[Analisis forense] RadioGraphy 1.0

RadioGraphy es un programa muy util a la hora de realizar un analisis forense de cualquier ordenador ya que nos permite deducir mediante la información que obtiene si ese equipo esta comprometido o no, como su nombre indica, intenta 'radiografiar' el sistema y obtener la mayor cantidad de datos relevantes posibles como los siguientes:

• Las claves del registro asociadas al auto-arranque de procesos
• Las claves del registro asociadas a la configuración de IE
• Las cuentas de usuario del sistema
• Los ficheros en directorios 'startup'
• Los servicios del sistema
• El contenido del fichero 'hosts'
• Los 'task' del scheduler de windows
• Los drivers o módulos cargados en el Kernel de Windows
• Carpetas compartidas por NetBios
• Ventanas ocultas (cmd y IE)
• La lista de procesos activos en el sistema y el path del ejecutable
• Información relacionada con la red (puertos abiertos, conexiones, etc)

El programa dispone de una característica que cuando encuentra un binario, ya sea un proceso en ejecución o un binario asociado a una clave de registro / task, comprueba si su hash ha sido identificado como sospechoso.

También esta integrado 'WinUnhide' para que realice un test de integridad de procesos en búsqueda de procesos ocultos.

La herramienta cuenta con una versión por línea de comandos y otra en GUI.

Pagina del proyecto y descarga: 

http://www.security-projects.com/?RadioGraPhy

Sniffers para Whatsapp y Tuenti Chat

Aquí os dejo dos herramientas mas o menos recientes que actúan como sniffer para captar los datos enviados por estas dos aplicaciones ya que utilizan el mismo protocolo XMPP (una tecnología de comunicación en tiempo real muy potente y utilizada actualmente) y envían todo bajo texto plano...


Tuenti Chat - Tuenti Sniffer

El chat de tuenti usa el protocolo XMPP, una potente y actual tecnología de comunicación en tiempo real muy extendida y usada en WhatsApp (aunque este usa una modificación de xmpp realmente). Cuando nos conectamos, tuenti asigna de forma aleatoria un servidor situado de 1 a 9 quedando por ejemplo xmpp1.tuenti.com.

Los mensajes enviados no van en cifrados, de modo que cualquier persona puede leerlos, obtener el userid que corresponde a que personas envían los mensajes y a que personas los reciben, y más.

Tuenti Sniffer es capaz de leer las conversaciones de tuenti que pasen por la red local.

Y es capaz también de suplantar o robar su ID y capturar los datos enviados durante la conversación en el chat de tuenti.

-Enlace para la descarga: 

http://www.ldelgado.es/?tuentisniffer

(*es necesario tener instalado Java 6 JRE y la librería JPCap 0.7)

Whatsapp - Whatsapp Sniffer

Whatsapp es un servicio de mensajería instantánea disponible para cualquier smartphone actual y que usa el protocolo xmpp para la transmisión de datos. Whatsapp tiene como destino el puerto 443(HTTPS) aunque todo viaja bajo texto plano. Los datos de XMPP son enviados a bin-short.whatsapp.net bajo el puerto 5222.

WhatsAppSniffer que muestra en consola todas las conversaciones, identificadores y demás que pasan por la red cuando se está usando whatsapp. Una forma mucho mas cómoda y fácil de obtener estos datos que usando otros sniffers como wireshark.

Descarga WhatsAppSniffer

Descarga del código fuente

Reaver: herramienta para hackear redes wifi protegidas con WEP y WPA/WPA2 PSK mediante WPS (WiFi Protected Setup)

Hay muchas herramientas y formas de crackear redes Wifi, pero una de las formas mas efectivas contra redes WPA/WPA 2 es utilizando este programa que aprovecha la característica WPS (WiFi Protected Setup) la cual permite a los usuarios introducir un PIN de 8 dígitos para conectarse a una red segura sin tener que introducir una contraseña. Reaver implementa un ataque de fuerza bruta contra el WPS a fin de recuperar contraseñas WPA/WPA2 obteniendo el PIN para luego extraer el PSK. Reaver ha sido diseñado para ser un ataque sólido y práctico contra la WPS, y ha sido probado contra una amplia variedad de puntos de acceso e implementaciones del WPS. 

