Lord RNA

Solucion a [CrackMe]Bomberman

2011-08-11T13:48:00.000-04:00

Hace algunos dias coloque un Crackme en el cual el objetivo principal era crear un keygen, hasta ahora y antes de que publicara el sourcecode solo aparecio una solucion la cual era la de jep, el cual hizo un keygen y un selfkeygen. Ahora mismo dicha solucion fue publicada en H-Sec y por vagancia mia mejor pegare el link, antes que copypastear todo hasta aqui.

Solucion a [CrackMe]Bomberman

Solucionando la "Averia" de Tricom (Republica Dominicana)

2011-08-08T17:56:00.001-04:00

No se a que se debera la perdida de los "enlaces internacionales" que comenta Tricom a la hora en la que tratas de reparar la averia, cosa que a mi parecer se soluciona con un simple cambio de DNS de manera provisional a los routers.

La "Averia" lleva aproximadamente desde el viernes 06 de agosto y hoy lunes 08 de agosto no traen una solucion desde el "servicio tecnico" de la compañia, si asi quieren llamarse. En twitter algunas personas me preguntaron como solucione la "averia" en mi conexion. Al darme cuenta de que uno de mis equipos el cual no tiene configurado los DNS por defecto que añade el sistema (me gustan un tanto los de google) y tras ver que funcionaba me digne a cambiar el DNS en otro equipo para hacer la prueba, la cual termino resultando un exito y dandome una conclusion... La "averia" tiene que ver con los servidores DNS.

Solucion no.1: Acceder a las propiedades de la Conexion de Red Activa y cambiar el DNS

Cambiar el servidor DNS preferido por otro, en mi caso el de Google.

La primera solucion es sencilla y simplemente aborda a una PC, en la cual se dara clic derecho en la conexion activa, clic en Estado y en Propiedades; Luego cambiaremos la configuracion para asignar una IP estatica y cambiar el DNS preferido por uno de nuestra eleccion (En mi caso uno de los de Google [8.8.8.8 o 8.8.4.4]).

Al instante realizamos una prueba de conexion y perfecto.

Solucion no.2: Cambio de la Configuracion en el Router

Procedemos a cambiar el DNS en el router

La segunda solucion es modificar la configuracion del Router para que apunte a un DNS diferente al de Tricom (como fui comentando, me agrada el de google). Para esto iremos a la direccion del Router (en mi caso 192.168.1.1), a algunos los redireccionara a https://clearvision.tricom.net, esto se soluciona desconectando el cable telefonico, reiniciamos el router y nos conectamos para configurar. Al momento que nos pida usuario y contraseña al dar clic en "Manage Configuration", (creo que dice asi, no recuerdo bien), el usuario por defecto es admin y la contraseña varia entre 1234 y admin; Al estar dentro iran a configuracion avanzada, DNS, DNS Server y cambiaran la opcion para seleccionar su propio DNS, en mi caso el del dichoso Google. Con esta ultima solucion se podran conectar todos los equipos con acceso a la red.

"Averia"... yo no veo ninguna, veo mas una desinformacion por quienes estan administrando el sistema.

Nos leeremos en otra ocasion... Bytes

[CrackMe] Bomberman

2011-08-04T18:38:00.001-04:00

Aviso: La historia es ficcion... no quiero a nadie haciendola llegar a un diario internacional.

Estamos trabajando para un estupido equipo de seguridad especialista en desactivar bombas y nos encontramos con una bomba en el aeropuerto principal de la ciudad... La bomba esta en una caja negra no penetrable, la cual tiene un teclado para introducir una clave para su desactivacion. El problema... Con trabajo de inteligencia (torturando al terrorista y quemandolo con acido, este hablo) se ha descubierto que existen unas 500 bombas con el mismo sistema, mismas claves esparcidas por distintos aeropuertos, el dilema es que la clave cambia cada 24 horas.

Nuestro trabajo: Obtener un keygen que entregue la clave para el momento actual...

Clic para Descargar

SysAdmin Day... No Comments

2011-07-29T12:04:00.000-04:00

Como cada año hoy es el dia del Administrador de Sistemas (ultimo viernes de Julio) y quisiera expresarle mis felicitaciones a todos, incluso a esos mediocres que cuando deben reparar una averia le echan la culpa a otro o creen que somos indios.

