14 abril 2010

Herramientas de auditoría web

De la mano del SANS, nos llega una recopilación de herramientas para realizar auditorías web.

En la lista, las hay desde el veterano y conceptualmente 'un poco' desfasado Nikto, hasta poderosas herramientas tipo Proxy como Burp que permiten hacer literalmente virguerías, sin olvidar el LiveCD Samurai WTF del que ya hablamos en su día.




Personalmente en esa lista echo de menos al gran Paros (que aun estando algo descontinuado, tiene cosas realmente buenas). También echo a faltar muchas de las extensiones para FF que nombramos aquí

A ver si saco tiempo para probar las que no conozco de la lista
Leer más...

13 abril 2010

Seguridad: ¿vocación o moda?

Muchas veces me han preguntado, familiares, amigos o desconocidos en alguna entrevista laboral, que por qué me dediqué a esto de la seguridad informática y no a otra cosa. Cuando eliges una profesión a la que dedicarte, y si además tienes que pegarte 5 años de carrera o con algún módulo, tienes que tener muy claro en qué inviertes tu tiempo, y saber que no siempre va a haber trabajo para todos (con la situación laboral actual, aún menos).

Pero la pregunta es: ¿por qué elegiste esto y no otra cosa? En mi caso, no me llamaban la atención los ordenadores siquiera; me impresionaban más carreras como medicina o veterinaria, por aquello de hacer algo útil salvando vidas, sean humanas o no. Pero eso cambió en 2º de BUP (ufff que lejano suena). Tuve la suerte de que, en el pupitre detrás del mío, se sentara Domingo, uno de mis mejores amigos en la actualidad, que ayudó a que me ilusionara el mundo de las teclas. Dentro de todas las aplicaciones que tiene el mundo informático, creo que fue la suerte quien hizo que finalmente terminara en seguridad, puesto que cuando tuve que hacer el proyecto de fin de carrera, el profesor que abrió la puerta de su despacho esa tarde y me hizo una oferta fue Javier Areitio, "el de seguridad y redes" en mi Universidad.

Creo que cuando te planteas a qué dedicarte, hay que verse a sí mismo en 10 o 20 años más y, aparte de imaginarte con más canas y menos pelo, hay que pensar si te ves capaz de que dedicarte a eso durante toda tu vida. También es verdad que reciclarse a otra profesión,es posible, pero el cambio de opinión es más costoso.

No todo el mundo se dedica a la seguridad (o a la informática) porque haya recibido formación reglada en una universidad, sino que han sido autodidactas, lo que es aún más meritorio. En esos casos, en los que no es que sólo se les da bien, sino que "lo viven", que piensan varios pasos más adelante, lo que parece impensable es el dedicarse a otra cosa como medio de vida.

Ahora bien, no sólo basta con que a tí te guste esa profesión y creas que puedes estar toda tu vida dependiendo de tu magia y creatividad sobre unas teclas para sobrevivir o mantener a una familia. El mundo de la filatelia, numismática y colombofilia (como don Pantuflo el padre de Zipi y Zape) puede apasionarte, pero si no ves que puedas llegar a fin de mes, puede ser mejor planteárselo como afición.

El sentido común invita a creer que en el mundo actual y futuro, las empresas y los particulares se comunican cibernéticamente cada vez más y más. Por tanto, mientras haya que garantizar la seguridad de los servicios y siga habiendo vulnerabilidades y riesgos, parece ser que la demanda de expertos en seguridad siempre va a existir.

Y tú,... ¿por qué te dedicas a seguridad? ¿tienes claro por qué quieres vivir de esto? ¿lo estás pensando y por qué no te decides?
Leer más...

12 abril 2010

BlackHat Europe 2010 Barcelona

Tras confirmar de primerísima mano que la BlackHat Europa de este año (¿y de los siguientes?) se celebraría en España tras su larga trayectoria en Amsterdam, porfín podemos decir que ha llegado el momento.

Desde hoy 12 de Abril hasta el 15 de Abril, hemos entrado en la semana BlackHat Europa 2010 Barcelona. Como es habitual, los dos primeros días (12 de Abril y 13 de Abril) tendrán lugar los trainings, para después dar paso los días 14 y 15 de Abril a las conferencias como tal o briefings.

Como novedad para la edición europea (y uno de los motivos por los que se decidió cambiar de emplazamiento para esta edición), este año cada día de briefings contará con 3 tracks, cada uno de ellos correspondiente a una temática en concreto:

14 de Abril: Big PictureApplication SecurityHardware

Horario del día 1 de BlackHat Europe 2010


15 de Abril: ExploitApplication SecurityForensics / Privacy

Horario del día 2 de BlackHat Europe 2010

La keynote (conferencia de apertura del evento) contará con Max Kelly, Jefe de Seguridad de Facebook, compañía que ofrece un servicio que seguramente os suene.

En cuanto al resto de ponencias...la verdad es que es difícil poder elegir. La gran mayoría en principio resultan atractivas bien por sus títulos, sus descripciones, o por sus propios conferenciantes.

