La Comunidad DragonJAR » Password

Robando claves por XSS del Administrador de Contraseñas del Firefox

DragoN — Tue, 16 Mar 2010 06:51:50 +0000

Gracias a un mensaje de Tom Brennan, me entero de un problema en el Administrador de Contraseñas del Mozilla Firefox, que permite a un atacante mediante XSS (Cross-site scripting) obtener la clave de un usuario almacenada en el navegador.

El problema se encuentra en que el administrador de contraseñas del Mozilla Firefox , no valida adecuadamente el formulario desde el cual se guarda la clave en el administrador de contraseñas, por lo tanto si a la pagina donde se encuentra el formulario de logueo se le puede realizar un XSS es posible agregar un formulario con un campo oculto del tipo “password” y al acceder a ella, firefox no solo llenara el formulario real de acceso automáticamente, sino también el formulario oculto que acabamos de inyectar.

Si le echamos un vistoso al formulario utilizando el plugin Web Developer para el Mozilla Firefox, encontramos que efectivamente el Administrador de Contraseñas, nos llenó el formulario oculto que colocamos en la pagina mediante XSS con nuestra clave de acceso:

El código utilizado para robar la información del Administrador de contraseñas en el Mozilla Firefox:

Podemos modificar el formulario para que nos envié la contraseña capturada a un archivo en el que puede ser almacenada o enviada por correo electrónico, pero en esta prueba de concepto no lo realizaremos.

En este caso contar con “clave maestra” en el administrador de contraseñas del Mozilla Firefox no supone una “barrera” para que obtengan nuestras claves, ya que una vez ingresada la clave maestra, el Firefox llenara de todas formas el formulario con nuestra clave.

Aunque posiblemente una técnica similar pueda funcionar en otros navegadores, he realizado pruebas en Google Chrome, Safari y Opera siendo el Mozilla Firefox el único afectado.

Actualización:
Un fallo similar fue reportado en el 2006 y supuestamente fue resuelto “VERIFIED FIXED”, pero acabo de probar con la prueba de concepto que publicaron en esa ocasión y sigue siendo vulnerable.

Recomendaciones:

Escribe “about:config” en la barra del Firefox para desactivar (poner en “false”) la función signon.autofillForms

Con esto deshabilitas la función de auto llenado del administrador de contraseñas y evitarnos ser victimas de este fallo.

Utilizar el plugin NoScript (si no hay inyección de código, no hay problema)
No utilizar el Administrador de Contraseñas de Mozilla Firefox (ya hemos demostrado que no es recomendable, ni en firefox, ni en ningún navegador), en vez de el utilizar servicios gratuitos como LastPass (al que por cierto le debo un articulo entero)

Mas Información:
XSS demo for stealing passwords from the Firefox password manager

También puede interesarte...

Resetear Password de Root

DragoN — Tue, 02 Mar 2010 21:35:26 +0000

En nuestra comunidad ya hemos visto como resetear contraseña de root utilizando GRUB, también hemos visto como evitar que otras personas cambien tu contraseña por este medio, pero siempre es bueno tener en video todos estos contenidos estáticos, para una mejor compresión. Por eso les dejo estos 2 videos que encontré en el blog del Instituto Tecnológico de Sonora, donde realizan el reseteo de la contraseña root en 2 distribuciones bastante populares, CentOS y Ubuntu.

Resetear Password de Root en CentOS

Este método es valido también para cualquier distribución basada en RedHat, si deseas descargar el video, click aquí

Resetear Password de Root en Ubuntu

Este método es valido también para cualquier distribución basada en Debian, si deseas descargar el video, click aquí

En nuestro articulo “Resetear contraseña de root con GRUB“, explicamos en detalle como cambiar la clave de tu usuario root o si lo deseas como eliminar esta clave, recuerda que si quieres configurar adecuadamente tu GRUB para que no se pueda realizar este procedimiento, en nuestra comunidad existe un articulo que hablar sobre ello.

