Stuff Testing

Assign fileserver permissions via command line

2014-01-02T12:31:00.000-03:00

Un método ágil para asignar permisos de Filesystem es utilizar el comando acls o iacls.

Esta opción es nativa de Windows por lo que no requiere instalación alguna. Es una herramienta simple y rápida.

Pueden usar este comando directamente en un cmd para asignar los permisos de lectura y escritura de un directorio y sus subdirectorios:

cacls x:\carpeta /C /E /T /G grupo:RWC

El utilitario cacls tiene algunas falencias, por lo que Microsoft desarrollo el icacls a partir de Windows Vista.

El procedimiento con cacls que es un comando estándar y que lo pueden aplicar en cualquier equipo Windows 2003 Server.

Aqui toda la configuración completa:

Displays or modifies access control lists (ACLs) of files

CACLS filename [/T] [/M] [/L] [/S[:SDDL]] [/E] [/C] [/G user:perm]
[/R user [...]] [/P user:perm [...]] [/D user [...]]
filename Displays ACLs.
/T Changes ACLs of specified files in
the current directory and all subdirectories.
/L Work on the Symbolic Link itself versus the target
/M Changes ACLs of volumes mounted to a directory
/S Displays the SDDL string for the DACL.
/S:SDDL Replaces the ACLs with those specified in the SDDL string
(not valid with /E, /G, /R, /P, or /D).
/E Edit ACL instead of replacing it.
/C Continue on access denied errors.
/G user:perm Grant specified user access rights.
Perm can be: R Read
W Write
C Change (write)
F Full control
/R user Revoke specified user's access rights (only valid with /E).
/P user:perm Replace specified user's access rights.
Perm can be: N None
R Read
W Write
C Change (write)
F Full control
/D user Deny specified user access.
Wildcards can be used to specify more than one file in a command.
You can specify more than one user in a command.

Abbreviations:
CI - Container Inherit.
The ACE will be inherited by directories.
OI - Object Inherit.
The ACE will be inherited by files.
IO - Inherit Only.
The ACE does not apply to the current file/directory.
ID - Inherited.
The ACE was inherited from the parent directory's ACL.

Windows: shutdown remoto

2013-05-04T13:20:00.000-03:00

Como realizar un shutdown remoto

shutdown /r /t 1 /d P:0:0 /m \\192.168.1.5

Usage: shutdown [/i | /l | /s | /r | /g | /a | /p | /h | /e] [/f]

[/m \\computer][/t xxx][/d [p|u:]xx:yy [/c "comment"]]

No args Display help. This is the same as typing /?.
/? Display help. This is the same as not typing any options.
/i Display the graphical user interface (GUI).
This must be the first option.
/l Log off. This cannot be used with /m or /d options.
/s Shutdown the computer.
/r Shutdown and restart the computer.
/g Shutdown and restart the computer. After the system is
rebooted, restart any registered applications.
/a Abort a system shutdown.
This can only be used during the time-out period.
/p Turn off the local computer with no time-out or warning.
Can be used with /d and /f options.
/h Hibernate the local computer.
Can be used with the /f option.
/e Document the reason for an unexpected shutdown of a computer.
/m \\computer Specify the target computer.
/t xxx Set the time-out period before shutdown to xxx seconds.
The valid range is 0-315360000 (10 years), with a default of 30.
If the timeout period is greater than 0, the /f parameter is
implied.
/c "comment" Comment on the reason for the restart or shutdown.
Maximum of 512 characters allowed.
/f Force running applications to close without forewarning users.
The /f parameter is implied when a value greater than 0 is
specified for the /t parameter.
/d [p|u:]xx:yy Provide the reason for the restart or shutdown.
p indicates that the restart or shutdown is planned.
u indicates that the reason is user defined.
If neither p nor u is specified the restart or shutdown is
unplanned.
xx is the major reason number (positive integer less than 256).
yy is the minor reason number (positive integer less than 65536).

Reasons on this computer:
(E = Expected U = Unexpected P = planned, C = customer defined)
Type Major Minor Title

U 0 0 Other (Unplanned)
E 0 0 Other (Unplanned)
E P 0 0 Other (Planned)
U 0 5 Other Failure: System Unresponsive
E 1 1 Hardware: Maintenance (Unplanned)
E P 1 1 Hardware: Maintenance (Planned)
E 1 2 Hardware: Installation (Unplanned)
E P 1 2 Hardware: Installation (Planned)
E 2 2 Operating System: Recovery (Planned)
E P 2 2 Operating System: Recovery (Planned)
P 2 3 Operating System: Upgrade (Planned)
E 2 4 Operating System: Reconfiguration (Unplanned)
E P 2 4 Operating System: Reconfiguration (Planned)
P 2 16 Operating System: Service pack (Planned)
2 17 Operating System: Hot fix (Unplanned)
P 2 17 Operating System: Hot fix (Planned)
2 18 Operating System: Security fix (Unplanned)
P 2 18 Operating System: Security fix (Planned)
E 4 1 Application: Maintenance (Unplanned)
E P 4 1 Application: Maintenance (Planned)
E P 4 2 Application: Installation (Planned)
E 4 5 Application: Unresponsive
E 4 6 Application: Unstable
U 5 15 System Failure: Stop error
U 5 19 Security issue
E 5 19 Security issue
E P 5 19 Security issue
E 5 20 Loss of network connectivity (Unplanned)
U 6 11 Power Failure: Cord Unplugged
U 6 12 Power Failure: Environment
P 7 0 Legacy API shutdown

Como liberar sesiones en un servidor Windows Standalone

2013-04-12T13:12:00.002-03:00

A continuación un procedimiento para liberar sesiones en servidores standalone con PSexec:

1 - Iniciar una sesión de cmd remota del server con psexec:

Psexec.exe \\x.x.x.x -u user -p password cmd

2 - Una vez conectado al server ejecutamos el comando qwinsta para que nos liste todas las sesiones de Terminal Server.

