Hacking Mobile 101: Visualizacion de Log’s en Android con Pidcat mejora de Logcat

Cuando realizamos una auditoria de una app en android, es necesario ver si se cuenta con la generación de logs no “controlada”, lo mencionamos entre comillas debido a que es decir que a los desarrolladores se les olvido quitar los queridos console.log(“Funciona! wiii: User:Snifer Password:123456789#S”)  vale aclarar que esto puede variar entre las diferentes tecnologías de desarrollo pero esta mas que claro lo que sucede cuando se expone información sensible por este medio.

Seremos “optimistas” por medio de los logs, jamas podremos obtener acceso a información sensible, pero nunca esta demás realizar esta prueba e identificar fallas, esta visualización de los logs es posible realizarlo con el propio adb ya que cuenta con logcat, a continuación veremos el uso de la herramienta con la aplicación  DIVA que la misma esta pensada para la realización de pruebas con las vulnerabilidades en Android.
Vulnerabilidades en DIVA
El que usaremos en esta entrada sera el primero 1. Insecure Logging que nosotros ponemos el numero de nuestra tarjeta de crédito y el mismo se ve reflejado en los log’s del dispositivo móvil.
Entonces empezamos con logcat iniciando con el siguiente comando, el cual nos brindara todos los logs que sean generados en el dispositivo.
Snifer@L4b's$ adb logcat 
Visualización de logs
Al ejecutar el comando tenemos todos los logs del dispositivo para llegar a identificar, si vemos serán de todas las apps que se encuentren ejecutándose en el dispositivo móvil, entonces para evitar ver todos los logs e ir viendo uno por uno podemos utilizar podemos utilizar el siguiente comando primero para identificar el nombre del paquete.

Obtenemos con el siguiente comando los nombres de los paquetes de las aplicaciones instaladas en el dispositivo esto de manera general.

Snifer@L4b's$ adb shell pm list packages
Listado de apps instaladas
Al ejecutar el siguiente comando podremos identificar el nombre del paquete, con el fin de utilizar logcat e identificar unicamente de nuestro paquete objetivo, basta con hacer un grep del listado de los paquetes obtenidos.
Snifer@L4b's$ adb shell pm list packages | grep -i "nombre_APP"
Identificando el package
Snifer@L4b's$  adb logcat -B "jakhar.aseen.div"
Identificando el nombre del paquete ejecutamos con la bandera respectiva teniendo como resultado lo que se muestra en la siguiente captura.

Visualización de los logs
Como muchos dicen para gustos colores, y en mi caso por mi simpatía para atender a algunas cosas prefiero que este debidamente categorizado, en ese proceso llegue a Pidcat la cual permite obtener de una manera mas agradable el log de logcat. Después de realizar la instalación de Pidcat, debemos de conocer el uso de la misma ejecutando la flag -h tenemos el siguiente resultado.
Snifer@L4b's$ pidcat -h                                                                                                           
usage: pidcat [-h] [-w N] [-l {V,D,I,W,E,F,v,d,i,w,e,f}] [--color-gc]
[--always-display-tags] [--current] [-s DEVICE_SERIAL] [-d] [-e]
[-c] [-t TAG] [-i IGNORED_TAG] [-v] [-a]
[package [package ...]]

Filter logcat by package name

positional arguments:
package Application package name(s)

optional arguments:
-h, --help show this help message and exit
-w N, --tag-width N Width of log tag
-l {V,D,I,W,E,F,v,d,i,w,e,f}, --min-level {V,D,I,W,E,F,v,d,i,w,e,f}
Minimum level to be displayed
--color-gc Color garbage collection
--always-display-tags
Always display the tag name
--current Filter logcat by current running app
-s DEVICE_SERIAL, --serial DEVICE_SERIAL
Device serial number (adb -s option)
-d, --device Use first device for log input (adb -d option)
-e, --emulator Use first emulator for log input (adb -e option)
-c, --clear Clear the entire log before running
-t TAG, --tag TAG Filter output by specified tag(s)
-i IGNORED_TAG, --ignore-tag IGNORED_TAG
Filter output by ignoring specified tag(s)
-v, --version Print the version number and exit
-a, --all Print all log messages
Para realizarlo directamente con pidcat hacemos uso de la siguiente manera
Snifer@L4b's$ pidcat jakhar.aseen.div

