La Comunidad DragonJAR » Herramientas Seguridad

Creando un Exploit Paso a Paso

DragoN — Fri, 12 Mar 2010 18:45:39 +0000

¿Cómo encontrar vulnerabilidades, escribir código shell, aprovechar la vulnerabilidad encontrada y finalmente, convertirlo en un módulo de Metasploit?, son algunas de las interrogantes que alguna vez nos hemos realizado y David Hoelzer , Senior Fellow en el Instituto SANS nos las resuelve con esta serie de vídeo tutoriales.

En los siguientes videoturiales, aprenderemos de la mano de David Hoelzer, como crear un Exploit paso a paso y convertirlo en un modulo de Metasploit para después utilizarlo con este excelente framework; aunque los vídeos se encuentran en ingles, son bastante prácticos y visuales, con lo que no tendremos ningún problema al seguirlos.

El código utilizado en los vídeos fue:

#include #include #include #include #include #include #include #include #include #include #include #include

#define PORT “7777″ // the port users will be connecting to

#define BACKLOG 10 // how many pending connections queue will hold

void vulnerable(char *net_buffer)
{
char local_buffer[120];
strcpy(local_buffer, net_buffer);
return;
}

void sigchld_handler(int s)
{
while(waitpid(-1, NULL, WNOHANG) > 0);
}

// get sockaddr, IPv4 or IPv6:
void *get_in_addr(struct sockaddr *sa)
{
if (sa->sa_family == AF_INET) {
return &(((struct sockaddr_in*)sa)->sin_addr);
}

return &(((struct sockaddr_in6*)sa)->sin6_addr);
}

int main(void)
{
int sockfd, new_fd; // listen on sock_fd, new connection on new_fd
struct addrinfo hints, *servinfo, *p;
struct sockaddr_storage their_addr; // connector’s address information
socklen_t sin_size;
struct sigaction sa;
int yes=1;
char in_buffer[20], out_buffer[20], net_buffer[2048];
char s[INET6_ADDRSTRLEN];
int rv;

memset(&hints, 0, sizeof hints);
hints.ai_family = AF_UNSPEC;
hints.ai_socktype = SOCK_STREAM;
hints.ai_flags = AI_PASSIVE; // use my IP

if ((rv = getaddrinfo(NULL, PORT, &hints, &servinfo)) != 0) {
fprintf(stderr, “getaddrinfo: %s\n”, gai_strerror(rv));
return 1;
}

// loop through all the results and bind to the first we can
for(p = servinfo; p != NULL; p = p->ai_next) {
if ((sockfd = socket(p->ai_family, p->ai_socktype,
p->ai_protocol)) == -1) {
perror(“server: socket”);
continue;
}

if (setsockopt(sockfd, SOL_SOCKET, SO_REUSEADDR, &yes,
sizeof(int)) == -1) {
perror(“setsockopt”);
exit(1);
}

if (bind(sockfd, p->ai_addr, p->ai_addrlen) == -1) {
close(sockfd);
perror(“server: bind”);
continue;
}

break;
}

if (p == NULL) {
fprintf(stderr, “server: failed to bind\n”);
return 2;
}

freeaddrinfo(servinfo); // all done with this structure

if (listen(sockfd, BACKLOG) == -1) {
perror(“listen”);
exit(1);
}

sa.sa_handler = sigchld_handler; // reap all dead processes
sigemptyset(&sa.sa_mask);
sa.sa_flags = SA_RESTART;
if (sigaction(SIGCHLD, &sa, NULL) == -1) {
perror(“sigaction”);
exit(1);
}

printf(“server: waiting for connections…\n”);

while(1) { // main accept() loop
sin_size = sizeof their_addr;
new_fd = accept(sockfd, (struct sockaddr *)&their_addr, &sin_size);
if (new_fd == -1) {
perror(“accept”);
continue;
}

inet_ntop(their_addr.ss_family,
get_in_addr((struct sockaddr *)&their_addr),
s, sizeof s);
printf(“server: got connection from %s\n”, s);

if (!fork()) { // this is the child process
close(sockfd); // child doesn’t need the listener
memset(net_buffer, 0, 1024);
strcpy(out_buffer, “HELO\nCOMMAND:”);
if (send(new_fd, out_buffer, strlen(out_buffer), 0) == -1)
perror(“send”);
if (recv(new_fd, net_buffer, 1024, 0))
{
vulnerable(net_buffer);
strcpy(out_buffer, “RECV: “);
strcat(out_buffer, net_buffer);
send(new_fd, out_buffer, strlen(out_buffer), 0);
}
close(new_fd);
exit(0);
}
close(new_fd); // parent doesn’t need this
}

return 0;
}

También puede interesarte...

