Tex: Herramienta de Web Pentesting para recogida de información

Tex es una Herramienta desarrollada por Antrax810 en Python, actualmente se encuentra en su primera versión.
Fue desarrollada para utilizarse en la primera fase de un Pentest "Recogida de Información", en el cual se necesita saber la correlación con otras empresas, archivos públicos, entre otras cosas.

Utilidad: 

  •     Web Crawler
  •     Divide subdominios y enlaces externos encontrados
  •     Finder Admin
  •     Busqueda de Archivos PDF
  •     Descargar los Archivos PDF encontrados
Requisitos:
  •     Python 2.7.x.
  •     Tener el Modulo pycurl (Si se corre sobre alguna distribución de Linux, no es necesario descargarla, ya que la tiene por defecto).
  •     Todas las clases deben de estar en la misma ruta.
Se decidió hacerla Open Source desde GitHub para que la comunidad ayude a mejorar la Herramienta, y agregue otras utilidades.

¿Como usarla?

    Dirigirse desde la Terminal o CMD a la ruta en donde esta alojado el proyecto.
    Ejecutar Main.py seguido de los parametros.

Parámetros:

    -d : (Objetivo-Target).
    -t : (Numero de Hilos-Number of Threads) Default 5.
    -l : (Limite de paginas a Analizar-Limit pages to Analyze) Default 100000.
    -h : (Tiempo en minutos-Time in minutes) Default 5.
    -i : (1.- Espanol / 2.- English) Default 1.- Espanol.
    -f: (Buscar pagina de Login-Search page Login) Default No.



Descargar . GitHub

pd. Si tu también has desarrollado tu propia herramienta y quieres hablar de ella no lo dudes y escríbenos!

#ProxyHam, un dispositivo que te mantendrá alejado hasta 4kms de la ubicación de tu IP

Ben Caudill presentará en la próxima Def Con de Las Vegas ProxyHam, un dispositivo que hará las delicias de los defensores de la privacidad y el anonimato en Internet. Digamos que se trata de un router wifi de larga distancia que puede transmitir la señal a más de 4 kms en condiciones ideales.

Imaginar lo que significa esto... en escenarios donde las autoridades logren identificar la IP y vayan a buscar a un atacante, sólo encontrarán un ProxyHam transmitiendo una señal de radio de 900MHz a cientos o miles de metros en cualquier dirección...

Como podemos ver en la descripción de la charla de Caudill en la Def Con:

"Si bien una serie de tecnologías (tales como Tor) pueden proporcionar cierto nivel de anonimato, existe todavía un defecto fundamental: una relación directa entre la dirección IP y la localización física. Si tu verdadera IP es descubierta, se acabó el juego - una amenaza significativa cuando tu adversario es propietario de la infraestructura.

Para resolver este problema, presento ProxyHam, un dispositivo de hardware que utiliza tanto WiFi como la banda de 900Mhz para actuar como un proxy de hardware, encaminando el tráfico local a través de una red inalámbrica lejana - y aumentando significativamente la dificultad para identificar la verdadera fuente del tráfico. Además de una demostración del propio dispositivo, se publicará libremente los esquemas de hardware completos y el código
".

En cuanto al propio dispositivo, se compone de un Raspberry Pi con Wi-Fi activado, junto con una instalación que consta de tres antenas, una para conectar a una red Wi-Fi de origen y las otras dos para transmitir la señal Wi-Fi a una frecuencia de 900 MHz.

Con el fin de captar la señal de largo alcance, los usuarios tendrán que conectar una antena de 900 MHz a su ordenador, algo así:



Además, para evitar la detección de la señal radio en el extremo del usuario, las señales inalámbricas de ProxyHam están diseñadas para ser indistinguibles entre los muchos teléfonos inalámbricos que utilizan la misma frecuencia. Y Caudill dice que el surgimiento de más aparatos inalámbricos conectados a Internet va a proporcionar más cobertura a los usuarios ProxyHam con el tiempo: "Hay un montón de dispositivos que van a saltar en ese espacio y comunicarse por ahí", dice. "No es posible decir 'vamos a perseguir a todos los que tienen este dispositivo de comunicación en esta frecuencia', es una aguja en un pajar".