El primer día tendremos una nueva versión de Maltego, habrá Hacking de Smartcards, Mariano Nuñez seguirá buscándole las cosquillas al omnipresente SAP, la últimamente tan mencionada palabra SCADA también tendrá su lugar y por supuestísimo, cita obligada, Ero Carrera junto con Peter Silberman con un "poco" de Malware.

En cuanto al segundo y último día, tendremos oportunidad de conocer un poco más sobre explotación en FreeBSD, JBoss llorará, al igual que Adobe Reader (¿más todavía?), y los míticos ya en BlackHat Europa Vincent Oizzo y Moxie tendrán también su participación en una BlackHat que porfin nos pilla tan cerca (comparado como no, con Las Vegas, Washington o AbuDhabi...)


[+] BlackHat Europa 2010 Barcelona
Leer más...

10 abril 2010

Bypasseando DLP y DRM

El jueves 8 de Abril estuve en un evento de seguridad llamado Respuestas SIC (organizado por la revista del mismo nombre). Estos eventos se caracterizan por una serie de ponencias y alguna mesa redonda entre consultores, managers, etc, de diferentes empresas integradoras y fabricantes de seguridad que en cada sesión cuentan con una temática común. En esta última el menú del día era en resumen: DLP y en detallado "Prevención de fugas y gestión de derechos: De la protección de la infraestructura a la seguridad ligada a los datos y documentos: el reto de la transformación".

Hubo varias presentaciones de fabricantes mundialmente conocidos, fundamentalmente patrocinadores del evento en cuestión, que aportaron sus soluciones a las diferentes posibilidades de fugas de información en las empresas. De esto ya hablamos tiempo atrás en SbD.

Sin embargo, según se iban sucediendo las ponencias, en las que se destacaban las diferentes medidas que se aplicaban para prohibir fugas de información (DLP) via FTP, email, USB, etc.... así evitar que un documento se pudiera copiar a otra ubicación, imprimir, copiar y pegar en un nuevo documento, etc,... me acordaba de las herramientas que comentamos hace poco para quitar las restricciones en ficheros PDF, y pensé en algún otro punto débil que pudieran tener las soluciones expuestas.

Lo más fácil que se me ocurrió (que dudo que haya sido el primero) para evitar los mecanismos digitales de protección, fue aprovechar la cámara de fotos que todo teléfono móvil trae por defecto. Sé que es rudimentario, que el resultado no es el documento original (no podremos utilizar la FOCA para extraer metadatos y obtener otra jugosa información) y nunca una calidad perfecta, pero haciéndole fotos al documento físico o incluso a la pantalla del ordenador en el que la visualizamos podemos copiar el contenido, que al fin y al cabo es de lo que se trata.

De hecho, hace poco ví un programita para Iphone que introduce en un PDF todas aquellas imágenes que queramos, permitiéndonos enviar por email la información sustraida, subirla a un servidor online que soporte Webdav, etc,... es decir, hacer justo lo que se pretende evitar con DLP y DRM.

En entornos de seguridad militar, cuando te dan acceso a un documento clasificado o secreto, se hace en una habitación sin ventanas, y te registran a la entrada y a la salida para evitar que lleves dispositivos que posibiliten la copia de parte o la totalidad del mismo.

Ni que decir tiene que el robo de información confidencial es algo completamente alejado de la legalidad y de la ética, pero me pareció curioso el ver que por muchas medidas que se pongan siempre hay alguna posibilidad. Evidentemente la implantación de este tipo de soluciones en las organizaciones está más que justificado, aunque infalible a todos los niveles, como hemos visto, no es.

Leer más...

09 abril 2010

Evitemos que el 'papanatismo' Yankee nos invada !

Es algo que siempre ha pasado, en Europa y especialmente en España es deporte nacional importar ideas Americanas (y no, no me refiero a Meneame), me estoy refiriendo a aspectos de su cultura de los que tradicionalmente hemos estado libres. Un ejemplo palmario al respecto, es la forma en la que nos están insertando poco-a-poco su modelo 'cultural' basado en restricciones, sanciones, prohibiciones (Sinde-FAIL)

Poco a poco adaptamos sus leyes, sus modelos aceptables / inaceptables de comportamiento y ciertamente, si algo bueno tiene Europa y en especial España es el sentido común con que hasta ahora se estaban haciendo las cosas.

Todo esto viene al hilo de algo que he leído en PcWorld: 'Teen Sues Mom for Hacking Facebook Account' que, haciendo una traducción libre puede ser 'Adolescente denuncia a su madre por hackear su cuenta en Facebook'. De la historia hay muchos puntos que merecen atención, lo primero es el tipo de desarraigo familiar que pueden tener los implicados en la historia para llegar a esos extremos. Ya sea por exceso de permisividad o por inconsciencia, está claro que esa madre ha demostrado una incapacidad manifiesta lo suficientemente notable como para que, de haber juicio, sea por negligencia en la educación a su hijo y no por ese asunto menor.

