miércoles, agosto 31, 2011

Errores 404 en TCL de WebDNA: Rutas locales

Mientras seguimos afinando los últimos detalles par poder contar con una versión de FOCA 3 lista para publicar la semana que viene, seguimos añadiendo nuevas cosas. Una de las últimas que añadimos fue la prueba de los errores 404 en servidores con JSP o el error 500 en servidores con CFM, y una de las últimas que se va a añadir es la de los errores 404 en servidores con tecnologías TPL de WebDNA.

Estas tecnologías funcionan están más extendidas de lo que pensábamos en principio, ya que es posible localizar más de 4.300.000 resultados indexados en Google, lo que hace que sea probable encontrarse, tarde o temprano, con un entorno con ficheros .tpl.


Figura 1: Resultados de ficheros .tpl indexados en Google

Al igual que con los frameworks JSP, cuando el fichero no tienen extensión TPL, el error 404 lo gestiona el servidor web, como se puede ver en la siguiente imagen de un 404 en un servidor con WebDNA que funciona sobre Apache, pero en el que se ha solicitado un fichero no existente con una extensión cualquiera.


Figura 2: Error 404 reportado por el servidor Apache

Sin embargo, si en le mismo servidor se solicita un fichero no existente con extensión .tpl, es el framework de WebDNA el que debe reportar el 404, y como se puede ver muestra rutas locales de acceso a las plantillas.


Figura 3: Error 404 reportado por WebDNA

Este comportamiento nos lo hemos encontrado en casi todos los sitios con tecnologías .tpl y, aunque el mensaje de error difiere un poco, suponemos que debido a distintas versiones del framework, lo cierto es que es bastante común extraer rutas locales a archivos.


Figura 4: Un error 404 de WebDNA corriendo sobre un servidor Windows


Figura 5: Otro error 404 reportado por WebDNA

Por supuesto, estas pruebas también las realizará la FOCA 3 para poder extraer cuanta más información mejor de los dominios analizando.

Saludos Malignos!

martes, agosto 30, 2011

La WiFi En Mac OS X Lion no valida BSSID

Después del publicar las dos primeras partes del artículo de Los Antiswitching en Mac OS X y el de Cómo putear a un usuario de Mac OS X con la Wifi, he recibido muchos workarrounds sobre cómo solucionar las cosas que allí publiqué. Algunas curiosas, otras imaginativas, y otras que funcionan en algunas versiones de OS X mientras que en otras no. Aquí algunas cosas más:

¿La IP va asociada a cada conexión WiFi o es para todas?

Una de las cosas que me plantearon era si, a diferencia de como funciona en Windows, cuando se pone un dirección IP fija en una conexión WiFi esta solo va para un perfil concreto y no para todas, pero lo cierto es que no. Funciona como en Windows (al menos en Mac OS X Lion). Así que lo que ponía en el artículo funciona ígual.

La configuración de la WiFi en Mac OS X Lion se cambia en el keychain

Yo me quejaba de que en Mac OS X Lion, una vez creada una red no podías cambiar la configuración y que si había alguna modificación en la red no se podría tocar desde allí y un lector me puso que se podía cambiar la password en el keychain, y es cierto, pero no si la red cambia el protocolo de cifrado, pasando de TKIP a AES, por ejemplo.

Y la última, otra cagada en la WiFi de Lion en la validación del AP

Ya hace un poco de tiempo me quejaba de que los iPad y los iPhone (que llevan iOS) no validan correctamente las redes WiFi, utilizando solo el SSID y la configuración de la red y no el ESSID para detectar la suplantación de un punto de acceso en una red guardada.

Lo curioso es que no tuve en cuenta que iOS está basado en Mac OS X Leopard (si no me equivoco) y que los OS X tal vez podrían tener el mismo comportamiento. Hoy, al arrancar mi equipo con Windows 7 (I love U!) me ha salido un error al conectarme a una de las redes que me conecto habitualmente.



WTF? ¿Cómo? ¿Qué ha pasado? Automáticamente he ido al ST y he preguntado... "¿Oye, habéis cambiado hoy la password? Ayer estaba conectado desde el Mac OS X Lion y no me dio ningún problema". La respuesta ha sido otra: "No Chema, es que cuando estuviste de vacaciones cambiamos el Punto de Acceso y el ESSID ha cambiado, es por eso que tu Windows 7 detecta que esa no es la rede a la que tu te conectas habitualmente y puede ser una falsificación". Mis chicos, que sabios son.

Automáticamente he reiniciado Mac OS X Lion y... para adentro, hasta la cocina. Es decir, que al igual que los iPad, los iPhone o los iPod, si alguien me clona una WiFi o tengo guardadas WiFis Public, Starbukcs, o demases... mi Mac OS X se lo come con patatas... FAIL!

Saludos Malignos!

lunes, agosto 29, 2011

Calendario Septiembre 2011

Se acaba el mes de Agosto, y para los que vivimos en España eso significa el fin de las vacaciones para muchos. Incluido para mí, que pude tomarme unos días de asueto escondido del mundanal ruido de mi Madrid, para recargar un poco las pilas. Ahora toca la vuelta al cole. Y como podéis ver, no se ha parado de trabajar durante el verano para que haya muchas cosas listas en Septiembre. Aquí va un bonito calendario.

Móstoles: Módulo de Auditoría Web en el FTSAI

Para nosotros, el mes de Septiembre comenzará rápido, ya que el mismo día 2 tendrá lugar el inicio del módulo de Auditoría Web del FTSAI. Éste es uno de nuestros preferidos, ya que como sabéis es de lo que más nos gusta hacer en Informática64 y en el que volcamos mucha de nuestra experiencia real. Si quieres ver cómo hacemos los test de intrusión a aplicaciones web, puedes apuntarte a este módulo.

Getafe: Cursos de Seguridad Antihacking en Windows

Para desempleados y personal en busca de mejora de empleo se van a dar dos cursos gratuitos de 100 horas cada uno sobre Seguridad Antihacking en Windows, en el Centro de Getafe de Nuevas Tecnologías. Estos cursos necesitan previamente hacer una prueba de acceso. La prueba será el día 7 de Septiembre a las 10:00 y a las 16:00 (puedes ir a cualquiera). Los cursos comenzarán el día 12 de Septiembre en horario de 09:00 a 14:00 en el turno de mañana y de 16:00 a 21:00 en el horario de tarde.

Barcelona: NoCONname 2011

Después, con la llegada del día 15, Juan Garrido "Silverhack", ya repuesto de la experiencia americana de la Defcon, impartirá el curso de Análisis Forense de Dispositivos móviles de la NoConName. Además, se quedará el día 16 para que repitamos la charla de "Bosses Love Excel, Hackers Too" que dimos en el Hotel Rio de Las Vegas, pero que hemos rebautizado con el título de "Terminal Hackpplications",que nos hace mucha más gracia. Además, en la NoCONname hay más trainings y una agenda de ponentes interesante. Si quieres asistir y aún no tienes la entrada, en la entrevista de Nico Castellano tienes un código de descuento al final.

Camino a La Nube: Pamplona, Logroño, Burgos, León y Santiago de Compostela

La verdad es que esta es una de las giras más curiosas de tecnología que he visto nunca. Los evangelistas técnicos de Spectra Ibérica se va a calzar el Camino de Santiago en bicicleta desde Romcesvalles, dando 5 eventos en el camino. Para ello, con todo el esfuerzo, el primo Fernando "mona"Guillot y "El golfo" Paolo Dias se van a parar en Pamplona el día 12 de Septiembre, en Logroño el día 14, a Burgos llegarán el día 16, el día 20 en León y el día 27 en Santiago de Compostela. Como la iniciativa es de lo más curiosa, se han abierto una web para contar sus aventuras durante el camino, para admitir compañeros de etapa y narrarlo todo por twitter. Así que, si quieres asistir o apuntarte a una etapa o la gira entera, no dudes en ponerte en contacto con ellos: Estoy en la nube. Yo, si puedo, me apuntaré a un evento, por lo menos a hacer acto de presencia por allí y asistirles con alguna charlita.

