sábado, 24 de marzo de 2012

Ya están disponibles las inscripciones los Talleres de Seguridad informática

Ya están disponibles las inscripciones los Talleres de Seguridad informática, Cupo limitado a si que apurence, mas información acceder a http://www.crimen-digital.blogspot.com/2012/03/tecnicas-de-acceso-y-borrado-de-huellas.html
Los Esperamos............

domingo, 19 de febrero de 2012

Configuracion de VIM para mantener los niveles de identacion para PYTHON

hoy hablando con un brother me preguntaba en que entorno en linux se puede programar de manera eficiente Python, la verdad que mi poca experiencia en desarrollos grandes de hacia inclinarme por eclipse y el modulo Pydev, sin embargo en foros y comunidades es muy utilizado en editor de archivos VIM, el cual yo también uso sin embargo existen configuraciones avanzadas las cuales hacen de vim uno de los editores favoritos al momento de programar en Python ya que estos mismos programadores han creado módulos y realizados hack al editor y bueno han optimizado para el desarrollo en python:
Así que poco a poco iré actualizando esta entrada con todas las técnicas utilizadas para optimizar vim.
1. Configurar la tecla tab para mantener el nivel de identacion a 4 espacios en blanco.blanco
entramos a nano /etc/vim/vimrc
y modificamos
if has("syntax")
  syntax on
  set tabstop=4
  set shiftwidth=4
  set smarttab
  set expandtab                                                                 
  set softtabstop=4
endif

gracias

martes, 14 de febrero de 2012

Boletines de Seguridad Microsoft

Desde Hispasec Sistemas les hago y C & P de los Boletines de Seguridad para febrero de Microsof que parcha 21 vulnerabilidades. de la cuales consideran 4 como "criticas" y 5 como importantes.


* MS12-008: Boletín de carácter "crítico" destinado a corregir dos
vulnerabilidades en los controladores en modo kernel de Windows que
podrían permitir la ejecución remota de código arbitrario (CVE-2011-5046
y CVE-2012-0154). Afecta a Windows XP, Server 2003, Vista, Server 2008 y
Windows 7.

* MS12-009: Actualización para corregir dos vulnerabilidades (con
CVE-2012-0148 y CVE-2012-0149) en el controlador de función auxiliar que
podrían permitir la elevación de privilegios si un usuario ejecuta un
archivo malicioso. El boletín presenta un nivel de gravedad
"importante", y la vulnerabilidad que resuelve afecta a Windows XP,
Windows 7 y Server 2003 y 2008.

* MS12-010: Actualización acumulativa para Microsoft Internet Explorer
que además soluciona cuatro nuevas vulnerabilidades que podrían permitir
la ejecución remota de código arbitrario. Afecta a Internet Explorer 6,
7, 8 y 9. Los CVE asociados a las vulnerabilidades son CVE-2012-0010,
CVE-2012-0011, CVE-2012-0012, y CVE-2012-0155.

* MS12-011: Actualización para solucionar tres vulnerabilidades en
Microsoft SharePoint y Microsoft SharePoint Foundation. Los problemas
podrían permitir la elevación de privilegios o la divulgación de
información sensible (CVE-2012-0017, CVE-2012-0144 y CVE-2012-0145).
Este boletín está valorado como "importante".

* MS12-012: Boletín "importante" que resuelve una vulnerabilidad en en
el panel de control que podría permitir la ejecución remota de código
arbitrario si un usuario abre un archivo (como .icm o .icc)
especialmente creado (CVE-2010-5082). Afecta a Windows Server 2008.

* MS12-013: Boletín de carácter "crítico" destinado a corregir una
vulnerabilidad de ejecución remota de código en la biblioteca de tiempo
de ejecución C, si un usuario abre un archivo multimedia específicamente
creado (CVE-2012-0150). Afecta a Windows Vista, Windows 7 y Server 2008.

