4 consejos para proteger #SSH en #RouterOS

Figura 1: 4 consejos para proteger SSH en RouterOS

Hace algunos días publiqué un Dork en Google y en Shodan donde nos permite encontrar una gran cantidad de dispositivos con con el sistema RouterOS y que también se encuentran conectados a una IP pública.

Basta con conocer algunas particularidades más, para saber que estos dispositivos poseen varias formas de administración, como es el caso de su entorno Web llamado WebFig, un cliente para Windonws llamado Winbox y finalmente por medio de la línea de comandos gracias al protocolo SSH.

Quienes estamos acostumbramos a la Administración de servidores, sabemos el constante "ataque" que sufrimos al tener este tipo de servicio conectado, y lo peligroso que puede ser, que un posible atacante tome control sobre nuestras cosas de forma remota.

Por eso les quería dejar un par de tips para asegurar el servicio SSH dentro de los dispositivos RouterOS de MikroTik.

4 consejos para proteger #SSH en #RouterOS

1. Lo primero que podríamos hacer es cambiar el puerto de escucha de SSH, por defecto siempre es el 22 pero podría ser un puerto algo sin ningún servicio asociado.

2. Por otro lado deberíamos eliminar el usuario admin, pero cuidado aquí, previamente creen un usuario con todos los privilegios y luego eliminen el usuario admin. Asegurense de no utilizar usuarios como sys, root, backup, support o package.

3. De más estaría decir sobre fortalecer sus contraseñas utilizando caracteres especiales, Mayúsculas, Minúsculas, números, etc.

4. Finalmente podríamos aplicar algunas reglas en el firewall de RouterOS para banear por algunos días aquellas direcciones IP que intentan atacar al dispositivos haciendo uso de técnicas de fuerza bruta, creando el siguiente Scripts y utilizando las Address List.

# Bloqueo de fuerza bruta por SSH
# Puerto de SSH : 22

/ip firewall filter

add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop comment="drop ssh brute forcers" disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=10d disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m disabled=no

Guardamos este script con extensión .rsc y lo subimos al menú File de RouterOS.

Finalmente desde una consola de comando ejecutamos un import de nuestro scripts.

> import file-name=ssh-fuerza-bruta.rsc ;

Con lo cuál cuando nuestro firewall detecte esta actividad en el puerto 22 va a comenzar a completar nuestras address list y bloquear aquellos que están utilizando la técnica de fuerza bruta.

A los que administran estos dispositivos, les recomiendo poner en práctica estos pequeños tips.

Patrocinado por L23 Tecno | Jujuy

Saludos!

MTCNA - MikroTik Certified Network Asociate

Luego de una semana intensa de curso y bastante estudio, logré alcanzar mi primera certificación MTCNA como profesional de la mano de las tecnologías MikroTik.

Una experiencia fantástica vivida en las oficinas de la empresa Lauquen en Buenos Aires, junto a un grupo de compañeros excelentes y con mucha experiencia, dando cada uno sus aportes y aprendiendo mucho de todos.

Desde hace tiempo estaba jugando con las tecnologías MikroTik y se dió la posibilidad de certificar y mejorar el trabajo que estábamos llevando a producción, así que nada mejor que aprovechar la oportunidad y certificar.

Saludos!

Mundo Hacker TV - Sociedad Conectada

Por estos días, ya se encuentra disponible un nuevo capítulo de Mundo Hacker TV denominado Sociedad Conectada, donde es posible ver donde se almacena y como se procesa toda la información que generamos a diario por Internet.

Imperdible el Capítulo 05 de Mundo Hacker TV

Saludos!

OWASP Appsec Tutorial Series

Les dejo una serie de videos tutoriales publicados desde hace tiempo por la OWASP donde se exponen diferentes temas de Seguridad Informática como los ataques de Inyección SQL, XSS, HTTPS, identificando los riesgos y recomendando las soluciones.

Son cuatro episodios para no perderse ni un minuto de cada uno.

Episode 1 – Introduction

Episode 2 – Inyection Attacks

Wizard para crear un archivo de configuración de WordPress

Una de las nuevas funcionalidades publicadas en WPHardening v1.1 fue la implementación de un wizard que nos va a ayudar a crear el archivo de configuración de WordPress wp-config.php incorporando algunos parámetros que nos pueden ayudar a fortificar nuestra instalación.

