[Linux] DEFT (Digital Evidence & Forensic Toolkit)

DEFT (Digital Evidence & Forensic Toolkit) es una distribución Live CD (booteable desde el CD) basada en Ubuntu con kernel 2.6.35, muy fácil de usar, con un grandísimo listado de herramientas forenses y con una excelente detección del hardware.

DEFT es una de las distribuciones de análisis forense que más han avanzado en estos últimos años, no solo han añadido una gran cantidad de herramientas forenses a su lista, sino que se han sabido adaptarse a su entorno y emular las características de otras distribuciones similares CAINE de donde se han inspirados para sacar el DEFT Extra.
DEFT (Digital Evidence & Forensic Toolkit) está dividida en dos, su entorno y herramientas booteables que recogen lo mejor del software libre para el análisis forense y DEFT Extra un conjunto de herramientas gratuitas para análisis forense en entornos Windows.
En DEFT podemos encontrar las siguientes herramientas para realizar Análisis Forense:

• sleuthkit 3.2.0, collection of UNIX-based command line tools that allow you to investigate a computer
• autopsy 2.24, graphical interface to the command line digital investigation tools in The Sleuth Kit
• DFF 0.8
• dhash 2.0.1, multi hash tool
• aff lib 3.6.4, advanced forensic format
• disk utility 2.30.1, a partition manager tool
• guymager 0.5.7, a fast and most user friendly forensic imager
• dd rescue 1.14, copy data from one file or block device to another
• dcfldd 1.3.4.1, copy data from one file or block device to another with more functions
• dc3dd 7, patched version of GNU dd to include a number of features useful for computer forensics
• Xmount 0.4.4, convert on-the-fly between multiple input and output hard disk image types
• foremost 1.5.6, console program to recover files based on their headers, footers, and internal data structures
• photorec 6.11, easy carving tool
• mount manager 0.2.6, advanced and user friendly mount manager
• scalpel 1.60, carving tool
• wipe 0.21
• hex dump, combined hex and ascii dump of any file
• outguess 0.2 , a stegano tool
• ophcrack 3.3.0, Windows password recovery
• Xplico 0.6.1 DEFT edition, advanced network analyzer
• Wireshark 1.2.11, network sniffer
• ettercap 0.7.3, network sniffer
• nmap 5.21, the best network scanner
• dmraid, discover software RAID devices
• testdisk 6.11, tool to recover damaged partitions
• ghex, light gtk hex editor
• vinetto 0.6, tool to examine Thumbs.db files
• trID 2.02 DEFT edition, tool to identify file types from their binary signatures
• readpst 0.6.41, a tools to read ms-Outlook pst files
• chkrootkit, Checks for signs of rootkits on the local system
• rkhunter 1.3.4, rootkit, backdoor, sniffer and exploit scanner
• john 1.7.2, john the ripper password cracker
• catfish, file search
• galletta 1.0
• pasco 1.0
• md5sum, sha1sum, sha224sum, sha256sum, sha512sum
• md5deep, sha1deep, sha256deep
• skype log view, skype chat conversation viewer
• Xnview, viewer graphics, picture and photo files
• IE, Mozilla, Opera and Chrome cache viewer
• IE, Mozilla, Opera and Chrome history viewer
• Index.dat file analyzer
• pdfcrack, cracking tool
• fcrackzip, cracking tool
• clam, antivirus 4.15
• mc, UNIX file manager

Descargar DEFT (ultima versión) 

 Fuente: dragonjar

FOCA 3.0 listo para descargar

FOCA es una herramienta para la realización de procesos de fingerprinting e information gathering en trabajos de auditoría web. La versión Free realiza búsqueda de servidores, dominios, URLs y documentos publicados, así como el descubrimiento de versiones de software en servidores y clientes. FOCA se hizo famosa por la extracción de metadatos en documentos públicos, pero hoy en día es mucho más que eso. Aqui os dejo la presentación del programa en la DEFCON 18 muy completa:


Descarga: 

FOCA 3.0

Instalando programas de Backtrack 5 en otra distro linux

Primero que nada necesitamos lo siguiente:

Archivos necesarios

Bueno abrimos una terminal y tecleamos:

gksudo nautilus

Una vez nos vamos al directorio /etc/xdg/ donde veremos una carpeta nombrada "menus" ahora cogemos la carpeta menus que descargamos al inicio del articulo pegandola en el directorio /etc/xdg para sustituir la que ya estaba estructurada, haciendo backup.