* MS12-014: Actualización para corregir una vulnerabilidad en la forma
en que el códec Indeo trata la carga de archivos DLL, que podría
permitir la ejecución remota de código arbitrario (CVE-2010-3138). El
boletín presenta un nivel de gravedad "importante" y afecta a todos los
sistemas Windows.

* MS12-015: Boletín "importante" que resuelve cinco vulnerabilidades en
Microsoft Office, que podría permitir la ejecución remota de código si
un usuario abre un archivo de Visio especialmente creado. Afecta a
Microsoft Visio Viewer 2010. Los CVE asociados a las vulnerabilidades
son CVE-2012-0019, CVE-2012-0020, CVE-2012-0136, CVE-2012-0137 y
CVE-2012-0138.

* MS12-016: Este boletín está valorado como "crítico", consiste en una
actualización para solucionar dos vulnerabilidades en Microsoft .NET
Framework y Microsoft Silverlight que podrían permitir la ejecución
remota de código si un usuario visita una página web especialmente
diseñada mediante un explorador web que pueda ejecutar aplicaciones XAML
del explorador (XBAP) o aplicaciones Silverlight. (CVE-2012-0014 y
CVE-2012-0015).

Las actualizaciones publicadas pueden descargarse a través de Windows
Update o consultando los boletines de Microsoft donde se incluyen las
direcciones de descarga directa de cada parche. Se recomienda la
actualización de los sistemas con la mayor brevedad posible.

Opina sobre esta noticia:
http://unaaldia.hispasec.com/2012/02/boletines-de-seguridad-de-microsoft-en.html#comments

Más información:

Resumen del boletín de seguridad de Microsoft de febrero 2012
http://technet.microsoft.com/es-es/security/bulletin/ms12-feb

Boletín de seguridad de Microsoft MS12-008 - Crítica
Vulnerabilidades en los controladores en modo kernel de Windows podrían permitir la ejecución remota de código (2660465)
http://technet.microsoft.com/es-es/security/bulletin/MS12-008

Boletín de seguridad de Microsoft MS12-009 - Importante
Vulnerabilidades en el controlador de función auxiliar podrían permitir la elevación de privilegios (2645640)
http://technet.microsoft.com/es-es/security/bulletin/ms12-009

Boletín de seguridad de Microsoft MS12-010 - Crítica
Actualización de seguridad acumulativa para Internet Explorer (2647516)
http://technet.microsoft.com/es-es/security/bulletin/ms12-010

Boletín de seguridad de Microsoft MS12-011 - Importante
Vulnerabilidades en Microsoft SharePoint podrían permitir la elevación de privilegios (2663841)
http://technet.microsoft.com/es-es/security/bulletin/ms12-011

Boletín de seguridad de Microsoft MS12-012 - Importante
Una vulnerabilidad en Panel de control de color podría permitir la ejecución remota de código (2643719)
http://technet.microsoft.com/es-es/security/bulletin/ms12-012

Boletín de seguridad de Microsoft MS12-013 - Crítica
Una vulnerabilidad en la biblioteca de tiempo de ejecución C podría permitir la ejecución remota de código (2654428)
http://technet.microsoft.com/es-es/security/bulletin/ms12-013

Boletín de seguridad de Microsoft MS12-014 - Importante
Una vulnerabilidad en el códec Indeo podría permitir la ejecución remota de código (2661637)
http://technet.microsoft.com/es-es/security/bulletin/ms12-014

Boletín de seguridad de Microsoft MS12-015 - Importante
Vulnerabilidades en Microsoft Visio Viewer 2010 podrían permitir la ejecución remota de código (2663510)
http://technet.microsoft.com/es-es/security/bulletin/ms12-015

