Libro: La biblia del Hacker 2009

Aquí les dejo un clásico. Se trata de la edición 2009 de Hacker de Anaya. Una biblia de más de 1000 páginas que expone todas y cada una de las defensas y medidas a adoptar frente a un asaltante que decide utilizar determinados métodos malignos en nuestra empresa u hogar, además de describir los pasos y métodos para su implementación y validación. El objetivo de este libro es que el lector aprenda y esté al día de las técnicas primordiales de seguridad y hacking.

Además viene con un CD-ROM que contiene versiones de evaluación disponibles de los programas comerciales así como de las aplicaciones freeware y shareware que se utilizan a lo largo de los capítulos de los que consta esta (gran-de) obra.

Si queréis echar un vistazo al índice:

Presentaciones de las ponencias de RootedCON 2010

Ya están disponibles todas las presentaciones de la conferencia Rooted CON 2010. Podéis encontrarlas en esta dirección de Slideshare o directamente en la sección de Ponencias de la web oficial.

No hay más que echar un vistazo para comprobar la calidad de las ponencias. ¡El año que viene no nos la perdemos!

Megablogroll en español

A propósito del post con 100 blogs de seguridad informática en español, he decidido crear una página para no perder nunca la pista a los fantásticos artículos que en ellos se publican regularmente.

Se trata de una buena collección de feeds y podéis acceder a ella a través de la pestaña 'Blogroll en español':


Por favor, no dudeis en comentarme nuevos feeds o blogs. Ya no importa que el blog sea o no en castellano porque dentro de un tiempo intentaré recopilar blogs de seguridad en otros idiomas (o al menos en inglés).

¡Feliz semana santa!

Llega la versión 10 de Avira

El pasado Martes 23 de Marzó se lanzó Avira AntiVir versión 10 con una mejor calidad de "detección, prevención, reparación" y toda una serie de nuevas características y módulos, así como un nuevo diseño de la interfaz y un nuevo módulo de protección de comportamiento.

Cabe destacar sobretodo la nueva funcionalidad AntiVir Proactiv, un sistema de detección "en la nube" en el que los usuarios de la Comunidad Avira son capaces de ayudar voluntariamente a aumentar las tasas de detección mediante el envío de archivos sospechosos para su análisis, al mismo tiempo que se benefician de una detección más rápida y casi en tiempo real. Aunque
todavía no he tenido posibilidad de probarla, digamos que parece similar a la tecnología Artemis de McAfee.

Otra característica nueva e interesante es la reparación de los daños genéricos que pueden ser ocasionados por las nuevas variantes de virus y malware, eliminando los 'destrozos' causados después de una infección.

En fin, un pequeño lavado de cara y nuevas funcionalidades que no podéis dejar de probar. Eso sí, si no tienes el cliente Avira en inglés o en alemán, tendrás que esperar unas seis semanas hasta la aparición de la versión en la lengua de Cervantes. Si estás impaciente, puedes descargarlos también en http://www.free-av.de/en/download/download_servers.php.

Hacking Live CD

Hacking Live CD es una nueva distribución de Linux con un buen número de herramientas y utilidades para hacking ético, pruebas de penetración y verificación de contramedidas.
Esta basada en Ubuntu Live CD: se ejecuta directamente desde el CD y no requiere la instalación en su disco duro.

El listado de herramientas que podemos encontrar es el siguiente:

Reconocimiento (y DNS)

* Dig - utilidad para DNS lookup.
* DNSMap - DNS mapping es un mecanismo que permite a los equipos de una LAN privada usar servicios DNS aunque no conozcan la IP real del servidor DNS.
* DNSTracer - Tracear peticiones DNS al orígen.
* DNSWalk - Chequear la información de la zona DNS usando consultas al servidor de nombres.
* Netmask - Ayuda a determinar las máscaras de red.
* Relay Scanner - Este programa es usado para comprobar problemas de relay en servidores SMTP.
* TCPTraceroute - Implementación de Traceroute usando paquetes TCP.
* Firewalk - Firewalk es una herramienta de auditoría de red que intenta averiguar cuales son los protocolos de transporte que un gateway permite pasar.

