estar relajados en materia de seguridad informática. Así que, espero que os guste porque la verdad es que es algo peculiar. 


    Sed Buenos ;) 

    viernes, 3 de octubre de 2014

    BadUsb Attacks.- Código Fuente Liberado.

    Hace unos meses se habló mucho de una vulnerabilidad en las memorias USB dado que se podían ejecutar malware metido dentro del firmware del dispositivo. así una vez injectado el malware en el firmware solo hacia falta pinchar el USB a cualquier equipo. Para esto no hay solución a primea vista por lo que SR Labs no quiso revelar el código de este tipo de ataques pero dos investigadores de seguridad informática independientes, Adam Caudill y Brandon Wilson, utilizando ingeniería inversa lo han conseguido y lo han liberado.


    Descarga la PoC de la vulnerabilidad y su explicación:

    Fuente: 

    jueves, 2 de octubre de 2014

    WhatsApp Tracker Yo Toco WhatsApp Ni Con Un Palo.

    Los que me conocéis en persona supongo que estaréis hasta los mismísimos de tenerme que enviar sms o directamente llamarme por no utilizar un servicio con tan mala seguridad como WhatsApp. Bromas a parte, la verdad es que hace mucho que este servicio tiene severas fallas de seguridad y cada día, existen mas herramientas para vulnerarlas. Como por ejemplo WhatsApp Tracker.  (A los jefes os va a encantar xDD)


    "Es una herramienta que permite rastrear los últimos tiempos en línea del usuario. Para usuarios que tengan activa la última hora en línea, no es que sea muy útil, pues cualquiera puede ver cuando fue la última vez se conectó. Pero esta herramienta te permitirá saber también cuando fue la última vez que se conecto un usuario que tenga 'la última vez en línea' invisible."

    Comandos

    • php watracker.php

    Una lista con los comandos que actualmente tiene el programa:
    • -check < numero > Te muestra por pantalla la última hora en línea del usuario. (solo funciona con usuarios que tengan visible su última hora en línea).
    • -cRemote0 < tuNumero > < numero > Te muestra por pantalla la última hora en línea del usuario y manda un log al número que tu le asignes. (solo funciona con usuarios que tengan visible su última hora en línea).
    • -cHidden < numero > Te muestra por pantalla la última hora en línea del usuario. (Funciona para todos los usuarios, enfocado para los que lo tienen en invisible).
    • -cRemote1 < tuNumero > < numero > Te muestra por pantalla la última hora en línea del usuario y manda un log al número que tu le asignes. (Funciona para todos los usuarios, enfocado para los que lo tienen en invisible).
    Os la podeis descargar desde aquí: 

    miércoles, 1 de octubre de 2014

    The Box Bomb Challenge!!

    Esta mañana, curioseando por Youtube videos de la Defcon me soprendió ver un mini desafío que se hace en ese congreso llamado The Box Bomb Challenge. El cual consiste en desactivar una bomba, ofcourse que no esta cargada pero si se hace cualquier movimiento en falso lo detecta y hace saltar una alarma. Una pasada de desafío ¿Os imaginas ir a Navaja Negra, Rooted Con o NoconName para hacer este desafío? yo si y molaría mucho. 


    "The Box es un mini-concurso organizado dentro de la Defcon. La premisa es simple:  desactivar una bomba! Comete un error y ser explotará. The Box es un, extremadamente realista, desafío EOD que pondrá a prueba tus habilidades frente a una variedad de trampas, las alarmas, y con precinto de seguridad sensores."


    Mas información: 
    Sed Buenos ;) 


    martes, 30 de septiembre de 2014

    Shellshock Tester.- Comprueba Tu Servidor Con Una Url.

    Ayer mirando por mi twitter me encontré con esta página y aprovechando que hoy Snifer del blog Sniferlabs [ha sacado una genial recopilación de pruebas de concepto] basadas en Shellshock, me viene como anillo al dedo presentaros esta pagina. 


    Ya sabéis que shellshock es una vulnerabilidad que se ha parchado rápidamente en las distribuciones mas mantenidas en Linux, pero en sistemas muchos sistemas con sistemas embebidos aun son vulnerables. Así que podéis hacer la prueba en todos los que queráis con solo poner su url. Os dejo el enlace abajo. 
    Sed Buenos ;) 

    Support to John Draper/Captain Crunsh.