En promedio con Reaver se tendrá acceso a WPA/WPA2 en unas 4 a 10 horas, dependiendo de la de la señal Wifi. También hay que destacar que el 95% de los routers traen por defecto activado el WPS.

 -Video de demostración con Reaver:

- Mas información sobre WPS:
 http://sviehb.files.wordpress.com/2011/12/viehboeck_wps.pdf

- Descarga:
  http://code.google.com/p/reaver-wps/

[XSS] hispavista.com y otros

Aquí os dejo unas cuantas vulnerabilidades XSS (Cross site scripting) en las webs pertenecientes a hispavista.com, como son:




hispavista.com
neopolis.com (Red Social)
labolsa.com
galeon.hispavista.com

La vulnerabilidad se encuentra en los buscadores de esas paginas, al introducir una cadena simple como "><script>alert(/XSS/)</script> nos podemos dar cuenta del fallo.

Aqui los links donde podeis observar el fallo al introducir esa cadena en los buscadores de esas paginas:

Hispavista.com
Galeon
Labolsa.com
Neopolis.com

Tutorial de XSS, XSF, CSRF, XFS, XZS, XAS, XRS & XSSDoS

Leyendo por ahí, me encuentro con un mega tutorial XSS hecho porlord epsylon el cual comprende una amplia gama de variaciones y/o tipos de XSS (por no decir todos), son 174 páginasy a parte que está muy bien hecho (y en español). 100% recomendado, muy gráfico y muy claro, muchas páginas, pero al leerlo se hace muy rápido.

En el XSS se manipula la entrada (input) de parámetros de una aplicación con el objetivo de obtener una salida (output) determinada que no sea la habitual al funcionamiento del sistema.

Algunas estadísticas afirman que el 90% de todos los sitios web tienen al menos una vulnerabilidad, y el 70% de todas las vulnerabilidades son XSS. A pesar de tratarse de una temática en seguridad algo antigua, aún siguen apareciendo nuevos vectores de ataque y técnicas que hacen que se encuentra en constante evolución.

blog.segu-info.com.ar

Descarga:

http://xsser.sourceforge.net/xsser/XSS_for_fun_and_profit_SCG09.pdf

fuente: blackploit

Dorks para SQLi avanzados

Dorks para SQLi


Vamos a ver como realizar dorks para encontrar sitios posibles para testear vulnerabilidades SQLi, supongamos que queramos buscar archivos unicamente en PHP y que la extension no esté oculta en la url (www.sitio.com/index?pagina=1 por ejemplo). Para esto empezaremos por indicarle a google que buscaremos solo archivos de extension php con seguido, vamos a indicarle que busque sitios donde la URL contenga variables llamadas id como normalmente se buscan, para eso a nuestro dork le agregamos inurl:.php?id= y bueno, porque no especificarle que sea un sitio bajo un dominio argentino por ejemplo, al final le agregaremos y bueno tenemos un dork básico para buscar sitios para probar suerte con SQLi:

filetype:php inurl:.php?id= site:.com.ar


Ahora si lo que queremos es hacer un dork mas pr0 vamos a tener que usar mas la imaginacion y darle opcionales a google para que busque. Por ejemplo, nombres comunes que se utilizan en variables del tipo MySQL son id, articulo, noticia, bueno hay muchos mas pero quedemosnos con esoso, para decirle a google que queremos que dentro de nuestro dork anterior busque URL con dichos strings como variables GET, usaremos el parentesis () para agrupar y la doble barra vertical para indicar que esto ó lo otro, nos quedará y aplicado al dork sería . Como verán, lo aplique como una string, el parentesis se utiliza en string, no lo mezclen directamente con comandos de búsqueda, pero espera que para los que le gustan los resultados a lo bruto también podemos usar comodines entre el texto para especificar que puede ir cualquier texto entre medio, de esa manera anidamos dos comodines tanto en el modulo PHP, como en la variable GET quedandonos así .

filetype:php inurl:(noticia||articulo||ver||galeria).php?(id||articulo_id||noticia_id)=


filetype:php inurl:*.php?*=

Nuevo troyano con lo peor de ZeuS y SpyEye

Expertos en seguridad alertan de que ya está circulando por la red una nueva amenaza orientada a atacar sistemas bancarios online que combinaría las capacidades de ZeuS y de SpyEye.

