La Comunidad DragonJAR

sqlmap es una herramienta desarrollada en python para realizar inyección de código sql automáticamente. Su objetivo es detectar y aprovechar las vulnerabilidades de inyección SQL en aplicaciones web. Una vez que se detecta una o más inyecciones SQL en el host de destino, el usuario puede elegir entre una variedad de opciones entre ellas, enumerar los usuarios, los hashes de contraseñas, los privilegios, las bases de datos , O todo el volcado de tablas / columnas específicas del DBMS , ejecutar  su propio SQL SELECT, leer archivos específicos en el sistema de archivos y mucho más. Leer el resto de la entrada »

Pepelux miembro del grupo eNYe-sec ha publicado un documento en el que nos muestras las vulnerabilidades web mas populares que permiten acceso remoto a un sistema.

El contenido del paper es..

1 - Introducción

2 - Local y Remote File Inclusion (LFI/RFI)
2.1 - Introducción
2.2 - Ejecutando comandos remotamente
2.2.1 - Inyectando código PHP en los logs de apache
2.2.2 - Inyectando código PHP en la tabla de procesos
2.2.3 - Inyectando código PHP en una imagen Leer el resto de la entrada »

La gente de de Common Craft muy conocidos por explicarnos el funcionamiento de las cosas de forma que cualquier persona pueda entenderlas, han decidido publicar un nuevo vídeo donde explican (a la perfección, como siempre) como funciona el Phishing  y como protegernos de el.

Es recomendable que envíes el vídeo a tus conocidos para que estén enterados de los peligros que pueden correr en internet, recuerda que en nuestra sección de protección tenemos un buen listado de software anti phishing con el que te puedes proteger de este tipo de fraudes.

Se ha detectado un error grave en la librería Snoopy utilizada por Wordpress y otros CMS que permite la ejecución remota de comandos shell usando la funcion exec() de php .

Es recomendable la actualización inmediata de tu instalación de WordPress, como siempre tienes 2 opciones hacer una reinstalación completa, o reemplazar los archivos 3 que modificaron de la versión 2.6.2 a la 2.6.3.

Los archivos modificados en esta versión fueron.

wp-admin\includes\media.php
wp-includes\class-snoopy.php
wp-includes\version.php

Descargar la versión 2.6.3 de WordPress
Descargar archivos modificados de la versión 2.6.2 a la 2.6.3

Me entero gracias a chema alonso, sobre una nueva técnica utilizada para detectar el navegador de un visitante llamada Web Browsing Fingerprinting, esta técnica se se basa en la respuesta brindada por el navegador ante una petición especifica, como la respuesta a dicha petición varían según el navegador y su versión esto permite identificarlo sin hacer uso de su “UserAgent”.

El UserAgent es el nombre que identifica cada navegador y que envía cuando realiza una petición a un sitio web, pero este puede ser cambiado fácilmente (de forma manual o utilizando plugins como el User Agent Switcher para firefox) haciéndose pasar por otro navegador/bot/etc….

Por ejemplo, si encontramos un sitio web diseñado solo para iPhone, que permite ser visitado solo desde este dispositivo haciendo la validación por medio de su “UserAgent”, bastaría con cambiar el identificador en nuestro navegador  por “Mozilla/5.0 (iPhone; U; CPU iPhone OS 2_1 like Mac OS X; en-us) AppleWebKit/525.18.1 (KHTML, like Gecko) Version/3.1.1 Mobile/5F136 Safari/525.20” (UserAgent de un iPhone 3G) y podríamos entrar a este sitio “solo para iPhone” sin tener uno.

La cosa es distinta si en el portal se implementa el Web Browsing Fingerprinting ya que se ignora el valor enviado por el UserAgent y se intenta identificar el navegador por la respuesta que da a una petición especifica, WBfingerprinting es un sencillo código javascript que nos muestra el funcionamiento de esta técnica, pueden ver una prueba de concepto corriendo en los servidores de informatica64.

De momento solo son detectados los principales navegadores, pero su código fuente esta disponible para que puedas adaptarlo a tus necesidades.

Mas Información:
Web Browsing Fingerprinting
Javascript Web Browser Fingerprinting
Código Fuente
Un buen listado de UserAgent’s lo encuentran en zytrax

Ya se conocen los pormenores del  Clickjacking la vulnerabilidad descubierta por Jeremiah Grossman y Robert Hansen que tanto ha dado de que hablar en la red.

Estaba empezando a escribir sobre este bug basado en la explicación de Robert Hansen cuando veo en el blog de Jose Carlos Norte una explicación simple, detallada, con ejemplos…. y como últimamente ando un poco corto de tiempo mejor les doy el enlace…

Guya.net ha sacado un video en el que se utiliza el Clickjacking para permitir (sin darnos cuenta) el acceso de nuestra webcam a una animacion flash..

Tambien ha publicado su demo para que comprobemos nosotros mismos..

