La Comunidad DragonJAR

Gran controversia a levantado la pequeña gimnasta olímpica He Kexin por el hecho de que según su pasaporte y la Fédération Internationale de Gymnastique (FIG) su fecha de nacimiento es Enero 1 de 1992 sin embargo algunas pequeñas investigaciones en Google podrían mostrar algo como Enero 1 de 1994.

La investigación se puede ver en algunos posts del blog de Stryde un consultor informático en defensa de la seguridad de la información.

Según Stryde si hacemos unas pequeñas búsquedas usando buscadores web podemos encontrar las discrepancias de fechas que han levantado está controversia.

Leer el resto de la entrada »

Un nuevo ataque de inyección de SQL ha venido circulando la semana pasada, y parece que ha infectado algunos cientos de servidores web en la tarde del viernes pasado. Los ataques se ven similares al que se muestra a continuación, e intentan consultar por archivos aleatorios validos en el servidor web.

Las tablas de sysobjects y syscolumns son consultadas y esto nos da una muy buena pista: las maquinas que se están atacando corren MSSQL, y se esta guardando código HTML dentro de la base de datos. También es posible que los servidores web con Sybase database backends sean explotables, ya que Sybase utiliza de manera muy amplia la misma sintaxis y estructura de las tablas que MSSQL server. Leer el resto de la entrada »

Un nuevo estudio de la universidad de Michigan ha encontrado que mas del 75% de los websites bancarios no precisamente lo mejor en cuanto a seguridad se refiere.

El estudio estuvo compuesto de 214 sitios web de instituciones financieras, y se enfoco en fallas de diseño y practicas de seguridad impropias. Ninguna de estas fallas representa cuestiones de seguridad catastróficas, sin embargo muchas ayudan a un acceso mucho más fácil a las contraseñas y los nombres de usuarios, que son una llamada atractiva para cualquier atacante. Leer el resto de la entrada »

Gary McKinnon, también llamado ‘Solo’, entro al mundo de la fama tras haber entrado a los computadores del pentágono en los Estados Unidos. Se estará enfrentando a una sentencia de pasar el resto de su vida en la cárcel por haber entrado en casi un centenar de computadores militares y de la NASA. Esto es muy grave, ya que todas sus intrusiones ocurrieron justo después de los atentados del 11S. Leer el resto de la entrada »

El creador de Metasploit, el popular framework de explotacion que fue el primero en incluir un modulo funcional de la ultima vulnerabilidad de DNS, ha sido victima de su propio invento.

Martes por la mañana, en la compañia de Moore (BreakingPoint), tuvo redirecciones de parte de su trafico a una pagina falsa de Google que habia puesto un scammer. Segun Moore, el hacker fue capaz de hacer esto ejecutando la vulnerabilidad de envenenamiento de cache en un servidor DNS en las redes de AT&T que estaba en ejecucion en Austin, Texas. Leer el resto de la entrada »

Constantemente me llegan correos pidiendo información sobre como saltar los filtros implementados por empresas, colegios, universidades, gobiernos (he recibido varios mails de cubanos “desesperados”) para que sus usuarios no visiten ciertos portales en Internet.

Hoy me entero gracias a genβ y .geek sobre WebToMail, un portal con el que posiblemente muchas personas estarán agradecidos de ahora en adelante, ya que permite acceder a cualquier sitio web desde nuestra casilla de correos.

¿Como Funciona?

Enviamos un correo a send@webtomail.co.cc cuyo “asunto” sea la dirección de la pagina que queremos ver.

Esperamos unos pocos minutos y nos llegara un correo en nuestra cuenta con el código html del portal que especificamos en el asunto. Leer el resto de la entrada »

CERT ha anunciado un parche para múltiples implementaciones de DNS hoy, de manera masiva para muchas implementaciones diferentes. A principios de este año, el investigador Dan Kaminsky descubrió una vulnerabilidad básica en el protocolo DNS que ayudaría a los atacantes a comprometer cualquier servidor de nombres, incluyendo también a los clientes. Kaminsky ha venido trabajando en secreto con un grupo largo de vendedores en un parche coordinado. 81 vendedores han sido listados en la advisory de la CERT.

