Rompiendo todo con #PowerShell

“PowerShell Runspace Portable Post Exploitation Tool”aka PowerOps es una aplicación escrita en C# que no se basa en powershell.exe sino que ejecuta los comandos y funciones de PowerShell en un entorno de espacio de ejecución de PowerShell (.NET). Intenta incluir varios módulos PowerShell ofensivos para hacer el proceso de post explotación más fácil.

Se trata de seguir el principio KISS, siendo lo más simple posible. El objetivo principal es hacer que sea fácil usar PowerShell ofensivamente y ayudar a evitar las soluciones antivirus y otras de mitigación. Esto se hace principalmente de dos formas:

– No basándose en powershell.exe, llamando a PowerShell directamente a través del marco .NET, lo que podría ayudar a pasar por controles de seguridad como GPO, SRP y App Locker.
– Los payloads se ejecutan desde la memoria (cadenas codificadas en base64) y nunca tocan el disco, evadiendo la mayoría de los antivirus.

Read More

Recomendaciones para el desarrollo seguro.

A lo largo de los últimos meses, hemos sido testigos del crecimiento en la tendencia para la generación de programas de concientización sobre el desarrollo seguro de aplicaciones.

La seguridad en los productos software constituye una propiedad emergente dictaminada por la cohesión de múltiples factores a lo largo del proceso de desarrollo, desde su misma concepción hasta la muerte del producto. Cuando hablamos de evaluar la seguridad de los programas informáticos, hacemos referencia a un conjunto de actividades a lo largo del ciclo de desarrollo que nace que con la idealización del sistema, y se extiende sobre el diseño, la codificación y el fortalecimiento del mismo.

Read More

HackThisSite: Basic Challenge Level 11

Bien, estamos en el último nivel y se nos presenta de la siguiente manera.
1

Además, tenemos la ayuda dentro del menú de las misiones.

2

Bien, no tenemos mucho pero podemos empezar a hacer nuestra lista:

  • Vulnerabilidad en Apache, seguramente debe ser alguna misconfiguration (mala configuración de seguridad).
  • [Me dí cuenta recién cuando refresqué la página https://www.hackthissite.org/missions/basic/11/] El nombre de la canción va cambiando, por lo que allí debe haber un patrón:
    • Honky Cat
    • I Don’t Care
    • Made in England
  • Afirmativo, todas las canciones son de Elton John.

Podemos utilizar Google para poder reducir nuestro scope de vulnerabilidades comunes y llegar a una mejor conclusión. Aquí les dejo una recomendación:

http://www.tecmint.com/apache-security-tips/

Nosotros vamos a probar con una de las vulnerabilidades más explotadas en Apache: Directory Listing.

Para ello, usaremos nuestro proxy ZAP y vamos a fuzzear.

3

Simplemente lo que hicimos fue:

  1. Seleccionar nuestro request (https://www.hackthissite.org/missions/basic/11/)
  2. Preparar nuestro fuzzer

Ahora, comenzaremos con una lista básica; compuesto solo de caracteres del alfabeto.

4

Una vez que termine, vamos a encontrar un resultado bastante particular: un error de Moved Permanently. ¿Qué esperamos para probarlo en el navegador?

5

6

Recorramos toda la vulnerabilidad, yendo letra por letra. Encontraremos algo que tenía que ver con nuestra primer pista:

7

Ahora no vemos nada… ¿habrá algún archivo oculto? Hagamos una simple prueba contra Google:

8

Parece que la respuesta es bastante obvia: .htaccess

9

La directiva IndexIgnore prhobie una visualización sobre lo declarado, en este caso el directorio DaAnswer, donde mágicamente encontraremos más información:

10

The answer is somewhere close! Just look a little harder.

Seguramente sea un juego de palabras, ya que dentro del código fuente no hay nada de información y éste nivel se ve bastante tedioso, por lo que la respuesta debe ser

somewhere close

¿Por qué llego a esa conclusión? La respuesta es:

The answer is somewhere close! Just look a little harder.

Ahora, ¿dónde ponemos esa respuesta? Seguramente nos hayamos olvidado algún formulario on the wild, por lo que vamos a volver a fuzzear desde el principio: https://www.hackthissite.org/missions/basic/11/. En éste caso, vamos a utilizar una lista de nombre de archivos y directorios comunes. Una gran guía para éste caso es:

http://blog.thireus.com/web-common-directories-and-filenames-word-lists-collection/

Una vez terminado el ataque, encontraremos algo bastante interesante (index.php), por lo que decidimos completarlo:

11

12

Complicado.

DynamicSec.

 

¿Qué es #Bootstrap?

