SquidReport – Mi nuevo proyecto para generar reportes

En este post les quiero presentar una nueva herramienta para la generación de reportes y estadísticas para el Proxy-cache SQUID llamada SquidReport.

Como todo nuevo proyecto, inicie la creación de esta herramienta con la idea de aprender Python3 e ir mejorando esta habilidad. Por otro lado, si bien existen herramientas de reportes como SARG o calamaris, desde hace tiempo no reciben actualizaciones o nuevas funcionalidades.

Si bien SquidReport se encuentra en una versión preliminar, la información que se puede obtener desde el archivo access.log de squid es muy interesante.

Descarga de SquidReport

El proyecto se encuentra en un repositorio de GitHub, con lo cuál todos están invitados a colaborar y contribuir en el proyecto desde el siguiente enlace https://github.com/elcodigok/SquidReport

$ git clone https://github.com/elcodigok/SquidReport.git

Como librería inicial, estoy utilizando PrettyTable para organizar y tabular la información, por lo cuál es necesario instalarlo con pip3.

$ pip3 install -r requirements.txt

Con todo esto, ya estamos en condiciones de utilizar SquidReport de la siguiente manera para obtener ayuda.

$ python3 squidReport.py -h

Por el momento, esta la posibilidad de buscar entre el archivo log el nombre de un dominio o parte de él, para saber cuáles son las direcciones IP’s que realizaron más request, tamaño de las descargas, estados del Proxy y tipos de archivos.

La forma de ejecutarlo sería la siguiente:

$ python3 squidReport.py -f /var/log/squid3/access.log -s danielmaldonado.com.ar

$ python3 squidReport.py -f /var/log/squid3/access.log -s .com.ar

donde -f o --file se especifica el PATH donde se encuentra el archivo Log de squid y -s o --search el contenido de algún dominio a buscar y obtener estadisticas del mismo.

Por el momento, y mientras continúo aprendiendo Python3 son las funcionalidades que contiene SquidReport, pero tengo algunas ideas más para implementar en las próximas versiones y seguir creciendo como proyecto.

SquidReport se encuentra bajo la licencia GNU/GPL v3 con lo cuál están todos invitados para realizar modificaciones, dejarme sus comentarios, crear algunos ISSUES desde https://github.com/elcodigok/SquidReport/issues para que entre todos logremos un buen proyecto.

Saludos!

Se encuentra disponible Wireshark 3.0.0

Si estamos experimentando problemas dentro de nuestra red local (cortes, cuellos de botella, etc) y queremos poder identificar la causa para poder solucionarla es necesario utilizar herramientas que nos permitan analizar las redes y todos los protocolos con el fin de detectar cualquier posible problema que podamos encontrar y poder así darle solución. Existen muchas herramientas para análisis de redes en el mercado, y la mayoría de ellas son comerciales y tienen unos precios desorbitados. Sin embargo, Wireshark es la excepción que confirma la regla.

Wireshark es una de las aplicaciones para análisis de redes y protocolos más completas y eficaces que podemos encontrar en la red. A diferencia de las demás alternativas comerciales, Wireshark siempre ha sido una herramienta totalmente gratuita y de código abierto, permitiendo a cualquier usuario utilizarla con el fin que sea sin necesidad de tener que pagar ninguna licencia ni comprar hardware dedicado, desde cualquier ordenador.

A pesar de ser una aplicación gratuita, esta cuenta con actualizaciones periódicas para dotarla de nuevas características y corregir posibles errores y problemas, además de contar con una amplia comunidad en la red dispuesta a ayudar a los usuarios en lo que sea.

Ahora, 3 años después del lanzamiento de la versión 2.0 del mismo (aunque con varias subversiones en medio), esta herramienta recibe una nueva versión. Ya está disponible Wireshark 3.0.

Novedades de Wireshark 3.0

Para ser un cambio de versión, esta actualización no llega con tantas novedades como cabría esperar, aunque sí trae cambios que pueden resultar interesantes para los usuarios de esta herramienta.

El primero de los cambios que llegan con Wireshark 3.0 es una considerable lista de corrección de errores, aunque los más importantes son un fallo al procesar TCP ZeroWindowProbe, un error en el fichero LUA que impedía ejecutar la aplicación como superusuario, errores de diseño y cuelgues inesperados.

Esta nueva versión mejora notablemente los mapas de datos, y además incluye importantes mejoras para su uso en macOS. También actualiza Qt en el instalador de Windows y macOS e incluye soporte inicial para el uso de tokens PKCS #11 para descifrar RSA en TLS.

Npcap sigue siendo el capturador por defecto en vez de WinPcap

Npcap es la herramienta utilizada actualmente por Wireshark para la captura de paquetes. Esta herramienta se diferencia principalmente de la conocida WinPcap porque se trata de una herramienta en mantenimiento, es decir, que aún tiene soporte, mientras que WinPcap lleva sin actualizaciones desde 2013.