El administrador de sistemas, el hombre tras la maquina con la cual no puede vivir el hombre, no merece tener solo un dia, todos los dias son dias del Administrador de Sistemas... dia de ese que lucha contra los virus que dejaste al visitar webs porno, ese que evita que recibas la gran mayoria de mails promoviendo viagra para tu impotencia, Ese que tiene una copia de ese archivo que borraste por error, ese que te protege de los empleados que te quieren hacer perder tu trabajo, ese que se encarga de ser "Dios" (con todo y los defectos)

Facebook for BlackBerry... Nueva Interfaz

2011-07-28T17:24:00.000-04:00

Muchos utilizabamos en el momento de necesitar contactar via Chat una aplicacion no oficial para hacerlo desde el BlackBerry pero esto ya ha llegado a su fin... La nueva actualizacion de Facebook for BlackBerry trae consigo nuevas modificaciones entre las que trae el tan "preciado chat" (siempre y cuando no nos obliguen a tener una barra lateral).

Entre las mejoras de la aplicacion se encuentra un nuevo menu, para localizar lo necesario rapidamente y una area mas estilizada para el manejo de las notificaciones. No se si lo traian entre manos fue una buena idea el separarlas.

Sin mas que decir aqui vienen las imagenes:

Interfaz Principal de Facebook for BlackBerry

Nueva forma de ver los perfiles

Chat de Facebook (nueva caracteristica)

Nuevo Menu mas intuitivo

El Proyecto Google+... Mas que una Red Social

2011-06-28T15:25:00.001-04:00

Hace un tiempo venia rondando el rumor de que Google trabajaba en su propia red social. Los rumores que salian a la luz daban cuenta de que se llamaria Google Circles, pero vaya sorpresa al notar que Google Circles solo es una de las capacidades de su gran proyecto, el cual bautizaron como Google+. Entre las bellas cosas que trae Google+ esta:

+Circles: Bajo el concepto de "Comparte Lo Que Quieras Con Quien Quieras"; Esto es un paso adelante para terminar con el "Informale a todos lo que solo quieres que pocos sepan". La forma de crear los Circles es lo que realmente motiva y crear una armonia con el usuario, a diferencia de Facebook que para hacer un grupo es como andar en la mansion de Resident Evil sin siquiera un tenedor.

+Sparks: Quieres tener al tanto informacion sobre tus intereses? Aqui te tienen Sparks; Un enorme conjunto de feeds sobre tus temas de interes en mas de 40 idiomas... El aburrimiento ahora se volvera una excusa, siempre tendras que leer y sobre todo, leer lo que te interesa.

+Hangouts: Los que me siguen en Twitter ya habran notado que es lo que mas me llamo la atencion sobre este megaproyecto de Google. Hangout, la forma de quedar con tus amigos a traves de internet, lo especial de todo... cara a cara.

Principalmente esto es lo mas importante que nos trae Google, nuevamente variando las formas de ver internet. Esperemos que prontamente consiga la invitacion o en su defecto que acabe el periodo de prueba para saciar mi ansiedad.

Linux en su peor expresion

2011-06-26T20:35:00.001-04:00

Que depresion esta tarde cuando lei este desastre... JBL 1.0, sin abreviaturas, Justin Bieber Linux. En el proyecto de SourceForge se llama Biebian; Como si no tuviesemos mucho ya escuchando al pequeño y fastidioso malcriado. No voy a gastar mas bytes mostrando mi desacuerdo. Es peor que el caso del ThinkerBell Linux (La estupida distribucion de Paris Hilton) o la patetica distribucion de Hannah Montana.

Imagen tomada de LinuxZone

PsData: Vengan Bieber fans... los estoy esperando, pequeños bastardos

Cronicas de un Exorcismo: Preparando el Analisis

2011-06-09T22:03:00.000-04:00

A la hora de analizar un malware, es buena idea tener todo listo para tratar de a la primera obtener la mayor cantidad de información posible de nuestro querido “amigo”. En caso de que no puedan realizar una desinfección exacta y precisa, conseguir seguir la traza que deja el malware en el sistema o no contar con un equipo específicamente para infectar y examinar, es recomendable utilizar una maquina virtual y en caso de pocos recursos en el equipo, con un SandBox estaría bien.