Para activar esta opción vamos a convocar los siguientes flags.

$ ./wphardening.py -d /home/user/path/wordpress --wp-config

Recuerden que con -d especificamos el directorio donde se encuentra el proyecto de WordPress y utilizamos --wp-config

A partir de ahora nos va a solicitar que ingresemos una serie de parámetros como el nombre de la Base de Datos, el usuario registrado para administrar esa base de datos junto a su contraseña, el host, un prefix para las tablas y un lenguaje para la configuración. Un menú muy similar al siguiente.

$ ./wphardening.py -d /home/dmaldonado/Downloads/wordpress --wp-config

/home/dmaldonado/Downloads/wordpress -
This project directory is a WordPress.

Created file wp-config-wphardening.php
        Name of the database > db_wordpress
        Name of the User > user
        Password of the user > password
        Host [localhost] > localhost
        Table prefix [wph_] > wph_
        Language [es_ES] > es_ES

Google Hack: Buscando RouterOS

Todo listo para publicar un nuevo Dork en Google, en esta oportunidad vamos a buscar los RouterOS que se encuentran conectados a la web muchas veces sin su Hardening o configuración adecuada.

RouterOS es el sistema operativo de los dispositivos MikroTik, una excelente tecnología ideal para implementar en infraestructuras de conexiones, redes, firewall, proxy, Wirless, etc. La relación entre el Costo-Beneficio-Calidad es excelente y mi recomendación es que intenten jugar con uno de estos dispositivos que se van a sorprender.

Ahora bien, cada dispositivo conectado a la red de redes debería ser revisado previamente, para evitar los ingresos no autorizados, administraciones remotas controlados y la no indexación en buscadores como la que vamos a ver ahora.

RouterOS tiene varias interfaces de administración, por eso encontramos Winbox un administrador para Windows muy práctico y amigable, luego tenemos WebFig que es un administrador basado en el browser con las mismas prestaciones que Winbox y finalmente la que más me gustar a mi que es por SSH basada en la consola de comandos.

intitle:"RouterOS router configuration page"

Hackeando la nube sin herramientas por Matias Katz

Excelente charla impartida por Matias Katz, consultor de seguridad de Mkit en el último FLISoL 2013 de la Universidad Tecnológica Nacional Regional Buenos Aires.

Matias muestra la realidad y la seguridad de muchos proveedores de Cloud Computing, por otro lado acompaña su conferencia contando el método y la forma que lograron comprometer completamente a un proveedor.

Gracias al blog Linux para Todos de Claudio Cotar por compartir la conferencia.

Saludos!

La seguridad en Symfony2

Symfony2 ya es un framework con trayectoria para los usuarios que acostumbran a desarrollar en PHP5, pero desde sus inicio a implementado un modelo de seguridad para la autenticación y autorización de los usuarios dentro de sus proyectos.

Realmente me pareció muy interesante, ya que aplicando esta técnica evitamos que un usuario acceda a un recurso al cuál no debería tenes acceso. Por eso los invito a compartir como es la seguridad de usuarios dentro de Symfony2

En el primer paso del proceso, el sistema de seguridad identifica quién es el usuario obligándolo a presentar algún tipo de identificación. Esto se llama autenticación, y significa que el sistema está tratando de determinar quién eres.

Una vez que el sistema sabe quien eres, el siguiente paso es determinar si deberías tener acceso a un determinado recurso. Esta parte del proceso se llama autorización, y significa que el sistema está comprobando si tienes suficientes privilegios para realizar una determinada acción.

Otro componente indispensable para la seguridad en Symfony2 es el uso de firewall, que se utilizan cuando un usuario hace una petición a una URL, es allí cuando se activa el sistema de seguridad. El trabajo del firewall es determinar si el usuario necesita estar autenticado, y si lo hace, enviar una respuesta al usuario para iniciar el proceso de autenticación.

Un cortafuegos se activa cuando la URL de una petición entrante concuerda con el patrón de la expresión regular configurada en el valor config del cortafuegos. En este ejemplo el patrón (^/) concordará con cada petición entrante. El hecho de que el firewall esté activado no significa, sin embargo, que el nombre de usuario de autenticación HTTP y el cuadro de diálogo de la contraseña se muestre en cada URL. Por ejemplo, cualquier usuario puede acceder a /foo sin que se le pida se autentique.