Foot-printing

* Amap - Ejecuta una rápida y eficaz detección de protocolos de aplicación, independientemente del puerto TCP/UDP que utilicen.
* Curl - Descarga ficheros HTTP, HTTPS o FTP.
* Fping - Envía paquetes ICMP ECHO_REQUEST a los equipos de una red.
* Hping3 - Sensacional herramienta activa de red.
* HTTprint - Una herramienta para fingerprinting de servidores web.
* Ike-Scan - Escáner VPN IPsec, fingerprinting y herramienta para pruebas.
* MetoScan - Escáner de métodos HTTP.
* Namp - El mapeador de red.
* Netcat - La navaja suiza para TCP/IP.
* P0f - Fingerprinting pasivo de SO y utilidad de detección de enmascaramiento.
* Zenmap - El Front End de nmap.

Password Cracking

* Chntpw - Utilidad de recuperación de contraseñas en la SAM de NT.
* Rainbowcrack – Crack de hashes LM, MD5 y SHA1.
* THC PPTP Bruter - Un programa de fuerza bruta contra terminadores VPN PPTP (puerto TCP 1723).
* VNCrack – Crack de contraseñas VNC.
* John the ripper - Un rápido crackeador de contraseñas.

Network Sniffing

* DHCP Dump – Capturador de paquetes DHCP.
* Dsniff – Password sniffer.
* SSLDump – Captura SSL en una red.
* Ntop – Muestra los usuarios 'top' de una red.
* Wireshark – Captura y analiza el tráfico de red de forma interactiva.

Spoofing (o Masquerading)

* File2cable - Envía un fichero como un frame ethernet en crudo.
* Netsed – Editor de paquetes de streaming en red.
* Sing – Envía basura ICMP a los equipos de la red.
* TCPreplay – Reenvía el tráfico de red almacenado en ficheros pcap.

Utilidades para redes wireless

* Aircrack-ng - Aircrack-ng es un programa para el cracking de contraseñas 802.11 WEP y WPA-PSK.
* Kismet – Monitorización y sniffing inalámbricos.
* THC Leap Cracker - La suite THC LEAP Cracker contiene herramientas para romper el cifrado NTChallengeResponse.
* WEPCrack - WEPCrack es una herramienta open source para obtener claves 802.11 WEP.
* WIDZ - Sistema de detección de intrusos para redes inalámbricas.
* Cowpatty - Ataque de diccionario contra WPA-PSK.

Miscelánea

* GDB – El depurador GNU.
* Hexdump – Herramienta para ASCII, decimal, hexadecimal y octal.
* Hexedit – Ve y edita ficheros en hexadecimal o en ASCII
* Wipe – Borra ficheros de forma seguroda.
* Madedit - Editor de texto/hexadecimal.

Para más información de este excelente live-cd podéis visitar su página oficial.

Análisis binario del 0-day de IEPeers

El pasado Martes 9 de Marzo, Microsoft anunció la existencia de una vulnerabilidad de tipo ‘0-day’ en Internet Explorer 6 y 7.

Esta vulnerabilidad fue descubierta en Internet analizando varios ataques dirigidos y se trata de un ‘use-after-free’ (referencia no valida a un puntero) que afecta a la librería Iepeers.dll: se intenta acceder a un objeto liberado previamente por Internet Explorer pudiendo llegar a conseguir la ejecución remota de código con los privilegios del usuario logueado en la máquina.

Poco después del anuncio de Microsoft, los detalles de la vulnerabilidad fueron publicados y se creó un módulo en Metasploit.


Para provocar esta vulnerabilidad y analizarla, se ha utilizado el exploit de Metasploit que podéis encontrar en:

http://www.metasploit.com/redmine/projects/framework/repository/entry/modules/exploits/windows/browser/ie_iepeers_pointer.rb

Este análisis fue realizado en una máquina con Windows XP SP3 e Internet Explorer 7, donde se analizaron las siguientes librerías:

• mshtml.dll 7.0.6000.16981
• iepeers.dll 7.0.6000.16981
• jscript.dll 5.7.6002.22145

• oleaut32.dll 5.1.2600.5512

Comenzamos: cuando se ejecuta el exploit, se produce una redirección a un shellcode dentro de la rutina TearoffThunk7():

.text:3DAD9500 loc_3DAD9500:
.text:3DAD9500 add eax, 0Ch

.text:3DAD9503 mov ecx, [eax]