Como realizar un borrado seguro usando BleachBit

Epsilon — Sun, 31 Jan 2010 21:04:36 +0000

BleachBit es una herramienta multiplataforma (tanto Windows como GNU/Linux) que nos permite realizar un borrado seguro evitando dejar algunos rastros. Cabe resaltar que aunque existan este tipo de herramientas, siempre la informática forense estará un paso adelante descubriendo hasta los mas mínimos detalles de aquellos rastros que son imposibles de borrar. Sin embargo, con este pequeño articulo pretendemos explicar un poco mas a fondo esta herramienta, la cual es muy útil por que podemos borrar mucha información critica con solo un par de clicks.

La instalación es muy sencilla, pueden descargar el paquete para su sistema operativo (si es GNU/Linux pueden descargar el paquete según su distribución), o si lo prefieren aquellos usuarios de debian y derivados pueden descargar la herramienta desde los repositorios:

apt-get install bleachbit

Ejecutamos nuestra aplicacion ubicada en aplicaciones-herramientas del sistema-bleachbit y veremos algo como esto:

En esta pantalla pueden escoger los datos que desean eliminar, hay datos de muchas aplicaciones como amsn, apt, evolution entre otros, después de haber seleccionado las opciones, damos click en borrar y esperamos que la herramienta haga su trabajo. En el proceso pueden salir errores, generalmente son problemas de permisos para borrar archivos, para evitar esto pueden entrar a bleachbit con permisos de root.

Por otra parte, bleachbit nos ofrece una exploración profunda, de esta forma la aplicacion escaneara todo el disco duro buscando archivos como:

Thumbs.db
Copias de seguridad
archivos basura

Hay que tener en cuenta que todos los archivos que borremos podrán ser recuperados, para hacer “irrecuperables” estos archivos debemos activar la casilla de sobre escribir archivos para ocultar su contenido, ubicada en el menú de preferencias:

Ahora si lo que deseamos es triturar o eliminar algunos archivos específicos podemos hacerlo con esta aplicacion, debemos ir a archivo y escoger la opción de triturar archivos, posteriormente buscamos los archivos a eliminar y eso es todo.

Como pueden ver bleachbit es una herramienta muy completa para borrar no solamente la basura de tu sistema, sino también aquellos archivos que nadie puede ver.

Mas Información:
Pagina Oficial de BleachBit

También puede interesarte...

Video: Explotando WM Downloader

Epsilon — Fri, 29 Jan 2010 19:07:26 +0000

WM Downloader es un reproductor de Windows y un MP3 Stream Rippe/grabber (No graba directamente los sonidos desde el programa), el cual hace mas fácil descargar streaming de Windows y SHOUTcast Streams. Con este programa puedes descargar de manera muy sencilla todos tus podcast o videopodcast favoritos.

Sin embargo WM Downloader en su versión 3.0.0.9 presenta algunos fallos de seguridad considerables, así lo demuestra DouBle Zer0 Zer0, en un vídeo donde nos muestra como se puede explotar una vulnerabilidad de tipo “stack overflow” creando archivos m3u corruptos. A continuación el vídeo, y el exploit lo pueden visualizar desde acá.

Mas Información:
WM Downloader (.M3U File) Local Stack Overflow POC
Pagina Oficial del WM Downloader

También puede interesarte...

Bypass con Metasploit: atacando a nuestro objetivo desde una maquina ya comprometida

Epsilon — Sun, 24 Jan 2010 21:12:55 +0000

Algunas veces, al realizar un ataque es necesario vulnerar varias maquinas hasta llegar a nuestro objetivo final, uno de los interrogantes mas comunes en estas situaciones es ¿Como puedo atacar una maquina desde otra la cual ya tenga acceso?