Una vez que ejecutamos tenemos el resultado especifico de la aplicación que estemos analizando,y al ejecutar vemos el log especifico que mandamos 37113 y el primer dato que enviamos desde el dispositivo.
Ejecución de Pidcat
Se llega a ver en el mismo pidcat la opción de filtrar por algún tag en especifico o ignorarlo completamente con las flags -t y -i ya depende de cada uno como lleguemos a usar la herramienta y mejoremos en el análisis y detección de vulnerabilidades en aplicaciones móviles. 
La mente es como un paracaídas: sólo funciona si se abre. – Albert Einstein.
Regards,
Snifer



Leer artículo original: Hacking Mobile 101: Visualizacion de Log’s en Android con Pidcat mejora de Logcat

Podcast #50 Hablemos de mi experiencia con el OSCP

El podcast de hoy llega a ser especial por que llegamos con este, al numero 50 ademas de contar la travesía y experiencia que tuve durante la certificación OSCP de Offensive Security, aclarando que el mismo fue realizado antes de la actualización que tuvo el material.

Como siempre lo tenemos disponible en Youtube.

Ivoox 
En Spotify, Google Podcast, tienes que buscarnos como Dame una Shell para tener el podcast.

Entrada del blog donde cuento mi experiencia de la certificación OSCP.

Boletín de noticias – del Blog Suscribete!

Tienes alguna duda o comentario sobre la certificación hazlo en los comentarios y en una próxima edición estaremos respondiendo.

Twitter: https://www.twitter.com/sniferl4bs
Ivoox: http://tiny.cc/IvooxDameunaShell
Youtube: http://tiny.cc/YoutubeSniferL4bs

Música: Kabbalistic Village – Underground

Todos nuestros sueños se pueden hacen realidad si tenemos el coraje de perseguirlos.-Walt Disney.

Regards,
Snifer

Leer artículo original: Podcast #50 Hablemos de mi experiencia con el OSCP

Burp Suite XXXIII – Plugin Exporter generador de solicitudes HTTP

Volvemos con otra entrada de Burp Suite en el cual explicamos el uso de un nuevo plugin que fue realizado por el equipo de ArtsSec el cual se encuentra realizado en Python.

Que es  Exporter

Exporter es un plugin que tiene como objetivo generar solicitudes HTTP en otros formatos para que estos sean tratados desde afuera, para la generación de algunas Pruebas de concepto.
Burp Suite Professional cuenta con la opción de exportar un comando pero unicamente en Curl.

Esta extensión brinda otras opciones para trabajarlas cuales son:

  • cURL
  • Wget
  • Python Request
  • Perl LWP
  • PHP HTTP_Request2
  • Go Native
  • NodeJS Request
  • jQuery AJAX
  • PowerShell
Algo a destacar es que el plugin se encuentra disponible para la versión Community por lo cual es posible trabajar sin ningún inconveniente.

Instalación

El proceso de instalación del plugin es bastante sencillo, por el cual si contamos con la configuración previa de jython en el path de Burp Suite debe de funcionar sin problema, el mismo se explica en BurpSuite XXV – Configuración de Plugins en BurpSuite

  1. Lo que necesitamos es descargar el plugin del repositorio oficial de los creadores. Burp Exporter
  2. Nos dirigimos a Extender > Extensions > “Add > Extension Type Python Seleccionamos el fichero Exporter.py

El proceso se explica a continuación.

Una vez que lo tenemos instalado contamos con la nueva opción en el menu de Burp Suite Exporter to  en los siguientes Menus/funciones de Burp Suite.

  • Intercept
  • HTTP history
  • Site map
  • Repeater

En los plugins que se tienen previamente en Burp se tiene un plugin que vendra en una próxima entrada, ya que aun falta armar el proceso completo y los gifs, que estamos volviendo a utilizar después de mucho tiempo, espero les agrade el mismo.

Quieres aprender mas sobre Burp Suite en el blog contamos con la Guia de uso de Burp Suite.

No soy producto de mis circunstancias, soy producto de mis decisiones.-Steven Covey.


Regards,
Snifer

Leer artículo original: Burp Suite XXXIII – Plugin Exporter generador de solicitudes HTTP

c0r0n4con 2020 Evento Online – 9, 10 , 11 y 12 de Abril

Sabemos muy bien que estamos pasando por malos momentos, en todo el mundo por el Covid-19 y por el otro lado del charco salio la iniciativa de tener una conferencia Online con el fin de recaudar fondos para la CRUZ ROJA, de España, con el fin de apoyar de esta manera a los que se encuentran en primera linea.