Además, Npcap cuenta con mejores medidas de seguridad que su alternativa, como soporte para EV SHA-256, así como la posibilidad de limitar el acceso a la misma solo a los administradores. También ofrece la posibilidad de capturar el tráfico Loopback e inyectarlo igualmente en Loopback, muy útil para realizar pruebas de seguridad.

Cómo descargar Wireshark 3.0

El nuevo Wireshark 3.0 ya está disponible para todos los usuarios que quieran utilizarlo. Esta nueva versión se puede descargar sin coste alguno desde la página web oficial del proyecto.

Podemos utilizar Wireshark sin problemas en Windows, macOS y Linux, simplemente debemos descargar la versión apropiada para nuestro sistema operativo, instalarla junto a las dependencias que nos indique y listo, ya podremos empezar a trabajar con esta herramienta.

Fuente | RedesZone

libssh-scanner es la primera herramienta para encontrar LibSSH Vulnerables

Recientemente publicamos un artículo donde hablábamos de una grave vulnerabilidad en LibSSH. Esto dejaba a miles de servidores vulnerables. Por suerte, como suele ocurrir en estas situaciones, lanzaron actualizaciones para resolver el problema. Sin embargo no todos los servidores las han implantado. Es por ello que hoy vamos a mostrar LibSSH Scanner. Se trata de una herramienta que tiene como objetivo encontrar servidores LibSSH que sean vulnerables. Una manera de probar si realmente se ha actualizado correctamente o no.

LibSSH Scanner, la herramienta para encontrar servidores vulnerables

Como sabemos, LibSSH es una biblioteca escrita en C y que es utilizada por muchos proveedores. La vulnerabilidad fue descrita como CVE-2018-10933. La manera en la que puede ser explotada es muy sencilla. Solamente requiere de enviar al servidor afectado una solicitud “SSH2_MSG_USERAUTH_SUCCESS”. De esta manera logra engañarlo y hacer creer que el usuario ya se ha autentificado.

Durante los últimos días no han parado de lanzar avisos de seguridad las empresas responsables. Entre ellas podemos nombrar algunas como el popular fabricante de sistemas operativos basados en Linux, Red Hat.

Una de las primeras recomendaciones fue que los administradores iniciaran sesión de manera manual. De esta manera evitan el sistema de autenticación de clave pública, que es donde reside la vulnerabilidad.

Como hemos mencionado, son muchos los servidores que pueden ser vulnerables al tiempo de escribir este artículo. Según datos aportados por Leap Security, hay unos 3.000 servidores conectados a la red que utilizan este sistema. De ellos, entre 1.800 y 1.900 utilizan una versión vulnerable.

Script basado en python

Aquí es donde entra en juego LibSSH Scanner. Este script tiene como objetivo detectar esos servidores que son vulnerables a ataques. Se trata de una herramienta basada en python que puede indicar qué servidores son vulnerables a CVE-2018-10933.

Lo podemos descargar gratuitamente desde GitHub. Allí podemos encontrar información sobre este script. Los creadores indican que está diseñado para conocer si los servidores correspondientes a una organización han sido parcheados correctamente. Cuenta con dos modos de actualización: pasivo y agresivo, para validar la existencia de la vulnerabilidad. De forma predeterminada se ejecuta en el primer modo.

Hay que recordar que la vulnerabilidad está presente en las versiones de LibSSH a partir de la 0.6. El problema se corrigió con un parche que está presente en las versiones 0.7.6 y 0.8.4. Es por ello que conviene conocer si está actualizado correctamente o por el contrario sigue siendo vulnerable. Con LibSSH Scannerpodemos averiguarlo fácilmente.

Como siempre indicamos, mantener nuestros sistemas actualizados es muy importante. Esto hay que aplicarlo tanto al propio sistema operativo como a las diferentes aplicaciones que tengamos instaladas en nuestro equipo. En ocasiones, como en el ejemplo que hemos visto en este artículo, surgen vulnerabilidades. Normalmente estos fallos son resueltos mediante parches y actualizaciones de seguridad. Es por ello que mantener nuestros equipos con las últimas versiones puede protegernos de sufrir diferentes tipos de amenazas que comprometan el buen funcionamiento.

En definitiva, LibSSH Scanner nos indica qué servidores son vulnerables y por tanto requieren de ser parcheados correctamente. Es una herramienta gratuita e interesante.

Fuente | RedesZone

Administrando #Docker con Portainer.io

Estás iniciando en #Docker y te resulta muy complicado? A todos, de alguna u otra manera pasamos por esto. Nuevas plataformas, nuevas tecnologías, muchos comandos en la consola, y aunque muchas veces no parezca, claro que es complejo y complicado de entender a la primera.

Navegando un poco por la web, encontré una excelente herramienta de Administración y Despliegue para Docker llamado Portainer.io

Figura 1: Administrando Docker con Portainer.io

Portainer.io es un Dashboard Web que permite realizar la administración, monitoreo y despliegue para contenedores Docker con la facilidad de no tener que recordad la secuencia de comandos para cada actividad.