Fuentes:
- New Device Provides Secure and Anonymous Wi-Fi With an Incredible 2.5-mile Range
- This Online Anonymity Box Puts You a Mile Away From Your IP Address
- With This Device You Can Connect Anonymously To Wi-Fi 2.5 Miles Away

Bypass de NoScript por menos de 11$

Cuando instalamos el complemento NoScript por primera vez en nuestro navegador, se incluye una Lista Blanca con un montón de sitios CDN/populares, en los que se confía por defecto para ejecutar Java/Flash/JavaScript, incluso si NoScript se configura para prohibir los scripts globalmente.

Puedes comprobarlo directamente en la pestaña Lista Blanca en las opciones de NoScript:



La lista, a fecha de esta entrada, es la siguiente:
addons.mozilla.org
afx.ms
ajax.aspnetcdn.com
ajax.googleapis.com
bootstrapcdn.com
cdnjs.cloudflare.com
code.jquery.com
firstdata.com
firstdata.lv
flashgot.net
gfx.ms
google.com
googlevideo.com
gstatic.com
hotmail.com
informaction.com
live.com
live.net
maone.net
mootools.net
mozilla.net
msn.com
noscript.net
outlook.com
passport.com
passport.net
passportimages.com
paypal.com
paypalobjects.com
persona.org
prototypejs.org
securecode.com
securesuite.net
sfx.ms
tinymce.cachefly.net
wlxrs.com
yahoo.com
yahooapis.com
yandex.st
yimg.com
youtube.com
ytimg.com
about:
about:addons
about:blank
about:blocked
about:certerror
about:config
about:crashes
about:home
about:memory
about:neterror
about:plugins
about:preferences
about:privatebrowsing
about:sessionrestore
about:srcdoc
about:support
blob:
chrome:
mediasource:
moz-safe-about:
resource:

¿Por qué tenemos por defecto que confiar en estos dominios?
Incluso Matthew Bryant, el que cursó esta investigación, se dio cuenta de que el dominio “zendcdn.net” llevaba un largo tiempo sin existir. Cualquiera podría haberlo comprado y ejecutar scripts sin que NoScript si quiera nos avisara, dándonos una falsa sensación de seguridad.


Afortunadamente él lo compró por $10.69, hizo una PoC y lo reportó a Giorgio Maone que en seguida lo sacó de la lista.



El otro problema es que se confía no sólo en esos dominios, si no también en los subdominios correspondientes si no se precede la expresión “http(s)://”. Si cualquier servidor en estos dominios o subdominios tiene un XSS almacenado o cualquier otra vulnerabilidad, ejecutaremos el script malicioso a pesar de NoScript.

La recomendación al instalar NoScript por primera vez es por tanto 1/ eliminar todas las entradas que incluye por defecto la lista blanca y 2/ añadir siempre el prefijo “http(s)://”.

Fuente: The NoScript Misnomer – Why should I trust vjs.zendcdn.net?

Diseñan un sistema que repara bugs automáticamente insertando la funcionalidad de otros programas - y sin necesidad del código fuente

En la conferencia de la Asociación para el Diseño de Lenguajes de Programación de Equipamiento Informático, investigadores del MIT presentaron un nuevo sistema que repara bugs peligrosos en el software importando la funcionalidad desde otras aplicaciones más seguras.

Cabe destacar que el sistema, bautizado como CodePhage, no requiere acceso al código fuente de las aplicaciones cuya funcionalidad coge prestada. En vez de eso, analiza la ejecución de las aplicaciones y clasifica los tipos de controles de seguridad que realizan. Como consecuencia, puede importar chequeos de aplicaciones escritos en lenguajes de programación distintos al del programa que está reparando y proporciona una capa adicional de análisis que garantiza que el error ha sido reparado.