3 - Una vez listadas las sesiones de TS elegimos cual queremos cerrar, mirando el ID de la sesión y ejecutamos el comando:

logoff [id# de la session a cerrar] /v

De esta forma se cierra la/s sesion/es y podemos loguearnos al equipo.

Windows: List files

2012-12-12T16:52:00.001-03:00

The traditional way to list files on Windows is using the dir command. It has a lot of options to use. But the main problem with this is the output. You can redirect the output to a file, but it has a format that is intended only to be viewed and it´s difficult to put the output in a csv or tab format.

If you need to make a list (excel type) the best way to do this is using a script or an app.
Here is a very useful app that can manage a lot of options to get the desired output:

Karen's Directory Printer
http://www.karenware.com/powertools/ptdirprn.asp#Download

Windows - net user options

2012-10-05T21:02:00.000-03:00

You can use the following parameters with the net user command:

username
Is the name of the user account you want to add, delete, modify, or view. The name of the user account can have as many as 20 characters.
password
Assigns or changes a password for the user's account. A password must satisfy the minimum length set with the/minpwlen option of the net accounts command. It can contain as many as 14 characters.
*
Produces a prompt for the password. The password is not displayed when you type it at a password prompt.
/domain
Performs the operation on the primary domain controller (PDC) of the current domain. This parameter applies only to computers running Windows NT Workstation that are members of a Windows NT Server domain. By default, Windows NT Server-based computers perform operations on the PDC.
/add
Adds a user account to the user accounts database.
/delete
Removes a user account from the user accounts database.

Options for the Net User Command

/active:{yes | no}
Activates or deactivates the account. If the account is not active, the user cannot gain access to the server. The default is yes.
/comment:"text"
Provides a descriptive comment about the user's account (maximum of 48 characters). Be sure to put quotation marks around the text you use.
/countrycode:nnn
Uses the operating system country code to implement the specified language files for a user's help and error messages. A value of 0 signifies the default country code.
/expires:{date | never}
Causes the account to expire if date is set. The never option sets no time limit on the account. An expiration date is in the form mm/dd/yy or dd/mm/yy, depending on the country code. Months can be a number, spelled out, or abbreviated with three letters. Year can be two or four numbers. Use slashes (/) with no spaces to separate parts of the date.
/fullname:"name"
Is a user's full name (rather than a user name). Enclose the name in quotation marks.
/homedir:pathname
Sets the path for the user's home directory. The path must exist.
/passwordchg:{yes | no}
Specifies whether users can change their own password. The default is yes.
/passwordreq:{yes | no}
Specifies whether a user account must have a password. The default is yes.
/profilepath[:path]
Sets a path for the user's logon profile.
/scriptpath:pathname
Is the location of the user's logon script.
/times:{times | all}
Is the logon hours. The times option is expressed as day[-day][,day[-day]],time[-time][,time [-time]], and is limited to 1-hour increments. Days can be spelled out or abbreviated. Hours can be 12-hour or 24-hour notation. For 12-hour notation, use am, pm, a.m., or p.m. The all option specifies that a user can always log on, and a blank value specifies that a user can never log on. Separate day and time entries with a comma, and separate multiple day and time entries with a semicolon.
/usercomment:"text"
Lets an administrator add or change the user comment for the account.
/workstations:{computername[,...] | *}
Lists as many as eight computers from which a user can log on to the network. If the /workstations option has no list or if the list is *, the user can log on from any computer.
net help user | more
Displays Help one screen at a time.

More info on: http://support.microsoft.com/kb/251394

Export Audit Policy Configuration - Windows

2012-10-04T19:10:00.005-03:00

secedit command allows to export Security policy configurations besides other acctions.

The possible actions are:

configure
analyze
import
export
validate
generaterollback

To use secedit you must have a Security Database.

To create a Security Database (sdb) you must:

open "mmc" (from start>run just type "mmc")
click on File > add/remove snap-in
Select "Security configuration and analysis"
Button "Add" & "OK"
Right click & New database & Select a name for the database & click open
Define the policies you would like to export (define any value if you only need to export the configuration. define the propper values if you like to analyze)

psexec @filserver.txt secedit /export /db security.sdb /areas SECURITYPOLICY GROUP_MGMT GROUP_MGMT GROUP_MGMT GROUP_MGMT GROUP_MGMT /cfg output.txt >> outputLog.txt

psexec is used to run this command in several computers. The @filserver.txt file contains a list computers / servers.

Windows: Local account management

2012-08-31T11:36:00.000-03:00

To create a local user massively in a list of servers, you can use this command:

Psexec \\server1 net user user01 Pass.128 /ADD

Psexec \\server2 net user user01 Pass.128 /ADD

...

Use the excel to concatenate the fields, so you can have a full list of command, without typing each server.

Then, add the propper permission:

Psexec \\server1 net localgroup administrators /add user01

Psexec \\server2 net localgroup administrators /add user01

...