Otro asunto no menos baladí es el hecho de hasta donde llegan los limites de 'control' que pueden ejercer unos padres sobre sus hijos. Creo que erróneamente se están implantando ideas sobre privacidad, derecho a la intimidad y términos similares que, en este contexto, hacen mas mal que bien.

No abogo por una conducta totalmente fascista de monitorización extrema en plan Gran Hermano, pero si está claro que no puedes dejar a un adolescente frente a un PC horas y horas sin preocuparte de que es lo que está haciendo todo ese tiempo. Y lo que no es de recibo es que si unos padres intentan indagar y preocuparse, lo hagan atemorizados por si sale el típico jurista a decir 'Eso es ilegal, un adolescente tiene los mismos derechos que una persona adulta, ha de poder tener una cuenta con contraseña, privada e incluso sus padres deben sufragar (si así lo requiere su hijo) un servicio VPN para su total anonimato'

Recientemente ha sucedido en Seseña la desgraciada muerte de una niña de 13 años a manos de una compañera de clase. Según avanzan las investigaciones, la presunta asesina tenia una intensa actividad en la red donde se jactaba de tener comportamientos violentos, amenazaba y en general mostraba un perfil claramente desequilibrado. ¿Lo sabían sus padres? Seguro que no.
Leer más...

08 abril 2010

H4ck m3 v2.0

A principios de año publicamos una recopilación de aplicaciones web vulnerables para que demostraseis vuestra destreza y practicaseis las lecciones de seguridad aprendidas.

En estas aplicaciones podréis encontrar vulnerabilidades de tipo SQL Injection, XSS, etc.

Ampliamos la lista con las siguientes aplicaciones:
Para quien no sepa por dónde empezar: una vulnerabilidad no muy difícil de encontrar es un XSS (tenéis la explicación de esta vulnerabilidad en versión "para toda la familia" por José A. Guasch en el post EU2010: El Fail es para...)

En la aplicación Watchfire (arriba en la lista) encontramos a Wally en la no validación de los campos de búsqueda:

http://demo.testfire.net/search.aspx?txtSearch=<script>document.write('<img src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjMylvgOhNSpgkcOdMyae8Ut9PBA9YZdbTCX5HY3VcGWE_J6_blUzZCZqyWXecsPXUW42ml_Tg_XDU136dump-fPxWVUnfthJ7jhFSU5ofTk_1rJz5Tlx11jvwgrnnYmwMZ-eSea_cnzMU/s320/wally.jpg"/>')</script>



Que paséis un buen rato encontrando vulnerabilidades!
Leer más...

07 abril 2010

Bad Heroes: route/daemon9

Nuestro homenajeado de hoy bien pudiera también haber merecido una entrada con su biografía en modo positivo ya que, pasados algunos años oscuros, tuvo un desempeño profesional mas que admirable. No obstante lo que nos ocupa hoy es su faceta mas underground.

En 1997 route descubrió un tipo de ataque sumamente demoledor al que  bautizó como 'Teardrop'  que aprovechaba un fallo en la forma que Linux / Windows procesaba el re-ensamblado de paquetes fragmentados. El resultado era que cualquier sistema Linux o Windows quedaba literalmente 'muerto' hasta que el sistema se re-iniciaba vía botón

El código fuente original se puede ver aquí (aunque es poco probable que compile en un Linux moderno). 

Para valorar la magnitud que supuso este ataque hay que verlo con la perspectiva de 1997, el uso de Firewalls estaba poco extendido, los usuarios finales empleaban modems para conectarse y no tenían routers-adsl que 'dieran la cara' por ellos en internet. Durante los siguientes días / semanas a la publicación del ataque, literalmente cientos de miles de equipos fueron barridos y DoS-eados con este ataque.

Lo peor de todo es que a raíz de ese descubrimiento empezaron a florecer ataques derivados que 'jugaban' con paquetes malformados, como por ejemplo Land que tenía el mismo efecto que teardrop aprovechando otra vulnerabilidad.

El impacto de esos ataques fue descomunal, recuerdo nítidamente el título de un artículo publicado tal vez en Linux Actual que decía algo como 'Teardrop, el día en que tembló Internet'. En aquellas épocas donde lo que se llevaba era el IRC, era fácil ver como todo un canal de chat con cientos de personas se vaciaba a golpe de teardrop.

Sobre Route, hay que decir que fue editor de la prestigiosa revista underground Phrack magazine donde hasta no hace mucho se publicaban los hallazgos mas interesantes en materia de seguridad. Después de eso, cuando nuestro protagonista dejó de usar su nick y paso a ser Mike Schiffman ocupó puestos destacados en las, por aquel entonces, florecientes consultoras de seguridad. 

También he podido localizar en Amazon un par de libros escritos por el (bastante buenos, por cierto) 

Aprovecho este post para comentar que si se os ocurren ideas tanto para esta sección como para la de 'hackeos memorables' no dudéis en poneros en contacto por correo electrónico
Leer más...