Al parecer este nuevo malware cuenta con dos versiones del panel de control que utiliza para controlar de forma remota los equipos que consigue infectar, ambos conectados al mismo servidor pero uno similar al de ZeuS y el otro al de SpyEye.



Actualmente se tiene constancia de su existencia pero por el momento no ha comenzado con las infecciones, según apuntan desde Seculert, la firma de seguridad que ha dado la voz de alarma y ha publicado capturas de pantalla del nuevo malware.

El resto de compañías de seguridad también se ha puesto manos a la obra para investigar el potencial de este software malicioso y su creador, que al parecer podría haber sido un hacker ruso.

ZeuS es una de las amenazas que trae de cabeza a los expertos en seguridad ya que es capaz de robar información personal mediante la infección de ordenadores, capturar claves de acceso a la banca online, controlar equipos infectados y capturar información de identidad.

Este nuevo malware incorporaría todas estas capacidades, además de nuevas características que lo harían aún más peligroso y difícil de detectar.

[PHP] Extraer metadatos de imagenes

Saber si una foto a sido retocada, y poder ver la imagen original.

Los meta-datos son Información que se guarda automáticamente al generar un archivo: *.doc, *.jpg,etc. y que no son visibles al ojo humano.

Esta información la genera el software que se utilizo para crear el archivo en el caso de las fotos, por ejemplo la genera el software de la cámara fotográfica (solo si es digital ¬¬).

En el caso de las fotografiás un tipo de meta-datos son los EXIF.

Los meta-datos EXIF contienen información importante como: fecha original, modelo de la cámara,etc. pero lo más importante y en lo que se fijara este post es extraer el "THUMBNAIL" original.

Para los que no sabían cada vez que se modifica una imagen se guarda una copia en miniatura de la original que no se podría observar a simple vista, pero con algo de código podremos extraerlo.

Ejemplo:




Aquí vemos una foto trucada y a su lado el thumbnail extraido (la foto original)

¿Como la extraemos con PHP ?

con exif_thumbnail:

Aqui un pequeño code para esto:

Link: http://pastebin.com/2AT9sYtF

Simplemente montalo en localhost, mete las fotos en la carpeta raíz y voilá , podrás ver las fotos originales.

Coleccion de videos de Metasploit

Aqui os pongo algunos videos demostrativos con metasploit muy interesantes según la vulnerabilidad:

ms03 026



Volcado de Memoria Metasploit en IE 6



Vuln. en IE7



Metasploit Aurora IE 6 0



Metasploit en Winbug SP2 - Autoataque



Y por último, como realizar un ataque automático para las demas vulnerabilidades:

Autopwn Metasploit

Vulnerabilidad a través de MHTML en Microsoft Windows

Han sido publicados los detalles acerca de una vulnerabilidad en el manejador del protocolo MHTML. El fallo podría permitir a un atacante remoto obtener información importante a través de un enlace HTML especialmente manipulado.

MHTML es un protocolo para incrustar recursos MIME en una página web al modo en que lo hace el correo electrónico.

La vulnerabilidad fue publicada en un webzine chino llamado Ph4nt0m y en la conocida lista Full Disclosure por un grupo denominado 80vul.

El error reside en la forma en que MHTML filtra las cadenas usadas para construir un enlace. Un atacante podría crear un enlace especialmente manipulado e inyectar código javascript que terminaría ejecutándose durante toda la sesión de navegación.

Aunque podría asociarse erróneamente, la vulnerabilidad no se encuentra en el navegador Internet Explorer (aunque es el vector más apropiado). MHTML es un manejador de protocolo del sistema operativo Windows que ofrece a las aplicaciones que quieran procesar este tipo de recursos.

Microsoft ha reconocido la vulnerabilidad y ha publicado un boletín con información con sugerencias y una solución temporal aplicable a través de Microsoft Fix It hasta la publicación del parche final.

