La Comunidad DragonJAR » Artículos sobre seguridad

Video: Explotando WM Downloader

Epsilon — Fri, 29 Jan 2010 19:07:26 +0000

WM Downloader es un reproductor de Windows y un MP3 Stream Rippe/grabber (No graba directamente los sonidos desde el programa), el cual hace mas fácil descargar streaming de Windows y SHOUTcast Streams. Con este programa puedes descargar de manera muy sencilla todos tus podcast o videopodcast favoritos.

Sin embargo WM Downloader en su versión 3.0.0.9 presenta algunos fallos de seguridad considerables, así lo demuestra DouBle Zer0 Zer0, en un vídeo donde nos muestra como se puede explotar una vulnerabilidad de tipo “stack overflow” creando archivos m3u corruptos. A continuación el vídeo, y el exploit lo pueden visualizar desde acá.

Mas Información:
WM Downloader (.M3U File) Local Stack Overflow POC
Pagina Oficial del WM Downloader

También puede interesarte...

La arquitectura de seguridad OSI

Axiacamus — Thu, 21 Jan 2010 05:36:52 +0000

Con la aparición de las redes y las aplicaciones cliente servidor, se desarrollaron modelos y estándares que todos durante nuestra experiencia académica hemos ido conociendo, es bien conocido por todos el Modelo OSI para todo lo que esta relacionado con las redes y los protocolos de comunicación, pero ¿Sabíamos que también existe La Arquitectura de Seguridad OSI?.

OSI es la sigla para “Open System Interconnection” que en español significa “Sistemas de interconexión abiertos”, cuando usamos este termino se nos viene de inmediato el modelo de redes y sus siete capas, pero OSI hace parte de la ITU-T (Unión Internacional de Telecomunicaciones) y hace referencia a todo lo que son estándares para la intercomunicación de sistemas.

La arquitectura de Seguridad OSI esta basada en la recomendación X.800 y el RFC 2828, la esencia de la arquitectura se basa en la necesidad de las organizaciones de tener políticas de seguridad y servicios que les permitan evaluar todo lo relacionado con la seguridad de su información, estos servicios se resumen en:

Autenticación: Confirma que la identidad de una o más entidades conectadas a una o más entidades sea verdadera. Entiéndase por entidad un usuario, proceso o sistema. De igual forma corrobora a una entidad que la información proviene de otra entidad verdadera.
Control de acceso: Protege a una entidad contra el uso no autorizado de sus recursos. Este servicio de seguridad se puede aplicar a varios tipos de acceso, por ejemplo el uso de medios de comunicación, la lectura, escritura o eliminación de información y la ejecución de procesos.
Confidencialidad: Protege a una entidad contra la revelación deliberada o accidental de cualquier conjunto de datos a entidades no autorizadas.
Integridad: Asegura que los datos almacenados en las computadoras y/o transferidos en una conexión no fueron modificados.
No repudio: Este servicio protege contra usuarios que quieran negar falsamente que enviaran o recibieran un mensaje.

Basados en la RFC 2828, se enfoca la arquitectura en lo que llamaríamos los dos riesgos “amenazas y ataques” , en donde una amenaza es la posibilidad latente de que se pueda violar el sistema de información y un ataque ya es propiamente un ataque derivado de una amenaza y un acto inteligente y deliberado.

También puede interesarte...

Vulnerabilidad de XSS en mas de 8 Millones de Sitios con Flash

Axiacamus — Sun, 17 Jan 2010 18:22:58 +0000

Una de las aplicaciones mas comunes utilizadas en los sitios web, son las películas y clics hechos en Adobe Flash (antes de Macromedia), animaciones, slideshows y anuncios publicitarios en este formato, están a la orden del día por toda la red. La facilidad con la que se crean y la gran cantidad de documentación sobre el uso de Flash, a colaborado para que su uso se extienda a millones de sitios web.

A pesar de ser una herramienta muy útil, personalmente pienso que esta sobreutilizada y que tiene gran cantidad de defectos, como no poder ser indexados adecuadamente en los buscadores, la cantidad de recursos que consume cuando se utiliza para visualizar película s o vídeos online, a esta lista de desventajas, ahora hay que sumarle un nuevo fallo de seguridad, descubierto por el investigador MustLive y publicado en su sitio websecurity.com.ua.

El fallo consiste en una vulnerabilidad de XSS (Cross-site scripting) la cual permite incrustar codigo Javascript y/o HTML, en algunas animaciones flash que no validan correctamente sus parámetros de entrada.