Madrid: Hands On Lab de SharePoint 2010

Del 19 al 23 de Septiembre, el ínclito Rubén Alonso, MVP en SharePoint 2010, y escritor del libro "SharePoint 2010:Seguridad", va a dar una semana de Hands On Lab sobre SharePoint 2010, tocando los principales temas. Todos los asistentes recibirán de regalo su libro, sus conocimientos, y su amor. Puedes seguirle en su blog Punto Compartido.

Buenos Aires: EKOParty 2011

Del 19 al 23 de Septiembre tendrá lugar en Buenos Aires la Ekoparty 2011, una semana llena de trainings y conferencias que no debes perderte. En esta edición ya están publicados todos los trainings... ¿Todos? No, falta el mío, que daré el día 20 sobre la FOCA 3 y que se pondrá esta semana a la venta. Además, estaré también dando una charla en las conferencias. Quiero dar las gracias a todos los que me habéis preguntado si iba a ir a la Ekoparty, y siento no haber contestado antes, pero es que no lo tenía claro hasta hace un par de días. Así que, ya admito invitaciones a asados, copas, fiestas, reuniones, encargos, y demases (y por demases ya sabéis a qué me refiero).

Virtual Hands On Lab: Windows Server

Y para terminar el mes, los días 27, 28 y 29 de Septiembre tendrán lugar 4 Virtual Hols dedicados a Windows Technologies que se darán a través de Internet mediante el sistema de Virtual Hands On Lab. Para que te apuntes desde cualquier rincón del mundo en el que estés.

Y esto es todo, y que como veis no es poco, así que déjate ya de veranear, de fiestas, y ponte las pilas, que hay mucho que hacer este mes.

Saludos Malignos!

domingo, agosto 28, 2011

No Lusers 91: Cesclebraciones


Aprovechando que ha vuelto La Liga y que el FC Barcelona ha ganado la SuperCopa, he querido hacer este No Lusers dedicado con cariño para mis amigos culés -aunque nos sigan echando de los bares cuando discutamos de fútbol-. Que disfrutéis todos los títulos que está ganando el FC Barcelona (aunque sabéis que mi alma es tan blanca como negro mi corazón).

Saludos Malignos!

FOCA Team 2 ganó la HackCup 2011

La llegada al estadio había venido precedida de toda la expectación del mundo. Tras la presentación oficial de los equipos en la gala de la HackCup 2011 que tuvo lugar en el auditorio del Caesar's Palace, todo estaba dispuesto. Platiní había dicho que esperaba que este año hubiera un combate justo, y que pondría a los mejores árbitros para evitar cualquier situación que interrumpiera la belleza plástica del juego y todos esperábamos un campeonato justo.

El fútbol que despliegan los equipos más plásticos, como el nuestro, no debería verse empañado con las acciones menos deportivas de algunos rivales del cono sur que habían dejado lesionado a los mejores capitanes en la edición anterior. Así que el público estaba entusiasmado. Se notaba la expectación en la entrada, como dije al principio, ya que la puerta de entrada de los participantes estaba rodeada de banderas y gente aclamando a las estrellas internacionales que iban a batirse. Fans de los miembros del FOCA Team 2, banderas de la FOCA, algún que otro aficionado argentino aclamando a Immunity del que se sospecha había recibido una cometa para estar allí, y como no, los gritos aclamando a las campeones de la HackCup 2010, el equipo sudafricano encabezado – nunca mejor dicho- por Marco “el gran capitán” - y a vuestro siempre humilde narrador, el magnánimo Maligno. Los equipos más segundones, como los Cosmic Kites o el competitivo Asado Revenge pasaron más inadvertidos por la crítica y el gran público.


Figura 1: Momentos de tensión en el equipo antes de comenzar

Y ahí estaba el campeonato comenzando, con una batalla que no se hizo esperar. Los actuales campeones, el equipo TeamZA Sudafricano, se cruzaba en la primera jornada con los aspirantes y sueño de todas las jóvenes admiradoras que poblaban la grada. Un partido bronco y duro que desató las cuerdas vocales de las niñas, y ató las de los comentaristas que veían como el cerebro Gonzalo “Intel” , Juanito “Silverhack”, José Carlos “Dade”, Pedro “Gato” Laguna, Sorian Anderson, la revelación del torneo “Cesc” Dani, el fichaje de última hora Igor “Djokovic” Lukic, el metadata-argentino Cristian “metagoofil” Martorela, el gran David “ojitos azules” Barroso y, como no, su humilde y excelso gran capitán “Maligno” josemaricariño, miembros ilustres que quedarán marcados en letras de oro para la historia del deporte rey (en palabras dichas por “El Diego”), se zafaban una y otra vez para acabar triunfando.

En el segundo partido de la fase de grupos, hubo que deshacerse de Asado Revenge, un equipo argentino que brilló con dignidad, consiguiendo el mejor resultado que se pudo contra el FOCA Team 2, un empate. Ningún otro equipo consiguió nada mejor.

A partir de ese instante, uno a uno fueron cayendo todos los rivales, hasta llegar al momento decisivo, la final, donde el equipo de la FOCA no solo brilló, sino que arrolló a su contrincante. En la siguiente instantánea se puede ver el momento en que vuestro humilde escritor saltaba por encima de sus rivales para enFOCAr el tiro del tiro final.


Figura 2: Maligno josemaricariño en la final, retratado por Sorian

Después, ya solo hubo que recoger el trofeo, que luce en las vitrinas de Informática 64, las tarjetas de acceso VIP a cualquier BlackHat del mundo, y un cacharro WiFi que aún no nos han entregado y que espero recoger en la Ekoparty de este año... Yo, como humilde capitán dejé las mieles del éxito a mis compañeros, así que les tiré esta foto para la posteridad, y les pagué el mejor transporte en limusina de vuelta al hotel, donde la fama, las mujeres y los chicos de la prensa esperaban ansiosos.


Figura 3: Una alineación del FOCA Team 2

A pesar de que yo lancé la foto para la posteridad, en sus corazones estuvo siempre el gran capitán, por lo que me han entregado este bonito recuerdo en forma de montaje gráfico... Chicos... os quiero.


Figura 4: El capitán está con ellos

Después de esto, no sé si el año que viene pondremos nuestro cetro en juego, o nos retiraremos invictos para la posteridad. Habrá que consultar el corazón y el alma de nuestros compañeros del FOCA Team 2.

Saludos Malignos!

PD: Esperamos que los miembros de la organización, actualicen la página de la Hackcup para dejar claro quién ganó el campeonato este año... }:))

sábado, agosto 27, 2011

Un problema de licencia: Error 500 en Coldfusion

Después de hacer las pruebas con los mensajes de error 404 de JSP para incorporarlos a FOCA 3, se me ocurrió que un buen entorno para buscar servidores JSP serían los sitios con Coldfusion. Este servidor, primero de la empresa Allaire, luego de Macromedia y por último de Adobe, hace tiempo que está desarrollado en Java, y tiene soporte para aplicaciones JSP.


Figura 1: Sitios corriendo CFM en Google

Con esta premisa, realicé una prueba similar a la que forzar errores 404 en servidores con soporte a JSP, es decir, busqué sitios que tuvieron aplicativos desarrollados en CFM y solicité el mismo fichero pero cambiándole la extensión a JSP y el resultado me llevó a aprender una cosa curiosa que desconocía.


Figura 2: Error de licencia en un Coldfusion Standar corriendo sobre Apache


Figura 3: Error de licencia pero con poca información


Figura 4: Error de licencia de un Coldfusion Standar corriendo sobre IIS

Por lo visto, Coldfusion tiene varias licencias de venta, y no todas permiten hacer uso del motor JSP. En concreto, si el sitio sólo ha comprado una licencia Standard para desarrollo CFM puro, al invocar un programa con extensión JSP se generará una excepción 500 con un error de licencia muy curioso. Si no hay problema con la licencia, pues se obtendrá un error 404 de JSP como ya vimos.