A la hora de la fiesta tendremos diferentes opciones sobre la maquina virtual que podríamos escoger, en mi caso siempre tengo preferencias por el software libre. Entre las opciones que tenemos para una Maquina Virtual están VMWare, VirtualBox o Qemu… personalmente prefiero VirtualBox, debido a que me ha acompañado desde el principio. En algunos casos los recursos no serán suficientes como para tener una Maquina Virtual por lo tanto podríamos utilizar un SandBox, lo cual recomiendo como ultima opción.

Entre mis preferencias personales con respecto a Maquinas Virtuales o SandBox, soy de los que eligen una Maquina Virtual por el simple hecho de la extracción total del trabajo del malware en el sistema. Las SandBox son buenas para evitar modificaciones no deseadas pero esta la posibilidad de un exploit o la lectura de datos privados (Hice la prueba y fue satisfactoria).

A la hora de analizar el ejecutable recomiendo solo dos programas para realizar el análisis del ejecutable, PEiD o ProtectionID, prefiriendo personalmente ProtectionID por la cantidad de packers que detecta; Una vez tenemos los pies en el suelo y sabemos a que nos enfrentamos tenemos una de dos, el método sencillo... Analizar en ejecución, con el peligro de que estén un paso delante de nosotros, detecten la VM o el SandBox y no realice lo que realizaría en un equipo normal, o Desempacar, desactivar las posibles herramientas de defensa que tenga el elemento a exorcizar (se escucha cool xD ) y luego Analizar en Ejecucion o de modo estatico; A la hora de desempacar recomiendo FUU (Faster Universal Unpacker).

Despues de todo… Nada como Malware Analyzer para una primera vista de a que nos vamos a enfrentar, es mejor asegurarnos 100 veces de a que nos vamos a enfrentar que fallar y pasar algo por alto. Como es de suponer no toda herramienta es perfecta por lo cual después de Malware Analyzer es bueno colocarlo el malware en un Debugger, preferiblemente IDA Pro o Immunity Debugger, No recomiendo Olly Debugger por haberme fastidiado un TLS Callback que pase por alto. A la hora de terminar tenemos la suite por excelencia… SysInternals Suite, la cual es gratuita.

Utilizaremos la Suite para verificar toda alteración del sistema que cause el malware, entiéndase por alteración, claves de registro, archivos creados, archivos borrados, creación de hilos y procesos e inyecciones. Cuando termine todo el proceso pasaremos a preparar el informe y/o crear la vacuna para desinfectar... Lo cual llegara en otra publicacion.

Resaltador de Sintaxis en VIM

2011-05-31T12:35:00.000-04:00

Algunos al estar utilizando una distribucion linux sin entorno grafico nos encontramos con un problema... No sabemos como carajo resaltar la sintaxis. En mi caso especialmente utilizo VIM, por lo tanto les mostrare como activarlo.

Para los que no saben que es Vim, Vim (Vi Improved - Vi Mejorado) es un editor de texto basado en Vi, el editor que viene en todas las versiones UNIX. fue lanzado por primera vez en 1991 y su autor es Bram Moolenaar.

Porque me gusto a primera vista Vim, simplemente por las siguientes 3 caracteristicas que encontre en el:

Resaltador de Sintaxis (segun dicen comprende mas de 200 sintaxis distintas)
Corrector Ortografico.
Navegacion por pestañas (asi puedo trabajar en varios ficheros a la vez).

Fin de la teoria e introduccion a Vim, ahora veamos como activar el resaltado de sintaxis.

Abrimos el archivo con el codigo fuente que se quiere leer y/o modificar.
Presionamos ESC y tecleamos ":syntax on"

Algo muy importante... no activen el resaltador de sintaxis en un fichero vacio, pues no encontrara que resaltar.

Aqui un ScreenShot de un famosisimo programa en C.

PS4... Rumores a voces

2011-05-27T11:59:00.000-04:00

Desde años ya se viene hablando de la nueva plataforma de Sony, la PS4, en la cual empezaron a trabajar apenas poco tiempo luego de salir al mercado la PS3. Esperemos ver algunas mejoras considerables con respecto al PS3. Todo lo que se sabe es que esta todo preparado para la conferencia de Sony en la famosa convencion de E3. ~~En la cual de seguro hablaran de como han tomado la PSN para PenTesting~~

Las palabras confirmando que se trabaja en la nueva consola ya fueron lanzadas por Masuro Kato el cual explico que la PS3 aun no ha agotado su tiempo de vida como consola, pero como saben, este es un negocio de plataformas, por lo que ya han empezado el trabajo para la futura plataforma, mas aun con los rumores de las nuevas consolas para Nintendo y XBox.