Veamos un ejemplo:

Como podemos ver en la imagen anterior, un atacante puede ganar el acceso en algún servidor que se encuentre en la DMZ (zona desmiritalizada) y desde allí atacar otras maquinas que se encuentren detrás del cortafuegos. Para hacer esto posible el amado y conocido Metasploit nos puede ser muy útil.

El primer paso obviamente es encontrar una vulnerabilidad en el servidor que se encuentra en la DMZ, explotarla usando como payload meterpreter. En la consola del metasploit digitamos:

use [exploit que ataca la vulnerabilidad encontrada] set PAYLOAD windows/meterpreter/bind_tcp set RHOST [ip_host_dmz] exploit-que-ataca-la-vulnerabilidad-encontrada

Ahora necesitamos saber el ID de la sesión, para esto digitamos lo siguiente en la consola de meterpreter:

sessions -l

El siguiente paso es crear una ruta hacia la maquina objetivo, indicando su ip, la mascara y el ID session que obtuvimos en el paso anterior:

msf> route add [ip_maquina_objetivo] [Mascara de red] [ID-Session]

Por ultimo, lanzamos el ataque a la maquina objetivo, de forma normal como se haría en cualquier caso, es decir buscando la vulnerabilidad y aplicando el exploit respectivo, lo diferente es que debemos decirle al metasploit que debe pasar por el pc que ya se tiene acceso:

msf> use [exploit_necesario] msf> set PAYLOAD windows/meterpreter/bind_tcp msf> set RHOST [maquina_objetivo] msf> exploit

De esta forma podremos bypassear usando el metasploit, algo muy útil para todos los interesados en el área de la seguridad informática

También puede interesarte...

Vídeo: Introducción al Metasploit Framework

Epsilon — Wed, 20 Jan 2010 05:16:04 +0000

Todo aquel individuo que este relacionado con el mundo de la seguridad informática, debe manejar o por lo menos conocer el metasploit framework, esta herramienta es fundamental y debe estar en todo “kit de herramientas” de cualquier consultor u auditor de la seguridad de la informacion.

Por otra parte, los usuarios que apenas comienzan a indagar sobre la seguridad en los sistemas y que han escuchado hablar sobre el metasploit, preguntan frecuentemente si existe un gran manual de este framework, el cual sea entendible y completo, en la red existen varios manuales de esta aplicacion, por ejemplo:

Sin embargo, como dicen : ” una imagen vale mas que mil palabras” o en este caso un vídeo, ya que la gente de Room362 ha publicado un excelente vídeo sobre los fundamentos básicos del proyecto metasploit. Este vídeo quizás es un paso obligado para todos nosotros los newbies en el apasionante campo de la seguridad informática.

También puede interesarte...

Video: Ataque de envenenamiento de cookies (Cookie-Poisoning)

Epsilon — Tue, 19 Jan 2010 05:14:44 +0000

El ataque de envenenamiento de cookies o mas conocido como cookie poison, consiste en modificar el contenido una cookie con el fin de saltar algunos mecanismos de seguridad que se basan en este método.¿ Pero que es una cookie? para todos aquellos que no tengan claro que es una cookie (no es una galleta) cito la wiki:

Una cookie (pronunciado ['ku.ki]; literalmente galleta) es un fragmento de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página. Esta información puede ser luego recuperada por el servidor en posteriores visitas. En ocasiones también se le llama “huella”.

Con este tipo de ataque se pueden hacer cosas muy interesantes entre las cuales tenemos:

robo de identidad.
Obtener informacion no autorizada.
Modificar algunos datos.
Robar sesiones.

En el siguiente vídeo la gente de imperva nos muestra como podemos hacer efectivo una ataque de cookie poisoning usando la herramienta llamada: paros proxy la cual funciona como un proxy, permitiendo capturar las peticiones HTTP e incluso las HTTPS, De esta forma y con un poco de malicia y suerte se pueden realizar este tipo de ataques. A continuación el vídeo demostrativo:

Mas Información:
Using Cookie Poisoning to Bypass Security Mechanisms

También puede interesarte...

