lunes, 31 de diciembre de 2012

Feliz año nuevo 2013!!!

Para que en este año nuevo nos encuentre a todos más esperanzados, unidos, llenos de vitalidad, con salud y mucho trabajo!


Creo que no es mucho pedir un poco de paz a todos, es el mejor remedio para evitar los problemas y las discusiones.

Este es mi deseo para todos los que en estos últimos meses me siguieron en el blog y en las redes sociales, muchas gracias por sus saludos y comentarios y por supuesto que vamos a estar más conectados que nunca en este 2013!

Buen año para todos y Feliz 2013.

Saludos!

jueves, 27 de diciembre de 2012

SQLMap Training: Wizard

Que les parece si comenzamos a "jugar" con SQLMap, para ello voy a asumir que ya tienen instalado en un entorno de desarrollo DVWA para evitar cualquier tipo de problema por inspeccionar y explotar este tipo de vulnerabilidades.

Por otro lado DVWA es un escenario de training fantástico que recomiendo a todos para iniciarse en la explotación de técnicas hacking mucho más de cerca.

Lo más interesante de DVWA es tratar de no utilizar las herramientas automatizadas para resolver cada uno de los retos planteados, pero como estamos en el Training de SQLMap vamos a saltear esa regla e intentar explotar el fallo de SQL Injection haciendo uso de esta herramienta.

Para los nuevos usuarios que recién se están iniciando en el uso de herramientas en consola, vallan haciéndose la idea que más allá de tener una pantalla en negro con un irritante cursor blanco esperando, hay un potencial increíble en esa consola y hoy por hoy existen muchas herramientas de seguridad que están programadas para que funciones directamente en la línea de comandos.

Entonces nos autenticamos en DVWA, lo primero que vamos a hacer dentro es modificar su seguridad, en la opción DVWA Security lo vamos a setear en low para ir comprendiendo la utilización de las herramientas.

Vamos hasta el menú que dice "SQL Injection" allí vamos a encontrar un input text esperando que le ingresemos algún dato para luego procesarla y ejecutar esa consulta.

Si le ingresamos un valor 1 obtenemos un resultado, y si pueden ver es posible copiar la URL con las variables GET utilizadas

http://localhost/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#

miércoles, 26 de diciembre de 2012

YouTube Spam

En estas semanas de fiesta por la Navidad y año Nuevo, resulta que me comenzó a llegar spam masivo a mi cuenta de Gmail nada más y nada menos que de YouTube.

El mail tiene un apariencia como este:



lunes, 24 de diciembre de 2012

Feliz Navidad!

Para todos los lectores y seguidores de este blog que se inició hace muy poco, mis deseos de una Feliz Navidad! Un excelente momento para estar en familia, reencontrarse con amigos y compartir los mejores momentos con los suyos.


Saludos!

viernes, 21 de diciembre de 2012

Actualización de seguridad: Symfony 2.0.20 y 2.1.5

Atención a la gente que le gusta el Framework Symfony2 ya que acaban de liberar una actualización de seguridad para las versiones 2.0.20 y 2.1.5 parchando 2 fallos importantes de seguridad.

Uno de sus fallos corregidos CVE-2012-6431 permite acceder a una ruta protegidas por Firewall aunque no se encuentre autenticado.

El segundo fallo corregido CVE-2012-6432 corresponde a la ejecución de código a través de los "internal".

jueves, 20 de diciembre de 2012

Mirando colas de Logs


Esta es una de las tareas de monitorización que los administradores llevamos a diario, ante cualquier anomalía en el servicio, al iniciar el día y hasta el final estamos constantemente mirando e intepretando los logs o bitacoras más importantes de nuestros servidores.

Es por ello que cada servicio que agregamos, responde a un archivo que refleja su comportamiento, sus accesos y errores, esto son los archivos Logs tan indispensables para hacer seguimiento de servicios y detectar problemas y fallas.

Por otro lado existe una infinidad de herramientas que interpretan y analizan estos archivos logs para darnos datos estadísticos más visibles e interpretables, pero eso será motivo para otro post. Por ahora quería mostrarle dos herramientas para mirar las colas de cualquier archivo log.

La primera es la famosa multitail para servidores UNIX. En donde es posible seguir más de un log en la pantalla y a grandes rasgos entender que es lo que está registrando un determinado servicio, como por ejemplo apache:

$ multitail /var/log/apache2/access.log /var/log/apache2/error.log

martes, 18 de diciembre de 2012

SQLMap Training: Actualización

Les propongo continuar con los Training de SQLMap, una excelente herramienta para realizar auditorías de seguridad y explotar vulnerabilidades de tipo Inyección SQL en Aplicaciones Web.

Actualización


Antes de utilizar estas herramientas de auditorías, les recomiendo actualizar a la última versión las herramientas que van a utilizar, en este caso SQLMap ya que tiene la particularidad de estar desarrollados por comunidades muy activas y se actualizan constantemente.

En Julio de este años, anunciamos que el proyecto migró todo su código fuente a los repositorios de GitHub y desde ahora utiliza un sistema de control de versiones distribuidos como es Git.

Lo interesante de todo esto, es que la actualización de nuestro SQLMap con Git es mucho más simple y lo podemos hacer de la siguiente manera:

lunes, 17 de diciembre de 2012

Seguridad en WordPress: Publicación Remota con XML-RPC

Esta es una de esas funcionalidades fantásticas que tienen las plataformas como WordPress pero sin embargo nadie las utiliza, por la sencilla razón de que hoy en día existen otros medios para hacerlo, la gente se acostumbró mucho a utilizar las redes sociales para publicaciones espontáneas, para publicar en WordPress más del 90% lo hace por el panel de WordPress.

