lunes, 29 de abril de 2013

Descubriendo vulnerabilidades web con w3af

w3af del acrónimo Web Application Attack and Audit Framework, es una de esas herramienta que una vez que comienzan a usarla es imposible dejarla de lado. Un proyecto libre encabezado por el Argentino Andrés Riancho, programado en Python y con la posibilidad de identificar mas de 200 vulnerabilidades web distintas tales como SQL Injection, Cross-Site Scripting, errores de configuración de Apache, CSRF, etc.


Para comprender un poco más el mecanismo de ejecución de w3af, existen varios perfiles predefinidos, totalmente configurables, cada uno con diferentes plugins activados, entre los perfiles predefinidos encontramos:

  • bruteforce
  • audit_high_risk
  • full_audit
  • OWASP_TOP10
  • web_infraestructure
  • fast_scan
  • sitemap

miércoles, 24 de abril de 2013

12 Plugins de seguridad para WordPress

Muchos de los que ya estuvieron utilizando WPHardening como herramienta para comenzar a asegurar sus proyectos de WordPress se dieron con la opción de obtener Plugins desde los repositorios oficiales de WordPress.

Por supuesto que en el universo WordPress existe realmente un cantidad grande de Plugins que nos permiten por un lado fortificar nuestro WordPress como así tambien extenderlo en cuanto a sus funcionalidades, dando una cuota de versatilidad al CMS.

De entre los Plugins propuestos en el wizard implementado en WPHardening vamos a encontrar:

1. WP Scan Security

Excelente plugin que escanea los archivos de WordPress en busca de vulnerabilidades.

2. WP-DBManager

Muy buen manejador de bases de datos MySQL, desde allí vamos a poder realizar operaciones de optimización, backups, reparación de tablas, etc.

3. User Locker

Este plugin bloquea las cuentas de usuario después de un número de intentos incorrectos, con el fin de bloquear los ataques de fuerza bruta por diccionario.

jueves, 18 de abril de 2013

Terminar con el síndrome 777

Continuamos viendo con algunos ejemplos las bondades de WPHardening, y en esta oportunidad quería mostrarle la opción de cambiar de permisos tanto a los archivos como a los directorios.

Es común ver que cuando las cosas no andan, los scripts no se ejecutan o simplemente no podemos editar un archivo desde la web, la solución más implementada esta basada en chmod 777 . -R con lo cual deja a la deriva todo el proyecto.

Este comando no hizo más otorgar permisos de lectur-escritura-ejecución tanto para el dueño-grupo-otros a todos los archivos y directorios del proyecto ejecutados en forma recursiva.

Para mitigar este tipo de soluciones o prácticas no recomendadas, desde WPHardening escribí un flags (-c o --chmod) que me permite chequear estos permisos y cambiarlos de la siguiente manera:


  • A los directorios les asigna el permiso 755, el dueño tiene permisos absoluto sobre los directorios, pero los grupos-otros solo tienen la posibilidad de leer-ejecutar


  • A los archivos se le asigna el permiso 644, donde el dueño tiene capacidades de leer-escribir y luego los grupos-otros simplemente pueden leer el archivo.


Para ejecutar estos cambios es sumamente simple, basta con especificar el directorio donde se encuentra el proyecto de WordPress junto al flag indicado y listo.

WordPress con todos los permisos otorgados (777)

martes, 16 de abril de 2013

Eliminar los archivos que WordPress no necesita

Vamos a comenzar a explicar algunas de las funcionalidades de WPHardening que fue liberada hace unos días, y que nos va a ayudar a realizar algunas tareas de hardening para WordPress.

Para comenzar, lo primero que tenemos que hacer es decargar el código de WPHardening y de esa forma poder ejecutarlo, esto lo podemos hacer utilizando el repositorio de GitHub:

$ git clone git://github.com/elcodigok/wphardening.git

ahora entramos al directorio que creamos y ejecutamos la herramienta.

$ cd wphardening
$ ./wphardening.py

Si no especificamos algún flags nos aparece una ayuda con todos sus comandos. Una cosa que les recomiendo es ir actualizando antes de ejecutar el hardening a sus proyectos y por supuesto chequear la versión que están utilizando:


Por otro lado vamos a tener que tener descomprimido en algún directorio un proyecto de WordPress, para este caso la última versión estable 3.5.1

lunes, 15 de abril de 2013

Mundo Hacker TV - Seguridad en el Móvil

Ya se encuentra un nuevo programa de Mundo Hacker TV, esta vez un programa dedicado a la seguridad en nuestros móviles.

Excelente capítulo para que tomemos conciencia de los peligros a los que estamos expuestos al instalar una apps de fuentes desconocidas.


Saludos!

viernes, 12 de abril de 2013

WPHardening 1.0

Luego de un par de semanas de programacion y algunos commits en los repositorios de GitHub, les quería anunciar la version 1.0 de WPHardening, una herramienta para securizar a los paquete de WordPress, ya sea antes de su instalacion o en un servidor de produccion.

Figura 1: WPHardening 1.0

WPHardening es una herramienta programada en Python y basada en la consola de comandos. Como seguidor de WordPress, decidí armar esta herramienta para automatizar el hardening que realizo y que considero indispensable para este tipo de aplicación web, ya que por defecto WordPress contiene muchos archivos innecesarios para su correcto funcionamiento y requiere de revisiones constantes.

