Perder el miedo en la consola de Linux

Aunque estemos en el 2013, aunque se presenten constantemente nuevos entornos gráficos y la tecnología este más orientado al buen diseño, existen cosas que no van a cambiar y es el uso de la consola de comandos y la cantidad de herramientas que sacan el máximo aprovecha a los sistemas.

El ecosistemas de aplicaciones y herramientas que existe para la línea de comandos, es impresionante ya que muchos profesionales en el área de seguridad informática siguen apostando a estos entornos y los SysAdmin constantemente trabajan y administran sus tareas desde aquí.

Hoy les quería recomendar un libro gratuito excelente llamado The Linux Command Line, con él les aseguro que le van a perder el miedo a la consola de comandos, independientemente de la distribución GNU/Linux que utilices y en muchos casos con comandos similares a la de cualquier UNIX es un Training completo para los nuevos Ninjas que desean aprender a utilizar la consola de comandos.

Firewall Panic

Desde hace mucho tiempo utilizo FireHOL, un constructor de firewall basado en iptables fantastico,  aprendí mucho leyendo su código fuente escrito en Bash y entendí muchas de las reglas para cada uno de los servicios, de más esta recomendarle esta aplicación para sus terminales y servidores Linux.

Entre tantas de las opciones me gustó una en particular llamada modo panic, la idea es cuando detectamos cierto tráfico o  vemos muchas conexiones abiertas por algún ataque de tipo DoS podemos ejecutar este script cerrando todos los servicios y dejando solo la ip del administrador para poder administrarlo.

Les comparto el enlace a pastebin.com para que puedan ver el código fuente, mejoras? Estoy seguro que hay un montón pero para comenzar creo que está bien.

Saludos!

Enlace | firewall_panic.sh

¿Quién debe realizar las Auditorías de Seguridad?

Quería aprovechar la ocasión para comentarles sobre quienes deberían ser los responsables de realizar auditorías de seguridad a las aplicaciones que se desarrollar en alguna organización, un fallo que generalmente ocurre es que muchas de los desarrolladores de su misma aplicación toman ese rol y concluyen en no detectar vulnerabilidades o fallo alguno.

Este sin duda es el primer error a la hora de asignar roles, un desarrollador no debería bajo ningún aspecto auditar su propia seguridad e incluso más, la de ninguna de las aplicaciones creadas en la misma organización, empresa, etc.

Ya que los mismo, generalmente, respetan un marco de trabajo, librerías en comunes y una dinámica de desarrollo probablemente muy similar con pocas variantes entre ellos.

Lo ideal sería que el rol de un auditor de seguridad sea una persona externa a la de cualquier organización, que sin la necesidad de conocer absolutamente nada, ni los desarrolladores, ni la infraestructura IT tenga la capacidad de rastrear y conseguir vulnerabilidades o posibles vectores de ataques por medio de esa aplicación.

Actualización de Seguridad, WordPress 3.5.1

Desde ayer, 24 de Enero ya se encuentra la primera versión de mantenimiento de la rama "3.5" de WordPress 3.5.1 que corrige 37 errores de las que incluyen:

• Escaneo de puertos remotos utilizando pingback, esta vulnerabilidad podía ser utilizado para exponer la información y comprometer un sitio, cuidado aquí por que afecta a todas las versiones anteriores.
• Dos vulnerabilidades XSS detectados en los Shortcodes y en los contenidos de los Post.
• Una vulnerabilidad más XSS detectada en la librería externa Plupload que ya solventado.

WordPress 3.5.1 es la primera actualización del 2013 luego de haber liberado la versión 3.5 “Elvin” los primeros días de diciembre luego de varias RC.

Por eso, si utilizas WordPress para tus proyectos en la web, es indispensable que actualices cuanto antes esta nueva versión de seguridad.

Enlace | WordPress 3.5.1

SQLMap Training: Google Dork

Otro de los usos muy interesantes de SQLMap es la de acoplarlo con las búsquedas de Google y en definitiva si estamos realizando una auditoría a una aplicación web podemos hacer uso de los Google Dork para sacar partido de esto.