Personalmente creo que deben centrarse primero en reparar la PSN... "We're Bored!!!", pero ellos son un imperio y yo un simple escritor... ellos sabran lo que hacen.

DISQUS Agregado

2011-05-27T11:41:00.001-04:00

Debido a que no todos tienen un Google ID tome la decision de añadir Disqus al blog, asi que espero que empiecen a comentar... no puede ser que a estas alturas nadie tenga Facebook o Twitter.

Queden bien y no mueran.

5 minutos de Trolling

2011-05-26T12:33:00.000-04:00

Aun estoy forrado de la risa... algun dia saldre a hacer eso por las calles, pero espero que un policia aburrido como los de aqui no se la coja con sacar el arma. El video lo vi en Ejercito Geek

Skype... """Seguira en otras Plataformas"""

2011-05-25T09:49:00.001-04:00

El titulo explica todo... Segun Microsoft en la rueda de prensa posterior a la compra de Skype señalo que seguiria invirtiendo y apoyando otras plataformas para Skype. Ahora llega la noticia, de manos de un blog compatriota (Ejercito Geek) de que se empezo mutilando Skype para Asterik... Que se espera de un futuro. La posible eliminacion de Skype o de caso contrario, un Skype 100% orientado a Windows.

Quien tenia fe en que Microsoft mantendria Skype en otras plataformas puede tener una cosa bien clara... "La fe no sirve de nada". Asi que como consejo, le recomiendo a los usuarios de plataformas desligadas a Microsoft ir buscando ya la alternativa.

Los usuarios de Asterik ya fueron avisados:

“Notificación de Producto :

Skype para Asterisk no estará disponible para la venta o la activación después de 26 de julio 2011.

Skype para Asterisk fue desarrollada por Digium, en cooperación con Skype. Incluye el software propietario de Skype que permite a Asterisk para unirse a la red de Skype como cliente nativo. Skype ha decidido no renovar el acuerdo que nos permite este paquete de software propietario. Por lo tanto las venta y activación de Skype para Asterisk cesará el 26 de julio de 2011.

Este cambio no afectará a los usuarios existentes de Skype para Asterisk. Representantes de Skype nos han asegurado que seguirá apoyando y mantener el software de Skype para Asterisk por un período de dos años, según lo especificado en el acuerdo con Digium. Esperamos que los usuarios de Skype para Asterisk podrán seguir utilizando sus sistemas Asterisk en la red de Skype al menos hasta el 26 de julio 2013. Skype puede ampliar esta a su discreción.

Skype para Asterisk sigue siendo para la venta y activación hasta el 26 de julio 2011. Por favor, complete todas las compras y activaciones antes de esa fecha.

Gracias por su negocio.

Digium gestión de productos”

Bombas de Tiempo

2011-05-21T00:06:00.000-04:00

Como todos saben, soy amante de los malwares que se centren en la sencillez de las cosas y la originalidad mas que en la fuerza bruta de los abismos oscuros de la complejidad inutil de la codificacion. Entre la sencillez sublime coronenme las Bombas de Tiempo.

Una Bomba de Tiempo no es mas que un payload dentro de un malware cualquiera el cual se ejecutara cuando se cumpla una condición especifica con el tiempo, por ejemplo cada cierta cantidad de tiempo en el plazo de una hora, una hora especifica, una fecha especifica, etc.

La tematica o esqueleto de un malware no tiene una localización especifica para colocar la Bomba de tiempo, algunos preferirán colocarla simplemente en el bucle del código, otros preferimos lanzarla como un thread para asi centrarnos en otros puntos como la supervivencia, la propagación o incluso la comunicación, en el caso de las R.A.T. y los Bots.

Personalmente en el area del lanzamiento de los Threads coloco los métodos de propagación, supervivencia en el sistema y si colocare una Bomba lógica, ese es el lugar correcto para mi, nada se debe suponer como un dogma, otros se sentiran comodos poniéndolo en otro lugar. Vamos a trabajar… tanta teoría aburre.

Para las Bombas de tiempo tenemos dos formas distintas y por lo tanto dos Apis para trabajar. Mostrare los dos métodos por lo tanto no se sientan aburridos por el primero. Seguiremos la sintaxis de crear un Thread y dentro colocar la bomba de tiempo, algunos querrán solo efectuar la acción una sola vez, otros querrán repetirla hasta mas no poder.