.text:3DAD9505 mov [esp+4+arg_0], ecx

.text:3DAD9509 mov ecx, [eax+4]

.text:3DAD950C mov ecx, [ecx+1Ch]

.text:3DAD950F pop eax

.text:3DAD9510 mov dword ptr [eax+20h], 7

.text:3DAD9517 jmp ecx

La rutina de arriba es llamada desde IDispatchExGetDispID():

.text:75C73055 loc_75C73055:
.text:75C73055 push [ebp+arg_10]

.text:75C73058 mov eax, [ebp+arg_4]

.text:75C7305B push [ebp+arg_C]

.text:75C7305E mov ecx, [eax]

.text:75C73060 push [ebp+arg_8]

.text:75C73063 push eax

.text:75C73064 call dword ptr [ecx+1Ch]

La rutina TearoffThunk7() está dentro de una función con una tabla enorme de punteros que a su vez contiene múltiples rutinas idénticas. Esta función es referenciada en la rutina CreateTearOffThunk() que es un constructor usado para crear nuevos interfaces al vuelo tipo ‘tear-off’. Durante la explotación, COmWindowProxy::GetSecurityThunk() llama a CreateTearOffThunk().

Los interfaces ‘tear-off’ se utilizan en desarrollos COM cuando no tiene sentido crear inmediatamente un interfaz. Normalmente esto es porque el interfaz se utiliza raramente o se necesita demasiado tiempo para crearlo. Particularmente en esta implementación, el interfaz ‘tear-off’ mantiene la función con la enorme tabla de rutinas idénticas, como TearOffThunk7(). El interfaz toma la forma de un objeto en C++ que contiene un puntero a el objeto padre, un puntero a la tabla virtual de funciones y un contador de referencia. Cuando se complete la referencia al objeto ‘tear-off’, se llama a la rutina PlainRelease() para disminuir el contador de referencia. Cuando el contador llega a cero, la función virtual en PlainRelease() destruirá el objeto.

XSSploit v0.5 un escáner XSS multiplatfoma

XSSploit es un escáner de Cross-Site Scripting escrito en Python. Ha sido desarrollado para ayudar a descubrir y explotar las vulnerabilidades de tipo XSS en los tests de penetración.

Cuando se utiliza contra un sitio web, XSSploit primero escanea (spidering o crawling) todo el sitio e identifica los formularios encontrados. A continuación, analiza estos formularios y detecta automáticamente las vulnerabilidades XSS existentes, así como sus principales características.

Las vulnerabilidades descubiertas pueden ser explotadas mediante el motor de generación de exploits de XSSploit. Esta funcionalidad adicional permite elegir el comportamiento del exploit deseado y genera automáticamente el enlace HTML correspondiente con el payload embebido.

XSSploit viene con varios archivos:

- xssploit.py: El archivo principal. XSSploit contiene el núcleo del programa y la interfaz de línea de comandos.
- gui.py: La interfaz gráfica de usuario.
- extensions.txt: El spider de XSSploit rastrea páginas web usando expresiones regulares. Este archivo contiene las extensiones de archivo en el servidor que debe ser indexado. Para agregar una nueva extensión, sólo tiene que añadir una nueva línea en este archivo y escribir su extensión.
- exploits.xml: La base de datos de exploits. Por favor, consulte este archivo para crear nuevos exploits.
- report.xsl: Esta hoja de estilos es un ejemplo muy básico sobre cómo mostrar el informe generado por XSSploit.

Nuevo virus roba claves secretas en Facebook

Los correos electrónicos advierten a sus lectores que sus claves secretas de Facebook han sido modificadas, instándolos a hacer clic en un archivo adjunto para conseguir las nuevas autorizaciones para ingresar al sitio, según el fabricante de software de antivirus McAfee Inc.

Si el archivo adjunto es abierto, descarga varios tipos de software dañino y malicioso, incluido un programa que se roba las claves secretas, advirtió el miércoles McAfee.

Los piratas informáticos desde hace tiempo han hecho de los usuarios de Facebook uno de sus principales blancos, enviándoles mensajes contaminados a través del sistema de correo electrónico interno de la propia red social.

