Spectra Open Source

En su camino hacia la dominación del mundo, la malvada Spectra ha elaborado una pérfida estrategia para gobernar el mundo. En este caso ha creado una serie de recursos que oferta en Open Source para que la comunidad del bien caiga en sus malvadas redes. Ya existían diferentes programas para ofrecer el código fuente de las aplicaciones así que os dejo un breve repaso de las iniciativas.

Open Source
Spectra ha abierto un site para ofrecer herramientas y ayuda a los programadores que participen en proyectos Open Source. Esta es una nueva web abierta en el sitio de Spectra para potenciar, participar y ayudar en el desarrollo de iniciativas Open Source. Este sitio está pensado para ser un centro de acceso a recursos. No se va a fomentar el uso de ninguna licencia pero Spectra ya ofreció hace un año un conjunto de licencias bajo las que ha licenciado un conjunto de programas.

Shared Source Iniciative
Esta iniciativa llevo a la creación de un conjunto de licencias que llevan la compartición de código, muchos productos de Spectra se han licenciado bajo alguna de estas licencias.

Windows Academic Program
Este programa está pensado para la compartición de código de productos de Spectra con fines académicos. Dentro de este programa ya se están generando los manuales, documentación y paquetes para la inclusión de Windows Vista en él, pero quizá el lanzamiento más importante fue la compartición de casi el 80 % del kernel de Vista junto con manuales explicativos, el libro de Windows Internals y herramientas para poder trabajar con el kernel dentro del proyecto Windows Research Kernel.

Government Security Program
Este programa está orientado a compartir el código fuente de los productos de Spectra con los gobiernos para que puedan evaluar la seguridad de los mismos. España ha sido uno de los países que más ha utilizado este programa y ha accedido muchas veces al código fuente. Dentro de este acuerdo se tiene acceso al 100% del código fuente de los productos.

Port25 Lab
Este sitio es un laboratorio que tiene Spectra dónde se prueban los productos Open Source, se evalúan, se documentan, se trabaja en la interoperabilidad, se busca integrar, usar y sacar partido al Open Source. Está dirigido por Bill Hilf y es la referencia de Spectra y el Open Source.

CodePlex
Este es el repositorio de proyectos OpenSource ofrecido por Spectra. En él se alojan muchos proyectos OpenSource al estilo de SourceForge. En la actualidad hay muchos proyectos .NET y es un buen punto para trabajar con .NET y Open Source.

Si a esto le unimos que Spectra ya desarrolló un UNIX (Xenix), que Windows Server 2003 R2 es un UNIX POSIX nativo llamado Interix y que cualquiera puede hacer una distro Linux… ¿Hará Spectra como Oracle y Sun y será un competidor en el mundo Linux más?

¡Saludos Malignos!

Master en Gestion de Sistemas Ubuntu

El mes de agosto de este año está siendo agitado para Ubuntu y los servidores. Después de la “maldad” que puse sobre el downtime de los sitios web dónde el sitio Ubuntu.com salía con más de 1 día de parada en lo que va de año, resulta, que unos días antes de la festividad de “San Ubuntu Iluminador” se cepillaron 5 de los 8 servidores de los sitios de las comunidades Ubuntu. Muchos de estos sitios, como dicen en el mail de alerta, no son muy activos. ¿Eso es una buena noticia?

Tras analizar las posibles causas se encuentran que:

a) the servers, especially zambezi were running an incredible amount of web software (over 15 packages[1] that we recognised) and of all the ones where it's trivial to determine a version, they were without exception out-of-date and missing security patches.
An attacker could have gotten a shell through almost any of these sites.

Todo el software que corría, absolutante todo, sin excepción, corría con software sin actualizar parches de seguridad. Esto ha resultado bastante curioso, pues al ir a comprobar desde cuando, resulta, que llevaban desde el día 24 de Octubre de 2006. Es decir, 9 meses y medio sin actualizar un software expuesto a Internet. Muy hábil.


Penitencia: 10 San Ubuntu Ilumínanos en penitencia por no actualizar cada parche y 150 San Ubuntu Ilumínanos en penitencia por usar Debian.

b) FTP (not sftp, without SSL) was being used to access the machines, so an attacker (in the right place) could also have gotten access by sniffing the clear-text passwords.

Contraseñas sin cifrar... mmmm... ¿quién montó esto el día 1?

Penitencia: 20 San Ububuntu ilumínamos por cada acceso de usuario y 50 por cada acceso como root/admin en texto claro.

c) The servers have not been upgraded past breezy due to problems with the network card and later kernels. This probably allowed the attacker to gain root.

O sea, que al tener problemas con los drivers, no se podía actualizar el hardware y debido a ello, todos los fallos de seguridad de los últimos 9 meses y medio, incluidos los que permitían ejecución remota de código y elevación de privilegios han hecho que “probablemente” el atacante fuera root.

Penitencia: 100 San Ubuntu ilumínanos por NO hacer nada sabiendo que estaban en esta situación y dejar que se llegara a esto.

Esto ha pasado por no usar Ubuntu para los servidores en lugar de Debian y además, por no tomar un soporte anual para el servicio. El coste de esto no es tanto hombre, veamos, os cojo soporte para 8 servidores y para 8 desktops, para que podáis currar sin problemas y sale:


Que en Euros son : 28,250.59 EUR

Tras leer toda la historia, esto no deja de recordarme a lo que pasó el año pasado con Gluck en Debian, así que, en honor a los administradores que no parchean los servidores les digo la frase que más me gusto

“you do an excellent job”

Saludos Malignos!

Chorizo y Morcilla

Tengo que reconocer que la primera vez que lo vi “no me lo podía de creel”, pero sí, es así, cuando me lo envío Penyaskito pensé que era una coña, pero no, es un producto de seguridad de verdad y se llama Chorizo Scanner.

El Chorizo

Su funcionamiento es similar a otros productos que funcionan realizando el spidering mediante profile. Es decir, tu navegas a través del Chorizo (como si fuera un proxy) y él va registrando URLs, parámetros, llamadas GET, llamadas POST, ficheros descubiertos, etc… Cuando tengamos a Chorizo conectado nos sale un menú como el que se ve en la imagen de tal manera que al mismo tiempo se pueden ir realizando las pruebas de seguridad para detectar posibles fallos de XSS, SQL-Injections, Cross-Site-Request-Forging , RFI, Information Disclosure, etc…


Ya la herramienta es curiosa de por sí con ese nombre, pero es que han sacado un componente Server-Side que se instala como un plug-in PHP que se llama Morcilla.

La Morcilla

Este componente se lee el código PHP de tu servidor y comprueba la construcción de las funciones que comúnmente son responsables de estos fallos de seguridad:
Las funciones responsables de SQL Injectios, XSS y usadas en PHP_Shells:

mysql_query, mysql_unbuffered_query, mysql_db_query, mysqli_query, mysqli_prepare, mysqli::query, mysqli::prepare, shell_exec, exec, passthru, system, popen, proc_open, preg_replace, preg_replace_callback, usort, array_walk, uasort, mail, fopen, readfile, file_get_contents,...

Así como las funciones que se usan en Inyecciones de Código y RFI (eval() e include), el uso de variables globales y las comprobaciones de valores, comentarios e información mostrada en el código, etc...


El Chorizo junto con la Morcilla son de pago, pero existe una versión gratuita para un dominio con la que puedes conseguir que tu aplicación sea Chorizo Certified!.

¡Saludos Malignos!

PD: Se espera una versión en catalán llamada Butifarra-Edition.