una vez hecho esto abrimos una terminal y tecleamos:

sudo gedit /etc/apt/sources.list

Agregamos los repositorios de BT5:

###########BACKTRACK 5################################### deb http://all.repository.backtrack-linux.org revolution main microverse non-free testing deb http://32.repository.backtrack-linux.org revolution main microverse non-free testing deb http://source.repository.backtrack-linux.org revolution main microverse non-free testing

le pedimos la Llave al servidor

wget -q http://all.repository.backtrack-linux.org/backtrack.gpg -O- | sudo apt-key add -

y finalizamos con un 

sudo apt-get update

Vista Previa con algunas herramientas instaladas que activaron ciertos menus categoricos:

No se ve tan cargado como el original de bT5 por que no he instalado todas las tools que este trae, solo instale algunas para mostrar la previa en este presente articulo.

Para poner los menus en nuestro idioma natal solo basta con editar el archivo applications.menu

que se encuentra en la ruta: /etc/xdg/menus/

Captura de cambio de Idioma:

Fuente: maztor.blogspot.com

Robando cookies con Surfjack

SuftJack es una herramienta escrita en python con la cual es posible robar cookies con tan solo tener acceso al trafico de una red. Con esta herramienta se han encontrado vulnerabilidades en sitios web importantes. Un atacante puede facilmente robar cookies de sesión en sitios que usen HTTP y HTTPS, y no aseguren las cookies.





Aqui os dejo un paper con información mas detallada sobre el programa:
Paper:
http://resources.enablesecurity.com/resources/Surf%20Jacking.pdf (En Inglés pero bastante util)


Un video con Gmail como ejemplo:

Pagina del proyecto: http://code.google.com/p/surfjack/downloads/list

[Programacion] Overbypass.pl herramienta para comprobar uploaders

Aqui os dejo una herramienta en perl muy útil que nos permite auditar y comprobar uploaders para ver si son vulnerables y que tipo de archivos se pueden subir.

Codigo (PERL):
Untitled

Según la opción que se elija se mandará una petición HTTP de tipo POST con el contenido de una shell usando un tipo de bypass. A parte de las técnicas para evitar los filtros que puedes seleccionar, la shell siempre se manda con el  Content-Type emulando a una imagen, así como al inicio de la shell lleva la cabecera de los archivos con extensión .gif.

TuentiDump: comprometiendo y descargando cuentas de tuenti

TuentiDump que monitoriza el tráfico y descarga todo el contenido de la cuenta de Tuenti comprometida, almacenando en una base de datos (SQLite) toda la información (permitiendonos un análisis posterior más cómodo).

La aplicación descarga la información personal del usuario (nombre, apellidos, dirección, teléfonos, email , twitter, páginas web, ...), los mensajes del tablón/wall, las imágenes y su información y los mensajes privados. Hay alguna información cuya obtención no ha sido implementada (tablones y comentarios en imágenes) que es sencillo de añadir pero que en este caso no me ha preocupado.

La descarga y almacenamiento de la información se realiza en tres etapas.

1. Se realizan todas las peticiones web necesarias guardando en bruto (sin procesar) las respuestas. De esta forma conseguimos reducir al máximo el tiempo en el que el SessionID ha de ser válido.
   
2. Se procesa toda la información obtenida en la etapa anterior dejando los datos listos para almacenarlos en la base de datos. Además, en esta etapa se pueden descargar todas las imágenes de la cuenta (para acceder a éstas no es necesario estar autenticado)
3. Se genera la base de datos y se almacena en ella toda la información.
   

Ahora bien, lo más importante ... ¿cuanto tiempo tarda?.
En las pruebas que he realizado con mi portatil (algo limitado) la etapa de descarga (que es la crítica) tarda alrededor de 120 segundos (la limitación se encuentra tanto en el equipo como en la conexión). En la universidad y con un equipo más decente conseguí bajar la cifra a 50 segundos (lo más lento es la descarga de los datos de las imágenes, desactivandolo los tiempos se reducen a la mitad).

La aplicación permite elegir el número de hilos, las páginas del tablon (10 elementos por página) y las de imágenes (25 elementos por página) que se procesaran por cada hilo. Es recomendable jugar con estos parámetros para conseguir el máximo rendimiento.

Con respecto a los datos obtenidos, la información más interesante/crítica se suele encontrar en los mensajes privados. Por lo tanto, lo que un atacante seguramente no hubiera visto simplemente suplantando la cookie, ahora sí que queda expuesto.