If you just want to allow access to a domain user, is pretty similar:

Psexec \\server1 net localgroup administrators /add contoso\user02

Psexec \\server2 net localgroup administrators /add contoso\user02

...

Then if you need to remove permissions, issue this command

Psexec \\server1 net localgroup administrators contoso\user02 /delete

Web VRA: Google skipfish

2012-08-09T09:54:00.003-03:00

Skipfish is an active web application security reconnaissance tool from Google. It prepares an interactive sitemap for the targeted site by carrying out a recursive crawl and dictionary-based probes. The resulting map is then annotated with the output from a number of active (but hopefully non-disruptive) security checks. The final report generated by the tool is meant to serve as a foundation for professional web application security assessments.
Key features:

High speed: pure C code, highly optimized HTTP handling, minimal CPU footprint - easily achieving 2000 requests per second with responsive targets.

Ease of use: heuristics to support a variety of quirky web frameworks and mixed-technology sites, with automatic learning capabilities, on-the-fly wordlist creation, and form autocompletion.

Cutting-edge security logic: high quality, low false positive, differential security checks, capable of spotting a range of subtle flaws, including blind injection vectors.

The tool is believed to support Linux, FreeBSD, MacOS X, and Windows (Cygwin) environments.

Home Page:
http://code.google.com/p/skipfish/

Wiki Doc:
http://code.google.com/p/skipfish/wiki/SkipfishDoc

Delegar permisos sobre Security logs

2012-07-19T00:02:00.000-03:00

En los entornos corporativos y sobre todo para los ambientes Windows es muy comun encontrar que las áreas de Auditoría cuyos usuarios no son privilegiados deseen visualizar logs de Seguridad. En Windows Server 2003 esto es una tarea algo compleja y riesgosa para lo que nos tiene acostumbrados Microsoft y deberemos utilizar el lenguaje SDDL:

CUIDADO: Este procedimiento mal implementado puede impedir el acceso y requiere de reinicio del equipo.

Delegating access to the event logs

In Windows Server® 2003, Windows Vista, and Windows Server® 2008, it is possible to customize the permissions on each event log on a computer. This capability was not available in previous versions of Windows. Some organizations may want to grant read-only access to one or more of the System event logs to some members of the IT team, such as auditors. The access control list (ACL) is stored as a Security Descriptor Definition Language (SDDL) string, in a REG_SZ value called "CustomSD" for each event log in the registry. The following procedure shows how to delegate read-only access for an event log. You will need to repeat this procedure for each event log that you wish to delegate read-only access to by changing the registry key as needed.

Caution
Incorrectly editing the registry may severely damage your system. Before making changes to the registry, you should back up any valued data on the computer.

To delegate access to an event log using the registry

Open Registry Editor.
Navigate to the following registry path:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\EventLog
You will see that there are keys available for each event log. Select the event log for which you want to delegate read-only access.
Add a new key with the name CustomSD to the event log you selected.
Add a new String value to the CustomSD key. The name of this string is not required, but it represents the access control list for the event log in the Security Descriptor Definition Language (SDDL) syntax. In this procedure this value will be referred to as SDDLACL.
Set the value of the SDDLACL to the following:
O:BAG:SYD:(D;;0xf0007;;;AN)(D;;0xf0007;;;BG) (A;;0xf0007;;;SY)(A;;0x7;;;BA)(A;;0x5;;;SO)(A;;0x1;;;IU)(A;;0x1;;;SU) (A;;0x1;;;S-1-5-3)(A;;0x2;;;LS)(A;;0x2;;;NS)

Once you edit this value and restart the computer, the new setting will take effect. Be certain that you fully understand SDDL and the default permissions that are placed on each event log before you use this procedure. Also, be certain to test any changes thoroughly before you implement them in a production environment, because you could accidentally configure the ACLs on an event log in such a way that no one could access it.

Additional references

The following links provide additional information about event logging in Windows Server 2003 and Windows Vista:

For more information about how to configure security for event logs in Windows Server 2003, see article 323076 in the Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?LinkId=100968).
For more information about SDDL, see Security Descriptor Definition Language (http://go.microsoft.com/fwlink/?LinkId=100970).
For more information about events in Windows Vista, see Event Viewer and Resulting Internet Communication in Windows Vista (http://go.microsoft.com/fwlink/?LinkId=100973).

Extraido de: http://technet.microsoft.com/en-us/library/cc722385(WS.10).aspx

Mas info: http://support.microsoft.com/default.aspx?scid=kb;en-us;323076

Obtener datos de Active Directory desde Excel

2012-06-21T01:03:00.002-03:00

En el día de hoy tuve la necesidad de buscar información en Active Directory a partir de un listado de usuarios que tenia en excel con información faltante.

En vez de hacer un script WMI o una consulta utilizando dsget / dsquery, decidí investigar que herramientas existen para hacer busquedas en AD desde excel. Para una grata sorpresa mia encontré la siguiente herramienta gratuita:

http://excelldapsearch.sourceforge.net/

Hasta ahora rara vez me he encontrado decepcionado con los proyectos hosteados en sourceforge, por lo que me embarque en la prueba.

El producto se instaló muy bien en mi Windows 7 x64 (english). Luego realicé la customización del archivo ini que se abre al finalizar la instalación.