También puede interesarte...

Como Recuperar Clave MySQL

Epsilon — Fri, 22 Jan 2010 05:57:04 +0000

Una de las claves o password mas importante para todo administrador de sistemas y servidores, es la clave del usuario root de MYSQL. Como todos sabemos lo ideal en cuanto a contraseñas es tener una diferente para cada cuenta, esto nos ayuda a incrementar un poco el nivel de seguridad, sin embargo, en algunas ocasiones por culpa de la memoria del ser humano o por otros motivos ajenos a la maquina, nadie se acuerda de la clave maestra de este importante servicio. A simple vista puede parecer un problema muy grave, no obstante, es algo que se puede resolver de forma sencilla siempre y cuando tengamos acceso al servidor con una cuenta de root, para restablecer la contraseña de mysql podemos hacer lo siguiente:

Detenemos el servicio si se esta ejecutando:

/etc/init.d/mysql stop

El siguiente paso es reiniciar el servidor MYSQL en modo seguro, con los siguientes parámetros:

mysqld_safe --skip-grant-tables --skip-networking

Ahora, en otra consola entramos como root al servidor, de esta forma:

mysql -u root -p mysql

Si todo ha salido bien, debemos tener el prompt de Mysql, en el cual procederemos a cambiar el password, en la tabla user de la base de datos mysql:

UPDATE user SET Password=PASSWORD('passwordnuevo') WHERE User='root'; flush privileges;

Por ultimo solo basta terminar el proceso de mysql-safe y reiniciar el servidor como se hace normalmente:

pkill mysql -safe /etc/init.d/mysql start

Cabe resaltar que la mejor forma de evitarse este tipo de calamidades, es bueno recordar las contraseñas, en la red existen muchas aplicaciones las cuales nos ayudan a gestionar y administrar todas nuestras contraseñas, recuerda que en la comunidad hemos proporcionado siempre información útil para maneja tus contraseñas fácilmente, herramientas para generar contraseñas seguras, e incluso aplicaciones que si no quieres utilizar una palabra clave, te permiten utilizar tu rostro como contraseña para que nunca pierdas una clave y no te toque recurrir a procedimientos como este.

También puede interesarte...

CeWL – Generador de Diccionarios Personalizados

DragoN — Thu, 07 Jan 2010 05:44:23 +0000

CeWL es una herramienta escrita en ruby por Robin Wood, de DigiNinja.org, que permite generar diccionarios con palabras claves, que pueden ser utilizadas por programas como Cain & Abel, Bruter o John the Ripper, para realizar ataques de fuerza bruta .

Lo que diferencia CeWL de cualquier otra herramienta para generar listas de passwords, es que extrae las palabras claves desde una url, por lo que la lista generada es mas especifica y puede incluir palabras que no se encuentran en las tipicas listas de password, pero que posiblemente este siendo usada como clave por algun usuario del sistema.

El modo de uso de CeWL es el siguiente: cewl [opcion u opciones] URL, teniendo como opciones los siguientes parametros:

–help, -h: Muestra ayuda
–depth x, -d x: Nivel de profundida del escaneo
–min_word_length, -m: Tamaño minimo de cada palabra, util si no deseamos llenar la lista con palabras como “de”, “la”, “por”,etc..
–offsite, -o: Por defecto CeWL solo revisa una url especifica, con esta opcion escaneara tambien enlaces externos.
–write, -w file: Escribe la salida del CeWL en un archivo
–ua, -u user-agent: Cambia el user-agent
-v: Utiliza el modo Verbose, mostrando mas informacion de salida
–no-words, -n: No muestra la lista
–meta, -a: Incluye meta datos
–email, -e: Incluye correos encontrados
–meta-temp-dir directory: Especifica el directorio utilizado por exiftool para convertir los archivos, por defecto es /tmp
URL: La url a escanear

Descargar CeWL Generador de Diccionarios Basado en URL`s

Mas Información:
Pagina Oficial del CeWL

También puede interesarte...