Como detectar y prevenir escalada de privilegios en GNU/Linux

Epsilon — Mon, 18 Jan 2010 20:56:45 +0000

Hoy en día es muy común la escalada de privilegios en sistemas GNU/Linux debido a diferentes fallos de seguridad que se descubren en el kernel de linux. Sin embargo existe una herramienta llamada NINJA que nos permite detener y prevenir este tipo de ataques, monitoreando toda la actividad de los procesos locales y además guardando un log con la informacion de todos los procesos ejecutados como root. Adicionalmente Ninja puede matar todo aquel proceso que haya sido creado por usuarios no autorizados.

Ninja actualmente se encuentra en la versión 0.1.3 y se instala desde los repositorios.

apt-get install ninja

La configuración de NINJA consta de el archivo de configuración y un archivo llamado whitelist donde se almacenaran los ejecutables el grupo y los usuarios que podrán correrlos, estos dos se encuentran en la carpeta /etc/ninja. Adicionalmente debemos crear un archivo que guardara el log de nuestra herramienta, para esto hacemos lo siguiente:

touch /var/log/ninja.log chmod o-rwx /var/log/ninja.log

Ahora creamos un grupo llamado ninja(por favor tomen nota del GID):

addgroup ninja

El siguiente paso consiste en agregar nuestro usuario y el usuario root al grupo que acabamos de crear:

usermod -a -G tusuario usermod -a -G root usermod -a -G messagebus

Editamos el archivo de configuración:

gedit /etc/ninja/ninja.conf

Buscamos las siguientes lineas y hacemos los cambios respectivos

group= GID -> aquí debe ir el GID que guardaste cuando creaste el grupo ninja daemon=yes interval=0 logfile=/var/log/ninja.log // asegúrese de quitar el # del comentario whitelist=/etc/ninja/whitelist no_kill = no no_kill_ppid = no

El turno es para la lista blanca abrimos el archivo y borramos la linea de SUDO ya que en Debian no se utiliza, quedaría de esta forma:

/bin/su:users: /bin/fusermount:users: /usr/bin/passwd:users: /usr/bin/pulseaudio:users: /usr/sbin/hald:haldaemon: /usr/lib/hal/hald-runner:haldaemon:

Por ultimo agregamos ninja al inicio, adicionamos la siguiente linea en el archivo /etc/rc.local:

/usr/sbin/ninja /etc/ninja/ninja.conf

Solo nos queda reiniciar y probar que nuestro ninja este funcionando como debería.

Haciendo una pequeña prueba

Después de reiniciar, y ver que ninja se esta ejecutando haremos una pequeña prueba:

Cuando detecta un proceso prohibido:

Cabe resaltar que es fundamental leer toda la documentación del paquete ya que pueden haber configuraciones diferentes para cada situación y sistema. Recordemos que en el campo de la seguridad, no solo basta con instalar la aplicacion sino que también es importante personalizar la configuración, es decir, evitar las configuraciones por default.

Mas Información:
Pagina Oficial del NINJA

También puede interesarte...

Extensiones de Firefox para Auditorias de Seguridad

DragoN — Wed, 13 Jan 2010 23:50:57 +0000

Hace poco tenia una conversación con epsilon sobre cambiar el Firefox por uzbl en un proyecto que se esta gestionando en la comunidad, sus argumentos era el “gran” consumo de recursos de firefox frente al uzbl, los míos que ese consumo era justificado, ya que firefox con los plugins adecuados, es una excelente herramienta de seguridad, ademas los navegadores web son la puerta el 90% de las cosas que realizamos frente a un computador y utilizar un navegador tan limitado como uzbl seria un impedimento, más que un beneficio.

Para reafirmar el uso de Firefox como Herramienta de Seguridad les presento FireCAT, un completo catalogo de las extensiones para Firefox, que están especialmente diseñadas para su uso en una auditoria de seguridad:

En la comunidad ya habíamos hablado del FireCAT en su versión 1.5, en esa ocasión, se había publicado el catalogo de extensiones para realizar auditorias con firefox en PDF y html, con esta nueva versión 1.6 el FireCAT pasa a estar disponible de forma online, en un mapa mas interactivo creado en flash:

Espero que les sea de utilidad y encuentren algunos buenos plugins que no conocian.