Ejemplo del código vulnerable:

Como se puede ver, en el siguiente código actionscript, no se hace validación alguna a las variables obtenidas:

getURL(_root.clickTAG, "_blank");

El codigo anterio podria ser explotado de la siguiente forma:

http://sitiovulnreable/flash.swf?clickTAG=javascript:alert('comunidad dragonjar')

Pero no es la única variable vulnerable a este tipo de vulnerabilidades XSS

getURL(_root.url, "_blank");

Que puede ser explotada de la siguiente forma:

http://sitiovulnreable/flash.swf?url=javascript:alert('comunidad dragonjar')

Para ver el funcionamiento de este tipo de ataques, les dejo este flash en el portal del “Area Metropolitana del Valle de Aburrá”, donde podemos ver que con solo deja correr la animacion , nos ejecutara el alert en javascript que hemos incrustado de forma arbitraria en el archivo flash, por lo que podríamos realizar todo tipo de estafas y engaños utilizando el nombre de esta pagina del gobierno colombiano.

Este problema que afecta millones de sitios en la red (lo cual podemos comprobar con una simple búsqueda en google ”filetype:swf inurl:clicktag”), es aun mas grave si se tiene en cuenta que la mayoría de las personas que manejan Flash y en especial su lenguaje de programación ActionScript, son diseñadores o programadores que no tienen en cuenta la seguridad a la hora de realizar sus trabajos, una muestra de esto lo podemos ver en el periódico ”El Heraldo” de Barranquilla que recomienda el uso de un código vulnerable para realizar la publicidad que se publica en su portal.

Mas Información:
XSS vulnerabilities in 8 millions flash files
Serious web vuln found in 8 million Flash files XSS

También puede interesarte...

¿Que Mirar Cuando Auditamos una Base de Datos Oracle?

D7n0s4ur70 — Fri, 13 Nov 2009 08:39:23 +0000

Cuando se realiza una auditoria, siempre es recomendable seguir una serie de pasos para no pasar por algo ningún detalle que pueda resultar crucial para nuestra investigación, a continuación les dejo un pequeño listado de las cosas a las que debemos echarle una ojeada cuando auditamos una base de datos oracle.

1). Determinar si en la BD esta activo el modo de operación en ARCHIVELOG o NONARCHIVELOG. Si este no esta activo, la evidencia de ataque o cambios serán sobrescritos por un nuevo redo.

Se puede determinar realizando una sentencia SQL a la BD:

SELECT VALUE V$PARAMETER WHERE FROM NAME=’archiv_log_start’;

2). Análisis de los Oracle Data Blocks, para determinar:

Registros eliminados
Localizar bloques asignados a tablas (OBJETOS DE INTERÉS)
Seguimiento de Objetos creados y eliminados
Localización de tablas eliminadas
Localización de Funciones eliminadas

3). Obtención del SID de la BD

4). Enumeración de usuarios

SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$;
SELECT USERID, COMMENT$TEXT FROM SYS.AUD$;

5). Consultar Ataques de Fuerza bruta o Diccionario a cuentas de usuario

SQL> SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$;
SELECT NAME, LCOUNT FROM USER$ WHERE LCOUNT>0;
SELECT NAME, LTIME FROM USER$ WHERE ASTATUS = 4;

6). Consulta de Ataques de Fuerza Bruta a la cuenta SYS

7). Consulta de intentos del exploit AUTH_ALTER_SESSION

SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$;

8). Consulta de intentos de iniciar una sesiÛn la base de datos a travÈs de XML (XDB)

SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$;
SELECT COMMENT$TEXT FROM SYS.AUD$ WHERE USERID = ‘DBSNMP’;
SELECT TERMINAL,SPARE1,TIMESTAMP# FROM SYS.AUD$ WHERE USERID=’DBSNMP’;

9). Consulta si la Auditoria esta habilitada

SELECT USER_ID, SESSION_ID, SAMPLE_TIME FROM SYS.WRH$_ACTIVE_SESSION_HISTORY ORDER BY SAMPLE_TIME;
SELECT USERID, ACTION#, RETURNCODE, TIMESTAMP# FROM SYS.AUD$;
SELECT USERID,ACTION#,TIMESTAMP#,LOGOFF$TIME FROM AUD$;