Con este nuevo ataque, ellos están usando los correos electrónicos regulares de internet para propagar el software malicioso.

Un portavoz de Facebook dijo que la compañía no puede comentar sobre el caso específico, pero apunto a una actualización de estado que la compañía publicó en su sitio en internet anteriormente el miércoles en el que advierte a los usuarios sobre correos electrónicos falsos y les recomienda borrarlos y avisar a sus amigos.

McAfee estima que los piratas informáticos enviaron decenas de millones de correos basura a Europa, Estados Unidos y Asia desde que comenzó la campaña el martes.

Dave Marcus, director de comunicaciones e investigación de software malicioso de McAfee, dijo que espera que los piratas informáticos tengan éxito e infecten a millones de computadores.

"Con Facebook como carnada, potencialmente tienes 400 millones de personas que pueden hacer clic en el archivo adjunto. Si tienes un 10 por ciento de éxito, eso es 40 millones", declaró.

El título del correo electrónico dice "Facebook password reset confirmation customer support" (Confirmación de cambio de clave secreta de servicio de respaldo al cliente):


FUENTE: http://estilos.prodigy.msn.com/vidadigital/articulo.aspx?cp-documentid=23672461

Reto 3: el Gran Premio de Bahrein

Primera carrera del Mundial de Fórmula 1 y primer doblete de Ferrari en el Gran Premio de Bahréin del pasado 14 de Marzo.

Una salida trepidante con adelantamiento incluido de Alonso a Massa y los problemas mecánicos del monoplaza de Vettel permitieron al asturiano alzarse con la victoria y conseguir el debut más soñado con la escudería del "Cavallino Rampante"

Sin duda un comienzo espectacular que ambienta nuestro siguiente reto:

"Disfruta por unos breves segundos de la cámara subjetiva del video. Siente la velocidad a los mandos del flamante Ferrari F10 y descubre sus secretos. Fernando Alonso tiene la clave."





Dinos que oculta el video del Ferrari de Alonso así como el procedimiento seguido para conseguirlo y envíanoslo a la dirección:
y aparecerás como uno de los ganadores en la próxima publicación de la solución al reto (prevista para la tercera semana de Abril). ¡Ánimo, que se trata de un desafío muy fácil!

¿Qué pasó con Telefónica?

Ayer a las 23:50 recibí una llamada al teléfono de guardia, en concreto de un cliente que tenía problemas de navegación hacia Internet.

Enciendo mi portátil para realizar las comprobaciones e investigaciones oportunas y pienso: "¡vaya qué oportuno!, ahora falla Telefónica". Reseteo mi router ADSL y nada. Activo el plan B para navegar por Internet y compruebo los sistemas del cliente. "Ummm.. no veo nada raro".

A las 00:30 contacto de nuevo con la amable señorita que me dio el aviso y me confirma: "Parece ser que se trata de un problema general de Telefónica que afecta a la Comunidad de Madrid". Efectivamente, desde la ADSL de mi casa observo una pérdida muy importante de paquetes. Aproximadamente a la 00:50 el servicio se restableció completamente.
pasó con Telefónica? Pues realmente no lo sabemos puesto que todavía no hay un comunicado oficial. Aunque también es interesante y divertido leer opiniones en diversos medios.

Veamos un ejemplo.
En muchos foros y en concreto en este blog: http://blog.niobestudio.com/?p=46, hablan de un posible veto entre Telefónica y Google a raíz de que su presidente ejecutivo César Alierta dejara entrever las intenciones de Telefónica de cobrar al famoso buscador por usar su infraestructura. En mi opinión las intenciones de Telefónica en este caso concreto son inadmisibles (vamos, una vergüenza), pero de ahí a ser la causa del corte de esta noche lo veo un poco sensacionalista. Lo que si sorprende en este artículo de ese blog es la última actualización:


Si te fijas en la fecha, se trata de una entrada antigua pero a pesar de ser un bulo muy tonto, fue suficiente para que TdE haya tenido que desmentir dicha noticia en su Twitter oficial de averías:


Sea como fuere, muchos usuarios también sostienen que la avería en la red troncal internacional de Telefónica fue debida a los cambios que en los últimos días ha venido efectuando Telefónica a fin de impedir que usuarios y operadoras que no fueran clientes utilizarán sus DNS.