"Tenemos un montón de código fuente disponible en los repositorios de código abierto, millones de proyectos, y muchos de estos proyectos implementan especificaciones similares", dice Stelios Sidiroglou-Douskos, científico investigador del laboratorio de Ciencias de la Computación e Inteligencia Artificial (CSAIL) del MIT que ha liderado el desarrollo de CodePhage. "Aunque podría no ser la funcionalidad principal del programa, con frecuencia existen subcomponentes que comparten funcionalidad a través de un gran número de proyectos".

Con CodePhage, el dice, "con el tiempo, lo que estaríamos haciendo es construir un sistema híbrido que toma los mejores elementos de todas estas implementaciones".

#SSLv3 ya está oficialmente obsoleto

Ataques como POODLE y BEAST pusieron en entredicho la seguridad de SSL. A principios de año, los principales fabricantes (Microsoft, Google y Mozilla) bloquearon SSL por defecto en sus navegadores y surgieron iniciativas como disablessl3.com para ayudar a los administradores a desactivarlo.

Todo ello ha acelerado que el IETF (Internet Engineering Task Force) declare definitivamente obsoleto a SSL v3. El documento de norma RFC7568 publicado este mes asevera SSLV3 como "no suficientemente seguro" y prohíbe volver a usarlo en nuevas aplicaciones:

"SSLv3 NO DEBE ser utilizado", dice el documento. "La negociación de SSLv3 desde cualquier versión de TLS no debe permitirse. Cualquier versión de TLS es más segura que SSLv3, aunque la versión más alta disponible es preferible".

RFC http://www.rfc-editor.org/rfc/rfc7568.txt

DEP SSL, hola TLS 1.2!

Empieza a configurar Firefox para que deje de filtrar datos sobre tí...

Firefox no es una excepción a la hora de recolectar y enviar datos de usuarios cuando se usan ciertas características. ¿Son totalmente necesarios o responden a un interés lucrativo?

Está claro que el navegador de Mozilla integra motores de búsqueda y plugins de terceros porque necesita subvenciones de sponsors - difícilmente las donaciones pueden ser el único pilar de su financiación - . 


Sea como fuere al menos permite desactivar (todas?) las opciones para mantener un mayor grado de privacidad. ¿Sensacionalistas? No lo creo, recomendamos visitar el proyecto de amq en GitHub donde se describen algunas opciones que podemos modificar. Escribe about:config en la barra de direcciones para empezar a cambiar las siguientes preferencias a 'false'.

Navegación Segura de Google

Filtra el historial de navegación a Google.
Ten en cuenta que si desactivas la funcionalidad (no recomendado) quitarás la protección contra sitios con malware y de phishing. Pero si quieres (quizás tengas otras alternativas), puedes modificar las siguientes opciones:
browser.safebrowsing.enable
browser.safebrowsing.downloads.enabled
browser.safebrowsing.malware.enabled

Recolección de estadísticas de Firefox

Infomes de estabilidad y rendimiento.
datareporting.healthreport.service.enabled
datareporting.healthreport.uploadEnabled
Estadíticas de uso.
toolkit.telemetry.enabled

WebRTC

Filtra la IP real cuando se usa VPN/TOR. Descripción y demo
media.peerconnection.enabled

Encrypted Media Extensions - EME (DRM)

Un binario de un plugin (de código cerrado) se distribuye con Firefox desde la V38. Permite la reproducción de medios cifrados y permite utilizar p.ej. Netflix sin Microsoft Silverlight. Para eliminar completamente el plugin hay que instalar una acumulación EME gratuita de Firefox.
media.eme.enabled
media.gmp-eme-adobe.enabled

Firefox Hello

Firefox conecta a servidores de terceros (Telefonica) sin pedir permiso.
loop.enabled

Pocket integration

Un servicio de terceros para administrar listas de lectura de artículos.
browser.pocket.enabled

Geolocalización

geo.enabled

Sugerencias de búsquedas

Todo lo que escribimos en la casilla de búsquedas se envía al motor de búsqueda. Las sugerencias basadas en el historial local seguirían funcionando.
browser.search.suggest.enabled
pd. Nuevas opciones y propuestas son siempre bienvenidas en:
https://github.com/amq/firefox-debloat