10). Consulta del archivo sqlnet.log,Agntsrvc.log, spfilesid.ora, o el init.ora todas las ubicaciones referentes a estos parámetros:

audit_file_dest ——-> Sistema de Auditoria (ORACLE_HOME/rdbms/audit)
background_dump_dest ——-> archivo alert.log y tracer de procesos ($ORACLE_HOME/admin/$ORACLE_SID/bdump)
core_dump_dest ——-> archivos Oracle core dump ($ORACLE_HOME/DBS/)
db_recovery_file_dest ——-> redo logs, flashback logs, y RMAN backups
user_dump_dest ——-> Archivos trace debuggin procesos/usuarios (/oracle/utrc)
utl_file_dir ——-> Especifica uno o m·s directorios que Oracle debe utilizar para PL/SQL archivos E/S.
control_files ——-> Especifica uno o varios nombres de archivos de control de Oracle
db_create_file_dest ——-> Especifica la ubicación predeterminada de archivos de datos administrados por Oracle.
db_create_online_log_dest_n—-> Especifica la ubicación de los redo logs y file control
log_archive_dest ——-> Es aplicable solo si la BD esta en modo de ARCHIVELOG
log_archive_dest_n ——-> Define hasta 10 archivos de registros logs.

11). Consulta de archivos Log Listener (ORACLE_HOME/network/admin/listener.ora) (lsnrctl status me dara la ubicación actual)

12). Revisión de los LOGS de sentencias(SQL $ORACLE_HOME/bin/LOGIN.SQL,$ORACLE_HOME/dbs/LOGIN.SQL,$ORACLE_HOME/SQLPlus/admin/glogin.sql)

13). Consultando informacion de los inicios de Sesion:

SELECT USER_ID, SESSION_ID, SAMPLE_TIME FROM SYS.WRH$_ACTIVE_SESSION_HISTORY

14). Consultar una lista de usuarios y roles, usuarios con función de DBA, para buscar inconsistencias,o usuarios creados por un atacante y la generación de contraseñas fuertes con la validación de los hash, cuentas bloqueadas, tiempos de password

SELECT USER#, NAME, ASTATUS, PASSWORD, CTIME, PTIME, LTIME FROM SYS.USER$ WHERE TYPE#=1;
SELECT U.NAME AS “GRANTEE”, U2.NAME AS “ROLE” FROM SYS.USER$ U,SYS.USER$ U2, SYS.SYSAUTH$ A WHERE U.USER# = A.GRANTEE# AND PRIVILEGE# = U2.USER#;

15). Consultar una lista de objetos y privilegios en el sistema

SELECT U.NAME AS “GRANTEE”, P.NAME AS “PRIVILEGE”, U2.NAME AS “OWNER”, O.NAME AS “OBJECT” FROM SYS.USER$ U, SYS.USER$ U2,SYS.TABLE_PRIVILEGE_MAP P, SYS.OBJ$ O, SYS.OBJAUTH$ A WHERE U.USER# =A.GRANTEE# AND A.OBJ# = O.OBJ# AND P.PRIVILEGE = A.PRIVILEGE# AND O.OWNER#=U2.USER#;
SQL> SELECT OBJ#, OWNER#, NAME, TYPE#, CTIME, MTIME, STIME FROM SYS.OBJ$ ORDER BY CTIME ASC;

16). Consulta de tablas eliminadas

SELECT U.NAME, R.ORIGINAL_NAME, R.OBJ#, R.DROPTIME, R.DROPSCN FROM SYS.RECYCLEBIN$ R, SYS.USER$ U WHERE R.OWNER#=U.USER#;

17). Consulta de Directorios, archivos datos, archivos externos, tablas externas, buscando elementos perdidos o ubicados en sitios diferentes por el atacante.

SELECT T.NAME AS “TABLESPACE”, D.NAME AS “FILNAME” FROM V$DATAFILE D, TS$ T WHERE T.TS#=D.TS#;
SELECT U.NAME AS “OWNER”, O.NAME AS “DIRECTORY”, D.OS_PATH AS “PATH” FROM SYS.OBJ$ O, SYS.USER$ U, SYS.DIR$ D WHERE U.USER#=O.OWNER# AND O.OBJ#=D.OBJ#;
SELECT O.NAME, D.DEFAULT_DIR FROM SYS.OBJ$ O, SYS.EXTERNAL_TAB$ D WHERE D.OBJ# = O.OBJ#;