Los parametros a modificar son:

En la sección [Connection]
;#colocar el servidor que corresponda, perferentemente el mas cercano

server=server.dominio.empresa.ccf
;#dejar el default
port=389
;#colocar el usuario que corresponda utilizar para conectarse
binddn=CN=myUser,OU=AR,OU=Users,OU=Accounts,DC=americas,DC=empresa,DC=ccf
bindpw=<password>

No es necesario utilizar un usuario que sea Domain Admin, solo con un usuario miembro de Users bastará (si es que la configuración de AD es la default)

En la sección [Search]
;#colocar el que corresponda, esto restringe la búsqueda de objetos para que sea mas performante
basedn=OU=AR,OU=Users,OU=Accounts,DC=americas,DC=dominio,DC=ccf

En la sección [LDAP Attribute Descriptions] agregúe esta propiedad que me resulta util
manager=Manager

En caso de que necesites algún otro atributo que no esté por default en el ini, puede usar la tool AD Explorer de sysinternals (www.sysinternals.com) para browsear el Active Directory y obtener el nombre de todos los atributos de los objetos deseados.

Luego de realizadas estas parametrizaciones, procedemos a abrir el excel y en la opcion Add-ins del ribon aparece Run LDAP Search. (si teniamos el excel abierto es cuestion de cerrarlo y abrirlo para que aparezca la opción)

Con el excel con la información que queremos buscar, abrimos el LDAP Search y le definimos:

Que filas buscar
En que campo buscarlas
Cuantas columnas mas hacia la derecha devolver los resultados
que atributo/s devolver

Teleworkers y sus desafíos

2012-06-08T20:23:00.001-03:00

Al día de hoy gran parte de las empresas se han por lo menos preguntado ¿pueden nuestros empleados trabajar remotamente? Lo que vemos es que en la mayoría de los casos no se encara esta cuestión utilizando un enfoque sistemático. Esta cuestión requiere de la generación de un Bussiness Case y el análisis de la Alta Gerencia. Para entender que beneficios entrega al negocio.

Dependiendo el rubro de la empresa, puede que muchos de nuestros empleados tengan la posibilidad de trabajar remotamente. Los Beneficios típicos para la empresa son ahorros en alquileres, consumo eléctiro y acondicionamiento. Por una mayor eficiencia en el uso de los inmuebles por ejmplo podemos tener un edificio con 30 puestos de trabajo y 100 empleados. En este punto la empresa debe elegir el ratio que mejor se adapte y dependiendo el área puede variar. Para el área de Tecnología podemos considerar un ratio de 1:3.
Los Ahorros en costos como consumo eléctrico y refrigeración / calefacción, mantenimiento y limpieza se visualizan debido a la menor cantidad de personas requiriendo estos servicios.

Ahora bien, como siempre tenemos detractores que tipicamente dicen cosas como: Pierdo control de los empleados; a lo que podemos contestarle que debemos medir por performance y no por puntualidad. De nada sirve tener un empleado en su puesto de trabajo si no es productivo. Tambien se consideran los mayores riesgos de seguridad, nada que una poliza de ART no pueda contemplar y asegurar.

Ahora, ¿porque deberíamos considerar el Teleworking? Por empezar podríamos comenzar utilizando para casos puntuales como Paros generalizados de transporte, grandes tormentas o alertas meteorológicas, como plan de contingencia para nuestras instalaciones. En estos casos aseguramos que los empleados puedan trabajar desde sus casas sin demoras en el traslado hacia la oficina.
Claro está que tambien es un gran beneficio para otorgar a nuestros empleados.

Como toda novedad plantea algunos desafíos tales como Instalaciones hogareñas no fiables (internet, electricidad), distracciones (TV, tareas hogareñas, etc), Requiere un cambio de mentalidad de toda la compañia y de Ajustar procesos (convertir procesos físicos en digitales)

Pero para esto no alcanza simplemente con darle un usuario de VPN. Existe una seríe de consideraciones y buenas prácticas a tener en cuenta. Por empezar el acceso remoto y seguro (VPN) debe brindar acceso a todos los servicios internos de la empresa. Debemos contar con Herramientas de Mensajería (email, chat, voice-chat) El voice chat debería permitirnos dialogar entre varias personas como si nos juntaramos en una sala "virtual", Herramientas de colaboración (compartir nuestra pantalla y documentos) y claro está Telefonía.

La experiencia puede iniciarse y testearse con unos pocos empleados por vez, pero para justificar toda la inversión tecnológica y puesta a punto que se requiere debe estar justificada por un uso significativo.

Windows Server 2012 Release Candidate

2012-06-01T11:30:00.000-03:00

Windows Server 2012 conocido en nombre código como Windows Server 8 ya cuenta con su release candidate.

Este nuevo SO para Servidores está optimizado para “Cloud”. Ya hemos visto hace poco que Oracle lanzó su nuevo Solaris 11 optimizado para “Cloud” tambien.

La ERA Cloud ha comenzado…

Download:http://www.microsoft.com/en-us/server-cloud/new.aspx
(Seleccionen la opcion para developers, ya que la otra no está funcionando al momento.)

Requiere procesador 64 bits, ya no mas x86 en servidores.

Query local admin name - Consultar el nombre del adminsitrator local

2012-01-24T17:30:00.002-03:00

Dado que la cuenta built-in puede ser renombrada es importante para distintas tareas conocer el nombre real del adminsitrator. Tambien puede variar el nombre según el idioma del SO.