¿Como Eliminar la Contraseña de un PDF?

DragoN — Mon, 23 Nov 2009 19:12:38 +0000

Es muy molesto cuando tenemos un documento que nos interesa en PDF, que tiene restricciones para imprimir, visualizar o incluso copiar texto y nos pide contraseña valida para eliminar estas restricciones, en este articulo hablaremos de una solución para eliminar esas molestas restricciones impuestas por el autor del PDF.

Básicamente existen dos formas de eliminar las contraseñas de los archivos PDF, la primera es utilizando la fuerza bruta, es decir, probando muchas contraseñas, mediante un diccionario o generando estas sistemáticamente hasta dar con el password, la otra forma es utilizando un software especializado, que elimine la contraseña de los archivos PDF, de esta forma, simplemente se eliminan las restricciones del archivo PDF, permitiendo disfrutar de él plenamente y hacer con el lo que queramos.

Una de las herramientas para eliminar contraseñas de PDF’s mas conocidas es PDF Password Remover que con dos simples pasos puede eliminar la contraseña de cualquier pdf y con una interface bastante simple.

Este software no es gratuito, pero la empresa AnyBizSoft ha decido por esta temporada de navidad, regalar licencias de su producto PDF Password Remover hasta el mes de Febrero de 2010, así que apresúrate a conseguir tu copia de este excelente software para eliminar las claves de los PDF, solo necesitas seguir los siguientes pasos:

Ingresar a esta dirección y llenar tus datos.
A tu casilla llegará un numero serial asociado a tu cuenta de correo.
Luego simplemente abres el PDF Password y das click en “Register” y pones los datos que llegaron a tu correo.

Aprovecha esta oportunidad y disfruta plenamente de tus archivos PDF.

También puede interesarte...

Listado de Diccionarios para Realizar Ataques de Fuerza Bruta

DragoN — Mon, 09 Nov 2009 05:42:45 +0000

Si alguna vez has realizado un ataque de fuerza bruta, sabrás que la clave del éxito cuando realizas un ataque es la cantidad de claves que tengan tus diccionarios, que estén en el idioma del sistema objetivo y que incluyan palabras que se utilizan normalmente en ese país como “parcero”, “monito, ¿me regala una moneda?” y cosas por el estilo.

Les dejo un excelente listado de diccionarios recopilado por 4v4t4r en sec-track, listos para ser utilizados en tu herramienta preferida para realizar fuerza bruta:

Actualizado: sinver44 nos comparte un nuevo diccionario con mas de 227 millones de palabras, que descomprimido ocupa 2gb y segun el, pocas contraseñas se le han escapado.

sinver44

También puede interesarte...

Nueva versión de Cain & Abel

DragoN — Thu, 24 Sep 2009 01:43:18 +0000

Caín y Abel es una herramienta de recuperación de contraseñas para los sistemas operativos de Microsoft, se característica por permitir de una forma fácil la recuperación de diversos tipos de contraseñas por diccionario, fuerza bruta, ademas de permitir sniffiar la red en busca de estas contraseñas.

También permite decodificación de contraseñas, revelando de los cuadros de contraseña, descubrir las contraseñas almacenadas en caché y el análisis de protocolos de enrutamiento.

Los cambios en esta versión:

Añadido Abel64.exe y Abel64.dll para apoyar los hashes de la extracción en los sistemas operativos de 64bits.
Añadido soporte de NTLM hashes Dumper, MS-CACHE hashes Dumper, LSA Secrets Dumper, Wireless Password Decoder, credenciales para los sistemas operativos de 64bits.
Password Manager Decoder, Dialup Password Decoder.
Añadido Windows Live Mail (Windows 7) Password Decoder para POP3, IMAP, NNTP, SMTP y las cuentas LDAP.
Corregido un error de la Calculadora RSA SecurID dentro de la función de importación XML.
Totalmente reconstruido con Visual Studio 2008.