AntiCuckoo: una herramienta para detectar y crashear el Sandbox de Cuckoo

David Reguera de Buguroo está trabajando en el desarrollo de anticuckoo, una herramienta escrita en C/C++ para detectar y crashear el sandbox de Cuckoo:

- se ha probado en la versión oficial y la de Accuvant
- detecta toda clase de hooks de Cuckoo
- busca datos sospechosos en memoria, sin APIs, escaneando página por página
- con el argumento "-c1" provoca un crash del sandbox. Lo hace modificando el valor de la instrucción RET N de una API hookeada (el HookHandler de Cuckoo sólo pasa los argumentos reales de la API y la intrucción RET N modificada corrompe su stack)


TODO
- agente y proceso de detección en python (al 70%)
- mejorar la detección comprobando los bytes correctos en los sitios conocidos (por ejemplo las APIs nativas siempre tienen las mismas firmas, etc.).
- detección de las entradas TLS de Cuckoo

Repositorio: https://github.com/David-Reguera-Garcia-Dreg/anticuckoo

PoC para evadir ASLR en todas las versiones de 32 bits de Internet Explorer

Los investigadores de la Zero Day Initiative de HP (ZDI) normalmente no publican los detalles completos y el código de explotación de los bugs que encuentran y reportan a los fabricantes hasta después de que las vulnerabilidades hayan sido corregidas. Pero esta vez han hecho un excepción y han publicado un exploit para evadir ASLR (address space layout randomization) en todas las versiones de Internet Explorer de 32 bits

¿La razón? Microsoft, a pesar de haber pagado $125K a ZDI por su programa Blue Hat Bonus, no cree que esta vulnerabilidad afecte a suficientes usuarios y no tiene pensado corregirla:

"En esta situación, la declaración de Microsoft es técnicamente correcta - las versiones de 64 bits aprovechan más ASLR que las versiones de 32 bits. Un sistema de 64 bits tiene un espacio de direcciones mucho más grande que un sistema de 32 bits, lo que hace a ASLR mucho más eficaz. Sin embargo lo que se pierde aquí es que el bypass descrito y presentado sólo funciona para sistemas de 32 bits, que es la configuración por defecto en millones de sistemas. Para demostrar esto, hemos publicado el código de prueba de concepto (PoC) para demostrar este bypass en Windows 7 y Windows 8", dice Dustin Childs de HP en su blog.

"Desde Microsoft se siente que estos problemas no afectan a la configuración por defecto de IE (que afecta a un gran número de clientes), lo que a su juicio significa que no vale la pena sus recursos y el riesgo de regresión potencial. No estamos de acuerdo con esa opinión y estamos liberando la información del PoC a la comunidad con la creencia de que los usuarios interesados ​​deben estar tan bien informados como sea posible con el fin de tomar las medidas apropiadas para que encuentren sus propias instalaciones ", dijo.

Paper: Abusing Silent Mitigations - Understanding weaknesses within Internet Explorer’s Isolated Heap and MemoryProtection

PoC (use-after-free): https://github.com/thezdi/abusing-silent-mitigations

Fuentes:
- There and back again: a journey through bounty award and disclosure
- HP Releases Details, Exploit Code for Unpatched IE Flaws

Roban las claves de descifrado de un PC mediante la medición de emanaciones electromagnéticas

Si recordáis hace tiempo ya vimos que es posible obtener claves de cifrado RSA de 4096 bits escuchando el sonido de emite la CPU. Ahora investigadores de la Universidad de Tel Aviv han dado una vuelta más de tuerca y son capaces de obtener las claves de cifrado de GnuPG en segundos midiendo las emanaciones electromagnéticas que se generan durante el proceso de descifrado. Y algo tambie increible, no es necesario disponer de un caro laboratorio para hacerlo: los investigadores usaron un FUNcube Dongle Pro + (174,5€), conectados a un pequeño Rikomagic MK802 IV con Android (unos 80€), para medir las emisiones en 1,6 y 1,75 MHz. Incluso puede ser posible lanzar el ataque con una radio AM estándar con la salida de audio grabado por un smartphone.


