La Comunidad DragonJAR » Seguridad Web

Samurai, Entorno de trabajo para el testing de seguridad a aplicativos Web

4v4t4r — Sun, 14 Aug 2011 07:45:44 +0000

ACTUALIZADO: acaba de salir la versión 0.9.9 de esta excelente herramienta para realizar pentest hacia aplicaciones web, todas las herramientas han sido actualizadas y algunos errores corregidos.

Descarga esta nueva versión haciendo click en este enlace… si no sabes que es Samurai Web Testing Framweork, te digo que…

Samurai Web Testing Framework es un entorno de trabajo basado en GNU/Linux Ubuntu, que ha sido pre-configurado para llevar a cabo test de penetración a aplicativos Web.

Este LiveCD, que además puede ser instalado como sistema operativo por defecto en el disco duro, contiene un repertorio bastante amplio en cuanto a herramientas de libre uso y distribución se refiere. Estas herramientas están destinadas a realizar pen-testing sobre aplicativos Webs.

Al igual que la distribución BackTrack, Samurai Web Testing Framework divide las herramientas por grupos según una metodología.

Comienza por la etapa de reconocimiento, para ello hace uso de las herramientas Fierce domain Scanner y Maltego. Para el mapeo del sistema objetivo incluye la herramienta WebScarab y Ratproxy. Para el descubrimiento de vulnerabilidades incluye w3af y burp, finalmente para el proceso de explotación utiliza BeEF, AJAXShell y otras más.

Como si esto fuera poco, Samurai Framework incluye una wiki preconfigurada y lista para ser usada como bitácora de recolección de la información que vamos generando a medida que avanzamos en el proceso de pen-testing.

Los desarrolladores hacen anuncio oficial de la disponibilidad de esta primera distribución como versión de desarrollo y hacen la invitación a los interesados a participar de este genial proyecto, ofrecen para ello un sitio Web y una lista de correo.

Para finalizar dejo algunas capturas de pantalla de lo que he probado a manera “superficial” sin entrar aún mucho en el detalle de uso y comportamiento del sistema (hasta el momento va muy bien). Quiero además hacer la salvedad que estas mismas herramientas pueden ser instaladas y configuradas en diferentes S.O, por lo tanto una vez más queda comprobado que no importa el S.O que utilicemos, todos pueden servir para las diferentes tareas de nuestro día a día, incluso para estos menesteres de la seguridad

Cargando y reconociendo componentes y hardware

Inicio de sesión (contraseña para root)

Escritorio (Gnome)

Menú Samurai (Herramientas)

Navegador (Add-ons incluídos: Edit cookies, DOM Inspector, Firebug, Greasemonkey, HackBar, Header Spy, SQL Injection, etc)

Herramienta WebScarab

Terminal

Wiki incluida y pre-configurada

Ejecución del instalador a disco duro

Mas Información:
Web oficial del Proyecto Samurai Web Testing Framework
Descargar Samurai Web Testing Framework
Foro de discusión sobre seguridad en aplicativos web (Comunidad DragonJAR)

También puede interesarte...

Las mejores extensiones de Firefox para mejorar tu seguridad

Cortex — Thu, 03 Mar 2011 00:57:53 +0000

Continuando con la colección de extensiones Firefox imprescindibles para mejorar nuestra navegación, veremos hoy algunas de las mejores enfocadas a la seguridad en la red. Ayer veíamos addons sobre Privacidad, pero como resalté anteriormente la privacidad es sólo uno de los tantos aspectos de los que debemos preocuparnos al utilizar Internet. Lastimósamente, la red está plagada de Malware y no sólo tener un buen antivirus y un firewall te mantendrá protegido (aunque si ayudan) ya que en la mayoría de los casos la desinformación del usuario (capa 8 ) es la responsable de la no filtración del contenido al que accede.

Quizás la herramienta más usada a diario es nuestro navegador Web por este motivo es muy importante tener un balance entre usabilidad/seguridad para posiblemente ahorrarnos más de un dolor de cabeza.