Bomba de Tiempo utilizando Sleep()

En el caso de utilizar Sleep la utilizaremos cuando necesitemos una de las siguientes condiciones, ejecutar el payload cada cierta cantidad de tiempo o ejecutar el payload en cantidades de tiempo aleatorios. Sleep() recibe como parámetro un numero del tipo DWORD en cual representa la cantidad de milisegundos que el programa estará pausado. Ya paremos de hablar tanto y mostremos el código.

Bomba de Tiempo utilizando GetSystemTime()

En el caso de utilizar GetSystemTime la función solicita como parámetro un puntero a una estructura del tipo SYSTEMTIME en la cual devuelve el tiempo del sistema al momento de ejecutarse la función. Ya me aburri de escribir, asi que les dejo el código de muestra.

Cls AntiDebug

2011-03-29T09:46:00.004-04:00

Lo prometido es deuda. Aqui les traigo una clase para colocar mecanismos contra Debuggers en nuestros codigos de una forma rapida y sencilla. Los metodos estan claros y simplemente se deben utilizar depende el metodo que deseemos utilizar para detectar los Debuggers. Estan integrados los metodos de deteccion a traves del PEB, del NTGlobal, utilizando los nombres comunes de los procesos de OllyDBG, IDA Pro y Win32DASM. En el metodo TimeStamp deben verificar antes de dar un valor el tiempo que dura la funcion que toma como segundo parametro. Tenemos otro metodo que es el metodo Protect, el cual toma una funcion y verifica con los tres primeros metodos de deteccion para verificar que no estan siendo Debuggeados, de caso contrario ejecutara una funcion que toma como parametro.

ClsAntiDebug.h: ClsAntiDebug.cpp:

Otra vez Adobe... La historia sin fin

2011-03-15T09:40:00.003-04:00

Para muchos de nosotros ya no es extraño asociar Adobe y 0-Day. Tan comunes en su lector de PDFs esta vez simplemente no se limitaron solo a dicho lector. Esta vez las victimas son Adobe Reader, Adobe Acrobat y Adobe Flash, tres productos a la vez de los cuales se esta al tanto de que actualmente se esta explotando la vulnerabilidad encontrada en Adobe Flash y se desconoce si las vulnerabilidades en Adobe Reader y Adobe Acrobat se encuentran ya en dicha posicion.

El Fallo en Flash esta siendo explotado a traves de correos electronicos y un documento de Excel con un archivo Flash (.swf) en su interior. Esta vez no solo se limita a atacar la version de Flash en Sistemas de Microsoft, tambien son vulnerables sistemas Mac OS, Linux, Solaris y Android los cuales tengan previamente instalado Flash Player.

El Fallo en el Adobe Reader y Adobe Acrobat se encuentra en la famosisima libreria (debido a sus fallas en 2009 y 2010) authplay.dll para las cuales solo son vulnerables las versiones 9.x, 10.x, Adobe Reader X y Adobe Acrobat X. Esta vulnerabilidad solo se encuentra limitada actualmente para las versiones de Windows y Mac.

El equipo de seguridad de Adobe se ha centrado principalmente en reparar las vulnerabilidades de Adobe Reader y Adobe Acrobat para las versiones 9.x y 10.x por ser las mas explotables debido al SandBox introducido en las versiones de Adobe Reader X y Adobe Acrobat X los cuales protegerian el sistema de una explotacion exitosa al ejecutarse los archivos creados para explotar dicha vulnerabilidad dentro de la SandBox.

Las actualizaciones para las versiones 9.x y 10.x de Adobe Reader y Adobe Acrobat seran lanzadas para el proximo 21 de marzo, mientras que las actualizaciones para las versiones Adobe Reader X y Adobe Acrobat X seran lanzadas el dia 14 de Junio, la cual es la fecha para el ciclo normal de actualizaciones.

Para solucionar el problema mientras llega la actualizacion se esta recomendando renombar la libreria authplay.dll o en caso contrario impedir el acceso a traves de los permisos.

La CVE de la vulnerabilidad es CVE-2011-0609.

BlackBerry cae bajo un ataque Drive-by-Download en Pwn20wn 2011

2011-03-10T20:33:00.003-04:00

Como era de esperarse en un evento de la envergadura como lo es Pwn20wN fueron explotadas varias fallas de seguridad en el Webkit del BlackBerry Torch 9800.