    Para los  que no conozcáis a este hombre, solo diré que está considerado como uno de los primeros hackers que hubo en el mundo. No me voy a extender mucho mas por que siempre podéis mirar la [wikipedia] por si queréis empaparos bien en la historia de este hombre.


    Ayer, salio la noticia que este hombre, que como podéis suponer ya es archi-famoso en la comunidad, estaba hospitalizado y le faltaba dinero para poder pagarse el tratamiento. Lo podéis ver en este vídeo. 


    La verdad es que suena un poco raro que de un mail y pida 5000 dolares para pagarse el tratamiento. (También es que hemos aprendido a desconfiar y mucho de este tipo de cosas) Pero después del articulo de hoy en [SecuritybyDefault] puedo decir sin llegar a ninguna duda que es cierto.

    Puestos a traer una buena noticia os diré que casi se ha duplicado la cantidad de donaciones para su enfermedad. Pero, por si alguno de vosotros aun quiere ayudar a alguien que ha dado muchísimo por la comunidad hacker os dejo el enlace a la campaña de crowdfunding que se montó hace unos días.

    Sed Buenos ;) 

    domingo, 28 de septiembre de 2014

    Parche Para SHELLSHOCK En Linux (Of Course)

    La famosa vulnerabilidad es bash que se matriculó como CVE-2014-6271 a sido recientemente apodada como ShellShock. Un nombre que a mi, personalmente,  me encanta. 


    Para los que no sepáis nada de este blog os dejo con una de mis slides que hice en modo resumen para la formación que estoy impartiendo.


    Como sabéis, las principales distribuciones Linux ya han sido parcheadas, pero es normal encontrarse distribuciones poco mantenidas o sistemas embebidos que aun requieran de dicha actualización.  Así que os dejo el parche para la vulnerabilidad para aquellos que aun tengáis un sistema vulnerable a este bug. 

    #!/bin/sh 
    # test: env x='() { :;}; echo vulnerable’ bash -c “echo this is a test”
    wget http://ftp.gnu.org/gnu/bash/bash-4.3.tar.gz
    mkdir src
    mv bash-4.3.tar.gz src/
    cd src 
    #download all patches 
    for i in $(seq 0 9); do wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-00$i; done
    for i in $(seq 10 26); do wget http://ftp.gnu.org/gnu/bash/bash-4.3-patches/bash43-0$i; done
    tar xfvz bash-4.3.tar.gz
    cd bash-4.3 
    #apply all patches 
    for i in $(seq 0 9); do patch -p0 < ../bash43-00$i; done
    for i in $(seq 10 26); do patch -p0 < ../bash43-0$i; done 
    #build and install 
    ./configure && make && make install
    cd ..
    cd ..
    exit
    Fuente:

    Sed Buenos ;) ¡Parchead insensatos!

    viernes, 26 de septiembre de 2014

    Slide.- Juro Que Es la Penúltima Entrada (IDS,IPS,Wireles, Peritaje)

    Ultimo de la formación antes del examen. Espero no ser muy cansino con las slides pero la verdad es que gran parte del tiempo que puedo dedicar a la seguridad informática al dia se ha ido en la creación de todas estas slides. Aun así, espero que os estén gustando a todos y que os sirva para aprender o refrescar algunos temas.

    Hoy le ha tocado el turno a los IDS/IPS, al Wireles en general y al Peritaje informático. Os dejo las slides. 





    Se que en la clase he dicho que hoy no estarian, pero he tenido un hueco xD

    Sed Buenos ;) 

    Slide.- Vulnerablidad Bash, Ataques en Ipv4 e Ipv6 e Introducción a Metasploit.

    Hoy os traigo tres slides mas en la s que estuve trabajando ayer para la formación de esta tarde. Para esta sesión faltaban bastantes cosas por comentar debido a la cantidad de practicas que no he podido hacer por culpa de los equipos de los que dispone mi aula.

    Hoy he querido llevar la vulnerabilidad bash que salió ayer para que la vieran y explicarla un poco. pero como tampoco tenia ninguna distribución UNIX he eludido la practica pero he hecho la Slide un poco mas divertida. 


    Luego, como ya había cargado el metasploit después he querido explicarles el funcionamiento de metasploit y un poco de historia que nunca viene mal. 


    Para acabar les he dado un poco de caña con algunos ataques en Ipv4 e Ipv6 por que me parecia una tontería hablar de Arp Spoofing sin entrar en Ipv6. 