Los mejores dork que podemos buscar son aquellos en los que haga alusión a dos cosas, el nombre de una variable descriptiva como cod, codId, ProdId, id y su correspondiente valor numérico, de estas cosas podemos más o menos saber como se podría construir una consulta SQL y de allí podemos intentar hacer técnicas de Blind SQL Injection.

Lo primero que tenemos que hacer es ir hasta Google y crear un Dork y en definitiva ver si la misma tiene algunos resultados. para el ejemplo podemos buscar

inurl:?codid=20

Con lo cuál estoy seguro que van a notar una gran cantidad de resultados, recuerden que pueden construir cualquier cadena especificando site, url, title y todo lo que las busquedas avanzadas nos permites, si no conocen les propongo hecharle una mirada al documento de Hacking en Buscadores.

El secreto detrás de los Likes

La realidad es que no soy de utilizar mucho Facebook, y eso que tengo mi cuenta registrada de principios del 2008 y este poco uso me ha llevado a no tener tantos “amigos” conectados.

Pero hoy jugando con en el buscador de amigos encontré el secreto jamas revelado, lo que todo Social Media a buscado en años y es el secreto detrás Likes.

O partir de ahora te pasas a llamar Marcela, Clara, Mariana o Jimena ó vas a tener que replantear tu avatar para conseguir más Likes!

ROUTERPWN llegó a los dispositivos Android

Hace casi medio año escribí sobre ROUTERPWN un proyecto fantástico en donde se exponen todos los exploits y diversas herramientas de seguridad para aplicar a routers.

Ahora me di con la nota que se encuentra disponible una aplicación gratuita para Android con muy buenas críticas desarrollado por WEBSEC uno de los patrocinadores del proyecto.

Sin duda RouterPWN ahora está mas cerca de cada router y es sin duda una aplicación indispensable para cada profesional de la seguridad informática.

Enlace | RouterPWN para Android 

Saludos!

Wayra Developer Day

Buscando en YouTube algunos videos o conferencias interesante para compartir me crucé con este que me pareció fantástico tanto para desarrolladores como para profesionales de la seguridad informática.

Se trata nada más y nada menos que de Chema Alonso dando una conferencia para el Wayra Developer Day hace ya algunos meses y como siempre con muchas cosas para aprender, pero mejor les dejo el video para que tomen nota.

Saludos!

Desnudando documentos con exiftool

Hoy les quiero recomendar una herramienta que estoy seguro que les va a llamar la atención tanto como a mi. Se trata de un programa desarrollado en Perl llamado exiftool y que tiene la particularidad de leer y escribir metadatos en muchos de los formatos especificados de archivos.

Hace muy poco les presenté extract otro excelente comando para Linux con cualidades similares, pero exiftool sin nos muestra mucha más información oculta en los archivos de imágenes, documentos de ofimáticas, pdf, etc.

Lo primero que vamos a hacer es instalar la herramienta de la siguiente manera:

$ apt-get install libimage-exiftool-perl

con lo cuál al cabo de unos minutos ya vamos a tener nuestra herramienta instalada y lista para comenzar a utilizarla.

Automatizando los accesos a FTP con accesos anonymous

En Julio del año pasado recuerdo haber publicado uno de los post más visitados en el blog, uno que hablaba de como es posible encontrar en el buscador Shodan los servidores FTP públicos con accesos del usuario anonymous, a día de hoy, después de 6 meses se encuentran indexadas más de 250.000 servidores, practicamente duplicando la cifra anterior.

En esta oportunidad encontré una herramienta llamado FtpScan que realiza la tarea de escanear en primer lugar aquellos servidores que se encuentran escuchando el puerto 21 de FTP y por otro lado nos indica aquellos que tienen acceso como Anonymous simplemente asignándole un rango de direcciones IPs.

Hacking en Buscadores

Hack x Crack es una comunidad de entusiastas hackers en donde realmente se comparte información muy interesante y es allí en donde quería aprovechar la oportunidad para compartir un Cuaderno técnico fantástico "Hacking en Buscadores".

Yo lo he descargado desde hace un tiempo y particularmente me ha gustado mucho, sobre todo la cantidad de contenido técnico, simple de entender y aplicarlo para sacar lo mejor de cada buscador.