18). El Monitor del Sistema (SMON) MON_MOD$ Table

SELECT U.NAME AS “OWNER”, O.NAME AS “OBJECT”, M.OBJ#, M.INSERTS,M.UPDATES, M.DELETES, M.TIMESTAMP FROM SYS.MON_MODS$ M, SYS.USER$ U,SYS.OBJ$ O WHERE O.OBJ#=M.OBJ# AND U.USER#=O.OWNER#;

19). Revision de Triggers al encendido, apagado, inicio y terminacion de sesion

SELECT U.NAME AS “OWNER”, O.NAME AS “ENABLED_TRIGGER_NAME”,DECODE(T.TYPE#, 0, ‘BEFORE’,2, ‘AFTER’,'NOTSET’) AS “WHEN” FROM SYS.OBJ$ O, SYS.TRIGGER$ T, SYS.USER$ U WHERE O.OBJ#=T.OBJ# AND O.OWNER# = U.USER# AND ENABLED=1;
SELECT U.NAME AS “OWNER”, O.NAME AS “ENABLED_TRIGGER_NAME” FROM SYS.OBJ$ O, SYS.TRIGGER$ T, SYS.USER$ U WHERE O.OBJ#=T.OBJ# AND O.OWNER# = U.USER# AND ENABLED=1 AND BITAND(T.SYS_EVTS,1) = 1;
SELECT U.NAME AS “OWNER”, O.NAME AS “ENABLED_TRIGGER_NAME” FROM SYS.OBJ$ O, SYS.TRIGGER$ T, SYS.USER$ U WHERE O.OBJ#=T.OBJ# AND O.OWNER# = U.USER# AND ENABLED=1 AND BITAND(T.SYS_EVTS,2) = 2;
SELECT U.NAME AS “OWNER”, O.NAME AS “ENABLED_TRIGGER_NAME” FROM SYS.OBJ$ O, SYS.TRIGGER$ T, SYS.USER$ U WHERE O.OBJ#=T.OBJ# AND O.OWNER# = U.USER# AND ENABLED=1 AND BITAND(T.SYS_EVTS,8) = 8;
SELECT U.NAME AS “OWNER”, O.NAME AS “ENABLED_TRIGGER_NAME” FROM SYS.OBJ$ O, SYS.TRIGGER$ T, SYS.USER$ U WHERE O.OBJ#=T.OBJ# AND O.OWNER# = U.USER# AND ENABLED=1 AND BITAND(T.SYS_EVTS,16) = 16;

20). Consulta de librerias, que puedan estar ejecutando codigo arbitrario(malicioso)

SELECT U.NAME AS “OWNER”, O.NAME AS “LIBRARY”, L.FILESPEC AS “PATH” FROM SYS.LIBRARY$ L, SYS.USER$ U, SYS.OBJ$ O WHERE O.OBJ#=L.OBJ# AND O.OWNER#=U.USER#;

21). Consultas de FlashBack (nuevos privilegios, derechos asignados, nuevos objetos, objetos eliminados) entre la tabla actual y la anterior en un tiempo determinado.

SELECT GRANTEE#, PRIVILEGE# FROM SYS.SYSAUTH$ MINUS SELECT GRANTEE#, PRIVILEGE# FROM SYS.SYSAUTH$ AS OF TIMESTAMP(SYSDATE – INTERVAL ‘3600′ MINUTE);
SELECT NAME FROM SYS.OBJ$ MINUS SELECT NAME FROM SYS.OBJ$ AS OF TIMESTAMP(SYSDATE – INTERVAL ‘156′ MINUTE);
SELECT NAME FROM SYS.OBJ$ AS OF TIMESTAMP(SYSDATE – INTERVAL ‘156′ MINUTE) MINUS SELECT NAME FROM SYS.OBJ$;

22). Consulta de las tablas RECYLEBIN$ y OBJ$

SQL> SELECT MTIME, NAME, OWNER#, OBJ# FROM SYS.OBJ$ WHERE NAME LIKE ‘BIN$%’;

23). Consultas la Administracion automatica Deshacer ( UNDOTBS01.DBF)

SELECT SEGMENT_NAME,HEADER_FILE,HEADER_BLOCK,EXTENTS,BLOCKS FROM DBA_SEGMENTS WHERE SEGMENT_NAME LIKE ‘_SYSSMU%$’;

24). Consulta de los logs del Apache (Oracle Application Server)

25). ¿faltó algo? háznoslo saber en los comentarios.