Para esto lo mejor es buscar el usuario teniendo en cuenta su SID.
El SID del adminsitrator siempre termina en 500 y comienza con S-1-5:

A continuación el script para hacer la consulta:

strComputer="127.0.0.1" ' local computer by default
Set objUser=GetObject("WinNT://" & strComputer & "/" & GetAdminName & ",user")

msgbox (getAdminName())

Function GetAdminName
Set objNetwork = CreateObject("Wscript.Network") 'get the current computer name
objComputerName = objNetwork.ComputerName
Set objwmi = GetObject("winmgmts:{impersonationLevel=impersonate}!//" & objComputerName)

qry = "SELECT * FROM Win32_Account where Domain = '" & cstr(objComputerName) & "'"

For Each Admin in objwmi.ExecQuery(qry)
if (left(admin.sid, 6) = "S-1-5-" and right(admin.sid,4) = "-500") then 'look for admin sid
GetAdminName = admin.name
end if
next
end Function

2012-01-18T21:57:00.001-03:00

La libertad de Internet está en peligro

La iniciativa de ley SOPA (Stop Online Piracy Act) de los Estados Unidos perjudicaría seriamente la libertad de expresión y el carácter abierto de Internet, incluyendo a Wikipedia, en caso de ser aprobada. Otras leyes, como la Ley de Economía Sostenible (Ley Sinde) española y los proyectos de la Ley Lleras (Colombia) y Döring (México) también suponen una amenaza. Con la excusa de proteger los derechos de autor, se permiten medidas que pueden considerarse como censura.

¡Internet no debe ser censurada!

Unix Scripting: Create users

2011-12-23T13:52:00.003-03:00

A continuación comparto un script simple para creación de usuarios en ambientes Unix:

HOME=/export/home
#/export/home

if [ $# -eq 4 ]
then
echo "Creating user $1, nombre $2"
else
echo "Usage:$0 <\"username\"> <\"Descripcion\"> <\"grupo\"> <\"UID\"> "
#echo " groups:"
#echo " lista separada por comas de los grupos a los que pertenecerá"
exit 1
fi

user=$1
nombre=$2
grupos=$3
uid=$4

sudo /usr/sbin/useradd -c "$nombre" -g $grupos -m -d $HOME/$user -s /bin/sh -u $uid $user
if [ $? -ne 0 ]
then
exit 1
fi

echo "Setting Password"
sudo /usr/bin/passwd $user
sudo /usr/sbin/usermod -f 90 $user
sudo /usr/bin/passwd -n 7 -x 30 -w 7 -f $user
sudo /usr/bin/passwd -f $user
echo "The user $user has been created"

FOCA 3

2011-10-28T10:22:00.002-03:00

There is a new FOCA in town. After six months we got FOCA 3 FREE available for direct download in:

http://www.informatica64.com/descargas/Foca_Free_3_0_20111027.zip

This new version has new fresh look and feel, and it is full of new features that you will love to discover.

Also, we would like to remember you that we created MetaShield Protector as a solution to filter metadata in published documents through Windows Server 2008 / 2008 R2, IIS 7.0 / 7.5 and SharePoint 2007, Windows SharePoint Services and SharePoint 2010. More info at: http://www.metashieldprotector.com

Enjoy FOCA Lover!

Windows: Password required vulnerability

2011-10-05T11:58:00.000-03:00

Hay ciertas cuentas que genera Windows en forma predeterminada que no requieren password y son una vulnerabilidad, ya que es posible utilizarlas sin ingresar su password.

Para conocer si una cuenta requiere password o no, debemos ejecutar el siguiente comando:

>net user IUSR_testServer
User name                    IUSR_testServer
Full Name
Comment                      Built-in account for IIS
User's comment
Country code                 000 (System Default)
Account active               Yes
Account expires              Never
Password last set            03/06/2011 11:12:42 p.m.
Password expires             Never
Password changeable          03/06/2011 11:12:42 p.m.
Password required            No
User may change password     Yes
Workstations allowed         All
Logon script
User profile
Home directory
Last logon                   03/06/2011 11:12:42 p.m.
Logon hours allowed          All
Local Group Memberships      *Users
Global Group memberships     *None
The command completed successfully.

Una vez que detectamos estas cuentas debemos analizar si la aplicacion que la usa (En nuestro caso el IIS) puede reconfigurarse y setearle el password para que sea utilizado.

Una vez realizado este analisis es necesario forzar que requiera password con el siguiente comando:

net user /passwordreq:yes NombreUsusario

Una vez realizado esto, es recomendable reiniciar el servicio que utilice este usuario para comprobar que todo siga funcionando sin problemas.

Tambien será necesario controlar que el IIS tenga el password correcto ingresado en los sites que utilicen dicha cuenta. Si fuera otra aplicación verificar que la aplicación tenga el password correctamente ingresado.

How to force WSUS updates to install on a computer

2011-09-27T11:23:00.001-03:00

LA forma de fozar a un computer (workstation o server) a que se comunique con WSUS y descargue los paquetes que tiene pendientes de instalación es reiniciando los servicios que utiliza WSUS:

Desde un CMD ejcutar lo siguiente:

net stop "windows installer"
net start "windows installer"
net stop "automatic updates"
net start "automatic updates"
net stop "background intelligent Transfer Service"
net start "background intelligent Transfer Service"

Si quieren hacer un vbscript puede hacerlo de la siguiente forma:

'Iniciar servicios de Windows Update
WSHShell.run "cmd.exe /K net stop ""windows installer"" & net start ""windows installer"" & exit", 1, true
WSHShell.run "cmd.exe /K net stop ""automatic updates"" & net start ""automatic updates"" & exit", 1, true
WSHShell.run "cmd.exe /K net stop ""background intelligent Transfer Service"" & net start ""background intelligent Transfer Service"" & exit", 1, true

Para ver el log de windows update y chequear los mensajes, desde Inicio > Ejecutar peguen esto:

notepad %WinDir%\WindowsUpdate.log

Unix Hands-on: hardening sendmail

2011-09-10T18:31:00.000-03:00

En este post algunas recomendaciones de como segurizar sendmail:

1. Primero que nada debemos verificar version actual y si requiere upgrade. Esto es lo primero a evaluar en cuanto a seguridad en cualquier producto.