Tengo la certeza de que si tiene este cuaderno en sus manos van, por un lado a aprender a realizar búsquedas más específicas y optimizadas y sacar partido de los buscadores más populares.

Seguridad en WordPress: NO registren al usuario admin

Esta es una recomendación para aquellos usuarios que usan a diario WordPress, los que me siguen desde hace tiempo saben que nunca me voy a cansar de decir lo fantástico que es este CMS para todos los niveles de usuarios, y si usted esta por instalarlo o ya está trabajando con él, hágame caso en esto, no registren el usuario admin.

La historia de todo esto empieza en las primeras versiones de WordPress en donde el momento de la instalación por defecto se creaba el usuario cuyo login era admin y así versión tras versión esto se repetía como obligatorio, de más está decir que este usuario tenía todos los privilegios para administrarlo.

A partir de estas nuevas versiones, WordPress nos da la posibilidad de escoger el nombre de usuario o login que se nos ocurra y que vamos a utilizar desde el momento de la instalación para adelante.

Si bien más adelante podes hablar de herramientas que permiten rastrear los usuarios dentro del sitio web, lo más recomendable es no registrar el usuario admin, ya que sería un dato muy valioso para cualquier posible atacante que desea comprometer al sitio.

Unas de las formas de comprometer el sitio sería el robo de identidad, y para un atacante encontrarse con un usuario admin sería cuestión de contar con un buen diccionario de claves y realizar fuerza bruta hacia el formulario de login de WordPress.

El enigma de Fermat

Comencé la lectura del 2013 y este último viernes entré a una librería con el fin de conseguir algún título netamente informático, lamentablemente por estos lados es muy difícil por no decir imposible conseguirlos, y la respuesta es "No los traemos" con lo cuál la única opción es pedirlos por Internet.

Revolviendo un poco entre los libros encontré en un rincón uno que me llamó poderosamente la atención! "El enigma de Fermat – Tres años de desafío a la matemática" como colección de una serie de libros publicados y distribuidos por el diario La Nación “El mundo es matemáticas”.

Ahora me encuentro disfrutando de esa lectura, que al ritmo que estoy no va a pasar de esta semana para terminarlo y descubrir la apasionante historia detrás del Enigma de Fermat.

Fuga de Información

Hoy nuevamente quería comentarles un poco sobre uno de los problemas que como Administradores de Redes nos preocupa y mucho, la Fuga de Información.

Es imposible hablar sobre la fuga de información o la filtración de documentos confidenciales y no recordar lo pasado con Wikiliks en Noviembre del 2010, uno de los hechos históricos más populares de los últimos tiempos donde se infiltraron más de 250.000 archivos del Departamento de Estados unidos y sus embajadas.

En este tema hay una realidad, y es la dificultar técnica para administrar y gestionar toda la información que se procesa en una empresa u organismo, la gran mayoría catalogada como crítica o confidencial y que bajo ningún aspecto debería estar en manos de usuarios no autorizados.

Por otro lado si nos enfocamos al aspecto humano existe la posibilidad que los empleados disconformes con su trabajo sean quienes roben la información y la utilicen con fines de extorsión o comercialización de intereses externos, etc.

La fuga de información también puede estar dada por un ataque dirigido de Ingeniería Social hacia empleados para obtener información de cualquier índole o simplemente por no llevar una política adecuada de eliminación de esa información, robos de equipos como PC, Laptop, smartphone, etc.

Plan de Contingencias

Una de las cosas a las que me dedico es al apasionante mundo de la administración de redes, entre tantas cosas, con lo cuál tenemos la profesión de solucionarlo todo y de aceptar que todo lo que pasa es culpa nuestra, por lo menos eso es lo que piensan los clientes de la red y esa es parte de la vida de un SysAdmin.

Hoy quería hablarles o dejarle en realidad algunos documentos o la bibliografía de consulta para estructurar un buen Plan de Contingencia o recuperación ante cualquier problema, pero antes me gustaría hablar un poco sobre estos documentos.