Actualizado:
El usuario coco, nos comparte una serie de scripts que utiliza en su trabajo para auditar su base de datos oracle, puedes basarte en ellos para auditar tu propia DB de oracle.

También puede interesarte...

¿Es suficiente la seguridad lógica en entornos de alta seguridad?

DragoN — Fri, 06 Nov 2009 02:47:21 +0000

Cuando se piensa en seguridad informática casi siempre nos enfocamos a equipos firewalls, sistemas o software de trafico, IDS, y demás herramientas relacionadas con aquellas actividades que te permiten proteger o en su caso atacar a sistemas de computo vulnerables. Sin embargo poco se habla de los sistemas se seguridad física, los cuales son aplicados en muchos lugares que visitamos sin siquiera percatarnos de que existen o para que nos pueden servir en un enfoque global de seguridad de la información a empresas o entidades.

Si alguna empresa llama a una consultoría para realizar una auditoría para proteger sus sistemas de ataques de hackers, muchas de ellas de no estar bien capacitadas o documentadas se enfocaran al 100% en registrar vulnerabilidades en servidores, servicios y aplicaciones, pero que pasa con la gente? Que pasa con la ingeniería social?; ya no se acuerdan del caso 1 KEVIN MITNICK personaje que además de ser un estupendo hacker montado en su portátil desarrollo una gran habilidad en el ámbito del engaño, habilidad conocida como “Ingeniería Social”, dicen los expertos que no hay mejor manera de hacer una instrusión que utilizar los ojos, la palabra y la mente, esas herramientas son las mas efectivas y letales.

Contemplando este escenario existe equipo que permiten disponer de un control físico de las persona y cosas que ingresan a un lugar donde se puede suscitar algún ilícito como es el robo de información.

¿Que dispositivos conoces?

Te enumerare solo algunos de los que se manejan en un mercado tan cerrado y tan limitado como este.

CCTV . Sistema de Circuito Cerrado de Televisión, este sistema instalado en lugares como bancos, restaurantes, centros comerciales, calles, oficinas, etc; es sin duda unos de los sistemas de vigilancia física más utilizados y comerciales que existen hoy en día, sin embargo es importante conocer qué debemos de contemplar al implementar un sistema como estos, para que en el momento de la verdad, nuestros vídeos muestren las evidencias que necesitamos.

Es posible montarte un sistema de estos por 500 dolares, o bien si tienes un par de horas, un par de webcams y Linux, puedes instalar tu pequeño sistema de monitoreo con aplicaciones de código abierto como ZONE MINDER o MOTION (Espero pronto escribir un tutorial de como implementar ambos sistemas).

Detectores corporal y de cavidades. Empresas como OD Security comercializa equipos como 2CONPASS o SOTER RS, que permiten detectar en un pase de riel todo lo que llevas debajo de la ropa e inclusive en las cavidades de tu cuerpo, proyectandolas en una pantalla que puede estar instalada a varios metros de distancia; estos equipos funcionan por medio de un sistema de rayos “X” de baja intensidad pero alta penetración que no afecta a las personas con uso mesurado del mismo, estos equipos se localizan en cárceles federales, edificios de gobierno e inclusive en instalaciones de oficinas de asuntos relacionados con seguridad nacional.

Detectores de drogas y explosivos. El terrorismo es un mal que se ha venido desarrollando ya desde hace muchos años y con el avance de la tecnología se han podido elaborar armas realmente letales y fáciles de fabricar como explosivos portátiles C4; derivado de esto empresas como SMITH DETECTION desarrolla equipos de detección de explosivos que permiten por medio de una muestra que obtienen de tallar tus manos con un paño saber si estuviste expuesto o manipulaste drogas o explosivos y de esta forma no permitir el acceso a lugares protegidos, se aplica a cárceles, oficinas, embajadas, etc.

Existen de otros tipos como son:

Equipos de rayos X para bultos y objetos
Equipos portátiles y arcos de detección de metales
Equipos portátiles identificadores de sustancias químicas y de gases
Equipos de detección de objetos adheridos al cuerpo mediante RFID
Sistemas de detección Perimetral (Articulo que me gustaría escribir más adelante ya que es
una división muy profunda e interesante.
Etc.

Como se puede apreciar existe un gama muy grande de soluciones que muy poca gente conoce y lo peor de todo no se aplica, en algunos casos por presupuesto ya que son muy altos en costo y en algunos otros casos por el desconocimiento de su existencia.