AI Roboform Toolbar for Firefox: Funciona como barra de herramientas con RoboForm para administrar y proteger tus contraseñas.

Dr.Web anti-virus link checker: Verifica que los archivos no tenga virus antes de descargarlos, lo mismo para los sitios web.

FirePhish Anti-Phishing Extension / iTrustPage / Personal Anti-Phishing Sidebar / PhishTank SiteChecker: Extensiones que te permiten estar alerta sobre el ingreso a un sitio web con contenido falsificado (Phising) haciendo uso de bases de datos que contienen URLs identificadas de este tipo.

FormFox: Al poner el cursos sobre un formulario, te muestra haciendo donde vá la información que estás escribiendo.

KeyScrambler Personal: Encripta lo que escribes para protegerte de keyloggers.

Link Alert: Cambia el color de tu cursor para indicar visualmente lo que hace el link que estás apuntando.

Magic Password Generator: Haciendo uso de una contraseña maestra genera contraseñas únicas para cada sitio. También auto-rellena direcciones de correo electrónico y nombre.

NoScript: 100% RECOMENDADA. Bloquea cualquier código malicioso de páginas que no estén en la lista blanca de sitios en los cuales usted confía. Más información sobre NoScript aquí.

Password Exporter: Permite importar y exportar tus contraseñas entre diferentes copias de Firefox.

Password Hasher: Genera automáticamente contraseñas fuertes, permite actualizarlas y cambiarlas mucho más rápido.

PasswordMaker: Ayuda a encriptar y almacenar las contraseñas.

PopupMaster: – Agrega un bloqueador de popups a la barra de estado.

QArchive.org web files checker: – Instálalo y con un simple clic derecho puedes realizar un escaneo de malware, virus, troyanos, etc. antes de descargar.

QuickJava: – Dá la posibilidad de activar/desactivar Java por medio de un botón.

Secure Login: – Almacena información de login y llena los formularios con un clic.

SecurePassword Generator: – Generador de contraseñas fuertes.

SignupShield Passwords: – Administrador de contraseñas (1-Click), rellena formularios, tiene control anti-spam y anti-phising.

SplitLink: – Elimina símbolos especiales en las URLs para que puedas saber mejor hacia que

VeriSign EV Green Bar Extension: – Verifica la información de los certificados seguros y pone la barra de direcciones de color verde para hacértelo saber.

FireGPG: Sugerida por mi amigo Vierito. Esta extensión provee una interfaz para encriptar, desencriptar, firmar o verificar la firma de algún sitio web usando GnuPG.

Y tú, ¿Que otra extensión usas?

También puede interesarte...

Presentación de conceptos básicos en Seguridad Web

DragoN — Fri, 18 Feb 2011 05:14:43 +0000

Marcos García, miembro de nuestra comunidad ha querido compartir con nosotros la siguiente presentación, que referencia a los ataques más comunes sobre las aplicaciones Web. La idea principal es concientizar a los desarrolladores/administradores, para que tengan en cuenta a qué amenazas y riesgos de seguridad están expuestas sus aplicaciones.

Es importante señalar que existen más ataques, los cuales no figuran en la presentación.

Descargar documentación

También podremos ver ejemplos prácticos de todas las técnicas mencionadas en los siguientes vídeos.

XSS

CSRF

Path Traversal

Null Byte

OS Commanding

Local File Inclusion

Remote File Inclusion

Information Disclosure

SQL Injection/Blind SQL Injection

File Upload

Agradecimientos especiales a Marcos García por compartir esta información con nosotros.

También puede interesarte...

Revisa la seguridad de tu sitio web Gratis

DragoN — Wed, 02 Jun 2010 05:08:29 +0000

Cuando se administra un servidor Web, uno de los puntos claves a tener en cuenta es la seguridad tanto de los servicios como de los aplicativos alojados en el, ya que si no contamos con buenas medidas de seguridad, dichos aplicativos, podría ser la puerta de entrada a nuestra organización de un delincuente informático.