En fin... ¿sabremos pronto la verdad, o no?

100 blogs de seguridad informática en español

Todos los que estamos en este mundillo bien por trabajo, por diversión, o por ambas cosas, intentamos estar siempre al día de todo lo que acontece alrededor esta locura que llamamos seguridad informática.

Una de las principales fuentes de información son sin duda los blogs o bitácoras. Seguro que más de uno
también gasta su tiempo libre vigilando los feeds, se abraza al correo o está pendiente de su Google Reader en busca de artículos nuevos e interesantes. Para ellos y para todos, he recopilado una lista de 100 blogs relacionados con el hacking ético (a veces no tan ético), el malware, los bugs y las vulnerabilidades, análisis de productos y herramientas, tutoriales y en definitiva un sin fin más de bondades que comprenden la seguridad informática.

Eso sí, para no volvernos más locos de lo que estamos, he incluido blogs sólo en castellano y que están más o menos actualizados y, para animar un poco más el asunto, también os planteamos una nueva encuesta para que voteis vuestro blog favorito, en este caso una lista más reducida sólo con los blogs con un Google pagerank igual o mayor de 4.

Animaros, votar y sobretodo ¡echarme la bronca si no he incluido vuestro blog de seguridad en la lista!


Blog URL Page Rank
1 48Bits http://blog.48bits.com/ 4
2 Altosec Blog http://blog.altosec.com.ar/ 4
3 Apuntes de seguridad de la informacion http://seguridad-de-la-informacion.blogspot.com 4
4 ArkLabs http://www.arklabs.org/ 0
5 Aztlan Hack I. S. T. http://www.aztlan-hack.org/ 1
6 Blackhack http://www.blhack.com.ar/ 0
7 Blog antivirus http://www.blogantivirus.com 3
8 Blog cavaju: Tecnologí­a y Seguridad http://www.cavaju.net/ 0
9 Blog de Gonzalo Ariel Mendez http://gonzalo-ariel.blogspot.com/ 0
10 Blog de Juan Galiana Lara http://juangaliana.blogspot.com/ 3
11 Blog de Seguridad Informática en Internet http://informaticayseguridad.blogspot.com/ 2
12 Blog de Trendmicro http://blog.trendmicro.es/ 4
13 Blog del hacker http://www.blogdelhacker.com/ 3
14 Blog del laboratorio de hispasec http://blog.hispasec.com/laboratorio/ 0
15 Blog del UberCracker http://ubercracker.com.ar/ 1
16 Blog elhacker.net http://blog.elhacker.net/ 0
17 Caminando entre bits http://seifreed.net 0
18 CIS | AbsshA http://abssha.blogspot.com 2
19 Comespam Barracuda http://diagonalseguridadinformatica.blogspot.com/ 4
20 Comunidad Dragon Jar http://www.dragonjar.org 4
21 Conexion Inversa http://conexioninversa.blogspot.com/ 4
22 Coseseguridad http://www.coseguridad.com/ 1
23 Cryptex http://seguridad-informacion.blogspot.com/ 4
24 Dadoweb http://www.daboweb.com/ 5
25 El blog de Albertux http://albertux.ayalasoft.com/ 2
26 El blog de Isma http://nahumurantia.blogspot.com 0
27 El blog de Sergio Hernando http://www.sahw.com/wp/ 3
28 El blog de Thor http://el-blog-de-thor.blogspot.com/ 3
29 El blog de Xianur0 http://xianur0.blogspot.com/ 2
30 El blog del Dr. White http://www.seguridadblanca.org/ 2
31 El diario de Juanito http://windowstips.wordpress.com/ 3
32 El hacker (especial) http://elhackeresspecial.fullblog.com.ar/ 0
33 Enfoque seguro http://www.enfoqueseguro.com/ 3
34 ESET - Blog de laboratorio http://blogs.eset-la.com 4
35 Guru de la informatica http://vtroger.blogspot.com 4
36 H4ck3r Kynu http://anagraf.es/kynu/ 0
37 H4x0r Security Blog http://h4xxor.blogspot.com/ 3