A continuación podéis ver una captura de TuentiDump descargando mi cuenta de Tuenti, los tiempos completos y la estructura de la base de datos que genera:

Con respecto a la aplicación, no es ninguna maravilla (y claramente Java no era la mejor opción) pero para las pruebas era suficiente. Le he corregido algunos bugs y he publicado su código fuente en:
http://www.ldelgado.es/?tuentidump

Como conclusión decir que con esta aplicación simplemente quería dar cifras a algo ya conocido y mostrar como hasta la más mínima exposición puede comprometer al completo nuestra cuenta y permitir a un atacante analizar, con todo el tiempo que necesite, toda la información contenida en la misma.

 

Fuente: securitybydefault.com

Hackarmoury: pack de herramientas de seguridad

HackArmoury es un repositorio de aplicaciones y utilidades de seguridad que como peculiaridad y característica más importante es su facilidad de acceso.

 

Para facilitar en estas tareas, HackArmoury permite descargar el las utilidades mediante Samba, TFTP, FTP, RSync, SVN, y HTTP y HTTPS, tanto IPv4 como IPv6.

 

La lista de aplicaciones no es muy amplia, pero poco a poco imaginamos y esperamos que vaya creciendo.

Esta web me ha recordado otra realmente práctica y no excesivamente conocida; el live de sysinternals, a la que se puede acceder mediante SMB (\\live.sysinternals.com) y también dispone de un listado de directorio con todas las utilidades: http://live.sysinternals.com/. 

Y para finalizar, recordaros que Nirsoft tiene una herramienta llamada "NirLauncher" que facilita la descarga y actualización de sus propias aplicaciones, así como las de Sysinternals, joeware y piriform.

 

 

Fuente: securitybydefault.com

Contraseñas por defecto: BIOS y routers

Aqui os dejo unos links con contraseñas por defecto en varios BIOS y routers, espero que os sirvan:

BIOS

http://www.cirt.net/cgi-bin/passwd.pl

http://www.phenoelit.de/dpl/dpl.html

http://www.xs4all.nl/~matrix/mpwlist.html

http://www.elfqrin.com/docs/biospw.html 

ROUTERS

http://www.adslayuda.com/password_router.html

http://www.routerpasswords.com/

http://phenoelit.darklab.org/cgi-bin/display.pl

http://www.phenoelit.de/dpl/dpl.html

http://www.anameless.com/blog/default-passwords.html

http://www.governmentsecurity.org/articles/DefaultLoginsandPasswordsforNetworkedDevices.php

http://www.glug-howrah.org/modules.php?name=Forums&file=printview&t=386&start=0

http://ap0c.freeflux.net/files/router-default-list.txt

http://www.cirt.net/cgi-bin/passwd.pl

http://artofhacking.com/etc/passwd.htm

http://www.adslayuda.com/

SSID "THOMSON" con WEP, password "0123456789"

WPA de FON

Desde

8651022000
8651022001
8651022002
...
hasta
8704019999

WPA de routers Thompson con ESSID SpeedTouch******

DESCARGA: http://download.wifislax.com:8080/SpeedTouchKeys-v0.1.zip

MD5: 2b5ea7d4539ea5b02fc8ea569e5566f6

 

 

[Videotutorial] Cookie-poisoning

El ataque de envenenamiento de cookies o mas conocido como cookie poison, consiste en modificar el contenido una cookie con el fin de saltar algunos mecanismos de seguridad que se basan en este método.

Con este tipo de ataque se pueden hacer cosas muy interesantes entre las cuales tenemos:

robo de identidad.
Obtener informacion no autorizada.
Modificar algunos datos.
Robar sesiones.

En el siguiente vídeo la gente de imperva nos muestra como podemos hacer efectivo una ataque de cookie poisoning usando la herramienta llamada: paros proxy la cual funciona como un proxy, permitiendo capturar las peticiones HTTP e incluso las HTTPS, De esta forma y con un poco de malicia y suerte se pueden realizar este tipo de ataques. A continuación el vídeo demostrativo:



Mas Información:
Using Cookie Poisoning to Bypass Security Mechanisms

[Pentesting] Textos sobre pentesting

Aqui os dejo una compilación de textos sobre pentesting bastante completa y que abarca muchos temas como son: textos Seguridad Informática, Historia, Metasploit, SQLi, Windows, GNU\Linux, Cheat Sheets & Python.