    Espero que os gusten o os hayan gustado. 

    Sed Buenos ;) 

    miércoles, 24 de septiembre de 2014

    Great Fire.- ¿Qué Páginas Podría Ver En China?

    Como ya sabéis la mayoría, China es famosa por tener la mayor restricción de paginas de Internet o cariñosamente llamada el gran Firewall chino. Así que si viajáis alguna vez a china, pensad bien que paginas web vais a tener que utilizar o id bien equipados con un buen proxy y una buena vpn por lo que pueda pasar. 



    El otro día viendo un articulo donde informaban del [bloqueo del buscador DuckDuckGo]. Me quede con la pagina web Great Fire. La cual, permite probar si una url esta bloqueada en dicho firewall y hasta nos hace una estadística y un calendario del grado de posibilidad que hay de que este bloqueada y en que días la bloquearon. 

    Os dejo el enlace aquí por si lo queréis : 
    Sed Buenos ;) 

    martes, 23 de septiembre de 2014

    Slide.- (Sniffing, Spoofing y Hijacking) Advance Edition

    Hoy, a tres clases de acabar la formación, hemos entrado en el mundo del Sniffing, Spoofing y del Hijacking y como quería profundizar un poco mas en cada uno de ellos y también quería que vieran los tipos de Spoofing y Hijacking pues, he creado es slide llamada Advance Edition en un alarde de fantasía y creatividad. La verdad es que la slide es algo densa y que algunos me han preguntado si subiría las Slides a este blog. Así que, os la dejo por aquí y ya sabéis que si hay alguna cosa para mejorar no dudéis en decirlo por lo comentarios. 


    Para los que también me han preguntado por las anteriores y por el tema de las "chuletas" y para los que queráis profundizar un poco mas en el mundo de la Seguridad Informática. Os dejo el ssiguienteenlace a este blog para que podáis ver el Pack Completo de estas slides. 
    Espero que os gusten y Sed Buenos ;) 

    lunes, 22 de septiembre de 2014

    ¡Hola Vengo a Hablar De Su Libro! ¡Python!

    Hemos hablado alguna vez que otra de [adastra] y de su blog [TheHackerWay] bastantes veces, pero hoy me alegro mucho de poder anunciar que el su libro "Python para Pentesters" ya esta para comprar en la tienda de [0xWord].  Ya sabéis lo que adoro Python así que si ademas lo juntas con el Pentesting es aun mejor. 


    La verdad es que tengo un poco de envidia sana. Pero, me encanta que una persona como adastra que ha trabajado tanto en su blog con toda la información escrita y en video que proporciona consiga realizar proyectos como estos. Estoy deseando leerlo y aprender de todo lo que pueda.  Os lo recomiendo. 

    Sed Buenos ;) 

    domingo, 21 de septiembre de 2014

    Video.- GeoHot y The Great Pictoctf Race

    Hace unos dias [Geoge Hotz] y [Ricky Zhou]  trataron de hacer en directo, a través de [Twitch] un exploit para una [vulnerabilidad en Mozilla]. Lo bueno es que, al usar Twitch para su emisión en directo también quedo grabada por lo que se puede ver siempre que queramos. Os dejo uno de los primeros videos embebidos aquí  y si os pica la curiosidad, teneis los otros al lado derecho. 



    Fuente:


    Sed Buenos ;)

    sábado, 20 de septiembre de 2014

    Slide.- ¿Para Que Me Van A Atacar a mi?

    Creo que esta es la primera entrada que hago a estas horas, pero ya dije que mantenía el una al día. Por lo tanto, aqui os dejo las slides que he creado para la formación de esta tarde. No dejan de ser un refrito de la antigua serie de entradas [¿Para Que Me Van A Atacar a mi?] pero me han ayudado a que ahora los alumnos puedan dar respuesta a esa pregunta tan irritante.

    Os dejo las Slides aqui:


    Espero que os gusten. 

    Sed Buenos ;) 

    jueves, 18 de septiembre de 2014

    Guia Para el Desarrollo Seguro OWASP

    Al final OWASP me va a tener que patrocinar,  pero la verdad es que me he estado poniendo al día con esta metodología y estoy descubriendo las ventajas. No suelo recomendaros guías como esta ya que, aveces, se me hacen muy lentas de leer o de interpretar y pienso que si algo no me ha resultado del todo interesante a mi no creo que deba estar en este blog.