38 Hackermannews http://hackermannews.wordpress.com/ 0
39 Hacking Avanzado http://hacking-avanzado.blogspot.com/ 4
40 HackingballZ http://www.hackingballz.com/ 3
41 Hack-it http://www.hack-it.com.ar/blog/ 4
42 Hackplayers http://hackplayers.blogspot.com 0
43 Hacktechcomputer http://hacktechcomputer.blogspot.com/ 0
44 Hacktimes http://www.hacktimes.com 3
45 Hackxcrack http://www.hackxcrack.es/blogs/ 3
46 Hackybloggy http://hackybloggy.blogspot.com/ 2
47 Hsec http://hsec.wordpress.com/ 2
48 Info Spyware http://www.infospyware.com/blog/ 5
49 InfoMalwares http://www.infomalwares.com/ 0
50 Informático y segurata http://informaticoysegurata.blogspot.com/ 3
51 In-Seguridad Argentina http://insegar.blogspot.com/ 2
52 Inteco - Blog de seguridad http://www.inteco.es/blog/Seguridad/Observatorio/BlogSeguridad/ 7
53 Jbyte Security http://jbyte-security.blogspot.com/ 2
54 Kriptopolis http://www.kriptopolis.org/ 4
55 KungFooSion http://kungfoosion.blogspot.com/ 4
56 Lobosoft http://www.lobosoft.es/ 3
57 MalwareIntelligence http://mipistus.blogspot.com 3
58 MalwareLabs http://malwarelabs.org/ 0
59 Multicomp S.A. de C.V. http://multicomp.blogspot.com/ 0
60 N3-D Security Reason http://n3t-datagrams.net/ 3
61 Neo System Forensic http://neosysforensics.blogspot.com/ 3
62 Netpirate http://netpirate.wordpress.com/ 0
63 OMHE http://www.omhe.org/ 2
64 Opensec http://opensec.es/ 3
65 Opensecurity http://www.opensecurity.es 2
66 Pentester http://www.pentester.es/ 3
67 Port 666 http://www.filmica.com/port666/ 5
68 Procedimientos policiales http://procedimientospolicialeseguridadinfor.blogspot.com/ 1
69 Proffesional Hacker http://www.professional-hacker.org/ 0
70 RaDaJo http://www.radajo.com/ 5
71 Red informática colombiana http://www.project-ric.org/ 0
72 Rincon Informático http://www.rinconinformatico.net 4
73 Rompecadenas http://www.rompecadenas.com.ar/ 3
74 Rynho Zeros Web http://www.rzw.com.ar/ 4
75 s21sec http://blog.s21sec.com/ 5
76 Samuraiblanco http://www.samuraiblanco.org/ 3
77 SCB Labs http://scblabsteam.blogspot.com/ 2
78 Security art work http://www.securityartwork.es/ 3
79 Security by default http://www.securitybydefault.com 5
80 Security Hack http://sechack.blogspot.com/ 3
81 Security Track http://www.sec-track.com/ 3
82 Seguinfo http://www.segu-info.com.ar/ 5
83 Seguridad informática colombiana http://www.sinfocol.org/ 3
84 Seguridad Informática para tod@s http://proteccion-informatica.blogspot.com/ 1
85 Seguridad y Privacidad Microsoft http://blogs.technet.com/luismi/ 6
86 Seguridad y redes http://seguridadyredes.nireblog.com 3
87 Shadowsecurity http://shadowsecurity.info/ 0
88 Shell Security - Seguridad informática http://www.shellsec.net/ 2
89 Shibbo - Seguridad informática http://passreminder.blogia.com/ 2
90 Spam Loco http://spamloco.net/ 5
91 Taller de criptografía http://www.cripto.es/ 4
92 Tecnoseguridad http://www.tecnoseguridad.net/ 2
93 Teoriza http://seguridad.teoriza.es/ 3
94 Threatpost (Kapersky) http://threatpost.com/es_la 5
95 Todo es seguro http://todoesseguro.blogspot.com 3
96 Troyanos y virus http://troyanosyvirus.com.ar 3
97 Un informático en el lado del mal http://elladodelmal.blogspot.com/ 5
98 Vulnerabilityteam http://vulnerabilityteam.wordpress.com/ 3
99 Wrench Wrench – De Mauro Càseres http://wrenchwrench.wordpress.com/ 0
100 Xombra http://www.xombra.com 4