Esta disponible un podcast entrevistando a Dan Kaminsky y su sitio web contiene una herramienta de verificacion de DNS. Leer el resto de la entrada »

Hace una semana fue liberada la nueva versión del kernel de linux. En el correo anunciando su liberación se encuentra un pequeño resumen:

> It contains a number of assorted bugfixes all over the tree.  And once
> again, any users of the 2.6.25 kernel series are STRONGLY encouraged to
> upgrade to this release.

Lo curioso es que no mencionan muchos detalles acerca de la IMPORTANCIA de actualizar. Entre algunas respuestas al anuncio el equipo de PaX anuncio que dentro de los commits que se habían obviado mencionar se incluían una serie de correcciones al kernel que tenían alto impacto en la seguridad del mismo. (http://lwn.net/Articles/285438/, http://lwn.net/Articles/286263/, http://lwn.net/Articles/287339/, http://lwn.net/Articles/288473/)

En la misma discusión se cuestionaron las políticas de manejo de bugs “con impacto de seguridad” en los changelogs y demás notas de versiones, junto con otros aspectos de manejo de documentación al respecto. Esto llevo a que se hiciera hincapié en “la importancia de tener full/none/half/etc disclousures para los bugs que tengan relevancia en la seguridad”, con el siguiente párrafo:

so guys (meaning not only Greg but Andrew, Linus, et al.), when will you
publicly explain why you're covering up security impact of bugs? and even
more importantly, when will you change your policy or bring your process
in line with what you declared?

Luego, en un reply de Linus:

Security people are often the black-and-white kind of people that I can't
stand. I think the OpenBSD crowd is a bunch of masturbating monkeys, in
that they make such a big deal about concentrating on security to the
point where they pretty much admit that nothing else matters to them.

Y de hecho tiene muy buenas razones para haber dicho eso, ya que la industria de la seguridad informática se ha convertido en todo un teatro donde el que monte la mejor película es el que tiene la razón.

Linus dice que los bugs que tienen impacto en la seguridad son bugs normales, y tiene razón, técnicamente nadie diseña bugs en su software, y si tienes un bug probablemente no tengas la oportunidad de elegir si afecta o no en la integridad de la seguridad del kernel. Leer el resto de la entrada »

Kris Kaspersky, investigador y desarrollador, planea demostrar como un atacante puede vulnerar sistemas de información utilizando debilidades en los microprocesadores de Intel de manera remota usando JavaScript o paquetes TCP/IP sin importar el sistema operativo que la víctima este corriendo.

Kaspersky demostrará que dicho ataque puede ser posible en la próxima HITB (Hack In The Box) que empezará en Octubre, en Kuala Lumpur, Malaysia. Leer el resto de la entrada »

Una vez más, el proyecto OpenBSD soluciona uno de los bugs más viejos. Otto Moerbeek, desarrollador del proyecto OpenBSD, ha estado trabajando en una nueva implementación de malloc() con algunas características extra que ayudan a prevenir el desbordamiento de pila. La implementación de malloc() de Otto había estado probándose hasta que Nikolay Sturm reporto que había problemas con SPARC64 cuando se compilaban programas grandes escritos en C++. Por lo general, dichos programas fallaban no por sintaxis sino por un error interno del compilador (ICE, Internal Compliler Error).

La nueva implementación de malloc() de Otto tiene algunas características que no se encuentran en ninguna otra implementación: mueve asignaciones de memoria pequeñas que una pagina pero más grandes que la mitad de una pagina al final de la pagina, y así tener mayor chance de atrapar buffer overflows.

El bug lo encontró apagando su implementación de malloc() e investigando en SPARC64 hasta que usando una versión con símbolos de depuración del compilador pudo interpretar un backtrace con gdb en donde el compilador moría en yyparse(), una función generada por el generador yacc.

El bug solo se dispara en SPARC64, ya que esta arquitectura usa paginas de 8k. El tamaño del stack de yacc por omisión para C++ es de 24 * 200 = 4800 bytes.

Más información en BSD Journal.