Los mensajes de error que se obtienen son distintos, dependiendo de la versión exacta que corre de Coldfusion y el servidor web sobre el que se ejecuta. ¿Podría usar Adobe esta información para detectar software pirata de Coldfusion? Este error lo genera Coldfusion del que ya vimos que era bastante "verbose" en los fallos de SQL Injection, y en contadas excepciones he podido constatar que esté controlado, por lo que se puede sacar información del servidor allí implantado. Una curiosidad que integraremos en FOCA para extraer más info del sitio.

Saludos Malignos!

viernes, agosto 26, 2011

No Lusers 90: Relevo en Apple




Iba a hacer una "sesuda" reflexión sobre lo acontecido, pero si una imagen vale más que mil palabras, esta historia vale más que tres mil (que es lo que vengo yo escribiendo en un post de esos).

Saludos Malignos!

jueves, agosto 25, 2011

Entrevista a Nico Castellano de NoConName

A Nico le conocí por referencias mucho antes de haber tenido la oportunidad de vernos en persona, y es que llevaba haciendo cosas en seguridad informática desde hacía mucho tiempo. En su lista de "pecados" tiene el haber estado empujando la NoCONName, una CON en España cuando el número de ellas a nivel mundial no era ni la tercera parte de las que hay hoy en día. Consiguió llevar a Mallorca a un nutrido grupo de ponentes, de esos que partían la pana y la tocaban bien en aquellos días. César Cerrudo o Chris Anley, por citar algunos, descubrieron que Mallorca es una isla preciosa gracias a la CON.

Después de años partiéndose el pecho, este Argentino afincado en España, decidió empujar otra vez la NoCONName pero en el incomparable marco de la ciudad de Barcelona, y este año, del 14 al 17 de Septiembre, tendrá lugar la edición 2011, en la que por primera vez tendré el honor de participar junto con un buen nutrido de speakers.


NIco Castellano y su.. ¿alter ego?

Para los que no conozcáis bien a Nico o la No Con Name, le he hecho una pequeña entrevista al corazón de la misma, que espero que disfrutéis. ¡Nos vemos en Barcelona, en la próxima NoConName!

Saludos Malignos!

1) Hay algo que todos queremos saber… ¿cómo fue montar la primera NocONName? ¿A quién tuvisteis por allí?

Muy expectante por los inicios. El 99% de la gente no sabe que nuestra etapa se inició en un pub de Mallorca que frecuentábamos con DS y MKiller ( allí tomábamos algo antes de salir de fiesta). Recuerdo que con 20 años empezamos a mover una No cON de 15 personas donde conseguimos un pub que recientemente había cerrado dos dias de verano. Imagínate estar en frente de la catedral en el paseo marítimo y con camarero incluido (¡¡Muchas gracias Toni!!). También teníamos, como no, un Call For Papers como dios manda y camisetas negras h4x0r con un logo hecho por MeTalSluG. Vulns en BGP, Virus/Troyanos en Linux y distribuciones linux orientadas a seguridad from scratch fueron algunas de las charlas que recuerdo.

La siguiente en el 2002 fue abierta al público, fue la que más cariño le tengo (aqui descubrí que en seguridad no sólo existen los exploits, desarrollo e ideas creativas para romper un sistema). Llegamos a 112 inscritos, se partió con 0 euros y nos quedaron 400 euros para iniciar la siguiente. La gente que formaba la organización de aquel entonces se implicó al 150% y como también la gente que conocíamos de Balearikus Party (o como Ripe y Gema Gómez que también dieron ponencia) al igual que todos los ponentes que quisieron venir poniendo de su bolsillo el vuelo para venir a Mallorca. Así a voz de pronto recuerdo ponentes como Iñaki Lopez dando caña, o las anécdotas de Kaloyan (ICEFIRE), y como no a Chris Anley y Robert Horton de NGS Software que nos deslumbraron con sus demostraciones de SQL-Injections (cuando casi nadie sabia lo que era) y un 0day que más tarde fue aprovechado con intenciones malévolas para crear el worm conocido como SQLslammer. Cuatro dias de ponencias, ordenadores y fiesta, mucha fiesta que acabó por crear muy buen rollo y continuidad anual.

2) Para la gente que no te conozca bien, ¿cuál ha sido tu pasado profesional en el mundo de la seguridad informática?

Empecé colaborando con una empresa mallorquina de seguridad de la información dando apoyo técnico en temas de hacking ético y análisis forense y justo un año después, decidí asociarme con un abogado (también en Mallorca) para el inicio de una empresa dedicada a servicios de seguridad para empresas, donde en etapa de pañales estuvimos posicionados durante un año y medio. De ahí recibí una oferta de una compañía lider en el mercado en España para dirigir el área de Auditorías (Hácking Ético). Todo en adelante creo que ya lo conoces, me busco las habichuelas como puedo...

3) Vale, y ¿qué vamos a tener este año en la NCN?

Vamos a tener Ponencias, Talleres y Mesas redondas y algún que otro taller que no se ha publicado para un publico interesado }:-). Ponencias muy buenas (sin destacar y desmerecer a nadie), todas son bastante interesantes, de diversas áreas de la seguridad porque hay que conocer de todo en este mundillo, no solo podemos vivir de exploiting, de ceros y de unos... Por decirlo así, no hacemos un congreso enfocado a una sola temática. Trabajamos para hacer un congreso en el que los asistentes tengan y vean el panorama, para nosotros es un fracaso que haya gente que venga y vayan solo a 3 ponencias de 12 porque sea lo que "les gusta".

Para gustar, intentaremos que sean buenos oradores,escoger y no caer en el aburrimiento, que den contenido innovador en España y aporten un valor al conocimiento, comunidad y sean base para un futuro proyecto de emprendimiento (no se porque,no veo movimiento en este tipo de iniciativas en general). Talleres prácticos, Concursos que fomenten el trabajo en equipo y la creatividad para aquello que se puede minimizar el riesgo (para conseguir la participación lo estimulamos con suculentos premios... )

En las mesas redondas vamos a intentar que dos públicos puedan enriquecerse mediante el análisis y no con el debate y la confrontación, por una parte una representación del público más investigador/hacker y del otro responsables de IT en empresas; la finalidad es que ambos bandos (con ayuda del público) podamos aprender.

4) Sé que eres una persona con muchos ideales, ¿qué esperas de organizar una CON como la NCN?

Lo que hemos estado haciendo desde la primera: crear vínculos entre los asistentes, que se lo pasen bien, aprendan unos de otros y de aquí puedan surgir proyectos de distinta índole, ya sean open source o comerciales.

Me gustaría ( y en esto hay más de uno que está conmigo ) que no se persiga el adorar a un elitismo que son los privilegiados en saber algunos temas. Pienso que todo el mundo debe tener derecho a ver y acceder a temas en seguridad. He estado paseándome por varios países en Cons diferentes y no me gusta nada este tipo de trato con una elite. Para nosotros la finalidad debe ser la de compartir y hablar sobre un mismo idioma: seguridad.

... y ya que me preguntas sobre ideales, que tengamos claro el dejar fuera los prejuicios sobre uniformes que etiqueten a las personas (crestas, camisetas hax0r, trajes y corbatas, etc.) y catalogar a las personas por lo que DICEN, pero MÁS por sus ACCIONES.

5) Déjanos conocerte un poco más, ¿qué tres libros de lectura nos recomendarías? Para conocerme...

- El principito de Antoine de Saint-Exupéry
- Mal de lenguas de Jesús Tuson.
- Indignaos (Indignez-vous) de Stéphane Hessel.
- Los vendepatria de J.D.Peron.

6) Y hablando de deportes, después de años en España, viviendo en Madrid, Barcelona y Mallorca… ¿qué jugador de fútbol prefieres tú Raúl o Casillas?