    Pero esta guía me parece imprescindible. A día de hoy, donde cada vez mas gente sabe programar y autopublicarse, muchas veces se obvia la parte de seguridad. Claro, después pasa lo que pasa.  

    "La nueva guía del desarrollador 2014 es un libro sobre los "primeros principios" y no está específicamente orientado a un lenguaje de programación aunque sí hay temas muy específicos sobre diferentes lenguajes, tales como opciones de configuración o sobre cómo aplicar los principios básicos de seguridad sobre sistemas y aplicaciones."

    Así, si lo veis interesante, os dejo el enlace de la fuente de esta entrada:

    Si os la queréis descargar ojear: 
    Sed Buenos y estudiad esto, que yo lo haré ;)

    miércoles, 17 de septiembre de 2014

    Slide.- Breve Introducción al Footprinting

    A finales de julio os presenté una serie de Slides para una formación sobre Seguridad Informática y Hacking que ahora mismo estoy impartiendo, La verdad es que me encantaría darles a mis alumnos una buena pasada por el mundo de la seguridad informática. No solo quedándome en lo básico y en lo malo que es el malware y como funciona si no, profundizar un poco en el mundo del pentesting. 

    Por eso, hoy me he dedicado a recopilar mas información y pensar un par de practicas mas. Os dejo las Slides y ya sabéis que si veis cualquier cosa que debería estar (pensad que es una visión rápida) lo podéis dejar en los comentarios. Es una Slide pensada para explicar la fase de Footprinting. 


    Sed Buenos ;) 

    OWASP Xenotix XSS Exploit Framework

    Hace unos días que os expliqué quien era [Ajin Abraham y como funcionaba el bonito Keylogger] que el mismo programo en Python. Así que hoy toca ver el verdadero motivo por lo que empecé a curiosear en el trabajo de Ajin. El Framework OWASP Xenotix XSS Exploit, un banco de trabajo para  la detección y de la explotación de Cross Site Scripting (XSS).


    La verdad es que es un Framework con un montón de detalles y muy versátil gracias a la cantidad de módulos que, son muchos  para  copiaros aquí. Así que os dejo el enlace a las características herramienta y su descarga. También, aunque sea de una versión un poco anterior os aconsejo que veáis el vídeo que congo el mismo creador de la herramienta explicando los módulos y su funcionamiento,  no tiene desperdicio. 

    Enlace: 


    Sed Buenos con esto 0;) 

    martes, 16 de septiembre de 2014

    Tips De Seguridad Para WordPress.

    Hoy me ha encantado toparme de cara con unos consejos/Tips de Seguridad para toda la gente que tenemos o hemos tenido un WordPress y no hemos sabido bien como gestionarlo o defenderlo de una manera que no nos dedicara mucho tiempo. Así que os dejo estos 24 tips. 



    1. Manten tu blog en un subdominio.

    2. Mueve el directorio wp-content.

    3. No utilices el nombre de usuario 'admin'.

    4. Mantener instalaciones de plugin a un mínimo.

    5. Mueve el archivo de un directorio wp-config.php para arriba, fuera del directorio raíz web.

    6. Apagua listado del directorio en tu servidor web.

    7. Asegurar que los archivos TimThumb están al día.

    8. Usar un plugin de entrada de bloqueo.

    9. Extraer el archivo readme.html.

    10. Manten el WordPress y sus plugins actualizados.

    11. Administración a través de SSL. (Porfa Please)

    12. Uso de un usuario sin privilegios de base de datos para la funcionalidad que no sea administrador. (Necesita alguna modificación WP)

    13. No utilices el prefijo de tabla por defecto 'wp_'.

    14. Mantener a los usuarios privilegiados al mínimo.

    15. Quitar el número de versión de las etiquetas de generador (página índice y RSS).

    16. Añadir una capa de protección al directorio wp-admin y el archivo wp-login.php con la autenticación básica HTTP.

    17 Desactivar el editor de temas y plugins.

    18 Utilice sólo los plugins del directorio oficial.

    19. No guarde copias de seguridad en las guías públicas.

    20. Remove 'Powered by WordPress "de pie de página del blog.

    21. Habilitar X-Frame-Options para los usuarios no autenticados.

    22. IP lista blanca el archivo wp-login.php.

    23. Utiliza una contraseña segura

    24. Revisa las cabeceras enviadas por el servidor web

    Si quieres saber el porqué te recomiendo que leas la fuente de estos Tips/consejos que seguro que te gustaran. Os la dejo aquí abajo.  