WPHardening esta basado en las mejores practicas de seguridad y consejos que siempre leemos en diferentes papers y blogs pero que sin embargo nunca se implementa.

En esta primera version WPHardening incorpora la activación de flags para realizar diferentes tareas:
  • Cambio de permisos en directorios y archivos .
  • Eliminar archivos innecesarios como readme y licencias.
  • Creacion del archivo robots.txt
  • Evadir el fingerprinting de varias herramientas como w3af y wpscan
  • Eliminar las funciones de enumeracion de versiones de WordPress independientemente del Theme que se instale.
  • Recomendacion y Descarga de diferentes plugins para mejorar la seguridad.
  • Finalmente permite evitar el listado de directorios incorporando archivos index.php y .htaccess

Para comenzar a trabajar con WPHardening es necesario descargar el código directamente desde el repositorio de GitHub de la siguiente manera:

$ git clone git://github.com/elcodigok/wphardening.git
Cloning into 'wphardening'...
remote: Counting objects: 190, done.
remote: Compressing objects: 100% (150/150), done.
remote: Total 190 (delta 116), reused 109 (delta 38)
Receiving objects: 100% (190/190), 41.79 KiB | 54 KiB/s, done.
Resolving deltas: 100% (116/116), done.

Dentro del directorio wphardening que acabamos de descargar vamos a ver una serie de archivos, donde se encuentra el código fuente de toda la herramientas y algo de información sobre el desarrollo y licencias. 

$ ./wphardening.py

Usage: wphardening.py [options] arg

Options:
  --version             show program's version number and exit
  -h, --help            show this help message and exit
  -v, --verbose         active verbose mode output results

  Target:
    This option must be specified to modify the package WordPress.

    -d DIRECTORY, --dir=DIRECTORY
                        **REQUIRED** - Working Directory.

  Hardening:
    Different tools to hardening WordPress.

    -c, --chmod         Chmod 755 in directory and 644 in files.
    -r, --remove        Remove files and directory.
    -b, --robots        Create file robots.txt
    -f, --fingerprinting
                        Deleted fingerprinting WordPress.
    --delete-version    Deleted version WordPress.
    --plugins           Download Plugins Security.
    --proxy=PROXY       Use a HTTP proxy to connect to the target url for
                        --plugins.
    --indexes           It allows you to display the contents of directories.

Todas las opciones que les comenté anteriormente se encuentran disponibles para implementarlas.

Para lograr utilizar la herramienta correctamente, es necesario especificar siempre con los flags -d o --dir el Path donde se encuentra nuestro proyecto de WordPress, en lo personal recomiendo realizar este tipo de hardening antes de la instalación de WordPress, pero también es posible realizarlo en un entorno de producción.

De esta forma podemos utilizar todos los flags disponibles como este ejemplo:

$ ./wphardening.py -d /home/user/wordpress -c -r -b -f --delete-version --indexes --plugins

Desde ya voy a estar muy agradecido por ayudarme a difundir el proyecto y voy a estar esperando sus comentarios, críticas y recomendaciones para las futuras versiones.

Saludos!

Descarga | WPHardening

lunes, 8 de abril de 2013

Mundo Hacker TV - Ciberguerras

Ya se encuentra publicado el tercer capítulo de la tercera temporada de Mundo Hacker TV hablando sobre Ciberguerras, y en esta oportunidad con un par de especialistas como Chema Alonso y Ángel Ochoa.

Los invito a ver este interesante capítulo.


Saludos!

jueves, 4 de abril de 2013

Primeras Jornada de Tecnologías Libres - Palpalá 2013

Mañana, Viernes 5 de Abril del 2013, voy a estar asistiendo a las "Primeras Jornadas de Tecnologías Libres" que se va a realizar en la ciudad de Palpalá - Jujuy, en el Cine Teatro Altos Hornos Zapla, de 9 a 19hs. La misma contará con Ponencias, Talleres y Exposiciones sobre la temática.

El cronograma de actividades:

09:00 hs: Acto de Apertura. Presentación de Autoridades. Mención especial a invitados. Presentación del  portal web del municipio. Acreditación.

Ponencias en la Sala del Cine A. H. Z.

10:30 "Aprendiendo sobre Software Libre" Emanuel Herrera.
11:15 "terminales bobas con Linux" Rodolfo Jaramillo.
12:00 "Compatibilidades de Aplicaciones Libres" José Juárez.
12:45 "Software Libre en las Instituciones" Analia Asaye.
13:30 "Diseño con Web2py" Marco Mansilla.
14:15 "Cierre de las Ponencias"

miércoles, 3 de abril de 2013

Como manejar nuestra identidad en la era de Internet

El 12 del 12 del 12 aterrizaron en Buenos Aires los "Mkit Angeles y Demonios" para vivir una jornada entera de conferencias sobre seguridad informática y tocar diferentes puntos.

Entre esas conferencias, hoy les quería recomendar la del Dr. Miguel Sumer Elias @sumerelias especialista en delitos informáticos, donde presentó "Como manejar nuestra identidad en la era de Internet"



Saludos!

Entradas populares