Es por eso que desde Snifer@L4bs estamos compartiendo este proyecto, en el cual puedes colaborar realizando una donación a pesar de que no lo hagas podrás estar viéndolo de igual manera, las donaciones podrán realizarlas de manera directa en la página de la Cruz Roja, o realizando un la transacción cualquier de las siguientes cuentas corrientes Cruz Roja Responde frente al COVID-19:
  • BBVA: ES92 0182 2370 4600 1002 2227
  • Caixabank: ES28 2100 0600 8502 0196 0066
  • Bankia: ES77 2038 1063 6560 0061 9773
  • Sabadell: ES31 0081 5232 2800 0108 4716
  • Bankinter: ES75 0128 0010 9701 0012 1395
  • Triodos: ES86 0198 0500 8020 2205 3421
  • Banco Cooperativo: ES18 1491 0001 2130 0008 9598

Cuando se celebra el c0r0n4con

El congreso se celebrará los días 9, 10, 11 y 12 de abril de 2020. Constará de charlas técnicas y talleres técnicos totalmente abiertos a todos contando con 4 salas de streaming con diversidad de eventos. Las charlas que se darán no tienen ningún desperdicio lo mejor es acceder a la página web.

CTF

Los conejos del rincón de FWHIBBIT se pusieron a realizar un CTF (Capture the Flag), con el apoyo de otros cracks como son Jorge (@jorgectf ) y Javier (@javierprtd ).
Como lo indicaron los conejos, el CTF iniciara el 9 de abril, a las 12:00 AM , estando disponible durante el tiempo que dure la cuarentena, como todo reto estaran disponibles algunos premios los cuales seran entregados el ultimo dia del evento que es el 12 de abril de 2020, en la clausura del c0r0n4c0n.
  1. Primer puesto: Curso de Seguridad Informática ofensiva, cedido por Hack by Security, que incluye el libro Pentesting con Kali Linux de 0xWord.
  2. Segund puesto: Curso de Seguridad Informática ofensiva, cedido por Hack by Security, que incluye el libro Pentesting con Kali Linux de 0xWord.
  3. Tercer puesto: Pack degustación de productos Fitness Power Food, cedido por los mismos, un mes de Hack The Box VIP cedido por @SniferL4bs y libro a elegir de 0xWord.

Desde este proyecto el granito de arena que daremos sera con ese mes Premium en HTB, se que no es mucho pero de a poco se suma, y mas en esta situación que estamos pasando actualmente en todo el mundo, uniéndonos y colaborando en lo que podamos, como dice el lema de Bolivia La unión es la fuerza.

El esconder tus sentimientos cuando estás a punto de llorar, es el secreto de la dignidad. – Dejan Sonjanovic


Regards,
Snifer

Leer artículo original: c0r0n4con 2020 Evento Online – 9, 10 , 11 y 12 de Abril

Más de 3.000 datos de personas expuestos mediante la plataforma de Datos Abiertos del Gobierno de Chile

La Subsecretaría General de la Presidencia ha expuesto mediante le Portal de Datos Público información relacionada a número móvil, nombre, email, comuna, entre otros de más de 3.000 personas. La información es de acceso libre y no se encuentra “camuflada”.

De acuerdo a la descripción encontrada en el mismo sitio, el Portal de Datos Público fue creado para:

[…]

Este sitio contiene un buscador y catálogos con diversas categorías para ayudar la búsqueda de la información. También se puede encontrar información georeferenciada y archivos de imágenes. Algunos de estos datos ya están disponibles en diversos sitios de gobierno pero www.datos.gob.cl los reúne en un solo sitio web donde se pueden realizar búsquedas.

El portal www.datos.gob.cl es un sitio dinámico en constante crecimiento, por lo que seguirá expandiéndose e incorporando la información de otros servicios y más datos de los organismos públicos.

El objetivo de esta herramienta es que las personas tengan acceso a la información en base a la cual el gobierno toma decisiones para las políticas públicas y que también la puedan utilizar para sus propias investigaciones e intereses. Por ejemplo, construir aplicaciones y conducir análisis.

[…]

Por lo tanto, la información que se expone en este portal puede ser usada para cualquier fin.