    domingo, 14 de septiembre de 2014

    Twitch y El Malware que Vaciaba Cuentas de Steam

    Hoy he dado una vuelta a la recomendadísima página de [elhacker.NET] y me he encontrado de cara con la noticia del Malware que anda vaciando cuentas de [Steam] (Una plataforma de distribución digital dirigida a los videojuegos) utilizando los chats de [Twitch] (Un plataforma de emisión de vídeo en directo/streaming enfocada a los videojuegos también). Twitch es una plataforma que yo suelo utilizar para entretenerme o para escuchar algo de fondo mientras estoy programando, experimentando o simplemente porque tengo ganas de verlo. Así que, esto me interesaba de primera mano. 


    La verdad es que el funcionamiento de ese malware no es nada complicado. Utilizaban un bot para Twitch que se encargaba de spamear un enlace en diferentes chats ofreciendo una concurso semanal para poder obtener la nueva versión del Counter Strike. Este enlace te llevaba a un programa en java donde te pedían el nombre, el correo electrónico y que aceptes "El permiso para publicar el nombre del ganador". Después de enviar los datos y de que "te den las gracias por participar", el programa empieza a soltar y ejecutar binarios para hacerse con nuestra cuenta de Steam. 



    Propiedades de este Malware: 
    • Aceptar solicitudes de amistad pendientes en Steam 
    • Iniciar la negociación con nuevos amigos en Steam 
    • Comprar objetos, si el usuario tiene el dinero 
    • Enviar una oferta comercial 
    • Aceptar la espera de las transacciones comerciales 
    • Vender objetos con un descuento en el mercado 
    Por lo tanto, ya podéis deducir lo que pasaba con las cuentas. Se pillaba una victima, se le vendían los objetos y el atacante ganaba dinero fácilmente.

    Espero que después de esto no le deis a cualquier enlace que se os ponga delante de la cara. Si queréis mas información os dejo la fuente de la noticia aquí abajo.

    Sed Buenos ;) 

    viernes, 12 de septiembre de 2014

    Python.- Xenotix Python Keylogger For Windows

    Ayer, ya bastante entrada la noche,  me dio por entrar en la página de [OWASP] y empece ha ver videos hasta que acabe en el siguiente. 


    En este video, Ajin Abraham (un Security Researcher creador de muchas herramientas chulas) nos explica como configuar el Keylogger que el ha creado. La verdad es que es una herramienta muy interesante ya que no es el típico Keylogger sino que esta escrito en Python (<3) y podemos configurar hasta cuatro opciones dependiendo de lo que queramos hacer con el. 


    Opciones del Keylogger: 
    • Local:
      • Funciona como un keylogger normal dejando un .txt en el directorio desde donde ejecutes la herramienta. 
    • Remote:
      • Utilizando la librería urllib/urllib2 y una url de Google Drive (que esta claro que tendrás que darle los permisos correspondientes) la herramienta nos enviará las pulsaciones de teclado a la fila del documento de Gooogle Drive que nosotros le indiquemos. 
    • Email: 
      • También contiene un pequeño smtp de gmail y solo hace falta ajustar los parámetros SERVER,PORT,USERNAME,PASSWORD y TO para que nos lleguen los log del keylogger a la cuenta que nosotros deseemos
    • Ftp: 
      • Lo mismo que email pero utilizando nuestro server ftp aunque hay que configurar mas cosas. SERVER,USERNAME,PASSWORD,SSL OPTION y OUTPUT DIRECTORY 
    Cuatro opciones, ejecutable con un comando+opcion y util ¿Qué mas podemos decir?. Os dejo el GitHub de Ajin desde donde os podéis descargar y jugar con el Keylogger. 

    jueves, 11 de septiembre de 2014

    Utilizando Yandex Como Web Proxy

    El otro día estuve arreglando es script para automatizar el [Hacking de Buscadores] y para ello quería implementar [la recopilación de buscadores] que os presente hace unos días. Pero, la verdad es que me atasque. Así que, me puse a jugar con Yandex, el buscador ruso y su Traductor.