La vulnerabilidad tiene asignado el CVE-2011-0096 y afecta a toda la familia de sistemas operativos Windows soportados por Microsoft.

[Hotmail] Bug de correo alternativo

Vamos a ver de que se trata:

Cuando registramos una nueva cuenta de correo en Hotmail, se requiere de un campo "Correo alternativo", para posibles restauraciones de contraseña, este campo permite ingresar cualquier correo, exista o no exista dicha cuenta.

Ahora vamos como explotar aquel mencionado bug, vamos a seleccionar un target: xxx@hotmail.com, ingresamos a la pagina maccount.live.com y tendremos una ventana como la siguiente:

Citar

Imagen 1: Selección de opción para restablecer contraseña.

Seleccionamos la opción de ¿Olvidó la contraseña?, a continuación tendremos una ventana donde tendremos que llenar 2 campos, el primero con el target de la cuenta de correo y el segundo, con una captcha. Algo como esto:

Citar

Imagen 2: Introducción de target y captcha.

En la siguiente página aparecerán 2 opciones, -dependiendo de la información ingresada al momento de crear la cuenta de correo-, una de ella es la que usaremos para obtener control total de la cuenta de correo target, esa opción es la de Restablecer la contraseña, por correo electrónico.

Citar

Imagen 3: Selección del método para restablecimiento de contraseña.

Pero momento, nos dicen qué: para seguir con los pasos de restauración de contraseña, se enviará un mail con el procedimiento al correo alternativo. Pero que coño, sólo nos muestran las 2 primeras letras del correo alternativo, como hacemos para obtener toda la cuenta. Mirando el código fuente, se ve algo interesante ¡campos ocultos!, y voalá! uno de ellos es la cuenta de correo alternativa.

Citar

Imagen 4: Obtención del correo alternativo, por medio de campos ocultos en el formulario.

Ahora tenemos un 50% de probabilidades de apoderarnos de la cuenta de correo inicial, sólo nos queda esperar y rogar a qué la cuenta de correo alternativa no esté creada o si está creada, esperemos a que por tiempo de inactividad en dicha cuenta se encuentre en estado deshabilitado. Vamos a la pagina principal de hotmail e intentamos creamos la cuenta de correo alternativa obtenida.

Citar

Imagen 5: Verificación del estado de cuenta del correo alternativo.

Pero que coño, puse la cuenta de correo alternativa y no existe, puedo crear dicha cuenta. Ahora si tenemos el 100% de probabilidades de apoderarnos del target principal. Creamos la cuenta, y realizamos los pasos anteriores con el fin de que nos envíen los pasos siguientes a la cuenta de correo que acabamos de crear.

Ingresamos a la cuenta que creamos, y miramos que hay un correo Restablecimiento de contraseña de Windows Live.

Citar

Imagen 6: Recibimiento de correo para restablecimiento de contraseña.

Ahora solo nos queda seguir los pasos,

Citar

Imagen 7: Ingreso de la nueva contraseña del target principal.

Fácil, verdad

Fuente __ shellrootsecurity.blogspot.com

[Archivo] Filtracion de usuarios de Facebook

Este archivo que les traigo tiene algunas 170 millones de entradas (100 millones aprox de usuarios únicos) con nombres de cuentas, urls de usuarios, datos como direcciones, fechas de nacimiento, números telefónicos, étc...(independientemente si tienen o no configurado para que los encuentren por buscador).
EL archivo es un tor de aprox 2.8gb, a lo que descomprimido luego se nos va a 19gb redondeados.
Cabe destacar que los archivos en txt no creo que puedan abrirlos con un editor de textos normal (ya que las listas son inmenzas) y por lo tanto podrían abrirlos con el navegador para salir del apuro... (aclaro: son pesadísimos así que si no te da la compu no intentes bajar nada!)

Aquí una captura:





Link de descarga:

-- Aclaración:

Este archivo es un torrent que encontre en internet. Creo que los archivos son legales y no hackeados. No obstante este blog no se hace responsable del archivo ni de el uso que le puedan dar.