Habiendo nacido en España y no siendo del Real Madrid, te puedo decir que prefiero a los dos. A Raúl por toda la calidad y brillantez que posee y que ha dado al fútbol español y a Casillas porque es el presente y futuro de los talentos que destacan y que hay que conservar.

7) ¿Has sido gamer? ¿Qué juego te ha robado más horas de vida?

Eps poooooos si. Hasta los 14 años que me di cuenta que no queria jugar con las máquinas sino con "otros juegos"... Supongo porque cuando era pequeño juegos como "Livingstone, Supongo", "Metalzone" y similares para el Amstrad me dejaron con muy poco tiempo.

8) ¿Qué profesionales que hayas conocido en este mundo te han impresionado más?

Como profesionales en seguridad hay muchos y muy buenos pero me impresionaron especialmente: César Cerrudo por su sencillez y enriquecimiento en su personalidad, tranquilo, amigable y a la vez sorprendente trabajando y profesionalmente hablando. Pablo Ruiz por su capacidad de aprendizaje, oratoria y reacción.

9) ¿Por qué el parón entre las NCN de Mallorca y Barcelona?

En el 2007 cambió el gobierno de las islas baleares, cuya política nos favorecia en forma de subvención, de hecho eran el sponsor más grande que ha habido nunca en la historia de la NcN. El nuevo gobierno quiso destinar su política a las tecnologías en el turismo.

Como yo ya vivia en Barcelona tuvimos que empezar de cero... Aún así hubo posibles sponsors que tenian todo el dinero del mundo y de un día para otro no tenian nada... esto retrasó el inicio de todo. A esto le sumamos que yo trabajaba a full pues quedaba poco tiempo para todo lo demás.

10) Y este año.. ¿qué es lo que más destacarías de la NCN?

Aparte de las sorpresas que no voy a desvelar todavía, la convergencia del público que viene de la empresa y el investigador que pienso que se desatará en las mesas redondas. Nuestra intención es no convertir NcN en un foro sectario, sino que se enriquezca, muchas de las investigaciones pasan a formar parte más tarde en algo útil para la empresa, y viceversa se puede tener un feedback para mejorar en ciertos aspectos.

11) ¿Habrá CTF para los más hax0rs?

Habrá dos concursos, uno: "Iluminación de Randa" (que acaba hoy) que lo que pretendemos es estimular a los talentos a crear resoluciones en las organizaciones y que tengan que ver con símiles en la vida real. Es decir: ha habido un ataque que ha habido a un "banco" y debemos contenerlo, saber como ha podido llevarse a cabo y tomar medidas para que no vuelva a ocurrir. Para ello se ha de formar un equipo con los skills que se necesiten, un componente será más técnico y hará la parte de desensamblado de un troyano y captura de tráfico, otro será más experto en la parte normativa, etc...

El otro concurso, aunque tiene sus novedades en la párte técnica, no deja de ser un concurso de Hácking Ético donde los participantes pondrán a prueba sus conocimientos técnicos de todo tipo. Es lo que comúnmente se llama un Capture the Flag con varios niveles.

12) Desde la organización de una CON se tiene una visión privilegiada de lo que está pasando. ¿Qué es lo que más te preocupa en el devenir de los próximos años en Internet?

No me preocupa tanto las vulns que se detecten en aplicaciones o las técnicas nuevas porque somos humanos, nos equivocamos siempre y creo que es sabido que nada es perfecto. Me preocupa mucho que a través de los medios y la confusión de intereses, gente que investiga y que son potenciales talentos del hacking caigan en la trampa de REACCIONAR ante las asociaciones que se estan haciendo con delincuentes. La reacción puede llevar a una confusión muy grande y a muchos desastres que ya estan teniendo su etiqueta de terroristas.

13) ¿Linux o Windows? ¿Qué distro?

Creo que en otra entrevista a una revista de hacking me preguntaron lo mismo. Ahora mismo puedo elegir GNU/Linux porque ahora sí es usable y es muy sencillo de usar, aunque el mercado usa tecnología Microsoft y yo uso Microsoft, me estoy pasando progresivamente a GNU/Linux cada vez más. En servidores siempre lo he defendido por su potencia, pero más que nada es por su filosofia. Cierto es que no creo que revise el código ni me ponga hacer nada con él, pero nunca se sabe y ahí puedo escoger las 4
libertades de este tipo de soft.

14) ¿Quién más está contigo trabajando en la organización de la NCN?

Somos ocho socios actualmente que aportamos trabajo para la organización del congreso. Si me preguntas quienes, prefiero que la gente les conozca por sus acciones y no porque que yo les presente.

15) ¿Tenéis apoyo institucional o estáis empujando solos?

Hace unos años, cuando estabamos en Mallorca sí. El año pasado tuvimos una colaboración con la Generalitat de Catalunya y este año estamos trabajando en ello, lo que pasa es que es muy dificil, casi todo el apoyo lo empujamos nosotros con la aportación de los patrocinadores, ponentes, colaboradores desinteresados, webs, y los asistentes.

Más información:

Tenéis toda la información sobre el congreso en la web de la CON http://www.noconname.org, donde están publicados los trainings - mi compadre Silverhack dará uno de Análisis forense en dispositivos móviles -, la agenda con todos los speakers, y la información de registro. Puedes seguir las últimas novedades por la cuenta de twitter del congreso @noconname y de la cuenta personal de Nico @jncastellano.

UPDATE: La entrada quedaria en 30 euros si añades "LOQUETEPLAZCA" en el campo Comentarios de la inscripción.

martes, agosto 23, 2011

Manipulando metadatos para engañar a la FOCA

Los metadatos de un documento se pueden modificar, al igual que el banner de un servidor web o la versión de un servidor DNS (como hacen los chicos de RedHat). De hecho, para ocultar la información a las técnicas de fingerprinting básicas, esos datos se modifican para intentar engañar a los usuarios menos experimentados. Sin embargo, cuando se hace un pentesting, los datos importantes se revisan y confirman manualmente para detectar las técnicas de deception y sacar la información correcta.

Así, cuando se lee el banner de un servidor web, si algo suena raro con él, se le pasa una herramienta de fingerprinting al servidor que evalúe el tipo de respuesta, el orden de la misma, y el comportamiento ante determinadas situaciones para poder garantizar la versión del servidor web.

Manipulación de metadatos

Con los metadatos la manipulación es igualmente posible. Cuando en el año 2008 pensamos en para qué podría ser útil modificar los metadatos se nos ocurrierron varios escenarios posibles:

- Antiforensics: Alguien que quisiera incriminar a otra persona haciendo creer que el documento lo había escrito otro para engañara a un analista forense en una investigación.

- Metadata HoneyPot: Alguien que quisiera detectar si se estaban utilizando los metadatos para atacar su sitio, es decir, el artículo que publicamos en el congreso IADIS 2008 sobre Metadata Honeypot - ya os lo publicaré por aquí, que nunca lo hice y solo os dejé la referencia al mismo -.

- Imagen corporativa: por supuesto, para lo que lo usamos en MetaShield Protector y OOMetaextactor, es decir, quitar todos los datos sensibles y establecer valores en metadatos que sean corporativos, como poner el nombre de la compañía,

Sin embargo, intentar manipular los metadatos para engañar a un usuario en un proceso de pentesting es más bien inútil. De hecho, ya nos encontramos con este problema en la primera versión de la FOCA, allá por el año 2008, en el que nos preocupaba no el encontrar datos manipulados, sino inútiles por ser documentos incorporados a la web del proceso de pentesting que habían llegado allí por casualidad, por ejemplo unas diapositivas de una presentación de un ponente invitado a unas conferencias. En ese caso, los metadatos serán de la red donde trabaje el speaker y no de la web que publica el documento, por lo tanto había que quitarlo del proyecto.