Giorgio Maone (creador de NoScript) ha sacado una nueva versión de su excelente extencion para Firefox que nos protege del Clickjacking en el Navegador estrella de la Fundación Mozilla.. (para otros navegadores ver estas recomendaciones)

Para Mas Información:
Clickjacking Details

Una vez más el navegador desarrollado por Google, conocido como Chrome, presenta una vulnerabilidad facilmente explotable, esta vez se trata de Memory Exhaustation desde un servidor web remoto, provocando así una denegación de servicio.

Esta vulnerabilidad puede ser fácilmente explotada por un usuario malicioso que publique en su página web el siguiente código:

<script language=”javascript”>
window.open(”\r\n\r\n”);
window.refresh();
window.open(”\r\n\r\n”);
</script>

Y esta web sea visitada utilizando Google Chrome.

Leer el resto de la entrada »

Clickjacking es el tema “de moda”, una vulnerabilidad descubierta por Jeremiah Grossman y Robert Hansen que afecta a TODOS los navegadores actuales (menos a links, lynkx y parecidos) y permite a un atacante tomar control de los vínculos que nuestro navegador con solo visitar una sitio malicioso. El bug no tiene relación con JavaScript así que deshabilitarlo no ayudará de mucho.

Leer el resto de la entrada »

Hace algunos días estaba realizando una instalación del sistema Linux Mint en mi Laptop, como de costumbre en cada reinstalación, incluyo las herramientas del proyectos OWASP (WebGoat, Pantera, WebScarab, etc.). Esta vez he sabido encontrarme con una agradable noticia, pues la mayoría de los proyetos OWASP contaba con su enlace correspondiente a la definición del mismo en idioma español.

Antes de continuar debo aclarar el concepto de OWASP para las personas que no estén familiarizadas con este espectacular proyecto (aunque ya he publicado varios recursos en la Web y el foro, ej. Guía de pruebas OWASP y F.A.Q de seguridad en aplicaciones Web -OWASP-), veamos entonces la descripción del proyecto desde la Wikipedia:

OWASP (acrónimo de Open Web Application Security Project, en inglés ‘Proyecto de seguridad de aplicaciones web abiertas’) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro. La Fundación OWASP es un organismo sin ánimo de lucro que apoya y gestiona los proyectos e infraestructura de OWASP. La comunidad OWASP está formada por empresas, organizaciones educativas y particulares de todo mundo. Juntos constituyen una comunidad de seguridad informática que trabaja para crear artículos, metodologías, documentación, herramientas y tecnologías que se liberan y pueden ser usadas gratuitamente por cualquiera.

Los siguientes son algunos de los proyectos que se encuentran traducidos al español:

OWASP AntiSamy

El proyecto OWASP AntiSamy es unas cuantas cosas. Técnicamente, es una API para asegurarse que las entradas HTML/CSS del usuario estén en cumplimiento con las reglas de la aplicación. Otra forma de decirlo podría ser: es una API que le ayuda a asegurarse que los clientes no provean código malicioso en el HTML que proveen para su perfil, comentarios, etc. Que se quedan almacenados en el servidor. El termino código malicioso en términos de aplicaciones Web es generalmente relacionado solo con JavaScript. Hojas de estilo en cascada (CSS) son solo consideradas maliciosas cuando invocan a JavaScript. Sin embargo, hay muchas situaciones donde HTML y CSS “normales” pueden ser usados de una forma maliciosa.

Filosóficamente, AntiSamy es una desviación de todos los mecanismos contemporáneos de seguridad. Generalmente, los mecanismos de seguridad y los usuarios tienen una comunicación que es virtualmente de una vía, por una buena razón. Dejar al atacante potencial saber detalles acerca de la validación no se considera prudente, ya que permite que al atacante “aprenda” y “reconstruya” el mecanismo para debilidad. Estos tipos de fuga de información pueden también dañar en formas que usted no espera. Un mecanismo de ingreso que le dice al usuario, “Usuario invalido” revela el hecho de que un usuario con ese nombre no existe. Un usuario podría usar un diccionario o directorio telefónico o ambos para obtener remotamente una lista de usuarios validos. Usando esta información, un atacante podría lanzar un ataque de fuerza bruta o negación de servicio masivo de bloqueo de cuentas.

Más información sobre OWASP AntiSamy

Leer el resto de la entrada »

Samurai Web Testing Framework es un entorno de trabajo basado en GNU/Linux Ubuntu, que ha sido pre-configurado para llevar a cabo test de penetración a aplicativos Web.

Este LiveCD, que además puede ser instalado como sistema operativo por defecto en el disco duro, contiene un repertorio bastante amplio en cuanto a herramientas de libre uso y distribución se refiere. Estas herramientas están destinadas a realizar pen-testing sobre aplicativos Webs.

Al igual que la distribución BackTrack, Samurai Web Testing Framework divide las herramientas por grupos según una metodología.

Comienza por la etapa de reconocimiento, para ello hace uso de las herramientas Fierce domain Scanner y Maltego. Para el mapeo del sistema objetivo incluye la herramienta WebScarab y Ratproxy. Para el descubrimiento de vulnerabilidades incluye w3af y burp, finalmente para el proceso de explotación utiliza BeEF, AJAXShell y otras más.

Leer el resto de la entrada »