2. Para todas estas configuraciones vamos a necesitar trabajar como root.
/usr/local/bin/sudo su - root

3. Vamos a hacer las configuraciones de seguridad del servicio.
-Cambiar el banner que muestra el servicio para que no sea facil detectar que servicio y version estamos usando. Esto sirve para dificultar la detección de vulnerabilidades conocidas.
-Cambiar las privacy options.

#Muestra config actual
cat /etc/mail/sendmail.cf | grep PrivacyOptions

#Hago copia de seguridad
cp /etc/mail/sendmail.cf /etc/mail/sendmail.copy_old

#Reemplazo las PrivacyOptions
sed '
/O PrivacyOptions/ c\
O PrivacyOptions=authwarnings,needmailhelo,needexpnhelo,novrfy,noexpn,restrictqrun,restrictmailq' /etc/mail/sendmail.cf > /etc/mail/sendmail.cf2
mv /etc/mail/sendmail.cf2 /etc/mail/sendmail.cf

#Reemplazo el banner
sed "s/O SmtpGreetingMessage=\$j Sendmail \$v\/\$Z; \$b/O SmtpGreetingMessage=\$j myOwnMailService/" /etc/mail/sendmail.cf > /etc/mail/sendmail.cf2
mv /etc/mail/sendmail.cf2 /etc/mail/sendmail.cf

#Restart service Solaris 9
/etc/init.d/sendmail restart

#Restart service Solaris 10
/usr/sbin/svcadm restart /network/smtp:sendmail
svcs /network/smtp:sendmail

#Muestra la nueva config

uname -a

cat /etc/mail/sendmail.cf | grep PrivacyOptions

Unix Hands-on: ssh keys

2011-09-10T18:14:00.002-03:00

Las ssh keys nos permiten loguearnos de forma "segura" (no siempre) a los equipos definidos sin tener que ingresar un password. Esto es sobre todo util para usuarios de servicio que deban loguearse a otros equipos a ejecutar comandos.
Decía que no siempre es seguro, ya que depende de como esté configurado el su o sudo. Si el su no pide el password para root o para otros usuarios, es muy sencillo que un usuario no autorizado pueda loguearse en otros equipos utilizando las ssh keys de otro usuario. Por esto es que hay que tener cuidado en como se utilizan las ssh keys; pero sobre todo en como se configura su y sudo.

#Crear las ssh keys en el equipo cliente
mkdir ~/.ssh chmod 700 ~/.ssh ssh-keygen -q -f ~/.ssh/id_rsa -t rsa

# upload public key from client to server (o directamente lo apendo a authorized keys como esta abajo)
scp ~/.ssh/id_rsa.pub user@10.195.8.190:.ssh/authorized_keys

# Setup the public key on server
bash
cd ~
mkdir .ssh
chmod 700 .ssh

#Inserto mi public key en authorized keys
echo "ssh-rsa AAAB3NzaC1yc2EAAAAOIwAAAIEApF+hzf1x366jjC+qt61R267dtDM36lxIqvw3ICUbNhTNB5wP/628rfWNIdi16MeCxJaufaf42tm2TYrsdGUAKfVCbssmCWJLoRwgeHUzOPIueAHwVkiuyFIG5/EJW7gvvF65pQzXoAXlktq1sWOh7kL8HLGDgUwJe4xlwvDP4Lk= user@client" >> .ssh/authorized_keys
chmod 600 .ssh/authorized_keys

Nota: ssh keys = llaves ssh (que mal que suena en castellano...)

Unix Hands-on: Como habiltiar auth.log

2011-09-10T18:07:00.002-03:00

En caso que tengamos problemas con un usuario que no puede acceder y no sabemos por que... o seamos conscientes de que el día de mañana podemos llegar a necesitar saber si alguien bloqueo un usuario o estuvo intentando adivinar un password, les paso el método para habilitar el auth.log. o lo que es lo mismo el how to enable auth.log

#edit syslog
vi /etc/syslog.conf

#add this line
auth.debug /var/tmp/auth.log rotate time 15d
touch /var/tmp/auth.log
chmod 640 /var/tmp/auth.log

#Finally refresh the syslog daemon
refresh -s syslogd

#View connections
tail -f /var/tmp/auth.log

Notar que la rotacion del archivo fue seteado en 15 días, lo que implica que los eventos anteriores a los 15 dias seran removidos en forma automática. Esto es bueno tenerlo en cuenta para no generar un archivo de log demasiado grande.

Unix Hands-on: AIX Security files

2011-09-10T17:59:00.003-03:00

Los siguientes archivos contienen las principales informaciones necesarias para adminsitrar la seguridad de un equipo

/etc/passwd
Contains the basic attributes of users.
/etc/security/user
Contains the extended attributes of users.
/etc/security/user.roles
Contains the administrative role attributes of users.
/etc/security/limits
Defines resource quotas and limits for each user.
/etc/security/environ
Contains the environment attributes of users.
/etc/security/audit/config
Contains audit configuration information.
/etc/security/lastlog
Contains the last login attributes of users.
/etc/group
Contains the basic attributes of groups.
/etc/security/group
Contains the extended attributes of groups.
/etc/security/login.cfg
Contains login restrictions and messages.