Para solucionar este problema, añadimos, en la primera versión de FOCA una herramienta para el traceo de metadatos. Es decir, cuando se hace el análisis de metadatos, averiguar de qué documento proviene ese metadato. Si la cosa suena "rara" o "manipulada" o simplemente es inútil, basta con abrir el documento (botón derecho desde FOCA) revisarlo, y si no es válido, es decir, es falso o ha sido manipulado, eliminarlo con el botón derecho de la lista de documentos y volver a analizar el sitio. Esto está publicado en el primer manual de la FOCA de aquel año.

Para ello, cuando aparece un metadato, con el botón derecho se accede a la opción de "documentos donde aparece este valor", que lleva al documento del que procede el metadato. Así el auditor puede revisar bien el documento, y descartarlo si fuera falso.

Figura 1: Opciones de traceo de origen de metadato

Ahora bien, si una empresa tiene 2.000 documentos y quiere protegerse de FOCA... ¿alguien cree que es útil manipular un documento y dejar los 1.999 con datos reales? Si lo hiciera sería de necios, ya que estaría dejando datos públicos de su empresa en Internet por engañar a FOCA. Además, si solo hay un documento con información sensible, el analista haría una revisión manual y concienzuda para saber si es falsa o no esa info.

Es por eso que las empresas utilizan plantillas de valores corporativos, con soluciones como MetaShield Protector, que cambia todos los metadatos, pero no para engañar a un pentester, sino directamente para proteger la imagen de la compañía.

Indicio o Prueba

Hay que tener presente que un metadato, un fichero de log en formato txt, un banner de un servidor web, o incluso el valor devuelto por un registro de un DNS son todos indicios, ya que pueden haber sido manipulados para pretender engañar al auditor. Es por eso que no pueden ser tomados como pruebas. Un log que no esté firmado digitalmente y que refleje que una dirección IP se conectó a un servidor a una determinada hora no es una prueba irrefutable, pero sí un indicio que debe ser investigado.

En el caso de los metadatos sucede lo mismo, una fuga de información que diga que un usuario manipuló un documento en una hora y lugar es un indicio que debe ser investigado, llegando a realizar un análisis forense del equipo donde trabaja habitualmente el usuario, etc... Al final, los peritos determinarán si ese dato ha podido ser manipulado o no, y su opinión hará que ese dato tenga más o menos valor.

Sin embargo, en un proceso de pentesting, para un auditor da igual si es un indicio o una prueba. Si se encuentra una dirección IP en un documento, se prueba, se analiza, y se mira a ver si puede ser utilizada para atacar el sitio. ¿Que no se puede porque el dato es antiguo o ha sido manipulado? Pues mala suerte, a por otro posible camino de entrada en la red.

Por todo eso, cuando en España se aprobó el Esquema Nacional de Seguridad, se tomó especial cuidado con el tema de los metadatos, recomendando que estos se borrasen de los archivos públicos.

Conclusiones

¿Se pueden manipular los metadatos de los documentos? Evidentemente, como los valores de un log, o las cabeceras de un mensaje de correo electrónico. ¿Eso quiere decir que sean inútiles para un proceso de pentesting? No. De hecho estamos hablando de una de las fugas de información más importantes de muchas empresas, con lo que es muy fácil sacar información jugosa de objetivos de pentesting. ¿Es probable que alguien haya manipulado un metadato en un documento? La probabilidad es muy baja en un proceso de pentesting de una web con 300 documentos, pero por supuesto, toda información extraída por FOCA siempre debe ser contrastada, como se hace con la info que devuelve cualquier scanner de seguridad.

Saludos Malignos!

lunes, agosto 22, 2011

Cómo putear a un usuario de Mac OS X con la WiFi

El otro día, mi amigo Lorenzo, con ganas de escucharme un poco por twitter, me pasó el link de un post en Patada a Segurir en el que se veía la diferencia de configurar una WiFi en Windows y otra en Mac OS X. Mientras que en Windows hay que comprobar cosas como la dirección IP, la resolución de DNS y el uso o no de servidor DHCP, en Mac OS X solo hay que dar a un botón...


Figura 1: La ayuda de la WiFi en McDonalds

Y todo el mundo tan contento con lo fácil que es en Mac OS X. A ver... ¿alguien se piensa que no hay que comprobar todas esas cosas en Mac OS X? Seamos serios por favor.


Figura 2: Las conexiones WiFi en Mac OS X.. también usan TCP/IP

Como sabéis yo estoy trabajando durante los últimos 10 días solo y exclusivamente con Mac OS X Lion, y precisamente, el sistema de WiFi tiene unas cosas muy graciosas en Mac OS X dignas de contar, que vamos a resumir en Como putear a un usuario de Mac OS X con las redes WiFi.

Putada 1: Una password de menos de 8 caracteres en una WIFI con el SSID oculto

Esta es una gracia muy divertida, mientras que la seguridad se la trae al pairo en las conexiones WiFi Ad-hoc de Mac OS X, donde solo se pueden configurar redes con WEP, para el tema de las conexiones WPA2-PSK, solo permite poner claves mayores de 7 caracteres. Así, si le quieres joder la vida a los usuarios diles que se configuren una WiFi con SSID oculto (para que tengan que configurarlas manualmente) y ponle una clave de 7 o menos caracteres (que os juro que se puede hacer)... nunca pasarán de aquí.


Figura 3: La clave de la WiFi es demasiado corta

Putada 2: Si no se puede configurar, no la pueden guardar

Esta gracia es divertida, si el usuario no se puede conectar a la red WiFi configurándola manualmente, no permite guardar la red si no se puede conectar a ella (ya que supone que algo falla). Así, si un técnico le está configurando los datos de una conexión WiFi de una ubicación remota al usuario... se va a comer los mocos y no va a poder hacerlo. Tendrá que darle un papelito para que lo haga el usuario cuando se encuentre con la WiFi funcionando o hacer un script y modificar los archivos del sistema a manopla.


Figura 3: Si no te puedes conectar, no la puedes guardar

Putada 3: Modificar los datos de una conexión WiFi existente

Supongamos que una red WiFi pasa de WEP a WPA-PSK, pero mantiene el nombre, y queremos modificar esos datos, o cambiarle la clave, o cualquier otra opción... pues nada, en el menú WiFi no es posible modificar los parámetros de una WiFi guardada. Habrá que añadir otra y borrar la vieja.

Putada 4: Que busque en la ayuda

La ayuda del menú WiFi es de lo más gracioso. Yo quería saber a qué coño se refería eso de Cambiar redes o Activar o desactivar WiFi. Mirando la ayuda, la explicación tiene que ver con los menús como una rabano a un puerro. Yo supongo que la opción de "Activar o desactivar WiFi" será la de "Desconectar las redes inalámbricas al cerrar la sesión", pero si la de Cambiar Redes es la de "Solicitar contraseña de administrador para controlar WiFi" hay que hacer muchos malabares para entenderlo.


Figura 5: Ayuda ...de algo

Pues bien, soy administrador, y he podido cambiar cero propiedades desde el menú... El resto de las opciones, es decir, que el botón menos es para borrar las redes, para que sirve la opción de crear redes de ordenador a ordenador, y para qué sirve el orden de las redes (y si arriba es más preferida o menos) ya deberías saberlo como yo lo sé, que para usar un OS X hay que ser un hax0r, y no querrás que pongan una ayuda llena de letras que la deje fea.

Putada 5: Dile que te cree una red Ad-Hoc con WPA2-PSK

... que ya publicamos que no se puede hacer ni en Mac OS X Lion.

Putada 6: Pon una clave de WiFi con tags HTML

No sabemos bien el porqué, pero si hay una red WiFi con una clave con caracteres en HTML, como < o >, entonces los Mac OS X no pueden conectarse. No sabemos aún cuál es la auténtica razón, pero es como si estuviera filtrando ¿ataques XSS?. El caso es que si pones una clave como: Clave.para. no hay dios quién los conecte. Esto lo hemos probado con Leopard y Snow Leopard y estamos aún investigando la razón de por qué funciona así.

Ahora me gustaría tener tres palabritas con el de McDonald's. Ir allí con una Mac OS X con una dirección IP fija asignada a mi conexión y ver cómo me ayuda con el papelito ese...