Boletín de seguridad de Microsoft MS12-016 - Crítica
Vulnerabilidades en .NET Framework y Microsoft Silverlight podrían permitir la ejecución remota de código (2651026)
http://technet.microsoft.com/es-es/security/bulletin/ms12-016

viernes, 10 de febrero de 2012

Volcando datos al explotar un SQLi - Parte III - Automatiza el ataque

En Inyecciones SQL de tipo Inbound donde tenemos un procedimiento de listado la cual nos permite volcar en pantalla la información extraída es preferible realizar la explotación manual ya que realmente usar alguna tool puede ser demasiado ruidosa y podríamos levantar algunas alertas sin embargo existen excelentes herramientas como SQLmap nos permiten realizar esta tarea de manera optima ya podemos manipularla para que realice exactamente lo que se requiere, a si que para nuestro ejemplo podríamos manejarlo así:

Nota: en este ejemplo estoy asumiendo que el lector conoce poco o nada de explotación con sqlmap así que para algunos puede ser algo lento bueno como siempre el fin es compartir con los que recién inician.

Para ejecutar Sqlmap en backtrack 5 podemos entrar al directorio /pentest/database/sqlmap para ejecutarla basta con llamar a la aplicación sqlmap.py con el interprete de Python ejemplo:

python sqlmap.py -h

con el -h nos muestra un help de sqlmap, ahora en nuestro caso para llamar a la web utilizamos el parámetro --url o simplemente -u como pasamos los parámetros por GET simplemente se especifica en la url:

python sqlmap.py --url="http://localhost/sqli.php?fileid=1"


como siempre lo digo las tools solo son un complento así que no inicien un Testeo directamente con una tool ya que para optimizar requerimos información precisa a si el proceso de Testing es mas limpio, levantamos menos sospechas y podemos cumplir nuestro objetivo entonces siempre en alguna explotación de sqli primero identificamos las siguientes parámetros:

1. La variable vulnerable
2.El payload
3. Motor de Base de datos
4. El tipo de explotación
5. Alcance de la explotación


En nuestro caso estos datos obtuvimos o suponemos que son:

1. variable GET fileid
2. payload and 1 =1
3. motor de DB mysql
4. El tipo es InBound
5. Extracción de información del information_schema


ahora como armamos nuestro escenario:
la variable vulnerable se poner con el parámetro -p
python sqlmap.py --url="http://localhost/sqli.php?fileid=1" -p "fileid"
siempre es recomendable modificar los payloads, pero para este tutorial usaremos los que vienen por defauld, para indicar el motor de DB se hace uso del parámetro --dbms

python sqlmap.py --url="http://localhost/sqli.php?fileid=1" -p "fileid" --dbms="mysql"

Para el tipo de explotación se usa el parámetro --technique
en sqlmap a la explotación tipo inbound se conoce como UNION así que la cosa quedaría:

python sqlmap.py --url="http://localhost/sqli.php?fileid=1" -p "fileid" --dbms="mysql" --technique="U"


Con eso parámetros podríamos darle al sqlmap de forma masticada la vulnerabilidad para que este lo almacene en su base de conocimientos.
En una explotación inbound o union como pudimos ver para poder volcar los datos necesitamos de mamera exacta cuando valores son llamados en la consulta en los tutoriales anteriores esto lo logramos con ORDER BY aquí en sqlmap se usa el parametro --union-cols="x-n" donde x el valor mínimo y n el máximo tal y como lo vimos con order by en caso ya identifiquemos en numero de valores para nuestro caso 3 lo podemos hacer asi
python sqlmap.py --url="http://localhost/sqli.php?fileid=1" -p "fileid" --dbms="mysql" --technique="U" --union-cols="3-3" -v 3
qui indicamos que son 3 valores que es llamado en la consulta y el -v indica el nivel de información de salida, con el comando anterior el sqlmap ya esta listo para identificar la vulnerabilidad para luego explotar.
si sqlmap encuentra que la variable fileid es vulnerable nos lanza esta alerta


luego guarda en output un archivo con datos de la vulnerabilidad para luego explotarla, ahora solo no falta volcar la información para nuestro caso seria los siguientes comandos:
python sqlmap.py --url="http://localhost/sqli.php?fileid=5" -p "fileid" --current-db