En un extracto del paper "Stealing Keys from PCs using a Radio: Cheap Electromagnetic Attacks on Windowed Exponentiation" explican:


"Demostramos la extracción de claves secretas de descifrado de ordenadores portátiles, mediante la medición no intrusiva de emanaciones electromagnéticas durante unos segundos y a una distancia de 50 cm. El ataque puede ser ejecutado utilizando equipamiento barato y fácil de obtener: un receptor de radio de tipo consumidor o un dongle USB de radio. La configuración es compacta y puede operar independientemente; se puede ocultar fácilmente, por ejemplo, dentro de pan de pita. Los ordenadores portátiles normales, e implementaciones populares de cifrados RSA y ElGamal, son vulnerables a este ataque, incluyendo aquellos que implementan el descifrado utilizando algoritmos exponenciales modernos de ventana deslizante, o incluso su variante resistente a canal lateral, con exponenciación ventana fija (m-ary).

Se extrajeron con éxito las claves de varios modelos de ordenadores portátiles ejecutando GnuPG (software de cifrado de código abierto, implementación del estándar OpenPGP), en pocos segundos. El ataque envía unos textos cifrados cuidadosamente elaborados, y cuando estos se descifran por el equipo de destino, se desencadena la aparición de valores estructurados especiales dentro del software de descifrado. Estos valores especiales causan fluctuaciones observables en el campo electromagnético que rodean el ordenador portátil, de una manera que depende del patrón de bits de la clave (específicamente, la ventana de clave-bits en la rutina de exponenciación). La clave secreta se puede deducir de estas fluctuaciones, a través del procesamiento de señales y el criptoanálisis".

 
En principio el ataque demostrado por el equipo de Tel Aviv puede ser poco fiable en la práctica, porque los PCs generalmente realizan múltiples tareas al mismo tiempo y no sólo exclusivamente descifran datos. Eso significa que un montón de ruido se añade al proceso, arruinando lo intentos de extraer las claves privadas de las máquinas.

No obstante, habrá que estar atentos al Taller sobre Hardware Criptográfico y Sistemas Embebidos (CHES) en Francia en septiembre de 2015, donde los investigadores israelíes tienen la intención de presentar su trabajo...

Fuente: Stealing secret crypto-keys from PCs using leaked radio emissions

Las 10 certificaciones de IT más prometedoras para el 2015

Con cada vez mayor competencia en el mercado de trabajo, las certificaciones se han vuelto más y mas importantes. Está claro que las certificaciones tienen un gran valor para cualquier empresa y un título específico aumenta las posibilidades de conseguir un mejor puesto de trabajo en empresas de TI. El grupo de Azure de EFY ha compilado una la lista de las 10 certificaciones de TI que promete mejores opciones de trabajo para este año:

1. Project Management Professional (PMP)


Esta es la certificación más importante y reconocida para los directores de proyectos. PMP es conocida por la experiencia, la educación y las competencias para liderar y dirigir proyectos. La demanda de esta certificación se ha incrementado en el mercado y asegura un sueldo elevado a los gerentes de proyectos.

2. Certified Information Systems Security Professional (CISSP)


CISSP es un estándar reconocido a nivel mundial por sus logros en el conocimiento del individuo en el campo de la seguridad de la información. Las empresas prefieren a un candidato con la certificación CISSP, ya que asegura profundo conocimiento y las habilidades de la arquitectura, el diseño, la gestión y los controles de seguridad del entorno empresarial. Los exámenes CISSP cubren todos los temas necesarios y críticos como la gestión de riesgos, el cloud computing, seguridad móvil, la seguridad de desarrollo de aplicaciones, etc.

3. Microsoft Certified Solutions Developer (MCSD)

Esta certificación debes tenerla si eres es un desarrollador con experiencia en el análisis y diseño de software de solución empresarial con lenguajes y herramientas de desarrollo de Microsoft. Un candidato con MCSD es miembro de Microsoft Certified Professionals y los MCPs tienen un gran valor en el mercado de trabajo.