Saludos
TuxH1

También puede interesarte...

SeguriSemanal III

Cortex — Mon, 15 Jun 2009 03:47:03 +0000

Una semana más que finalizamos, haciendo eco a las noticias más relevantes de cada semana.

Destacamos el lanzamiento de la versión 11 de Fedora (Leonidas), la cual en el transcurso de la semana ha dado mucho de que hablar gracias a sus múltiples mejoras como el soporte de huellas integrado, la integración del proyecto LTSP, DeviceKit (alternativa a HAL), y mucho más.
Para los usuarios de Drupal se encuentra disponible un libro en el que se explica muchos de los ataques a los que estás expuesto al hacer uso de este CMS y además como evitarlos. El libro se llama Cracking Drupal y aquí encuentras su índice.
Ya se encuentra disponible la versión 2.6.30 del Kernel Linux, se incluyen múltiples cambios especificados en el ChangeLog. Lo más probable es que la distribución que estés usando se demore para agregarlo a los repositorios así que lo más recomendado es compilarlo por tí mismo.
Hace algunos días ya, se había hablado de una vulnerabilidad en VMware Workstation que al ser explotada permitía acceso a la máquina anfitrión. Se hablan sobre varias herramientas que facilitan la explotación de la vulnerabilidad.
Lanzada la versión 1.7 de Kerberos 5. Para los que no saben Kerberos es un protocolo de autenticación de red, diseñado para proveer autenticaciones fuertes para aplicaciones cliente/servidor usando una clave secreta. Más información aquí.

Feliz fin de fin de semana para todos y con la expectativa de una nueva semana llena de muchas sorpresas.

También puede interesarte...

Las mejores extensiones de Firefox para mejorar tu seguridad

Cortex — Sat, 13 Jun 2009 23:57:53 +0000

Continuando con la colección de extensiones Firefox imprescindibles para mejorar nuestra navegación, veremos hoy algunas de las mejores enfocadas a la seguridad en la red. Ayer veíamos addons sobre Privacidad, pero como resalté anteriormente la privacidad es sólo uno de los tantos aspectos de los que debemos preocuparnos al utilizar Internet. Lastimósamente, la red está plagada de Malware y no sólo tener un buen antivirus y un firewall te mantendrá protegido (aunque si ayudan) ya que en la mayoría de los casos la desinformación del usuario (capa 8 ) es la responsable de la no filtración del contenido al que accede.

Quizás la herramienta más usada a diario es nuestro navegador Web por este motivo es muy importante tener un balance entre usabilidad/seguridad para posiblemente ahorrarnos más de un dolor de cabeza.

AI Roboform Toolbar for Firefox: Funciona como barra de herramientas con RoboForm para administrar y proteger tus contraseñas.

Dr.Web anti-virus link checker: Verifica que los archivos no tenga virus antes de descargarlos, lo mismo para los sitios web.

FirePhish Anti-Phishing Extension / iTrustPage / Personal Anti-Phishing Sidebar / PhishTank SiteChecker: Extensiones que te permiten estar alerta sobre el ingreso a un sitio web con contenido falsificado (Phising) haciendo uso de bases de datos que contienen URLs identificadas de este tipo.

FormFox: Al poner el cursos sobre un formulario, te muestra haciendo donde vá la información que estás escribiendo.

KeyScrambler Personal: Encripta lo que escribes para protegerte de keyloggers.

Link Alert: Cambia el color de tu cursor para indicar visualmente lo que hace el link que estás apuntando.

Magic Password Generator: Haciendo uso de una contraseña maestra genera contraseñas únicas para cada sitio. También auto-rellena direcciones de correo electrónico y nombre.

NoScript: 100% RECOMENDADA. Bloquea cualquier código malicioso de páginas que no estén en la lista blanca de sitios en los cuales usted confía. Más información sobre NoScript aquí.

Password Exporter: Permite importar y exportar tus contraseñas entre diferentes copias de Firefox.

Password Hasher: Genera automáticamente contraseñas fuertes, permite actualizarlas y cambiarlas mucho más rápido.

PasswordMaker: Ayuda a encriptar y almacenar las contraseñas.

PopupMaster: – Agrega un bloqueador de popups a la barra de estado.

QArchive.org web files checker: – Instálalo y con un simple clic derecho puedes realizar un escaneo de malware, virus, troyanos, etc. antes de descargar.

QuickJava: – Dá la posibilidad de activar/desactivar Java por medio de un botón.