Descargar Ultima versión de Cain & Abel
uno de las mejores herramientas para recuperar passwords en windows

Mas Información:
Pagina Oficial del Cain & Abel
Manual en Linea de Cain & Abel
Entrevista a Massimiliano Montor (creador de Cain & Abel) en Net-Security.org

También puede interesarte...

Reseteo Remoto del Password de Admin en WordPress

DragoN — Wed, 12 Aug 2009 04:36:49 +0000

No se que pasa con WordPress últimamente, el investigador Francés “Laurent Gaffié” acaba de publicar un full-disclosure en el que explica una nueva vulnerabilidad en la ultima versión de WordPress 2.8.3.

Esta nueva vulnerabilidad permite a un visitante mal intencionado resetar el password de administrador de un administrador impidiendo el acceso del mismo a su propio panel de administración, el error se encuentra en el archivo wp-login.php que no valida adecuadamente.
Un visitante mal intencionado puede resetear el password de administrador con solo visitar un enlace como el siguiente:

http://PAGINAAQUI.COM/wp-login.php?action=rp&key=o7naCKN3OoeU2KJMMsag

La buena noticia es que igual de fácil a su explotación es su solución, basta con buscar en el archivo wp-login.php el código:

if ( empty( $key ) )

y remplazarlo por:

if ( empty( $key ) || is_array( $key ) )

Aunque como siempre es recomendable que actualices tu versión a la WordPress a la 2.8.4 aun no sale oficialmente en español, pero puedes utilizar este paquete de idiomas para traducirlo.

También puede interesarte...

Cambiar Password de Switch CISCO

DragoN — Mon, 10 Aug 2009 15:34:52 +0000

Es muy común a nivel educativo que se compartan varias personas los diferentes dispositivos utilizados en clase, casi nunca utilizamos el mismo dispositivo para todas las clases, es por eso que un problema que se presenta con frecuencia en estas clases es la de no conocer las claves de acceso que le asigno la persona anterior a estos dispositivos.

En este articulo se explicara paso a paso y de manera sencilla, como eliminar la contraseña de los switch CISCO para asignar una nueva y poder trabajar con el.

Pasos previos a la recuperacion del password en un switch CISCO:

Conecte un terminal o un PC con un emulador de terminal (por ejemplo, Hyper Terminal) para el puerto de consola del conmutador
Ajuste la velocidad de línea en el software de emulación a 9600 baudios.
Desconecte el interruptor cable de alimentación.
Pulse el botón de modo y al mismo tiempo conecte el cable de alimentación al interruptor.
Puede soltar el botón de modo de un segundo o dos después de que el LED por encima del puerto 1X se apaga. Varias líneas de información sobre el software aparecen con instrucciones, informar si el procedimiento de recuperación de contraseña se ha inhabilitado o no.

Si aparece un mensaje que empieza con esto:

El sistema ha sido interrumpido antes de inicializar el sistema de archivos flash.

Escriba Los siguientes comandos al inicializar el sistema de archivos flash

El sistema ha sido interrumpido antes de inicializar el sistema de archivos flash.

Los siguientes comandos inicializar el sistema de archivos flash, y terminar de cargar el sistema operativo

software:

flash_init

load_helper

boot

1). Iniciar el sistema de archivos flash:

switch#flash_init

2). Paso siguiente escribimos switch#load_helper Cargar archivos de cualquier ayuda

3). Mostrar el contenido de la memoria Flash:

Switch# dir flash:

3 drwx         10176       Mar 01 2001 00:04:34 HTML
6  -rwx        2343           Mar 01 2001 03:18:16  config.text
171  -rwx     1667997    Mar 01 2001 00:02:39  c2950-i6q412-mz.121-14.EA1.bin
7  -rwx        3060           Mar 01 2001 00:14:20  vlan.dat
172  -rwx         100        Mar 01 2001 00:02:54  env_vars
7741440 bytes total (3884509 bytes free)

No olvidemos colocarle los dos puntos al final del comando

4). Cambie el nombre del archivo de configuración para config.text.old.