Como evaluar que bloquea un usuario

2011-09-08T17:26:00.000-03:00

Este post puede servir para identificar quien o que bloquea un usuario de dominio o local.

1. Primero ejecutar el tool EventCombMT.exe

Nota: Los números de eventos de Seguridad de Windows a utilizar pueden consultarse desde esta URL:
http://support.microsoft.com/kb/174074 (Aplica para Windows Server 2003)
http://support.microsoft.com/kb/947226 (Aplica para Windows Server 2008)
*Tener en cuenta que en Windows Vista / Server 2008 / Seven / Server 2012 tienen códigos de eventos de Seguridad diferentes a Windows 2003. Lo bueno es que no se solapan, arrancan de una nuemeración distinta a la que posee 2003.

Nota 2: Descarga del EventCombMT en esta URL: http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=18465

Nota 3: Como utilizar el EventCombMT en esta URL :
http://support.microsoft.com/kb/824209

Una vez que la herramienta finaliza generará un txt en el directorio %temp%. Una linea de ejemplo es la siguiente:

644,AUDIT SUCCESS,Security,Sat Sep 03 07:07:48 2011,NT AUTHORITY\SYSTEM,User Account Locked Out: Target Account Name: usuario1 Target Account ID: %{S-1-5-21-3880413253-2914564469-1958111818-20410} Caller Machine Name: server1 Caller User Name: DCServer$ Caller Domain: contoso Caller Logon ID: (0x0,0x3E7)

Con esto vemos que usuario1 se esta bloqueando en el dominio contoso por una intento fallido de login desde el server1, a traves del Domain Controller DCServer$

2.Analizar en el servidor desde donde se realiza el login (en nuestro ejemplo server1)

Debemos analizar si:

El usuario tiene tareas en ejecución logeado (desde un cmd TASKLIST /FI "USERNAME ne usuario1")
Existen procesos que corren con este usuario (services.msc)
Existen tareas programadas (taskschd.msc)

3. Si con el paso anterior no encontramos que es lo que bloquea al usuario, analicemos el EventId: 529 para determinar que proceso bloquea el usuario.

En este caso vemos que el usuario se bloquea desde el Process ID 2592, que corresponde al servicio de Reporting Services

Como delegar permisos de Active Directory

2011-09-05T23:14:00.002-03:00

Para delegar permisos de Active Directory a un grupo de usuarios y no morir en el intento, recomiendo utilizar la herramienta de linea de comando dsacls.

Si utilizan el wizard que ofrece Windows 2003 server, van a encontrar que genera problemas con la herencia la mayoría de las veces.

A continuación un ejemplo del comando applicado en una delegación concreta de permisos sobre un atributo de un objeto user

dsacls "OU=Sites,OU=Argentina,DC=dominio,DC=ccf" /I:S /G domino\group:WP;personalTitle;user

Ejemplo para permitir a un grupo modificar la expiracion de los usuarios:

Para delegar el permiso de modificar el atributo accountExpires

dsacls "CN=Pepe,OU=Usuarios,OU=ARGENTINA,DC=dominio,DC=ccf" /I:S /G SA\HelpServicesGroup:RPWP;accountExpires;user >> out.log

Para delegar el permiso de modificar el atributo expirationTime:

dsacls "CN=Pepe,OU=Usuarios,OU=ARGENTINA,DC=dominio,DC=ccf" /I:S /G SA\HelpServicesGroup:RPWP;expirationTime;user >> out.log

Se puede poner RP (read) y WP (write) seguidos en una misma línea, como están arriba (RPWP;) y no tener que hacer 2 líneas por separado para cada Property.

El “>> out.log” se puede usar para tener registro de los resultados, si vamos a ejecutar muchos comandos juntos. Puede que fallen si el nombre (CN=) tiene caracteres no permitidos (Ñ, comilla simple, etc.).

Mas info sobre el comando:

This article describes how to use the Dsacls.exe tool (Dsacls.exe) to manage access control lists (ACLs) for directory services in Microsoft Windows Server 2003 and Microsoft Windows 2000 Server. Dsacls.exe is a command-line tool that you can use to query the security attributes and to change permissions and security attributes of Active Directory objects. It is the command-line equivalent of the Security tab in the Windows Active Directory snap-in tools such as Active Directory Users and Computers and Active Directory Sites and Services.

Dsacls.exe is included with the Windows Support Tools. To install the Support Tools, run Setup.exe from the Support\Tools folder on the Windows Server 2003 or Windows 2000 Server CD-ROM.

You can use Dsacls.exe and another Windows Support Tool, ACL Diagnostics (Acldiag.exe), to provide security configuration and diagnosis functionality on Active Directory objects from the command prompt.

Note You can use Dsacls.exe to display and change permissions (access control entries) in the access control list (ACL) of objects in Active Directory Application Mode (ADAM) in Windows Server 2003.