El equipo, Vincenzo Iozzo, Willem Pinckaers y Ralf Philipp Weinmann, enlazo informacion sobre un bug en el Webkit para romper la integridad del dispositivo y robar la lista de contactos y las imagenes. Lo impresionante del ataque no es en si la falla sino el shellcode debido a que no existe documentacion publica sobre el funcionamiento interno del Sistema Operativo por lo cual tuvieron que basarse en el metodo de prueba y error.

El Exploit fue lanzado desde una web especialmente manipulada preparada por el equipo de investigadores. Adicionalmente al secuestro de la lista de contactos y las imagenes del dispositivo, el equipo tambien escribio un archivo en la memoria del dispositivo para demostrar que tenia la capacidad de ejecucion de codigo y no simplemente una filtracion.

El ataque fue efectuado exitosamente contra el firmware 6.0.0.246 de BlackBerry, Pinckaers explico que RIM recientemente habia dado una actualizacion del firmware pero que despues habian confirmado que el fallo en el Webkit no habia sido reparado.

Mas Informacion: ZDNet

Obtener ImageBase + ExeName

2011-02-20T23:44:00.001-04:00

Recuerdo lo aburrido que estaba y me puse a ver que hacia, asi que aqui esta... Con este codigo buscamos en zonas especificas del PEB, donde se encuentran el nombre y la ImageBase del ejecutable… esta zona es el primer LDR_MODULE que esta en InInitializationOrderModuleList.

Anonymous ataca HBGary

2011-02-08T13:00:00.000-04:00

La mayor ciberguerrilla de la historia Anonymous ataca nuevamente, esta vez los afectados fueron los sistemas de la compañia de seguridad HBGary tras estos haber revelado al FBI la identidad de varios altos miembros de anonymous. Anonymous en dicho ataque consiguio acceso a la cuenta de Twitter del director de la compañia y tambien a sus sistemas.

La empresa americana HBGary, especializada en seguridad informática, estaba en el punto de mira de Anonymous desde que hace algunas semanas confirmara que había conseguido identificar la identidad de varios miembros de Anonymous. Según el diario The Guardian, la compañía ha facilitado al FBI la identidad de usuarios de alto rango dentro de Anonymous. Los encargados del grupo en Alemania, Italia, Estados Unidos y Australia habrían quedado al descubierto y podrían ser algunos de los detenidos por los ataques a Paypal.

Cuenta comprometida de twitter del CEO de HBGary

Los miembros de Anonymous han publicado distintos datos privados de HBGary. Entre la información se encuentra el número de la seguridad social, la dirección y el teléfono de Aarón Barr. Además los hackers han conseguido tener acceso a los datos fiscales de HBGary, sus datos contables y las copias de seguridad de su sistema. Los materiales están siendo distribuidos a través de archivos torrent.

La página web de la compañía actualmente aparece como 'en construcción'. Según el diario The guardian, los responsables del sitio han optado por dejar la web en este estado hasta hacerse con el control total de la misma de nuevo. Los miembros de Anonymous habían sustituido la página de la compañía por una imagen en la que ponía: "no eres nada en comparación a los usuarios anónimos. No tenéis ningún conocimiento de seguridad".

Fuente: Segu-Info

[SRC] File2Hash

2011-02-08T08:28:00.002-04:00

File2hash crea hash de la ruta de los archivos introducidos a traves de la consola. tiene tres tipos de hash los cuales puede crear... md5, md4 y sha1.

Source:

Para ver el funcionamiento del ejecutable solo se debe introducir sin parametros.

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash

Usage: ./file2hash -[md4|md5|sha1]

Cuando no se introduzca una de las opciones [md4|md5|sha1] se enviara el mensaje de ayuda, debiendose introducir en el primer parametro.