    Si, tiene las mismas propiedades que el traductor de Google, de las cuales [ya os hablé hace mucho] tiempo cuando os explique como usar Google Translate como Proxy. Pero con un pequeño cambio.

    Si os acordáis, al utilizar el traductor de Google nos damos de cabeza con un proxy transparente y para que nos sirve ser anónimos si "ellos" tienen nuestros datos.


    Pero Yandex, para que van los rusos a invertir en proxys (xD) la gran pregunta es. ¿Os fiáis?


    Que sepais,  que si utilizáis este sistema para entrar en Google no os deja ni a tiros. Es una curiosidad que quería dejar en este blog, ya que me lo pase bien jugando con el.

    Sed Buenos ;) 

    miércoles, 10 de septiembre de 2014

    ¡OJO!.- Cinco Millones de Cuentas de Google Filtradas. (Mira el TXT y Comprueba)

    He llegado esta noche a mi casa después de entrenar cuando, de repente, mirando la lista de correos de la rooted he entrado en pánico. Cinco millones de cuentas de Google filtradas con contraseñas y todo. Mañana supongo que saldrá la historia por algún lado pero ahora toca correr. 

    ¡Ya puede cundir el pánico!

    ¿Que puedo hacer para saber si mi cuenta ha sido Hackeada o no?
    1. Descarga el dump de la lista desde este enlace de Mega. Es un .zip, descomprimidlo, abridlo e id a Edición > Buscar si habéis abierto con el Bloc de notas de Widnows. 
    2. Si esta tu correo teme y ve corriendo al Dashboard de Google para cambiar tu contraseña.
    3. Por ultimo, para quedarnos seguros de que no ha habido ninguna intrusión, os recomiendo mirar la Actividad Reciente de vuestra cuenta.
    4. Ya puedes respirar xD

    Lamento esta entrada tan expres pero creo que ahora es útil. 

    Sed Buenos. 

    Shhhhh ... ¡Cifrar! ... ¡Es Cifrar!

    Supongo que todos habéis hablado con ese tipo de informáticos que se creen que tienen la razón y has de aguantar sus negativas cada vez que explicas algo incluso sin tener la razón. Ademas, le tendrás que aguantar decir encriptar cada dos frases. Esto me pasó este fin de semana y fui lo suficientemente cortes como para desviar el tema hacia otro lado y dejar de hablar de informática. 

    Así que, para todos aquellos que aun seguís diciendo encriptar porqué vuestro "profe" os lo dijo. Os voy a recomendar estos dos videos de la Univesidad Politecnica de Madrid donde creo que se explica por si mismo, 




    Para aquellos que aun no lo tenga nada claro esto de cifrar os recomiendo que os leais estos dos libros de Claude Shanon: 

    Sed Buenos ;) 

    martes, 9 de septiembre de 2014

    Videos.- Tapad La Cam De Una Vez ...

    Como muchos sabréis ya, ayer Chema Alonso alias [El Maligno estuvo en el Hormiguero], ese programa guay de Antena 3 que antes estaba en Cuatro y le preguntaron por la "pegatina" que llevaba tapando la Cam del portátil.  La respuesta ya la sabéis todos, pero por si ha habido algún rezagado os aconsejo ver estos videos.


    La verdad es esa, pero también sabemos de primera mano que no solo son los "cyberdelincuentes" y que cada vez mas países están utilizando malware con fines legítimos para capturar a cybercriminales. Una acción que veo totalmente correcta, siempre y cuando haya una orden de un juez de por medio, todo el tinglado legal y se lo tenga merecido. Como por ejemplo, nuestro querido Flu-AD. 



    Espero que os haya quedado claro para que algunos tenemos tapada la WebCam y el Micrófono y espero, aun mas,  que la tapéis vosotros esta noche.

    Sed Buenos ;)

    lunes, 8 de septiembre de 2014

    NetBios.- Deshabilítala o Muere

    Hace unos días me invitaron al piso compartido de unos amigos y al verme con el móvil me insistieron para que me conectara a su Red Wifi. Al estar dentro lo primero que hice fue escanearla fon [Fing] una app para scanear redes. La verdad es que no encontré gran cosa si, poseían un servidor y la tele LG también estaba conectada a la red pero, estaba bien hecha nada que pudiera hacer sin un portatil. Aunque, había un detalle que a muchos hemos dejado de lado y es el tema de la NetBios. 