Secure Login: – Almacena información de login y llena los formularios con un clic.

SecurePassword Generator: – Generador de contraseñas fuertes.

SignupShield Passwords: – Administrador de contraseñas (1-Click), rellena formularios, tiene control anti-spam y anti-phising.

SplitLink: – Elimina símbolos especiales en las URLs para que puedas saber mejor hacia que

VeriSign EV Green Bar Extension: – Verifica la información de los certificados seguros y pone la barra de direcciones de color verde para hacértelo saber.

FireGPG: Sugerida por mi amigo Vierito. Esta extensión provee una interfaz para encriptar, desencriptar, firmar o verificar la firma de algún sitio web usando GnuPG.

Y tú, ¿Que otra extensión usas?

También puede interesarte...

Las mejores extensiones de Firefox para mejorar tu privacidad

Cortex — Sat, 13 Jun 2009 03:47:44 +0000

A la hora de usar Internet se presentan muchos factores que resultan ser muy importantes para poder realizar una navegación segura. Uno de ellos es la privacidad, a la que podríamos definir como la capacidad de controlar quien puede tener acceso a la información que posee un determinado usuario. Sin darnos cuenta, mientras navegamos, dejamos información sobre nosotros, nuestros hábitos en la red, y muchos más datos que segúramente quisiéramos proteger.

Una de las tantas capacidades de Firefox es la posibilidad de agregar extensiones, las cuales amplían la funcionalidad del navegador. Conozcamos algunas de las mejores que nos permiten mejorar notablemente nuestra privacidad.

Add ‘N’ Edit Cookies: Editor de cookies que permite editar “sesiones” y cookies guardadas.

Anonymization Toolbar: Barra que permite navegar anónimamente en Internet, también permite borrar inmediatamente tus datos sensibles (cache e historial) con una simple combinación de teclas.

BrowseAtWork: Permite abrir la página actual, o un enlace en la página actual, anónimanente con BrowseAtWork.com agregando un acceso directo al menú contextual.

BetterPrivacy: BetterPrivacy es un protector de cookies (también de cookies de Flash). Bloquea cookies de Youtube, Google, Ebay, por nombrar unos pocos. Trae bastantes opciones de configuración lo cual la hacen una completa extensión.

Close’n forget: Extensión muy simple que al momento de cerrar una pestaña hace que Firefox olvide la visita (borrando las cookies de la página realacionada, limpiando el historial del navegador, y mucho más).

CookieCuller: Mantén las cookies que quieras, borrar automáticamente el resto.

CookieSafe: Permite fácilmente controlar los permisos de las cookies. Aparece en la barra de estado y para usarlo bastaría con hacer clic en el botón permitir, bloquear, ó permitir que temporalmente el sitio use cookies.

CookieSwap: Posibilita intercambiar todas las cookies de manera que por ejemplo puedas estar logueado fácilmente en múltiples cuentas de correo electrónico (como Gmail, Yahoo!) con diferentes usuarios al mismo tiempo y fácilmente cambiar entre ellos.

Distrust: Mientras está activada la extensión irá almacenando todo el historial de la navegación, al desactivarla, se borrará todo lo que almacenó.

Extended Cookie Manager: Dá acceso rápido al control de las cookies y permite cambiar los permisos.

FoxTor: Te permite “enmascararte” y “desenmascararte” a medida que vás navegando en la web.

FoxyProxy: Avanzado gestor de proxies que reemplaza completamente las limitadas capacidades de Firefox. Ofrece aún más capacidades queSwitchProxy, ProxyButton, QuickProxy, xyzproxy, ProxyTex, TorButton, etc.

Gish It! / Temporary Inbox / Spamavert.com / MailNull Now!: Estas extensiones te permiten proteger tu bandeja de entrada de Spam, haciendo uso de direcciones de correo temporales para ser usadas en la web, en los formularios de registro de sitios web que no estás seguro de que son.

Ghostery: Te alerta sobre los sitios webs que están guardando registros tuyos.

hideBad: ¡ÚTIL! Esconde cosas malas Guarda todas las pestañas, las cierra y abre la página de inicio. Te permite borrar el historial, las cookie, caché y contraseñas y después restaurarlas.

Panic: Permite cerrar instantáneamente todas las pestañas abiertas y reemplazarlas por otra de tu escogencia. Así que la próxima vez que llegue tu jefe y tu estés en Facebook simplemente presiona Alt + ` y serás llevado a la página predefinida en un segundo.