Desafortunadamente, son pocos los administradores que cuentan con conocimientos en seguridad Web y es por esto que día a día se ven casos de instrucciones en donde los sitios Web fueron el débil eslabón por medio del cual ingresaron a los sistemas de una organización.

ZeroDayScan es un servicio que ayuda en la tarea de revisar la seguridad de un aplicativo Web automáticamente, para utilizarlo, solo necesitamos llenar el siguiente formulario, como se indica en la siguiente imagen:

La aplicación permite detectar las siguientes vulnerabilidades

Cross Site Scripting attacks (XSS)
Detecta directorios ocultos o backups
Busca inyecciones SQL
Detecta automáticamente vulnerabilidades Zero Day
Realiza un fingerprint de nuestra aplicativo Web

Si ZeroDayScan detecta algo en nuestro sitio Web, nos enviará vía correo electrónico, un completo informe con las vulnerabilidades encontradas, así como los pasos a seguir para corregirlas….. y todo esto TOTALMENTE GRATIS.

Si tienes un sitio Web, es muy recomendable que utilices esta herramienta, para conocer el estado actual de la seguridad en tu pagina, posiblemente se demoren en enviarte el informe, pero es normal ya están procesando muchas solicitudes.

Mas Información
Pagina Oficial del ZeroDayScan

También puede interesarte...

Curso sobre desarrollo seguro de aplicaciones web por Google

DragoN — Thu, 06 May 2010 15:43:34 +0000

Google acaba de lanzar un nuevo curso en línea para el diseño y desarrollo de aplicaciones Web, con este, que los programadores aprenderán a evitar los errores comunes de seguridad que se presentan en las aplicaciones web y que pueden llevar a la creación de vulnerabilidades en sus sitios.

El curso, que es parte del proyecto Google Code University, se basa en el concepto de aplicaciones de tipo Twitter, denominada Jarlsberg, un programa que Google liberó para este fin. Conocido como “Web Application Exploits and Defenses,” desde el cual se da la oportunidad de visualizar el funcionamiento interno de una aplicación insegura, analizar las vulnerabilidades y aprender de los errores de programación que generaron estas fallas.

Ademas de aprender desarrollo, también tendremos una serie de retos que requieren que los estudiantes se esfuercen e identifiquen vulnerabilidades especificas en el código de Jarlsberg. Después de que los estudiantes aprenden los fundamentos de una vulnerabilidad, como CSRF, XSS, se les pide que encuentren una forma de utilizar esta falla para realizar una acción maliciosas especifica en la aplicación, como cambiar algunos detalles en la cuenta de registro de los usuarios sin que ellos se enteren.

Ingresa al Curso de Google sobre Seguridad Web

Más Información:
Anuncio de Hans en la Comunidad

También puede interesarte...

Top 10 Técnicas de Seguridad Web en el 2009

DragoN — Sat, 09 Jan 2010 05:35:31 +0000

El director de WhiteHatSec, Jeremiah Grossman, reconocido en el mundo de la seguridad informática, por sus aportes en el campo de la seguridad web, ha publicado en su blog una entrada llamada “Top Ten Web Hacking Techniques of 2009 (Official)“, la cual pretende ser una recopilación de las nuevas técnicas en seguridad web publicadas durante el 2009.

Constantemente salen nuevas técnicas de seguridad web, pero muchas veces estas son dejadas en el olvido en blogs y papers poco visitados/descargados, la finalidad de este top, es dar a conocer estas nuevas tecnicas, para poder tenerlas en cuenta a la hora de testear o programar una aplicación web. El TOP 10 de Tenicas en Seguridad Web del 2009 es:

Creating a rogue CA certificate
Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, Benne de Weger
HTTP Parameter Pollution (HPP)
Luca Carettoni, Stefano diPaola
Flickr’s API Signature Forgery Vulnerability (MD5 extension attack)
Thai Duong and Juliano Rizzo
Cross-domain search timing
Chris Evans
Slowloris HTTP DoS
Robert Hansen, (additional credit for earlier discovery to Adrian Ilarion Ciobanu & Ivan Ristic – “Programming Model Attacks” section of Apache Security for describing the attack, but did not produce a tool)
Microsoft IIS 0-Day Vulnerability Parsing Files (semi‐colon bug)
Soroush Dalili
Exploiting unexploitable XSS
Stephen Sclafani
Our Favorite XSS Filters and how to Attack them
Eduardo Vela (sirdarckcat), David Lindsay (thornmaker)
RFC1918 Caching Security Issues
Robert Hansen
DNS Rebinding (3-part series Persistent Cookies, Scraping & Spammin g, and Session Fixation)
Robert Hansen

Cada técnica expuesta en este TOP 10, será explicada detalladamente en los eventos IT-Defense y RSA USA 2010 donde Jeremiah Grossman dictará la charla “2010: A Web Hacking Odyssey”.

Puedes ver los mas de 80 articulos propuestos para este TOP10 en este enlace, aunque no quedaron en el podio, no dejan de ser una buena fuente de información si te interesa el área de la seguridad en aplicaciones web.

También puede interesarte...

XSS que permite postear a atacante registrado en WordPress

DragoN — Thu, 12 Nov 2009 07:56:06 +0000

Una nueva revisión de seguridad ha salido para la rama 2.8.x del popular WordPress, en esta ocasión se corrigen 2 fallos, el primero descubierto por el investigador en seguridad web Benjamin Flesch, permite a un usuario registrado, por medio de un ataque XSS en la función “Publica esto” (Press this), publicar cualquier contenido en nuestra pagina.

El segundo problema no es explicado claramente en el comunicado oficial de WordPress, solo nos comentan que el error se encuentra el sistema de archivos y que podría provocar vulnerabilidades en ciertas configuraciones de Apache y que lo ha Dawid Golunski.

Es recomendable que actualicen su versión de WordPress, ya sea por el panel de administración o descargando la ultima version desde su pagina oficia, para asegurarse de que tiene la mejor protección disponible.

También puede interesarte...

Tercer Encuentro Internacional de Seguridad Informática – Día III

DragoN — Fri, 09 Oct 2009 06:03:49 +0000

En este tercer y ultimo día del tercer encuentro internacional de seguridad informática se esperan con ansias 2 charlas la de luciano bello sobre el famoso bug en el openssl que fue presentado en la el defcon 16 y la de chema alonso sobre LDAP Injection & Blind LDAP Injection que presento en la black hat del año pasado, ademas la premiación del wargame (que por segunda vez se lo gana un equipo de La Comunidad DragonJAR) y como no…. el remate

Empezamos el día con david batanero y su charla sobre la tecnología GSM, en la que nos explica como funciona, los posibles ataques que se pueden realizar sobre esta tecnológica y por que debemos poner mas atención a la seguridad de nuestros dispositivos móviles.

Descargar Charla de David Batanero sobre GSM

Después martín rubio nos presenta su charla en la que habla de como ser un hacker realmente, que necesitamos saber y hacer para realmente ser catalogado como un hacker.

Descargar Charla de Martin Rubio sobre Como ser un Hacker Realmente

Leonardo Huertas, también conocido como SamuraiBlanco, moderador global en nuestra comunidad, compartió con nosotros su charla sobre Equipos Gubernamentales de respuesta a incidentes de seguridad de la información (CSIRT), en la que explica como crear un CSIRT, para que sirve y como va el proceso de la creación de un CSIRT colombiano.

Descargar Charla de Leonardo Huertas sobre CSIRT

Después de leonardo una de las charlas mas esperadas del EISI, Luciano Bello nos explica el famoso fallo del openssl que afecto a la distribución Debian y sus derivadas, nos habla sobre la historia del fallo, como fue descubierto y nos enseña de una forma practica y amena como se explota esta vulnerabilidad.