    "NetBIOS, "Network Basic Input/Output System", es, en sentido estricto, una especificación de interfaz para acceso a servicios de red, es decir, una capa de software desarrollado para enlazar un sistema operativo de red con hardware específico. NetBIOS fue originalmente desarrollado por IBM y Sytek como API/APIS para el software cliente de recursos de una Red de área local (LAN). Desde su creación, NetBIOS se ha convertido en el fundamento de muchas otras aplicaciones de red."
    Esto desde fuera no tiene ninguna repercusión pero si alguien se colara en una red ajena, scaneara dicha red y encontrara una NetBios abierta vería una puerta abierta. 

    Mas información de como realizar el ataque:

    ¿Como Deshabilitarlo? (Windows 8.1)

    Es tan fácil como ir a Panel de control > Centro de redes y recursos compartidos > Cambiar la configuración del adaptador > Elegimos el adaptador (Ethernet/802.11) > Boton Derecho > Propiedades > Protocolo de Internet versión 4 > Propiedades > Opciones Avanzadas > WINS > Deshabilitar NetBios a travez de TCP/IP

    Para otros sistemas os dejo el enlace al foro de DaboWeb y con los puertos que deberíais bloquear en el Firewall: 
    Espero que os haya servido y Sed Buenos ;) 

    domingo, 7 de septiembre de 2014

    Tinfoleak.- Obteniendo Información De Twitter

    En la ultima entrada hablamos de como distribuía Twitter los metadatos y cual ha sido mi sorpresa que hoy, al leer el mail,  me he encontrado con el comentario de "[Richard Langly]". El cual me recomendaba Tinfoleak, una herramienta hecha por [Vicente Aguilera Diaz] CEO de [Internet Security Auditors] muy versatil y capaz de sacar toda la información que queramos de la cuenta de Twitter que nos apetezca. Ademas, está desarrollada en Python. No puedo pedir nada mas. 

    Extracción de la información básica de una cuenta

    Detalles de todo lo que puede extraer esta herramienta: 
    • basic information about a Twitter user (name, picture, location, followers, etc.)
    • devices and operating systems used by the Twitter user
    • applications and social networks used by the Twitter user
    • place and geolocation coordinates to generate a tracking map of locations visited
    • show user tweets in Google Earth!
    • download all pics from a Twitter user
    • hashtags used by the Twitter user and when are used (date and time)
    • user mentions by the the Twitter user and when are occurred (date and time)
    • topics used by the Twitter user
    Os he puesto lo de enseñar los Tweets en Google Earth porque, mientras estaba estaba jugando con la herramienta, me ha sorprendido muy gratamente. 

    Dejo aquí el enlace a la web personal de Vicente para que veais ejemplos y os descargueis la herramienta que está genial: 
    Recuerdo que está escrita en Python por lo que entender el código se vuelve algo tribial y puede reutilizarse. Acorados, también, de rellenar los campos CONSUMER_KEY, CONSUMER_SECRET, ACCESS_TOKEN y ACCESS_TOKEN_SECRET si no no os funcionará por el simple hecho de que utiliza la Tweepy una API para Twitter y necesita estos campos para la autorización. 

    En este enlace encontrareis ayuda por si no sabeis como rellenar estos campos:

    Sed Buenos con esto 0;) 

    viernes, 5 de septiembre de 2014

    Twitter.- Tus Metadatos y Cada Dia Los De Mas Gente

    Hace unas semanas que en el blog de [Hacking Etico] salió una entrada muy buena sobre como obtener los [Metadatos de una cuenta de Twitter] utilizando la REST API y algunso detalles de donde se ubicaba cada tipo de metadata. 

    La verdad es que estuve jugando con esto pero al final me lié y no sabia que era que al final pero, esta mañana, me he encontrado con la siguiente imagen donde define genial todo lo que podemos en este campo. No deja títere con cabeza xD


    Sed Buenos ;) 

    jueves, 4 de septiembre de 2014

    The Fappening & Metadatos e.e

    Llevo gran parte de la mañana pensando en como abordar el tema dela obtención de fotos intimas de famosas, del hackeo de icloud y de la difusión de estas fotos por 4chan. Así que, yo os lo suelto todo. 