Saludos Malignos!

domingo, agosto 21, 2011

Ahora que soy super Pop ya no hay stop

Gracias a Google me acabo de enterar de que soy un blog popular. Un tio guay del insti, de esos que después no se comen un colín en la vida porque el ser popular no te lleva a mucho más que a eso, a ser popular. Así que, en posesión de mi nuevo status de blog popular creo que voy a tomar alguna media especial que estoy aún sopesando con fruición.


Os propongo algunas idéas:

- Voy a cambiar mi blogroll para solo linkar a blogs populares como yo, que el juntarse con la chusma ya no es para mí.

- He pensado en dar un nuevo estilo, perdón... un nuevo "look" al blog, algo más chic, osea... no sé, ya me entiendes, como con más mojo... con más, osea, .... coolness. Admito idéas.

- También he pensado en cambiar la despedida esa de Saludos Malignos, por algo más popular. Un "nos vemos compis!", o "saludos populares" (uy que ppero me ha quedado eso...) o un "guiño, guiño, hasta la próxima coleguis".

- Voy a poner una sección flickr de fotos, para subir imagenes de flores y rosas que voy a ir a hacer en los jardines de Madri"Z" (o sea).. [Sí, vale, esta va por ti, pero sólo es una broma };P]

- Cambiar el color del blog, de azul.... a blanco...puro... con toques rosas y celestes... para que resalte el halo de popularidad del blog.

- He pensado en moderar los comentarios, para que ya no haya más anónimos, y que todos los que vengan aquí a comentar sean populares. Nada de gente preguntando cómo se hace esto o lo otro, o que vengan a decir que la he cagado en una cosa.... Nada de eso... solo popularidad.

- Y nada de tacos. Se acabó el cagarme en la madre del topo, en la puta de oros o en la golfa que parió al cabrón de Panete. Aquí ya nadie será un Hijo de la Nati, ni un técnicoless de segunda. Solo hablaremos de lo guay que va todo. Al más puro estilo de la televisión de Corea del Norte.

- También he pesando cambiarme el nick de Maligno, por algo más chic. No sé, algo como "sirena de la noche", "brújula del acantilado", "pantera sangrante", o alguno de esos tan chulos que descubro cuando estoy buscando porn...por..por.. por ahí... cosas para publicar. Esos nicks me ponen... digo... me gustan.. "corazón de mármol"... o algo así. Proponedme idéas.

- Mi música, esto tiene que cambiar también. Nada de heavy, rock urbano, ni cosas así. Se acabaron Nirvana, Extremoduro u Ozzy Osbourne (que está loco!!!). Voy a pasar a cosas más rollo Lady TraGa, Bridney Sperms, Cristiana Aguileña o Salkila.

- Y ya no será nunca más el lado del mal.. Será... un... ¿El lado popular?.. ¿Super-Pop?.... ¿Quiero ser Pop-ya?.

- Estoy pensando en ir hasta al EBE este año....

Así que nada, cualquier idea chicos, será bien recibida. Aquí, en tu lado más Pop esperamos que los popus, como tú colegui, podáis aportar vuestras ideas. Los "chetes" también son bienvenidos...

Saludos populares de vuestro amigo "El hombre Pop"!

PD: Se me ha ocurrido que podría llamarle al blog: "Cuando eres Pop, ya no hay Stop"

sábado, agosto 20, 2011

No Lusers 88: Vuelta a España 2011 con Kinect



La verdad es que viendo un reportaje de las consolas, y a los chavales haciendo katas y tayokens saltando como bestias mientras juegan con la XBOX Kinect, y me ha dado hasta cansancio (y eso que el FOCA Team 2 es el actual campeón de la HackCup 2011 de la BlackHat - epopeya de la que os narraré la historia...).

He tenido que recostarme mucho más en el sofá para aguantar el esfuerzo de verlos sudar tanto. Justo después han hablado de la Vuelta Ciclista a España 2011 y he pensado que debe ser un horror si alguien hace un juego para Kinect de esa temática.

Supongo que eso para la gente que le gusta el Social Cycling estaría bien, pero para los tipos como yo no está hecho. Tened presente que cuando yo era un pre-adolescente uno jugaba con el ordenata para no tener que bajar al parque y sudar con el calor jugando al fútbol o a cualquier otra actividad física. ¿Y tú? ¿Prefieres correr o que corra el muñeco que se cansa menos?

Saludos Malignos!

viernes, agosto 19, 2011

Don Ramón y Perchita need you!

El T-1000 de los Asegúr@IT Camps (que espero que este año se pase otra vez por allí), el gran Niko "Nikotxan", creador del mítico Cálico Electrónico que tanto nos hizo reír, y de las aventuras de Sabías Lo qué y el Doctor Birufilla, comienza una nueva andadura profesional con Don Ramon y Perchita.

Estos dos personajes están reclamando tener su propia serie flash, y para ello, mediante la web de Lanzanos.com, están recaudando fondos para conseguir que la serie salga adelante... ¡y tú puedes ayudar!... porque es triste robar, pero más triste es pedir.



Así, si quieres puedes colaborar desde solo 1 € y conseguir aparecer en los créditos de la serie. Además, si te gusta perder el tiempo viendo series flash por la cara en cualquier momento, puedes ayudar también difundiendo el proyecto, mediante los banners de colaboración. Niko te lo agradecerá en persona por medio de un twitt de agradecimiento por twitter desde su cuenta @nikotxan.

Yo solo espero que algún día le de un cameo a mi josemaricariño en alguna de sus series, para que me pueda morir de gustazo....

Saludos Malignos!

PD: Ahora que ya he cumplido con Niko, he de decir que desde el capítulo 5 de Cálico Electrónico de "Una historia de amor"... este tío no ha hecho nada güeno y que le voy a apoyar solo porque es superdivertido cuando sale de fiesta. La chica del "pezón inexistente" del Calendario Tórrido 2011, es decir, Frikiñeka, le hizo una entrevista en vídeo como Sexy Geek del mes, que es para verla. Ahora serio Niko, ¡mucha suerte!

jueves, agosto 18, 2011

Los anti-switching en Mac OS X Lion (2 de 3)

================================================================
- Los anti-switching en Mac OS X Lion (1 de 3)
- Los anti-switching en Mac OS X Lion (2 de 3)
- Los anti-switching en Mac OS X Lion (3 de 3)
================================================================

Las aplicaciones en full-window

Una de las novedades que vienen con Lion es la posibilidad de trabajar con aplicaciones a ventana completa. Una curiosa característica que, con el objeto de aprovecha al máximo la pantalla en los sistemas iOS de iPhone en la navegación, dio tan buen resultado para el phishing al poder ser invocada mediante javascript. Sin embargo, en Mac OS X Lion es una cosa que no está nada mal, ya que se aprovecha bien todo el espacio de trabajo y ayuda a que nadie te moleste. Y es precisamente ese el problema (o la ventaja) de trabajar con Full-Window: que no te llegan las alertas. Si estás trabajando en una aplicación, y en un instante alguien te envía un mensaje por el chat, entonces en el dock, la aplicación que ha recibido el evento se pondrá a botar, pero al estar trabajando en full-window no se podrán ver los lindos saltitos del icono de la aplicación.

Y lo curioso es que, mientras que para maximizar no existe ni comportamiento común en las ventanas, ni teclas de acceso rápido, para la vista en pantalla completa sí que se puede hacer por teclas. En resumen, es una alternativa más, que tiene un comportamiento "similar a maximizar", pero que no es maximizar.

Además, las aplicaciones tienen que estar desarrolladas con ese método, y algunas tan populares como por ejemplo... iTunes no permiten Full-Window app y cuando le das al botón verde con el + (supuestamente el de "maximizar") resulta que... iTunes se hace pequeño... toda una oda a la usabilidad.