La idea detrás del XML-RPC era darnos la posibilidad de escribir y publicar un Post en WordPress, ya sea desde un correo electrónico o cualquier otra conexión externa.

XML-RPC se encuentra en WordPress casi desde sus inicios, y lo acompañó a lo largo de todas sus actualizaciones, es más si nos remontamos al pasado podríamos recordar fallos relacionados a XML-RPC que comprometieron de forma directa el CMS:

  • WordPress 1.5.1.2 xmlrpc Interface SQL Injection Exploit
  • WordPress 2.1.2 (xmlrpc) Remote SQL Injection Exploit
  • WordPress 2.2 (xmlrpc.php) Remote SQL Injection Exploit
  • WordPress 3.0.2 XML-RPC Interface Access Restriction Bypass

Hoy por hoy todos fallos conocidos y solucionados por la comunidad del CMS pero que en algún momento fueron una alarma de seguridad para el proyecto.

viernes, 14 de diciembre de 2012

Llega la Cacería de Spammers a Facebook


A partir de ahora es posible compartir contenido en la nueva Fans Page oficial en Facebook de Cacería de Spammers, a estas alturas el mecanismo ya lo conocen! Un click a "me gusta" y acompañanos a formar una comunidad de entusiastas de la Seguridad Informática y el conocimiento en general.

Los espero, no solamente allí, sino también en @elcodigok y Google+

Saludos!

miércoles, 12 de diciembre de 2012

Google Hacks: parameters.yml de Symfony2

El archivo parameters.yml es uno de los archivos claves en la configuración de Symfony2, en él simplemente podemos definir y configurar los parámetros para establecer la conexión con las bases de datos.

Confieso que la primera vez que me tope con un archivo de formato YAML (.yml) fue en las primeras versiones del Framework symfony y que hasta el día de hoy continúan utilizando estos archivos por lo simple y fácil que resulta intepretarlo para los programadores y parsearlo para el mismo Framework.

parameters.yml es un archivo que se encuentra en el directorio app/config/parameters.yml que dentro de la anatomía de Symfony2 esta bastante capado para no ser accedido desde algún controlador frontal, URL, etc. pero bueno es posible comenzar a encontrar algunos archivos en Google gracias al error humano.

Recuerden la importancia del archivo ya que podríamos encontrar en su interior que motor de Base de Datos atiende esa aplicación, cuáles son las IP, Nombre de la Base de Datos y las correspondientes credenciales para poder administrarla.

martes, 11 de diciembre de 2012

Un forense llevado a juicio, por Juan Luis G. Rambla

Hoy como todos los días, en mis recorridos para informarme en todas los blogs y páginas web de seguridad,  tuvimos una grata sorpresa de parte de nuestros amigos de Flu-Project, resulta que uno de sus colaboradores y escritores del blog Juan Luis García Rambla publicó un nuevo libro llamado "Un forense llevado a juicio".


Les dejo a disposición parte de la descripción del Post original: "... El libro pretende servir como una herramienta de inestimable utilidad a la hora de abordar un análisis forense digital que finalice en un proceso judicial. En este tipo de escenarios se mezclan dos áreas profesionales tan dispares como la tecnología informática y el mundo legal, donde el seguimiento de normativas y procedimientos estrictos es determinante. Una buena labor técnica puede desaprovecharse en un juicio al no haber atendido a buenas prácticas no escritas pero que se consideran virtualmente regladas. Este libro aporta la experiencia y el conocimiento de Juan Luis en aspectos fundamentales a la hora de enfocar y desarrollar labores periciales informáticas. La adecuada recogida de las evidencias digitales, la correcta elaboración de un convincente informe para su presentación a juicio son algunos de estos aspectos. Junto a ellos, la publicación muestra los errores más comunes que deben ser evitados o por el contrario las buenas prácticas que permiten llegar a la vista judicial con las garantías de haber realizado una buena labor profesional."

lunes, 10 de diciembre de 2012

+100 Post publicados

Entre líneas de códigos, tweets, Git y algo de PHP5 hoy me dí cuenta que este Post que estaba por publicar era el número 100, si bien puede no parecer un número muy significativo pero sin dudas es un primer paso para continuar aprendiendo, compartiendo y difundiendo aquello que con en el tiempo y el esfuerzo voy conociendo.

A modo de celebración y en vísperas de cerrar el año 2012 les dejo un par de enlaces dentro del blog que fueron los más reconocidos y desde ya les recomiendo que vallan por ellos.

Los 50 Hackers en Twitter que deberías seguir
Google Hack: Descubriendo archivos en ownCloud
7 parámetros para asegurar SSH
RainbowCards, una forma de administrar tus contraseñas
Diccionarios de contraseñas
FTP públicos con acceso anonymous
Google Hack: Las demos de Symfony2
Fingerprinting en Wordpress I, II, III y VI

Saludos y gracias por seguir el blog!

miércoles, 5 de diciembre de 2012

#cxocloud 2012 por Cristian Borghello

Recién termino de ver esta fantástica conferencia de Cristian Borghello de Segu-Info @seguinfo donde nos cuenta de forma simple los problemas que podemos encontrar en las soluciones Cloud Computing que todo el mundo desea migrar.


lunes, 3 de diciembre de 2012

El día que alcancé mi primer titulo de grado ING


Luego del último sacrificio de estudio para alcanzar mi primer titulo de grado en Ingeniería en Computación ya estamos listos para retomar el blog, no quería dejar pasar este momento y compartirlos con la comunidad de entusiasta que me acompañaron en esta formación, gracias por el aguante, gracias por los saludos y ahora a continuar compartiendo más información y aprendiendo de todos ustedes!

Es por eso que el Viernes 30 de Noviembre del 2012 lo voy a recordar durante mucho tiempo!

Esta foto me sacaron a los 10 minutos de finalizar el final!

Entradas populares