Debian 7 Wheezy publicado

Creo que para todos los que acostumbramos a administrar sistemas o simplemente a utilizar software libre es imposible pasar por alto este tipo de noticias, como fue el lanzamiento de Debian 7.0 llamado Wheezy.

“Esta nueva versión de Debian incluye varias funcionalidades interesantes, como, por ejemplo, el soporte multiarquitectura, varias herramientas específicas para desplegar infraestructura de nube privada, un instalador mejorado, y un completo conjunto de códecs y reproductores multimedia que eliminan la necesidad de utilizar repositorios de terceros.”

Entre algunas de las nuevas características encontramos la instalación utilizando software de síntesis de voz, una gran implementación para usuarios con discapacidad visual que no usa un dispositivo Braille y por otro lado su sistema de instalación se encuentra disponible en 73 idiomas.

WPHardening 1.1

Realmente increible las repercuciones por el proyecto, y la verdad muy agradecido a todos por tomarse el tiempo de probar la herramienta y realizar sus recomendaciones y comentarios.

Para esta oportunidad aprovecho para anunciar la versión 1.1 de WPHardening obviamente ampliando algunas funcionalidades y mejorando las que ya tenía.

La primera mejora que se implementó es el registro en un archivo log de todas las operaciones que WPHardening fue realizando, por defecto si no se especifica lo va a crear en el mismo directorio de WPHardening, pero podemos especificarlo utilizando el flag -o seguido del PATH de dicho archivo.

Por otro lado siguiendo las mejores prácticas leídas de administración y configuración de WordPress, decidí armar un Wizard para la creación del archivo wp-config-wphardening.php con parámetros que generalmente no estamos acostumbrados a adicionar pero que sin embargo son muy necesarios.

Para obtener esta nueva versión simplemente podemos actualizarla utilizando Git de la siguiente manera

$ cd wphardening/
$ git pull origin

Con la cuál vamos a obtener absolutamente toda la actualización para comenzar a securizar nuestros proyectos.

$ ./wphardening --version
WP Hardening version 1.1

Por lo que respecta a las otras funcionalidades es posible ver algunas mejoras con revisiones más exhaustivas y puntuales y recomendaciones por los mails que me llegaron.

Desde ya nuevamente voy a estar muy agradecido de que todos prueben la herramienta y me dejen sus comentarios, inquietudes y recomendaciones para continuar mejorando la herramienta.

Saludos!

Descarga | WPHardening v1.1

Full Path Disclosure

En las auditorías de esta semana me toco ver mucho este tipo de vulnerabilidad web, Full Path Disclosure también conocida como  FPD, sin duda una vulnerabilidad que no es para nada peligrosa, pero que sin embargo revela demasiada información sobre nuestro sistema de archivo, organización de directorios, etc.

Generalmente cuando reportamos este tipo de vulnerabilidades las respuestas no son tan alarmantes, sin embargo como les comentaba anteriormente, revelan información para poder utilizar otro tipo de ataque como un Local File Include (LFI).

A este tipo de vulnerabilidades la podemos analizar desde dos puntos, del lado del programador ya que generalmente tienen problemas en el uso de las variables, y desde los administradores de sistemas, ya que no ocultan este tipo de errores en los servidores de Producción.

Bugtraq 2, una distribución GNU/Linux para Pentesting

Desde el Viernes 26 de Abril, se encuentra disponible para descargar Bugtraq 2, una excelente distribución basada en el sistema Operativo GNU/Linux destinada a los profesionales de la Seguridad Informática.

Me contacté con parte del equipo de Bugtraq 2 por vía Twitter, donde me recomendaron esta distribución basada en Ubuntu, por lo que solo me quedó descargarla, generar la imagen booteable desde un Pendrive y probarla.

El día de hoy me encuentro utilizando esta distribución, sin duda una excelente organización de las herramientas de seguridad de todo tipo que se puedan imaginar, es más muchas herramientas que solo se encontraban para sistemas Windows también la encontramos en Bugtraq 2 gracias a Wine, como es el caso de la FOCA entre otros.