SafeHistory: Restringe la aparición de determinados sitios en el historial.

ShowIP: Visualiza la dirección IP de la página que estés visitando, mirar su hostname y hacer una cosulta whois.

Stealther: Desactiva temporalmente las cookies, el historial de navegación y mucho más para no dejar ninguna huella de tu navegación mientres esté activa.

TabRenamizer / Page Title Eraser: La primera permite renombrar las pestañas de tu navegador a nombres aleatorios. La segunda eliminará el título y el favicon de una pestaña de manera que nadie pueda saber que hay abierto en todas tus pestañas

Torbutton: Botón que con un clic activa y desactiva el uso de Tor para una navegación segura.

Unhide Password: Si estás en un entorno seguro y privado puede desactivar el ****** al escribir contraseñas.

View Cookies: Te muestras las cookies que aloja en tu navegador el sitio web que estás visitando.

¡También puedes ver una lista con las mejores extensiones Firefox para mejorar tu Seguridad!

También puede interesarte...

SeguriSemanal II

Cortex — Mon, 08 Jun 2009 01:00:40 +0000

Y despedimos otra semana más acompañado de nuestro habitual boletín de seguridad y alguna otra tendencia. Bastante información compartida en la red esta semana y más de un lanzamiento (que para el que no sabía) le arreglará el día.

En el día de ayer como se había anunciado previamente, la Comunidad DragonJAR estuvo presente en el BarCamp Medellín, en resumen el evento estuvo excelente y felicitamos por la perfecta coordinación que realizaron Laura Camila, Emerson y Camilo (cabezas principales del evento) y a todas las demás personas que hicieron parte de la logística. En el día de mañana habrá información más detallada del evento.
La gran noticia de la semana es el lanzamiento de OpenSolaris 2009.06. Se incluyen múltiples mejoras en muchos aspectos del sistema, ZFS, Virtualización, Rendimiento, y mucho más.
A pesar de que aún se encuentra en fase de desarrollo, Windows 7 está superando con creces a su hermano mayor Windows Vista. Se incluyen muchas cosas nuevas que pueden confundir a más de uno, por este motivo la gente de Ethek ha decidido crear una serie de artículos en los que enseñar a usar muchas cosas que quizás no conoces. I II III IV V VI.
Ya se encuentra disponible la Edición 37 de SET, una E-Zine dedicada al Hacking. Encontramos muchos temas interesantes como Ingeniería Social y estafas, Programando Shellcodes IA32, HeapOverflows en Linux, y mucho más. Descárgala aquí.
octalh de Aztek Mindz ha desarrollado una herramienta para los routers 2wire 2701HG-T que permite entre sus varias utilidades permite obtener información sobre el dispositivo, obtener la lista de los equipos, borrarla, resetear contraseña, entre otros. Aquí encuentras el ejecutable.
En IronGeek nos muestran como podemos proteger la cache ARP para evitar ataques de envenenamiento de ARP haciendo usa de la herramienta ARPFreeze.
El próximo martes Microsoft hará publico el habitual boletín de seguridad mensual para el mes de Junio, ya se encuentra un adelanto de lo que habrá.
Little Snitch es una aplicación para Mac que te permite mantenerte informado sobre las conexiones exteriores que se intenten establecer. La versión 2.1.4 ya está aquí.

Una semana más que se culmina, con la expectativa de que la que nos recibirá será mucho mejor.

También puede interesarte...

(IN)SECURE Magazine Edición 21

Cortex — Tue, 02 Jun 2009 16:18:42 +0000

Ya se encuentra disponible la edición 21 (Julio 2009) de la revista (IN)SECURE. Se hace un énfasis especial a la Seguridad de Windows 7 destacando el análisis de varios aspectos como el modo de autenticación de usuarios, Bitlocker, firewall, UAC, y mucho más.

Algunos de los temas tratados en esta publicación:

Malicious PDF: Get owned without opening
Review: IronKey Personal
Windows 7 security features: Building on Vista
Using Wireshark to capture and analyze wireless traffic
“Unclonable” RFID – a technical overview
Secure development principles
Q&A: Ron Gula on Nessus and Tenable Network Security
Establish your social media presence with security in mind
A historical perspective on the cybersecurity dilemma
A risk-based, cost effective approach to holistic security
MUCHO MÁS…

Un total de 141 páginas y 14MBs.

Descargar