Este archivo contiene la contraseña definida.

Switch# rename flash: config.text flash: config.text.old
5). Boot al sistema

Switch# boot

6). Se le pedirá que inicie el programa de instalación. Introduzca el N en el símbolo del sistema:

Continue with the configuration dialog? [yes/no]: N


7). ingrese el modo EXEC privilegiado:

Switch> enable

8). Cambie el nombre del archivo de configuración a su nombre original:

Switch# rename flash:config.text.old flash:config.text

9). Copie el archivo de configuración en la memoria:

Switch# copy flash:config.text system:running-config

Source filename [config.text]?

Destination filename [running-config]?

10). Entre en el modo de configuración global

Switch# configure terminal

11). Cambie la contraseña

Switch (config)# enable secret password

Recordemos que donde se encuentra la palabra password digitamos la contraseña que deseamos, la contraseña puede ser de 1 a 25 caracteres alfanuméricos, puede empezar con un número, es sensible a mayúsculas y minúsculas, y permite los espacios pero hace caso omiso de ellos.

12). Retornamos al modo exec privilegiado

Switch (config)# exit

Switch#

13). Escriba la dirección a la configuración de inicio archivo de configuración:

Switch# copy running-config startup-config

La nueva contraseña se encuentra ahora en la configuración de inicio.

También puede interesarte...

Nuevo Gusano Infecta Routers, Modems, y Sistemas GNU Linux

DragoN — Thu, 26 Mar 2009 06:49:29 +0000

Un nuevo gusano llamado psyb0t descubierto por la empresa DroneBL, acecha la red, esto no es nada nuevo, todos los días salen gusanos tratando de conseguir la mayor cantidad de víctimas posibles para convertirlos en zombies y realizar las tareas que encargue su creador, pero este gusano tiene una particularidad que lo hace diferente, es capaz de infectar routers, modems y sistemas gnu linux.

Es la primera vez que se observa un ataque exitoso utilizando la infección en este tipo de dispositivos y se calcula que el número de afectados supera los 100.000 equipos y va en aumento, ya que su detección y desinfección son complicadas y “difíciles” de llevar a cabo para un usuario promedio.

El psyb0t se propaga a través de los servicios ssh, telnet y http, explotando vulnerabilidades en ellos o realizando ataques de fuerza bruta ante contraseñas débiles en los usuarios, tan pronto logra acceder al dispositivo descarga un archivo malicioso que permite a su creador administrar remotamente el dispositivo robando información sensible que pasa por el, realizando denegaciones de servicio o cualquier otra tarea que desee realizar su creador, aparte de esto modifica las reglas del firewall para impedir el acceso a el panel de administración del dispositivo.

Si notas un comportamiento extraño en tu red y ya descartaste infecciones de los equipos que la confirman, no olvides revisar la configuración de tu router o modem, si no puedes entrar al panel de control de ellos posiblemente estas infectado con el psyb0t.

Recomendaciones si estas Infectado con el psyb0t

Resetea La Configuración de tu Dispositivo
Actualiza tu firmware a la última versión
Sigue las Instrucciones indicadas por DroneBL

Recomendaciones para evitar ser infectado por el psyb0t

Mantén al día la versión de tu firmware
Utiliza contraseñas fuertes (nunca nos cansaremos de repetirtelo)
Deshabilita los servicios que no utilices en tus dispositivos
Revisa periódicamente el panel de control de tus aparatos

Para Más Información:
DroneBL
Psyb0t Attacks Linux Routers
Psyb0t, infección en ¡routers!, ¡módems! y ¡Linux!