Bootstrap, es un framework originalmente creado por Twitter, que permite crear interfaces web con CSS y JavaScript, cuya particularidad es la de adaptar la interfaz del sitio web al tamaño del dispositivo en que se visualice. Es decir, el sitio web se adapta automáticamente al tamaño de una PC, una Tablet u otro dispositivo. Esta técnica de diseño y desarrollo se conoce como “responsive design” o diseño adaptativo.resp1

Read More

Huawei estaría planeando sacar al mercado su propio SO

Huawei no quiere estar a la sombra de Android y podría haberse unido ya al club de fabricantes, encabezado por Samsung, que están trabajando en sistemas operativos paralelos al de Google, que a Abril de 2016 dominaba el 67,6 por ciento del mercado estadounidense, el 76 por ciento del europeo y el 78,8 por ciento del chino, según datos de Kantar Worldpanel.

El reporte de The Information asegura que Huawei no quiere a Android de “muleta” para garantizar el éxito de la compañía. De acuerdo al informe, existe un equipo trabajando en el desarrollo de este sistema operativo que incluye a ex-empleados de Nokia y que está ubicado en algún país escandinavo.

Read More

¿Qué es el cifrado de datos y como funciona?

El candado que ves a menudo en tu barra de navegación web implica que la información que se está enviando desde ese sitio hacia otros lugares, como un servidor de una red social, banco o servicio de correo electrónico, está cifrada. En este video repasamos el funcionamiento de esta técnica para que entiendas cómo protege tus datos en Internet.

Fuente: We Live Security

HackThisSite: Basic Challenge Level 10

Un nivel bastante fácil y rápido para entender el funcionamiento de una cookie.

1

Como no sabemos que contraseña tenemos que poner, ponemos cualquier cosa. Nos saldrá la siguiente leyenda:

You are not authorized to view this page

Las autorizaciones, mayormente, se distinguen por las cookies de sesión. En mi navegador Chrome tengo instalado un plugin para poder visualizarlas cada vez que estoy en una aplicación, y ésta no es la excepción:

2

Como se puede ver, la cookie (de nombre muy llamativo) level10_authorized esta en no. ¿Qué pasa si la cambiamos a yes?

3

DynamicSec.

Una visión más clara sobre la Deep Web

Comparto un excelente artículo de We Live Security, el blog oficial de ESET.

Hemos escuchado decir que la Deep Web no es más que la parte de Internet oculta, es decir que no ha sido indexada por algún tipo de buscador, por lo que la única forma de llegar a este tipo de información es conociendo la dirección exacta. También oímos que es donde abundan cosas indeseables como el narcotráfico, el crimen organizado, los paquetes de malware y la pedofilia.

Sin embargo, las razones por las cuales alguien podría querer no indexar su información abarcan un gran abanico de posibilidades, de las cuales no todas son necesariamente ilegales. Quizá es solo un tema de privacidad. Y si bien es cierto que en la Deep Web habitan todas esas cosas indeseables, pocos conocen lo que hay realmente allí en detalle y que no todo es tan aterrador.

¿Qué tipos de contenidos hay y en qué idiomas se publican? ¿Cuántos sitios componen la Deep Web? Estas y otras preguntas, hasta hace no tanto, seguían sin respuesta.

Este post no tiene como objetivo valorar a la Deep Web como buena o mala, ni como conveniente o no conveniente, sino contarte qué es lo que hay allí para que estés al tanto y decidas si quieres aventurarte a usarla o prefieres quedarte en la Internet tradicional.

Read More

Android Device Manager

¿Qué hacer cuando el móvil se ha perdido? ¿Cómo saber donde está un teléfono geográficamente? Cómo proteger los datos del teléfono en caso de robo?  Esas son algunas de las preguntas que cualquiera puede hacerse después de que se han robado su dispositivo móvil Android, o se ha perdido en alguna parte y estuvo en modo silencio justo en esa desafortunada ocasión y no se puede encontrar timbrando o llamando.

Existen algunas alternativas para dar solución a las preguntas anteriores; sin embargo, para qué usar herramientas de terceros si podemos hacer uso de una característica propia del sistema operativo recientemente integrada hace unos meses atrás, conocida como Android Device Manager, que justamente tiene la respuesta adecuada para los tres inconvenientes citados. Esto es lo que se podrá hacer:

  • Generar un timbre en el móvil para hallarlo por el sonido.
  • Ver la ubicación del teléfono en un mapa estilo Google Maps.
  • Bloquear el acceso a todo el móvil con una contraseña.
  • Borrar los datos del equipo de forma remota (Aunque no se tenga el teléfono).

Son dos cosas las que se deben hacer para poder utilizar la funcionalidad ADM:

  • Habilitarla en el dispositivo.
  • Acceder al sistema web para elegir cualquiera de las acciones posibles: localizar, timbrar, bloquear o borrar.