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash ./main.cpp

Usage: ./file2hash -[md4|md5|sha1]

Devuelve hashs md4 con el parametro -md4, devolviendo igual cantidad de hashes como parametros

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash -md4 *

MD4: a9e84ac15f44a7f14103e41bb5d34fde file2hash

MD4: f41b5cc29a6667cefc52b615934a7427 file2hash.pro

MD4: 5b04e4260009f20a6bbb932b2cd528c3 file2hash.pro.user

MD4: 783906536a0a580ac2ee93a2408ba3c1 main.cpp

MD4: 966789e628b070918adb1b80d9f04a07 main.o

MD4: f0eb18f737f2bd9597f6898ff9f2474f Makefile

Devuelve hashs md5 con el parametro -md5, devolviendo igual cantidad de hashes como parametros

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash -md5 *

MD5: fd016605b57ce4a0356f5a7a136a5448 file2hash

MD5: a0d040c2b4a532f1619a2bf83a7874a0 file2hash.pro

MD5: d6fb98b4dd724d040116409f79c91672 file2hash.pro.user

MD5: fd81616780ef80ee834dbd3ff90f264a main.cpp

MD5: c81f422e4a45204aded2a23afa925e77 main.o

MD5: 957e764f56db7e70a5d1420ee4d72c96 Makefile

Devuelve hashs sha1 con el parametro -sha1, devolviendo igual cantidad de hashes como parametros.

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash -sha1 *

SHA1: 3dff23b85a9e09e81b682a1f8278f606184228bb file2hash

SHA1: 8559044ff315b66d0c6ea8b5656f1da1f72e8fa3 file2hash.pro

SHA1: 02c995371e37a11514176dcc91e0834f3e95b9de file2hash.pro.user

SHA1: fb59665158b44a9a8ebafd219ddfbf5ff3e8bfd5 main.cpp

SHA1: 957ba357ea8623371df5fa889f5b1edab3c634be main.o

SHA1: e9ecf5f2113059f020cb5f0ad97048c4835287b2 Makefile

En caso de introducir un archivo que produzca un error

lordrna@lordrna-laptop:~/Proyectos/C++/file2hash$ ./file2hash -sha1 juanitojuack

juanitojuack Error al tratar de abrir

Se asignan ultimos bloques de IP.

2011-02-03T19:21:00.001-04:00

Después de que Vint Cerf, uno de los padres de Internet, asumiera su culpa cuando pensó que 4.300 millones de IP serían suficientes en el nacimiento de la Red, el "fin" ha llegado. El protocolo original se agota esta semana y nos toca ir dando la bienvenida a las nuevas IPv6.

Según recoge la web británica The Register, la Agencia de Asignación de Números de Internet (IANA, en inglés), organización que se encarga del reparto de las direcciones IP, ha entregado este martes el último bloque de direcciones a APNIC, una organización encargada de asignar IPs en Asia y en el Pacífico.

Tal y como informa APNIC en un comunicado en su web, se han repartido dos bloques que le dan a la organización asiática 33 millones de direcciones para los proveedores y las organizaciones que lo necesiten. APNIC asegura que está previsto que las direcciones IPv4 ya asignadas duren hasta septiembre. Pero a partir de ese momento no habrá más, por lo que quien necesite una nueva conexión a internet recibirá una de tipo IPv6.

Además reitera que el IPv6 "es el único medio disponible para el crecimiento sostenido de Internet" e insta a todos los miembros de la industria a "moverse rápidamente hacia su implementación".

Por otro lado, las organizaciones Number Resource Organization (NRO), Internet Corporation for Assigned Names and Numbers, Internet Society (ISOC) e Internet Architecture Board (IAB) ofrecerán el jueves 3 de febrero (10 de la mañana, hora de la costa este estadounidense) una rueda de prensa. Las asociaciones aseguran que harán un "anuncio significativo" y aprovecharán el evento para comentar la transición global a la nueva generación de direcciones de Internet.

Fuente: Libertad Digital

Obteniendo la direccion de Kernel32 a travez del PEB

2011-01-25T09:23:00.002-04:00

Para la creacion de shellcodes un metodo comun de obtener las direccioness de las funciones en las librerias DLL que necesitamos es obtener la direccion base de la libreria Kernel32.dll para luego obtener las direcciones de GetProcAddress y LoadLibraryA, buscando en la EAT de la imagen de Kernel32.dll que esta en memoria. Obteniendo dichas funcione podriamos obtener las direcciones de todas las demas funciones en las librerias que necesitemos para hacer efectivo el shellcode. Para obtener la direccion base del Kernel32.dll es comun utilizar el Process Environment Block o PEB, para obtener la lista de modulos actualmente cargadas en el espacio de memoria del proceso en curso.