Es sabido que todo sistema, Data Center, Estructura de Rede, etc va a sufrir en cualquier momento algún desperfecto, un mal funcionamiento, un fallo, un compromiso de seguridad, etc. entonces ante esta premisa por que no armar un documento en donde podamos planificar paso a paso como recuperarse ante un evento desafortunado ya sea de Hardware o de Software también conocido como físico y lógico.

Para ello va a ser necesario entre tantas cosas, conocer y reconocer todas las cosas que administramos, sus posibles riesgos, fallas, su nivel de impacto, sus probabilidades de ocurrencia, etc. y armarlo todo en un documento con la idea que pueda ser revisado por todos los miembros del departamento o demás profesionales en cada área.

Seguridad en WordPress: Actualización de Versiones

Es muy común que cada determinados lapsos de tiempo sea necesario actualizar nuestro proyecto web a las nuevas versiones de WordPress o inclusive de librerías y Plugins, pero eso será motivo para otro artículo más adelante.

Esto generalmente se da o por que WordPress está mejorando constantemente su proyecto como una evolución natural o por que se corrigió alguna vulnerabilidad crítica y requiere ser actualizado.

Si nos centremos en como actualizar la versión de WordPress de la mejor manera, para ello les recomiendo revisar la siguiente CheckList:

• Utilizar un respaldo de seguridad o Backup del sitio y restaurarlo en un Servidor Local o de Pruebas
• Con lo cuál obtendremos casi una réplica del sitio que se encuentra en producción.
• El siguiente paso es Actualizar la versión del WordPress en el Servidor Local
• Verificar que todo se encuentre funcionando correctamente o en caso de algún imprevisto corregir algún error que pueda aparecer, ya sea de incompatibilidades de librerías o errores de programación.
• Chequear que todos los Plugins instalados se encuentren activos y funcionando.
• Hacerlo tantas veces como se requiera, para tomar una práctica y conocer cuál o cuáles podrían ser los problemas futuros.

Ayudemos a Angella a buscar su correspondido

Cuando parecía ser una hermosa declaración de amor en un mail que me llegó de un usuario uNivJKR@liere.de como para no levantar a mi buzón de SPAM

Lo interesante de todo esto es la movida que hay en Internet para encontrar el correspondido a Angella, todos con el mismo mensaje!

Resumen de lo que fue el evento Mkit Ángeles y Demonios

El pasado 12 del 12 del 12 la empresa Mkit cerró el año con un evento llamado Ángeles y Demonios dando participación a un listado de profesionales de la seguridad informática.

En lo personal, he tenido que seguirlo por Streaming a todo el evento y realmente estuvo fantástico, anoche, Matias Katz fundador de Mkit y organizador del evento, dio a conocer que ya se encontraba disponibles todos los videos de la jornada y me pareció el momento apropiado para también compartirlo con ustedes.

Por otro lado, entre los conferencistas encontramos a Gustavo Presman, Claudio Caracciolo, Pedro Janices, Miguel Sumer Elias, Cristian Amicelli y Gustavo Ogawa.

En términos generales, un fantástico evento con más de 200 asistentes presenciales y 700 en el streaming, que promete en este 2013 repetirse y organizar nuevos en diferentes lugares.

Saludos!

Enlace | Mkit Angeles y Demonios

El escarabajo de oro

Bienvenidos a este año nuevo y para comenzar les propongo una lectura de lo más apasionante, el título "El escarabajo de oro" del maravilloso escritor Edgar Allan Poe, este es un libro publicado en 1843 según lo indica Wikipedia pero sin duda es un clásico para la lectura.

Se trata de un relato fantástico que plantea el misterio que envuelve a un escarabajo, dotado de poderes que le permite acceder a un tesoro, luego de algunos tropiezos, en una expedición integrada por Legrand, su sirviente, su perro, y el narrador, en un ambiente rodeado de misterio.

Particularmente he tenido la suerte de comenzar a leer varios libros al año y al día de hoy recuerdo que "El escarabajo de oro" fue el primero, para este 2012 que se fue llegue a leer 7 libros, muchos de ellos técnicos y de ficción así que para este año esperemos alcanzar los 10.