En Windows, sin tanto bombo y platillo, hace años que podemos Maximizar y ocultar la barra de Windows, con lo que obtenemos un comportamiento full-window sin necesidad de reprogramar las aplicaciones. ¿Por qué tanto odio a maximizar en OS X?

Ese cortapapeles campeón en sistemas Windows

En sistemas Windows, cuando usas las famosas teclas de copiar, cortar y pegar, se traga cualquier cosa. Si te descuidas, le das a cortar sobre un pie tuyo y ya la has liado. Si no lo pegas en el sitio adecuado te quedaste sin pie. Sin embargo, en los sistemas Mac OS X, la posibilidad de cortar y copiar... depende mucho del qué y el dónde. Así, una de mis opciones preferidas, como es organizar los ficheros de mis carpetas cortando y pegando es una cosa de ciencia ficción en sistemas Mac OS X.... en el año 2011.

Mover ficheros en OS X Lion

No es que no se puedan mover ficheros de una ubicación a otra, es simplemente que es una incomodidad inusual. Al final, como muchos usuarios de Mac OS X, estoy acabando por trabajar siempre con la consola de comandos abiertas y mover mis ficheros de una ubicación a otra con el clásico mv. Eso sí que me gusta, tener una consola UNIX a mano, pero vamos, que tenga que estar tirando comandos por obligación para mover unos ficheros es un poco ridículo en el año 2011 (especialmente para los usuarios que no han trabajado nunca una consola de UNIX). La gracia es que, al igual que en los sistemas Windows, hacer Drag and Drop de un grupo de ficheros de una carpeta a otra puede significar mover, pero si seleccionas un grupo de ficheros y vas a las opciones de editar te encuentras este menú. ¿Donde están renombrar y cortar?


¿Renombrar para qué?

Pues es una de esas cosas que yo he aprendido a usar para gestionar el nombre de los archivos de mis dibujos de No Lusers. Resulta que en Windows, cuando seleccionas un grupo de archivos y le cambias el nombre al primero, el resto de los archivos recibirá el mismo nombre, pero con una terminación en serie para cada fichero. De esa manera puedo gestionar todos los nombres de los archivos de la misma tira de forma rápida.

Al final, tras preguntar a muchas personas, todas acaban por recomendarme instalar aplicaciones de terceros, no usar Finder porque a casi nadie le gusta, e instalarme una aplicación de gestión de notificaciones de aplicaciones, otra para manejar mejor las ventanas, etc....

Yo sigo con mis cabezonería de trabajar con Mac OS X Lion tal y como viene de serie, ya que en Windows, salvo contadas excepciones, yo trabajo con lo que viene de serie en el sistema (especialmente en todo lo relacionado con la gestión de archivos y documentos).

Saludos Malignos!

PD: También os pondré algo de lo que me está gustando de OS X, que hay cosas que molan.

================================================================
- Los anti-switching en Mac OS X Lion (1 de 3)
- Los anti-switching en Mac OS X Lion (2 de 3)
- Los anti-switching en Mac OS X Lion (3 de 3)
================================================================

miércoles, agosto 17, 2011

Descubrir servidores TomCat con errores JSP

Estos días, además de la compra de Motorola Mobility por parte de Google, se sigue hablando de lo de siempre, fallos de seguridad. Uno de los que estos días ha dado que hablar ha sido un bug que ya estaba resuelto, pero que ha vuelto a ser introducido en el proyecto TomCat, y que permite escribir ficheros protegidos desde el entorno de usuario. Aún cuando en la versión vulnerable exista el fallo, se tienen que dar una serie de condicionantes que en Una al día recogieron.

El caso es que, sorprendentemente, encontrar sitios con TomCat es mucho más sencillo de lo que parece, y lo es simplemente por un fallo a la hora de configurar de forma segura los mensajes de error que ofrece un servidor web. La idea es que, uno de los trucos más viejos a la hora de averiguar software que está corriendo un servidor consiste en generar un mensaje de error 404.


Figura 1: Error 404 en dominio .mil

Con este mensaje, en muchas ocasiones, se obtiene información más que suficiente como para saber la versión exacta de un servidor web e incluso algún módulo que está cargado en él. Por ello, muchos administradores, a la hora de poner en producción un servidor web el mensaje de error 404 lo controlan, mostrando un mensaje genérico.

Sin embargo, cuando se solicita un fichero que no existe, pero que está vinculado a un manejador de extensiones, es decir, un .aspx, un .jsp, o un .cfm, por poner algunos ejemplos, son estos frameworks los encargados de gestionar los mensajes de error. Y estos son los que el administrador se suele olvidar de cambiar.

Así, si por ejemplo hacemos una búsqueda por .jsp en los dominios .mil, encontramos una cantidad aproximada de 139.000 urls. Basta con abrir esas URLS y borrar una letrita del nombre del fichero, para ver qué mensaje de error se obtiene cuando se invoca un fichero JSP no existente.


Figura 2: Sitios con JSP en dominios .mil

Como se puede ver, sorprendentemente, la mayoría de los sitios contesta con la versión exacta de TomCat (o JBOSS). Yo elegí este dominio porque pensé que sería uno de los más fortificados, pero como se puede ver no es así.






Evidentemente, si pedimos el mismo fichero, pero con una extensión distinta, salvo que todas las extensiones estén asociadas al mismo framework, obtendremos mensajes 404 comunes, como en la figura 1. Una vez que se sabe que hay JSP, y qué servidor de aplicaciones se está utilizando en concreto, las labores de búsqueda del panel de administración son mucho más sencillas. Tal vez baste con pedir la misma URL por el puerto 8080, tal vez o sea necesario hacer un escaneo de todo el rango de red por el puerto 8080, pero lo que es evidente es que saber la tecnología del servidor te ayuda a tomar el mejor camino.

En los ejemplos he puesto casos con TomCat, pero esto también pasa con el resto de servidores de aplicaciones, como Oracle Application Server, JBOSS (y sus magníficas consolas con passwords por defecto), etc...

Saludos Malignos!

martes, agosto 16, 2011

lunes, agosto 15, 2011

Los anti-switching en Mac OS X Lion (1 de 3)

================================================================
- Los anti-switching en Mac OS X Lion (1 de 3)
- Los anti-switching en Mac OS X Lion (2 de 3)
- Los anti-switching en Mac OS X Lion (3 de 3)
================================================================

Como muchos ya seguramente sabréis, para este cumpleaños, con el único objetivo de oír como me quejaba, me regalaron un Mac Book Air con Thunderbolt (ya tengo cuidado de no pincharle ningún dispositivo, ni tan siquiera un cañón de vídeo) y Mac OS X Snow Leopard que actualicé a la versión Lion el mismo día que salió a la venta.

A regañadientes y refunfuñando, llevo con él trabajando de continuo toda la semana pasada, y sin abrir un Windows desde entonces (los últimos posts los he escrito desde Mac OS X Lion), y hay algunas cosas que son para matarle - siempre desde el punto de vista de un usuario de Windows con muchos años a la chepa. Aquí os enumero lo que para mí son los anti-switching, es decir, lo que hace que un alguien con callos en los pulgares de abrir ventanas se eche para atrás a la hora de pasarse a OS X.

Entiendo, y quiero dejarlo claro, que los usuarios de Mac se acostumbran a hacer las cosas de otra forma, pero yo os planteo los problemas que veo desde mi punto de vista, personal e subjetivo, de las cosas que me parecen de broma en un sistema gráfico de ventanas en el siglo XXI. Más, cuando hablamos de una empresa como Apple que presume de usabilidad máxima.

¿Dónde está la clase Window?

Cuando empecé a trabajar, estando de becario en una empresa, mi labor consistía en programar cosas en Visual C, pero por aquel entonces las ya arcaicas MFC's estaban recién salidas, así que todos los programas tenían que pillar la cola de mensajes y heredar de la primigenia clase Window. Eso hacía que todas las ventanas en el sistema operativo de Microsoft tuvieran el mismo comportamiento en sus funciones básicas de "Minimizar", "Maximizar", "Cerrar" y "Restaurar". Esto me ha llevado, años después de trabajar con este sistema, a pensar que todos los sistemas de ventanas tendrían más o menos ese mismo comportamiento, pero resulta que no. En OS X, resulta que los botoncitos rojo, amarillo y verde, pueden significar distintas cosas, e incluso estar en distintas posiciones.