Estructura PEB:

En la estructura PEB se busca la variable PPEB_LDR_DATA llamada LoaderData, la cual es un puntero a una estructura del tipo PEB_LDR_DATA.

Estructura PEB_LDR_DATA:

Luego se tomara una de las variable tipo LIST_ENTRY, sin importar cual sea, debido a que todas apuntan a un puntero del tipo LDR_MODULE, la diferencia se basa en que InLoadOrderModulelist organiza las librerias en el orden en que fueron cargadas, InMemoryOrderModulelist organiza las librerias en el orden en que estan en memoria y InInitializationOrderModuleList las organiza en el orden en que fueron inicializadas.

Estructura LDR_MODULE:

Aqui iremos pasando las listas hasta que logremos llegar a la direccion que queremos y las sacaremos de la variable del tipo PVOID BaseAddress.

Anterior a Windows 7 existia un metodo uniforme funcional desde Windows 2000 hasta Windows Vista, el cual era obtener el puntero de tipo LDR_MODULE que estaba en InInitializationOrderModuleList y la segunda libreria era Kernel32.dll

El pasado codigo no funciona en Windows 7 debido a que ahora se agrega una nueva libreria llamada KernelBase.dll la cual se carga como la segunda libreria y por lo tanto Kernel32.dll queda como la tercera libreria cargada.

El pasado codigo es funcional en Windows 7 pero en las versiones anteriores no es funcional debido a que Kernel32.dll queda en la segunda libreria.

Para dicho problema entonces se genero un codigo mas generico, el cual es verificar el nombre de la libreria cargada antes de tomar la direccion base de la libreria en memoria:

[SRC] ByteCounter

2011-01-15T18:41:00.002-04:00

Estaba un tanto aburrido, sin nada que hacer y que otra mejor cosa puedo hacer que realizar un pequeño programa que cuente la cantidad de bytes? Con esto se podrian contar la cantidad de bytes para el reto de "Quien lo tiene mas corto?" que se han ido preparando en algunos foros, para resolver problemas realizados en Python.

Codigo en C++:

Codigo en Python:

DEFT Linux 6 esta listo

2011-01-12T19:27:00.001-04:00

DEFT Linux, una distro especialmente preparada para el analisis forense de equipos informaticos basada en Lubuntu esta lista para ser descargada desde ayer. Esta viene por defecto con el Linux Kernel 2.6.35 para la seccion de Linux y con DEFT Extras 3.0 para la seccion de Windows, contando con las mejores herramientas freeware para analisis forense.

Entre las mejoras que trae consigo la version 6 de DEFT Linux se encuentran:

Actualizacion de la version de FTK Imager, de la version 2.9 a la version 3.
Actualizacion del Digital Forensic Framework, de la version 0.8 a la version 0.9.
Fue agregado Xmount 0.4.4.
Fue agregada la utilidad mount_ewf.
La version de VWrong Guymager ahora es la 0.5.7.
Fue reparado el sistema de chequeo de hashes de archivos iso.
Fueron reparados algunos errores gramaticales.

Aqui algunos screenshots proporcionados por DEFT Linux:

Deft 6 Boot Menu

DEFT Extras 3.0

OPHCRACK

DHASH

Digital Forensic Framework

DEFT Linux 6 Menu

Snort

2011-01-05T00:26:00.000-04:00

Snort es una aplicacion de codigo abierto bajo licencia GPL, gratuito y funciona para los sistemas operativos Windows y Unix/Linux para la deteccion y prevencion de intrusiones en sistemas desarrollada por Sourcefire. Es un software flexible que ofrece una capacidadde almacenamiento de los eventos en dos formas, basados en base de datos abiertas o en archivos de textos. La forma en la que trabaja Snort es en implementar un motor de detecciones de ataques y barrido de puertos que permite detectar y alertar previamente a cualquier anomalia.

Snort puede funcionar como sniffer, registro de paquetes o como un IDS normal. Snort implementa un lenguaje de creacion de reglas flexible, potente y sencillo. Cuando un paquete coincide con algun patron establecido en lass reglas de configuracion, se loguea y asi se puede saber cuando y desde donde se produjo un ataque o intento de ataque.

La caracteristica mas apreciada de Snort es su subsistema flexible de firmas de ataques. Cuenta con una base de datos de ataques que se esta actualizando constantemente y a la cual se puede añadir o actualizar a traves de Internet.

Screenshot del reporte de snort:

Mas Informacion: Snort