    Bueno, presuntamente, no fue un bug de icloud si un fallo en la llamada RESET de la API "FindMyMobile" de Apple. En la cual podrías preparar un ataque con el siguiente enlace: 
    • "https://fmipmobile.icloud.com/fmipservice/device/'+apple_id+'/initClient"
    Si os habéis fijado, se requiere el Apple ID de la victima y puesto que se trata de personas famosas, esa información no debe ser de dominio público. 

    Mas información y el Script que presuntamente utilizo atacante lo tenéis en UnAlDia de Hipasec: 
    ¿Y si soy un campechano, pero si que hay gente que conoce mi AppleID que hago?: 
    ¿Que pasa con los metadatos?

    También he visto que hay mucho revuelo con el tema de los metadatos y nadie ha hablado aun de ello. La verdad es que no hay mucho que contar,  algunas actrices si limpiaban las fotos de metadatos,  otras se las hicieron sin el GPS activado y solo se puede ver la información del formato Exif (Exchangeable image file format) y que dejaron el GPS activado en bastantes de ellas. 

    Vamos, que alguien podría hacer un mapa con ellas. 

    Sed Buenos con esto y revisad bien vuestras contraseñas de icloud  0;) 

    Python.- PoC Listando y Ejecutando Archivos De Una Capeta.

    Por fin me he armado de valor para hacer esta entrada. Aunque la verdad es mas fácil de lo que me había planteado desde un principio. Mi objetivo era hacer un script en Python que reconociera los archivos de una carpeta y los ejecutara. 

    Este esquema lo explica todo

    Aquí os dejo el scritp es muy sencillo: 

    import os 

    print """
    |POC|
    """
    list = []
    for dir,root,files in os.walk('CARPETA DONDE TIENES TUS ARCHIVOS'):
    list.append(files)
    print list 

    Si, con esto solo los listamos eh imprimimos las rutas. Para ejecutarlo, orto bucle for junto a un Try & Except. La verdad es que ha sido bastante fácil y ahora ya tengo mas claro como atajar ciertos proyectos. 

    PD: Yo he trabajado en Windows pero podríamos decirle al script que mire sobre que sistema corre con sys.platform. Aunque el os.system() y el os.walk() funcionan similar.  

    Espero que os sea util y Sed Buenos ;) 

    martes, 2 de septiembre de 2014

    Love Batsh and Batch/Bash Love You

    Se que esta entrada debería estar dedicada a la prueba de concepto con los diferentes buscadores de la entrada anterior. Pero, ha llegado a mis manos Batch, un lenguaje de programación simple capaz de compilar en Windows Batch y Bash. Desde pequeño que estaba esperando algo así y ademas compilable para los dos sistemas. Larga vida al .bat 


    Batsh es un lenguaje de programación simple que se compila en Bash y Windows Batch . Se le permite escribir el script se ejecuta una vez en todas las plataformas sin ninguna dependencia adicional. 
    Tanto Bash y Batch son un poco incómodo de leer y difícil de escribir debido a razones históricas. Tienes que pasar mucho tiempo en aprender cualquiera de ellos y escribir código dependiente de la plataforma para cada sistema operativo. He perdido un montón de tiempo en mi vida luchando con sintaxis bizarras y comportamientos irracionales de ellos, y no quiero perder más. 
    Si le sucede a ser un mantenedor de una herramienta multiplataforma que se basa en Bash en Linux / Mac y Batch en Windows como "código de unión", y lo encontró dolorosa para "sincronizar" entre ellos, que sin duda desea probar Batsh.

    Podéis probar este el lenguaje con sus respectivos ejemplo en esta pagina: 
    Si queréis saber como instalarlo y a empezar a jugar con este lenguaje id a este enlace: 
    Espero que os guste tanto como a mi. Sed Buenos ;) 

    Recopilación de Motores de Busqueda.Si, Es Necesario

    Ayer por la noche estuve pensando en como mejorar el Browser Hacking (GUI) que presenté en el blog de [Estación Informática] y llegué a la conclusión de que seria genial poder agregar diferentes motores de búsqueda para hacer un hacking de buscadores personalizado. 


    Así que he recopilado unos cuantos con especial interés por un motor chino y otro ruso y mas para poder hacer una PoC esta tarde. 

     Os dejo algunos buscadores chulos que me he ido encontrado por si les queréis ir dando un ojo y jugar con ellos: 
    Aunque creo que en la PoC solo implementaré  Yandez y Baidu, los otros me los dejo para mas adelante. 

    Sed Buenos ;)