Así, llegamos a algunas ventanas, como las de preferencias del sistema, y aparece un botón gris... que significa que no hay botón. En el finder, el explorador de archivos del sistema, aparece el botón verde, pero su comportamiento es "lo suficientemente grande como para que veas todo lo que tienes que ver" y en otros sitios, como los navegadores de Internet, el botón verde significa maximizar.

Por supuesto, los eventos de ventana como los de pegar a mitad de pantalla, restaurar, o pegar verticalmente, que son tan utilizados en entornos Windows para aprovechar el espacio, no existen en este sistema de ventanas. Eso sí, algunas bailan cuando las abro y las cierro.

Más sobre maximizar y los nuevos gestos de Lion

El sistema OS X Lion trae una barbaridad de nuevos gestos que puedes hacer con el touch pad. Que si dos dedos para un lado, que si tres dedos para arriba, que si pulsa con tres dedos y mueve el dedito gordo... etc... Un montón de cosas hiper-mega-cools. Pero resulta que, aun teniendo combinaciones de teclas para todo, no tiene una puñetera combinación de teclas rápidas para la opción de maximizar o restaurar, lo que trae infinitas gracietas, como os voy a contar a continuación.

Cambiar de aplicación con Comando+Tab... ¿estamos de broma?

Una de las combinaciones más utilizadas por los Windowzers es la de cambiar de aplicación con Alt+Tab, y mi sorpresa fue que al probar la combinación Cmd+tab en Lion, tenía un comportamiento "similar", pero cuando lo usas te das cuenta de que es una chapuza que solo es digna de alguien que saque un sistema operativo que haga conexiones WiFi Ad-hoc solo con WEP.

El asunto es que cuando se hace Comando+tab, solo te salen las aplicaciones en ejecución. Esto, si tienes abiertas varias instancias de un navegador es una putada, pues en Windows, con la tecla Alt+tab, todas las instancias de un navegador son una aplicación distinta, lo que te permite navegar entre programas e instancias del navegador con solo esta combinación. Este no sería mayor problema - y solo una incomodidad que te obliga a utilizar las teclas de cambio de pestañas de cada navegador - si no fuera por la cagada de maximizar.

Resulta que si tu realizas una acción muy típica en un sistema de ventanas como es "Minimizar" - ya sabéis, por si viene el jefe y no quieres que te pille con el feisbuk abierto - resulta que al seleccionar esa aplicación con Comando+tab... ¡no es la aplicación!. ¿Por qué? Pues porque está minimizada.... y como resulta que no hay combinación de teclas rápidas para maximizar, pues... tienes que ir con el ratón y pinchar en la aplicación... ¿Pero qué pasa si tienes abiertas varias instancias de esa aplicación? Pues la gracia es aún mayor.

Resulta que con Comando+Tab, si tienes abiertos, por ejemplo un navegador Safari (al que llamaremos Safari 1) con dos pestañas, a las que llamaremos Pestaña 1 y Pestaña 2, y un navegador Safari con las Pestaña 3 y Pestaña 4, resulta que cuando haces Comando+Tab solo aparece una única aplicación Safari. Cuando la seleccionas, si está minimizada tienes que ir al Dock y hacer clic en ella, pero te abre por la última aplicación de Safari que abriste (supongamos que la versión Safari 1). Pero si tú quieres ir a la Pestaña 3 que está en Safari 2, pues tienes que seleccionar la aplicación Safari 2 con la tecla secundaria, abres el menu, y ¿seleccionas la pestaña? Nooooo, seleccionas la pestaña que fue abierta en ultima instancia en Safari 2 (que supongamos que por putear fue la Pestaña 4) y una vez allí, ya puedes seleccionar la Pestaña 3.

Es decir, que lo que yo hago en Windows con solo pasar el ratón sobre el icono del navegador en la barra de tareas o hacer Alt+tab entre instancias aquí se convierte en Comando+Tab (alguna vez menos que n), botón secundario en el icono del dock, selección de la última pestaña de la aplicación donde está abierta la pestaña que busco (espero tener buena memoria y no confundirme) y luego selecciona la pestaña dentro de esa instancia del navegador....

He intentado acostumbrarme con Mission Control, una nueva característica en Mac OS X Lion, pero da igual, tienes que buscar la aplicación en la lista de thumbnails, y de nuevo no puedes seleccionar pestañas, solo instancias de aplicaciones. ¿A que parece de coña? Pues es el último sistema operativo de Mac OS X. Mañana más.

PD: Si alguien está tentado de mentarme "full-window app mode", por favor, que espere a que termine la serie, que también tiene su apartado en este artículo...

Saludos Malignos!

================================================================
- Los anti-switching en Mac OS X Lion (1 de 3)
- Los anti-switching en Mac OS X Lion (2 de 3)
- Los anti-switching en Mac OS X Lion (3 de 3)
================================================================

sábado, agosto 13, 2011

Avance editorial Septiembre 2011

Aunque el periodo estival veraniego es supuestamente un periodo para el descanso, lo cierto es que muchos aprovechamos este periodo, con menos carga de trabajo, para enzarzarnos más en proyectos personales. Así es el caso de los libros, que sorprendido me he recibiendo confirmaciones de que mis proyectos como editor de éxito continúan viento en popa, con lo que en Septiembre tendremos nuevos textos.

Mafias en Internet - Fraude Online: Aún no teneos claro el título definitivo, pero Mikel Gastesi y Dani Creus se han centrado en la realización de un libro en el que, desde su punto de vista privilegiado trabajando como miembros del departamento de e-crime de S21Sec, han recogido el funcionamiento de las mafias en Internet, cómo, por qué y de qué manera funciona el negocio de estos ciber-delincuentes en Internet. El texto está completamente acabado, a falta de que David Barroso nos entregue el prólogo del mismo y terminemos de perfilar portada y título.

Hacking & Seguridad en tecnologías GSM/UMTS, desde Taddong he recibido la confirmación de José Picó y David Pérez (que además los tengo escribiendo en Seguridad Apple sobre cómo detectar estaciones base falsas };D) de que el próximo día 19 de Septiembre me harán entrega del libro, para que pasemos a la fase de maquetación y creación de la edición. Tengo muchas ganas de leerme este libro ya, así que espero que no se retrasen ni un día y por eso lo pongo público aquí, para que recuerden el compromiso };) El trabajo de Taddong en seguridad en dispositivos móviles ya es conocido por muchos, por lo que supongo que no seré el único esperando leerse este libro.

Por último, cumpliendo sus plazos auto programados, Sergio de los Santos está dando los últimos coletazos a la revisión de su libro de Hardening/Bastionado de Sistemas Microsoft Windows. Tras años viendo una y otra vez los mismos errores en la configuración segura de plataformas Microsoft Windows, ha decidido dejar por escrito como se debe configurar un sistema de la casa de Redmon. (Y es que después de escribir el anuario de lo acontecido en seguridad informática los últimos 12 años ha debido coger ritmo). Desde la configuración de las cuentas o los firewalls, hasta configurar con detalle las protecciones basadas en niveles de integridad, los protocolos de autenticación o las protecciones contra ataques de explotación de vulnerabilidades, tales como EMET.

Así que, durante el mes de Septiembre que viene, iremos poniendo disponibles los libros, para que les podáis hincar el diente. (Eso sí, primero los cato yo). Además, me consta que uno de los libros más esperados está empezando a acelerar su proceso, con lo que es probable que en breve tengamos otro anuncio más... Mientras tanto, ya sabes que tienes que haberte leído los textos anteriores... };))

Saludos Malignos!

Eleven Paths Blog

Seguridad Apple

Entradas populares