Veamos paso a paso como hacer ambas, no sin antes aclarar que, evidentemente, sólo se puede recurrir a esta alternativa si es que se ha configurado antes de la pérdida o robo del equipo. Consecuentemente, podría decirse que esta es una guía preventiva.

Activar

Dirigirse a Menú > Ajustes > Seguridad > Administrador de dispositivos.

Activar la casilla Administrador de dispositivos (Permitir que el Administrador de dispositivos Android bloquee un dispositivo).

Al activar la casilla se verá una información como la siguiente. Pulsar la opción Activar.

Haciendo esto permitiremos que Android Device Manager pueda hacer sonar, bloquear, o borrar los datos.

Si se quiere Ubicar el dispositivo en un mapa, hay que habilitar algo más. Veamos cómo:

Ir a Menú > Ajustes de Google > Administrador de dispositivos.

Allí se debe habilitar la casilla Ubicar este dispositivo de forma remota. Es necesario hacer esto de lo contrario no se podrá ver la ubicación del teléfono en un mapa a través de la interfaz web de ADM (que se explica a continuación). Si no se activa esto, en dicha interfaz aparece el mensaje Ubicación no disponible.

Administración desde la web

Después de activar la función en el móvil hay que ingresar en la interfaz web del servicio a través del navegador para empezar a usarla. Allí será necesario loguearse o ingresar con los datos de la misma cuenta de Google que se usa en el teléfono o dispositivo que estamos configurando.

gt-i8190l-android-device-manager

Una vez ingresado, se podrá ver el modelo del dispositivo Android, así como su ubicación y las opciones siguientes disponibles.

Hacer Sonar

hacer-sonar-el-dispositivo-android-device-manager
Esta función puede hacer sonar el móvil Android por 5 minutos. Ojo: no necesariamente se usa el sonido del timbre del teléfono. En mi caso fue un timbre especial que, lastimosamente no es suficiente fuerte, en parte quizá debido al límite de volumen máximo de mi dispositivo.

Sólo hay que elegir la opción Hacer Sonar, y confirmar la advertencia siguiente.

Bloquear acceso

bloquear-android-device-manager
Al elegir la opción Bloquear se mostrará una ventana para ingresar una contraseña. Inmediatamente después de ingresar la contraseña y presionar bloquear, el teléfono se habrá bloqueado.

Para desbloquear el móvil hay que ingresar en el dispositivo la contraseña que se indicó en el paso previo. Mientras no se haga ello, el teléfono solo permite hacer llamadas de emergencia.

El móvil se mantiene bloqueando constantemente cada vez que se apaga la pantalla y entra en modo de ahorro energía. Hay que ingresar la contraseña configurada cada vez que se ponga en este estado. Para evitar esto es necesario reconfigurar la Pantalla de Bloqueo en el menú Ajustes. Si se estuvo usando algún método de bloqueo de pantalla específico (Deslizar, movimiento, desbloqueo facial, pin, patron, etc.), hay que restablecer esa configuración, es decir, configurar Ninguno como método de bloqueo y luego usar el método que se tenía antes.

Borrar datos

borrar-datos-android-device-manager
Se debe usar con precaución esta función pues, una vez que se confirma la acción, no hay vuelta atrás. Además, los datos se borran sin advertencias de por medio. Puede ser útil después del robo del dispositivo, para proteger la información almacenada de terceros.

Puntos importantes

  • El teléfono necesariamente debe estar encendido y conectado a internet para realizar remotamente cualquiera de las acciones anteriores.
  • En caso de no estar conectado a internet, la acción se realizará una vez que el teléfono se conecte otra vez.
  • El bloqueo de Android Device Manager anula cualquier ajuste de bloqueo del dispositivo. Es por esa razón que es necesario restaurar la pantalla de bloqueo del equipo.

Conclusiones

Android Device Manager es una herramienta excelente por algunas razones:
Permite eliminar la información de un terminal en caso de robo, para evitar que caiga en manos de otras personas. Como restaura las configuraciones de fábrica, se consigue borrar los datos de todas las aplicaciones y datos de todas las configuraciones del teléfono también.
Puede hacer que el dispositivo suene o timbre. Útil para cuando se pierde o cuando se olvida en alguna parte y se halla en el modo de silencio.
Puede bloquear el acceso al teléfono para evitar que otros tengan acceso a él; ideal para cuando no se sabe donde está pero es posible poder encontrarlo aún, antes de recurrir al borrado de datos.
La geolocalización del móvil es otra de sus ventajas. Aunque no determina un punto exacto, nos puede ayudar a conocer aproximadamente donde está.

Si no se tiene ninguna aplicación preferida para estos propósitos, qué mejor que hacer uso de esta opción nativa de Android para proteger nuestros datos y, en última instancia, tomar ciertas medidas después de haber perdido temporal o definitivamente nuestro querido equipo.