Descargar Charla de Luciano Bello sobre predicción de números aleatorios en openssl

Después de luciano seguía mi charla sobre Amenazas y Contramedidas de seguridad Web, en ella explicaba los fallos mas comunes que encontramos en aplicaciones o sitios web (algunas se encuentran en el top 10 del proyecto OWASP) y cómo evitar ser victima de estos ataques a nivel de usuario y desarrollador, como les prometí comparto con ustedes la charla y todo un entorno portable para aumentar sus conocimientos en esta área.

Descargar Charla de Jaime Andrés Restrepo sobre Amenazas y Contramedidas de Seguridad Web

Después de mi charla, chema alonso nos presentaría su charla sobre LDAP Injection & Blind LDAP Injection pero decidió darnos una sorpresa que no esperábamos, en vez de dar la charla que tenia programada, en esta ocasión nos hablaría de una nueva técnica descubierta por el equipo de informatica64 llamada Connection String Attacks, la cual permite inyectar parámetros arbitrarios a la configuración de conexión en un servidor ):-D, esta charla fue expuesta por primera vez en la pasada ekoparty y nos trajo el tema “fresquito” a Colombia .

En su blog (un informático del lado del mal) chema nos explica mas en detalle las Connection String Attacks

Descargar Charla de Chema Alonso sobre Connection String Attacks

La ultima charla del EISI, titulada “Falsos Antivirus (El negocio detrás de estos)” estuvo a cargo de Marcelo Rivero, en ella nos relata una historia verídica de una infección y poco a poco nos explica como funcionan los falsos antivirus y cual es el negocio de delincuencia organizada que opera detrás de ellos, seguimos a la espera de las memorias que pronto nos enviara marcelo rivero para todos nuestros visitantes.

Después de la ultima charla se pasa a realizar la premiación del wargame (el cual explicaremos en detalle en un próximo post) los equipos “DragonJAR” y “PST” ocuparon el primer y segundo lugar respectivamente, desde aquí una sinceras felicitaciones a los 2 equipos por el trabajo realizado.

En el foro de cierre los ponentes darían su opinión sobre el pasado, presente y futuro de la seguridad informática y después se pasaría a las preguntas del publico, fue un excelente espacio para aclarar algunas dudas y compartir con todos los asistentes del evento.

Como no podía faltar en un evento de este tipo un excelente remate en el reconocido bar-c de la ciudad de Manizales.

Revisa el reporte de los otros 2 días:

También puede interesarte...

Damn Vulnerable Web App

DragoN — Thu, 03 Sep 2009 19:42:20 +0000

Ryan Dewhurst desarrollador del DVWA (Damn Vulnerable Web App) ha liberado hoy una nueva versión (1.0.5), de esta excelente herramienta para testear diferentes vulnerabilidades web.

4v4t4r ya nos había comentado sobre esta aplicación que tiene como finalidad ofrecer a los profesionales, estudiantes e investigadores en seguridad informática un conjunto de utilidades con las cuales podemos exploter y entender un amplio grupo de vulnerabilidades web.

Algunos cambios en esta nueva versión:

Se re escribió completamente el codigo.
Se rediseño completamente el aspecto de la aplicación.
Se agrego la vulnerabilidad CSRF.
Ahora las vulnerabilidades XSS se almacenan.
Se agrego la vulnerabilidad Full Path Disclosure.
Cuenta con un nuevo sistema de logueo.
Ahora tiene manejo de secciones.
Algunos bugs arreglados.
Se implemento el PHPIDS.
y muchas cosas mas…

Si te intereso la pasada versión del Damn Vulnerable Web App, no dudes en descargar esta nueva versión los dejo en compañía de este vídeo tutorial de instalación de Damn Vulnerable Web App.

Descargar Damn Vulnerable Web App

Mas Información:
Sitio Oficial de Damn Vulnerable Web App

También puede interesarte...