Important Do not use Dsacls.exe to modify permissions if you have implemented a Hosting solution such as Windows-based Hosting, High Volume Exchange (HVE), Hosted Messaging and Collaboration, or Hosted Exchange, or if the customer is using Microsoft Provisioning Service. The Hosting solutions depend on specific security model to isolate the ISP's customers from each other. DsAcls uses the following syntax:

dsacls object [/a] [/d {user | group}:permissions [...]] [/g {user | group}:permissions [...]] [/i:{p | s | t}] [/n] [/p:{y | n}] [/r {user | group} [...]] [/s [/t]]

You can use the following parameters with Dsacls.exe:

object: This is the path to the directory services object on which to display or change the ACLs. This path must be a distinguished name (also known as RFC 1779 or x.500 format). For example:
CN=Someone,OU=Software,OU=Engineering,DC=Microsoft,DC=Com
To specify a server, add \\Servername\ before the object. For example:
\\MyServer\CN=Someone,OU=Software,OU=Engineering,DC=Microsoft,DC=Com
When you run the dsacls command with only the object parameter (dsacls object), the security information about the object is displayed.
/a : Use this parameter to display the ownership and auditing information with the permissions.
/d {user | group}:permissions: Use this parameter to deny specified permissions to a user or group.User must use either user@domain or domain\user format, and group must use either group@domain ordomain\group format. You can specify more than one user or group in a command. For more information about the correct syntax to use for permissions, see the <Permissions> Syntax section later in this article.
/g {user | group}:permissions: Use this parameter to grant specified permissions to a user or group.User must use either user@domain or domain\user format, and group must use either group@domain ordomain\group format. You can specify more than one user or group in a command. For more information about the correct syntax to use for permissions, see the <Permissions> Syntax section later in this article.
/i:{p | s | t} : Use this parameter to specify one of the following inheritance flags:
- p: Use this option to propagate inheritable permissions one level only.
- s: Use this option to propagate inheritable permissions to subobjects only.
- t: Use this option to propagate inheritable permissions to this object and subobjects.
/n : Use this parameter to replace the current access on the object, instead of editing it.
/p:{y | n}: This parameter determines whether the object can inherit permissions from its parent objects. If you omit this parameter, the inheritance properties of the object are not changed. Use this parameter to mark the object as protected (y = yes) or not protected (n = no).

Note This parameter changes a property of the object, not of an Access Control Entry (ACE). To determine whether an ACE is inheritable, use the /I parameter.
/r {user | group}: Use this parameter to remove all permissions for the specified user or group. You can specify more than one user or group in a command. User must use either user@domain or domain\userformat, and group must use either group@domain or domain\group format.
/s: Use this parameter to restore the security on the object to the default security for that object class, as defined in the Active Directory schema.
/t : Use this parameter to restore the security on the tree of objects to the default for each object class. This switch is valid only when you also use the /s parameter.

`Permissions` Syntax

You must use the following syntax for permissions when you use the /d {user | group}:permissions or /g {user |group}:permissions parameter :

[PermissionBits];[{Object|Property}];[InheritedObjectType]

PermissionBits can use any of the following values, which can be concatenated together without spaces:

Generic Permissions

GR	Generic Read
GE	Generic Execute
GW	Generic Write
GA	Generic All

Specific Permissions

SD	Delete
DT	Delete an object and all its child objects.
RC	Read security information
WD	Change security information
WO	Change owner information
LC	List the child objects of an object
CC	Create child object. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
DC	Delete child object. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
WS	Write to self object. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
RP	Read property. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
WP	Write property. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
CA	Control access right. If {`Object\|Property`} is not specified to define a specific property, this applies to all properties of an object. Otherwise, it applies to the specified property of the object.
LO	List the object access. Can be used to grant list access to a specific object if List Children (LC) is not also granted to the parent. Can also be denied on specific objects to hide those objects if the user or group has LC on the parent. By default, Active Directory does not enforce this permission.

{Object|Property}: This represents the display name of the object type or property. For example, "user" (without the quotation marks) is the display name for user objects, and "telephone number" (without the quotation marks) is the display name for the telephone number property.

For example, the following command permits the user to create all types of child objects:
/G Domain\User:CC

However, the following command permits the user to create only child computer objects:
/G Domain\User:CC;computer
InheritedObjectType: This represents the display name of the object type by which the permissions are expected to be inherited.

If an object type is not specified, the permission can be inherited by all object types. This parameter is used only when permissions are inheritable.

For example, the following command permits all types of objects to inherit the permission:
/G Domain\User:CC
However, the following command permits only user objects to inherit the permission:
/G Domain\User:CC;;user

IMPORTANT: Use permissions only when you define object-specific permissions that override the default permissions defined in the Active Directory schema for that object type. Use with caution and only if you have a full understanding of object-specific permissions.

Examples of Permissions

SDRCWDWO;;user

This notation represents Delete, Read security information, Change security information, and Change ownership permissions on objects of type "user".
CCDC;group;

This notation represents Create child and Delete child permissions to create or delete objects of type "group".
RPWP;telephonenumber;

This notation represents Read property and Write property permissions on the telephone number property.

Listar grupos y usuarios a un txt

2011-08-31T23:14:00.004-03:00

Para listar el contenido de un grupo local de una workstation o server, podemos ejecutar el siguiente comando:

Net localgroup administrators > %temp%\lstUsersAdministrators.txt

Para hacerlo en un equipo distinto del que estamos trabajando podemos ayudarnos de la tool psexec:

psexec.exe \\Target net localgroup administrators > %temp%\lstUsersAdministrators.txt

Para listar todos los usuarios de una workstation o server, podemos ejecutar el siguiente comando:

Net users > %temp%\lstUsers.txt