Archive for September 2015

El poder de las redes Sociales, piensa antes de lo que postearás

Quizás suena trillado el título como también el contenido pero es necesario dar el granito de arena y comprendan lo que realizamos ahora les seguirá para después, debido a que muchas veces cometemos el error de compartir información privada, personal, siendo algunas fotos, comentarios, ya sean lanzados por una razón meramente personal y el error es hacerlo abiertamente en redes sociales como ser Facebook, Twitter, Instagram solo por nombrar a los 3 mas grandes en este lado compartimos que hacemos a donde vamos y cuando estamos solos, personalmente hace como unos tiempo otras lance un comentario en Twitter el cual fue tomado de manera equivocada, totalmente equivocada, y eso porque fue.?

Por mi error al hacer el comentario de algo que viví ese día y lo tomaron de otra manera, una lástima ya que eran personas conocidas y que estimaba como mi propia familia se vieron aludidas, muchas veces sucede ello ahora desde que tuve dicha experiencia siempre pienso hasta 10 veces antes de hacer un comentario o pensar en voz alta.


Si señores aun se ve, si tienen algún conocido que lo haga por favor díganle alto! que haces no lo hagas! estas cometiendo un error, muestrenles y expliquenles que una vez que se sube algo a la red, ya sea por cualquier red social, es difícil y complicado que se borre o retire ademas que siempre volverá y no sabemos cuando pueda ser usado en tu contra.

Toda información puede ser interpretada a la conveniencia de una persona, cuando ella lo decida. 

Dejemos de ser ingenuos y pensemos en lo peor… 


Y para terminar les invito que vean este documental, para ver que tanto pueden afectar las redes sociales.


Regards, 
Snifer

Leer artículo original: El poder de las redes Sociales, piensa antes de lo que postearás

BurpSuite XVIII – Análisis Web OWASP, Exposición de Información Sensible

Nuevamente usaremos el discover y el crawler para identificar estas debilidades, conjuntamente con el fuzzer de ser necesario verán que estas ultimas entradas estamos explotando por decirlo así únicamente el uso de la herramienta y se va acoplando con las etapas anteriores de reconocimiento y descubrimiento valga la redundancia, por lo cual esta se apoya bastante a lo mismo, por lo tanto veremos algunas de las debilidades mas comunes relacionadas a este apartado.

Por lo tanto lo que haremos es seleccionar el crawling del objetivo, considerando previamente que se realizara el discover y a la par seleccionaremos el active o passive scan como gusten, las vulnerabilidades mas conocidas que son identificadas llegan a ser:

  1. Identificación de Correo Electrónico.
  2. Envío de credenciales en texto claro.
  3. Liberación de información. 
  4. Backups expuestos. 
  5. Documentos de ofimática expuestos.

Estos solo por nombrar algunas debilidades, la herramienta es la que llega a detectar las debilidades de manera automática casi todas ya dar la prioridad depende de la persona que lo usa y como explota los resultados. 


Liberación de correos electrónicos de desarrolladores

Fichero LOG.
Información disponible en el LOG.
Como vieron esta entrada del mismo modo aborda, el conocimiento de la persona que usa a la herramienta perdonen por ser tan iterativo con ello. 

Regards,
Snifer

Leer artículo original: BurpSuite XVIII – Análisis Web OWASP, Exposición de Información Sensible

Owasp Zaproxy VI – Zap Forced Browse

El Forced Browse es un tipo de ataque para forzar la navegación dentro de un dominio con el fin de identificar recursos que no son accesibles desde una referencia (eso lo hace un crawling)  pero aun están en algun directorio dentro del web server.

Ya que tenemos claro el concepto, analicemos su puesta en marcha, veremos que bruteforcing sobre la navegación viene de la mano con la entrada anterior y el mecanismo es bastante similar.
Las opciones  de Forced Browse que nos facilita la herramienta son las siguientes:

  • Forced Browse Site: es utilizado para la identificación de contenido no vinculados en el directorio del dominio, se ejecuta por defecto o seteando nuestro propio diccionario.

  • Forced Browse Directory: cumple la misma función que el anterior, la diferencia es que identifica sobre un directorio y no sobre todo el dominio.

  • Forced Browse Directory (and children): Igual al anterior, sólo que además también identifica el contenido de los subdirectorios.


Para definir las opciones de configuración y setear nuestro propio diccionario de Fuerza Bruta en la herramienta debemos ir a las opciones, para llegar podemos ir por dos caminos “Ctrl+Alt+o” o en el menú superior “Tools -> Options


Dentro de las Opciones configurables de las que disponemos están:

  • Cantidad de threads concurrentes por host que pueden ir de 0 a 20.
  • Podemos definir que sea recursivo o no.
  • Archivo por defecto con el cual realizará el forced browse.
  • Agregar diccionarios personalizados para el ataque.
  • Incluir extensiones a buscar de manera manual.
Cuando lancemos el ataque, podemos elegir si queremos continuar utilizando la lista que hemos definido por defecto o buscar y seleccionar la que deseamos emplear


Veamos un ejemplo práctico de lo que venimos viendo. Para Inicializar el Forced Browse, debemos pararnos sobre el target, click derecho y seleccionamos el tipo de bruteforcing que deseamos. En éste caso ejecutaremos “Forced Browse Directory” con el diccionario que trae por defecto la herramienta


En el panel inferior, veremos como comienza a desplegarse las peticiones que hace sobre el directorio seleccionado y la respuesta de cada request.


De ésta manera podemos identificar, por ejemplo, información sensible, backdoors shell en php con nombres comunes como c99.php o DAws.php, etc que generalmente no tienen ninguna referencia o hipervínculo desde el dominio pero si están presentes dentro del webserver.

Regard {~}



Contribución enviada por: {~}

Leer artículo original: Owasp Zaproxy VI – Zap Forced Browse

Android Exploitation

Este video es un Workshop de 3 horas apenas logre ver los primeros 30 minutos una charla bastante interesante la cual no tiene perdida alguna verla a fondo, y se los digo porque ya la ando bajando para verla con calma y escucharla a detalle.


Android Exploitation from Positive Technologies on Vimeo.

Una entrada bastante corta pero vale la pena ;). 

Regards,
Snifer

Leer artículo original: Android Exploitation