5 Distribuciones GNU/Linux para Pentesting

Cortex — Tue, 09 Jun 2009 18:21:32 +0000

Para nadie es un secreto que a menudo las distribuciones GNU/Linux sean preferidas por los pentesters para llevar acabo auditorías. Y no es que desde otros sistemas operativos no sea posible, sino que generalmente las distros vienen mejor equipadas debido a que se puede, usando una ya creada, personalizarla hasta el punto que nosotros queramos permitiendo añadirle/quitarle las aplicaciones que queramos, modificar la configuración, añadirle módulos y mucho más. Además si le agregamos el hecho de poder ejecutar todo desde un CD sin necesidad de instalar nada en el disco, la balanza se inclinaría aún más hacia el lado Linux. De cualquier manera, como resalté antes también hay muchísimas herramientas disponibles por ejemplo para Windows que facilitan el trabajo a la hora de una auditoría.

En este post vamos a enfocarnos en el repaso de algunas de las mejores distribuciones enfocadas a la Seguridad Informática.

1. BackTrack

Sería algo imposible escribir una lista de distribuciones enfocadas a la Seguridad sin hacer mención de Backtrack. Si eres lector asiduo del blog seguramente ya la conoces, 4v4t4r ha realizado muchos laboratorios haciendo uso de esta distro. La última versión disponible (a la hora de escribir el artículo) es la 4 BETA. Con más de 300 herramientas que la convierte en la distribución preferida por los pentesters. Actualmente basada en Debian/Ubuntu con unos amplios repositorios que permiten extender aún más su funcionalidad. Tanto en este blog como en el de los Laboratorios DragonJAR encontrarás mucha información sobre el uso de esta distribución.

Descargar Backtrack

2. nUbuntu (Network Ubuntu)

Como su nombre lo indica basada en Ubuntu Linux y usa el escritorio Fluxbox. Su objetivo es tener una distribución Linux basada en Ubuntu, personalizada, agregando las herramientas necesarias para realizar pruebas de penetración en servidores y redes; eliminando también aplicaciones que no sean necesarias para este propósito.

Descargar nUbuntu

3. OWASP Live CD

Es una Live-CD que reune algunas de las mejores herramientas open source de seguridad en un sólo lugar. Contiene también documentación y ambientes interactivos de aprendizaje (como WebGoat) promoviendo así la educación en el campo de la Seguridad Web. Para quienes no lo sabía OWASP (acrónimo de Open Web Application Security Project) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro. En el blog encontrarás mucha información sobre este proyecto.

Descargar OWASP Live CD

4. Samurai Web Testing Framework

Distribución Live preconfigurada para el pentesting de aplicaciones Web. Incluye muchas herramientas que permiten llevar a cabo fácilmente los 4 pasos básicos en un test de penetración web: Reconocimiento, Mapeo, Descubrimiento, Explotación. Además incluye una Wiki que permite almacenar la información recolectada durante el pentesting. En el blog encuentras más información sobre esta Live-CD.

Descargar Samurai Web Testing Framework

5. Network Security Toolkit

Basada en Fedora, actualmente se encuentra en la versión 1.8.1. Su objetivo es proveer a los administradores de red un completo set de herramientas de seguridad open source. Contiene una gran parte de la lista de las 100 mejores herramientas de seguridad creada por Insecure. Lo fascinante es que permite convertir un PC cualquiera en un sistema diseñado para el análisis de tráfico de red, IDS, monitor de redes inalámbricas, entre otros usos. También util en muchos escenarios para la recuperación de daños.

Descargar NST

Hay muchas distribuciones Linux enfocadas a las auditorías de seguridad, no las menciono en el post debido a que muchas de ellas ya han sido abandonada por sus desarrolladores y no volvieron a lanzar ninguna actualización ni versiones nuevas. De cualquier manera, si interesa conocer algunas de ellas aquí tienes una lista:

Pentoo
Knoppix STD
Notably Auditor
Phlak

Por nombrar algunas… Y tu, ¿Que otra distribución usas para este propósito?