Durante el año 2017-2018, la Subsecretaría General de la Presidencia realizó una encuesta para conocer el motivo que tenían las personas para realizar trámites de forma presencial. En esta encuesta se hicieron una serie de preguntas, entre ellas el motivo que tuvo la persona para ir presencialmente a una sucursal a realizar el trámite, se le preguntaba un dato de contacto (teléfono o email), nombre y además se registraba la comuna donde se realizó el trámite, por lo que se puede deducir que la mayoría de las personas trabajan o viven en esa comuna.

Mediante la Plataforma de Datos Público del Gobierno, se hizo publico los resultados de la encuesta, el problema es que se expusieron los datos de contacto de estas personas, incluyendo email, número móvil y comuna, entre otros.

Esto demuestra que no existe un control sobre qué tipo de información se publica. Por un lado, los responsables de la plataforma se desligan del tema indicando que es cada institución la encargada de subir datos y, por otro lado, las instituciones publican información sin ningun tipo de revisión ni filtros.

Como indica @Samuelsocuv en twitter, el problema no es de la plataforma en si, sino de la falta de cultura de datos abiertos.

 

El dataset ya fue dado de baja y no es posible acceder:

Leer artículo original: Más de 3.000 datos de personas expuestos mediante la plataforma de Datos Abiertos del Gobierno de Chile

OpenSSL & SHC: Cifrando un script bash, Fecha de expiración y protegiendo el acceso

En telegram específicamente en HDC preguntarón como proteger un script en bash para que nadie lo uso y solo sea usado por una persona,  por lo cual esta entrada es elaborada para que este al alcance de todo aquel que necesite proteger y cifrar sus scripts como para tener la referencia en el blog por si en algun momento lo necesito.

Hace tiempo leí de pasada sobre shc el cual cumple con la función de cifrar código en bash pasandolo por C, para contar con un binario además de adicionar algunas funcionalidades como ser tiempo de expiración y un mensaje, también se tendrá como se puede trabajar con OpenSSL para realizar el cifrado, esta mas que claro que existen caminos para hacer la inversa a estos procesos, pero ellos no serán analizados en esta entrada

Tenemos el siguiente Script, que  usaremos para realizar las pruebas el cual no cumple con lo que dice.

#!/bin/bash
# Script de inicio de Docker
echo "Iniciando script...."
echo "Datos del Sistema Operativo"
uname -a
echo "Docker Iniciado"

Generando un binario y limitando el uso a una fecha con SHC

El proceso de instalación es simple para ello pueden ver los siguientes enlaces como el repositorio en GITHUB.

Como siempre para visualizar las opciones basta con man shc y conocer mas de las funcionalidades en esta entrada unicamente veremos poner una fecha de expiración y un mensaje que mostrará, cabe resaltar que este proceso si se puede bypassear simplemente modificando la fecha.

[kvothe@Bashert]: ~/SniferL4bs>$ shc -e 07/10/2018 -m "Tiempo de uso expirado contactate con Snifer en www.sniferl4bs.com" -f sniferl4bs.sh

Las variables que usamos son las siguientes:

-e: Definimos la fecha de expiración.
-m: Mensaje que se mostrara cuando se tenga la fecha de expiración.
-f: Fichero a cifrar.
-o: Salida del binario (No lo use en este caso)

Recordamos el fichero que tenemos.

El resultado del proceso que realizamos es un fichero con la extensión .x basta con ejecutarlo como un binario.

Ahora cuando la fecha de expiración llega se muestra el mensaje, que configuramos durante el proceso de cifrado.

Cifrando y restringiendo el acceso con OpenSSL

En este otro caso hacemos uso de OpenSSL, para que el script este cifrado y además sea posible restringir el acceso unicamente a los que tenga la contraseña.

[kvothe@Bashert]: ~/SniferL4bs>$ openssl enc -e -aes-256-cbc -iter 10 -a -in sniferl4bs.sh > script-enc

Al ejecutar nos pide que agreguemos la contraseña.

Una vez realiado tenemos el fichero script-enc en este caso que es el nombre que le dimos para usarlo tenemos que usar el siguiente comando la inversa.

[kvothe@Bashert]: ~/SniferL4bs>$ openssl enc -d -aes-256-cbc -iter 10 -a -in script-enc | sh

El resultado es el siguiente:

Cipher OpenSSL: ShellHacks

“Un viaje de mil millas comienza con un solo paso” – Lao Tse.


Regards,
Snifer

Leer artículo original: OpenSSL & SHC: Cifrando un script bash, Fecha de expiración y protegiendo el acceso