Mas Información:
Pagina Oficial del FireCAT

También puede interesarte...

Backtrack 4 Final

DragoN — Mon, 11 Jan 2010 05:07:05 +0000

Después de esperar mas de un año por una nueva versión de BackTrack, Offensive-Security por fin a liberado la versión 4 final de su producto estrella BackTrack.

En esta versión, no solo se han actualizado las herramientas incluidas en la pre-release del BackTrack, también han agregado herramientas como wapiti, CeWL, un nuevo Kernel (2.6.30.9), mejorado el soporte para hardware (especialmente en las tarjetas inalámbricas), sino que también se ha incorporado un nuevo modo de inicio “Forensics (no swap)”, que permite realizar análisis forense en la maquina sin realizar ningún cambio en ella (parecido a lo que hace Ubuntu Privacy Remix).

Offensive-Security también nos ha sorprendido gratamente con la creación de un nuevo dominio exclusivo para BackTrack (http://www.backtrack-linux.org),en el que podemos encontrar toda la información relacionada con esta excelente distribución.

A la lista de sorpresas podemos añadir una serie de “How To” oficiales, en los que nos muestran paso a paso como realizar algunas tareas básicas con BackTrack:

Install BackTrack to Hard Disk (Installer)
BackTrack Dual Boot Installation (XP / Vista / Windows 7)
Install BackTrack Live to USB (Unetbootin)
Install BackTrack Persistent to USB (With Nessus)
Install BackTrack Persistent to USB with full disk encryption
Install Backtrack to VMWare (with VMWware tools)
Customize BackTrack
BackTrack Forensics

Podemos descargar la versión FINAl de BackTrack 4 en dos presentaciones, la típica ISO para quemar y ejecutar el Live-CD:

Descargar ISO de BackTrack 4 FINAL, por descarga directa
Descargar ISO de BackTrack 4 FINAL, por BitTorrent

Tamaño: 1570 MB
MD5: af139d2a085978618dc53cabc67b9269

O una imagen de VMWare, con el BackTrack instalado:

Descargar Imagen de VMWare con Backtrack 4 FINAL

Tamaño: 2000 MB
MD5: 733b47fad1d56d31bc63c16b3706a11c

Mas Información:
Pagina Oficial de BackTrack

También puede interesarte...

CeWL – Generador de Diccionarios Personalizados

DragoN — Thu, 07 Jan 2010 05:44:23 +0000

CeWL es una herramienta escrita en ruby por Robin Wood, de DigiNinja.org, que permite generar diccionarios con palabras claves, que pueden ser utilizadas por programas como Cain & Abel, Bruter o John the Ripper, para realizar ataques de fuerza bruta .

Lo que diferencia CeWL de cualquier otra herramienta para generar listas de passwords, es que extrae las palabras claves desde una url, por lo que la lista generada es mas especifica y puede incluir palabras que no se encuentran en las tipicas listas de password, pero que posiblemente este siendo usada como clave por algun usuario del sistema.

El modo de uso de CeWL es el siguiente: cewl [opcion u opciones] URL, teniendo como opciones los siguientes parametros:

–help, -h: Muestra ayuda
–depth x, -d x: Nivel de profundida del escaneo
–min_word_length, -m: Tamaño minimo de cada palabra, util si no deseamos llenar la lista con palabras como “de”, “la”, “por”,etc..
–offsite, -o: Por defecto CeWL solo revisa una url especifica, con esta opcion escaneara tambien enlaces externos.
–write, -w file: Escribe la salida del CeWL en un archivo
–ua, -u user-agent: Cambia el user-agent
-v: Utiliza el modo Verbose, mostrando mas informacion de salida
–no-words, -n: No muestra la lista
–meta, -a: Incluye meta datos
–email, -e: Incluye correos encontrados
–meta-temp-dir directory: Especifica el directorio utilizado por exiftool para convertir los archivos, por defecto es /tmp
URL: La url a escanear

Descargar CeWL Generador de Diccionarios Basado en URL`s

Mas Información:
Pagina Oficial del CeWL