Indice:

├───Cheat Sheets - Packet Life
│ BGP.pdf
│ Cisco IOS Versions.pdf
│ Common ports.pdf
│ EIGRP.pdf
│ First Hop Redundancy.pdf
│ Frame Mode MPLS.pdf
│ IEEE 802.11 WLAN.pdf
│ IEEE 802.1X.pdf
│ IOS IPv4 Access Lists.pdf
│ IPsec.pdf
│ IPv4 Multicast.pdf
│ IPv4 Subnetting.pdf
│ IPv6.pdf
│ IS-IS.pdf
│ Markdown.pdf
│ MediaWiki.pdf
│ NAT.pdf
│ OSPF.pdf
│ Physical terminations.pdf
│ PPP.pdf
│ QoS.pdf
│ RIP.pdf
│ Scapy.pdf
│ Spanning Tree.pdf
│ Tcpdump.pdf
│ VLANs.pdf
│ VOIP Basics.pdf
│ Wireshark Display Filters.pdf
│
├───GNU-Linux
│ Administracion GNU Final (Español).pdf
│ ADMINISTRACIÓN DE UNIX (Español).PDF
│ Bash Pocket Reference.pdf
│ Creación de una distribución personalizada (Español).pdf
│ Enrutamiento avanzado y control de tráfico en Linux (Español).pdf
│ Expert Shell Scripting.pdf
│ Hungry Minds - Red Hat Linux 7.2 Bible Unlimited Ed.pdf
│ Implementacion Servidores Linux JULIO 2009 (Español).pdf
│ Linux Command Line and Shell Scripting Bible (2008).pdf
│ Linux Máxima Seguridad (Español).pdf
│ Pro Bash Programming - Scripting the GNU-Linux.pdf
│
├───Historia
│ UADv2.0 (Español).pdf
│ Un viaje en la historia del hacking (Español).pdf
│
├───Metasploit
│ Metasploit The Penetration Testers Guide.pdf
│ Metasploit Toolkit for Penetration Testing Exploit Development and Vulnerability Research.pdf
│ Metasploit Unleashed (Español).pdf
│ Metasploit Unleashed.pdf
│
├───Python
│ Introducción a la Programación con Python - Andrés Marzal e Isabel Gracia.pdf
│ Python para todos.pdf
│ Tutorial Python - Guido van Rossum.pdf
│
├───SQLi
│ An introduction to MySQL injection.pdf
│ BlackHat Europe 09 - Advanced SQL injection whitepaper.pdf
│ Blind MySQL Injection (Español).pdf
│ Blind SQL Injection.pdf
│ Hack x Crack SQLinjection (Español).pdf
│ MS SQL Injecting (Español).txt
│ My-SQL.pdf
│ SFX SQLi Paper (Español).pdf
│ SQL Injection Pocket Reference.pdf
│ SQL Injection Tutorial.pdf
│ SQL Injection White Paper.pdf
│ Tecnicas de SQL Injection Un Repaso (Español).pdf
│ Time-Based Blind SQL Injection using Heavy Queries.pdf
│ Técnicas de inyección en MySQL (Español).pdf
│
├───Textos Seguridad Informática
│ GUÍA DE PRUEBAS OWASP.pdf
│ Hacking Etico - Carlos Tori.pdf
│ OWASP Top 10 - 2010 FINAL.pdf
│ Taller Práctico de Auditoría y Pentest.pdf
│ Universidad Hacker.pdf
│
└───Windows
Batch File Programming.pdf
Windows Sysinternals Administrators Reference.pdf

[Descarga] WifiWay 2.0.3 FINAL

WifiWay es una distribución LIVE CD especialmente diseñada para realizar auditorias de redes inalámbricas, WifiWay fue creada por los mismos autores de la famosa distribución Wifislax (basada en slax) y está cogiendo mucha fuerza por su velocidad y eficiencia a la hora de realizar un trabajo de auditoria en redes inalámbricas.



Wifiway tiene como novedad principal en esta versión la posibilidad de utilizar es escritorio TRINITY, ademas de la actualización de todas sus aplicaciones, se añadió airoscript 2.2 (permite auditar redes cuyo SSID tenga espacios en blanco), se añadió Firefox 6 con varios idiomas, se actualizó java y la suite aircrack-ng, entre otros cambios.
A WifiWay se le han quitado programas inservibles para ahorrar espacio, como Kopete, los juegos de kde y ahora muchos de los programas a los que solo podíamos ingresar por consola, se han añadido al menú, el cual ha sido totalmente reorganizado para que encontremos todo mucho mas fácil.

Wifiway 2.0.3 Final (491,74 MB)