Portainer.io se encuentra publicado en Docker Hub y está disponible para que comencemos a trabajar de la siguiente forma:

$ docker volume create portainer_data

$ docker run -d -p 9000:9000 -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer

De esta manera, lo que hacemos es descargar la imagen desde Docker Hub y habilitar el puerto 9000 para ingresar a su administración.

Una vez allí, vamos a encontrar los estados de cada contenedor, sus archivos Logs en tiempo real, un acceso directo a su consola de administración.

Ademas, desde Portainer.io es posible realizar la administración de las redes, imagenes, volúmenes y una colección de templates disponibles para realizar el despliegue de forma simple.

Figura 2: Administración de Templates en Portainer.io

No dejen de probar esta excelente herramienta de administración para iniciar rápidamente en el universo Docker.

Saludos!

Enlace | Portainer.io

2 herramientas para generar reportes en #SQUID

Una de las tareas principales de los administradores de red es tomar el control de todos y cada uno de los recursos, como así también optimizar los servicios brindados.

Figura 1: 2 herramientas para generar reportes en SQUID

Para mejorar el rendimiento y la experiencia de navegación suelo utilizar un servicio de Proxy llamado SQUID como así también para generar políticas de navegación gracias a sus ACL, aceleración en las consultas y control de ancho de banda por medio de sus delay_pools.

2 herramientas para generar reportes en SQUID

1) SARG - Squid Analysis Report Generator: Es una herramienta indispensable para mantener el control detallada de la actividad de cada usuario dentro de su navegación a Internet, por otro lado permite estimar la cantidad acumulada de recursos consumidos y todo por medio de un reporte web muy intuitivo.

Figura 2: SARG

En todo momento, gracias SARG es posible visualizar el TOP de sitios medido por la cantidad de request solicitados, los dominios que ingresó cada usuario, Descargas, accesos denegados por alguna ACL y fallos en la autenticación.

Como instalar SARG

Para poder instalar el generador de reportes SARG simplemente es necesario ejecutar en los sistemas Debian:

$ apt-get install sarg

Si todo finalizó correctamente, pueden editar su archivo de configuraciones alojado en /etc/sarg/sarg.conf donde desde allí van a poder ajustar algunos parámetros.

2) Calamaris - Se trata de otro generador de reportes, escrito en el lenguaje Perl5 y al igual que SARG, en sus reportes utiliza como input el archivo log que genera el servicio de SQUID.

Figura 3: Calamaris

En lo personal utilizo calamaris no tanto desde el cron de GNU/Linux, sino en determinados periodos para conocer de forma rápido valores como el funcionamiento del cache, y la forma en la que está trabajando, los tiempos en sobrecarga del servidor y la cantidad de request.

Además de un resumen, calamaris les puede mostrar más de 15 categorías de información, como los protocolos más usados, dominios más consultados, funcionamiento del caché, extensiones de archivos descargados, etc.

De no ser configurado correctamente, es posible encontrar algunos Dorks en Google.

Como instalar calamaris

Para instalar calamaris en sistemas basados en Debian, pueden ejecutar:

$ apt-get install calamaris

Y para comenzar a probarlo, los invito a que ejecuten la siguiente secuencia de comandos.

$ cat /var/log/squid3/access.log | calamaris -a | less

Suponiendo que el archivo access.log se encuentra en el PATH mencionado para el ejemplo.

Ya sea que necesitemos información de una herramienta específica o haciendo uso de más recursos, la idea de generar reportes no solo es un beneficio para conocer como responde el servicio al esquema de la red, sino también para depurar errores, ACL, y saber con precisión datos tales como, la cantidad de usuarios detrás de nuestro proxy, el consumo diario promedio de los usuarios y el rendimiento de nuestro servicio Proxy en la red.

A poner en práctica estas herramientas, y me gustaría que dejen en sus comentarios más herramientas que utilizan para conocer la salud de sus implementaciones de Squid.

Patrocinado por L23 Tecno | Jujuy

Saludos!

WebApp Information Gatherer con #wig

Hoy les quería compartir una de esas herramientas geniales para iniciar los procesos de Pentesting y específicamente en su primera etapa que es la recolección de información.

Figura 1: WebApp Information Gatherer con wig

Se trata de wig - WebApp Information Gatherer, una herramienta escrita en Python3 para la línea de comandos que permite recopilar información de aplicaciones webs y de numerosos CMS tales como WordPress, Joomla!, Drupal, Magento, PHPbb, phpMyAdmin, entre los más populares.

Con un dato un poco más técnico, wig utiliza una base de inferencia por ejemplo de firmas md5, expresiones regulares, cabeceras, etc para determinar algunas versiones específicas de alguno de los productos mencionados.

Figura 2: Firmas md5 en la base de conocimiento de wig

De esta manera, wig tiene como objetivo buscar y exponer la mayor cantidad de información posible, como tecnologías que se utilizan en un determinado proyecto web, subdominios encontrados para el dominio especificado en el escaneo, archivos y directorios interesantes y por supuesto enlaces a las vulnerabilidades detectadas.

Por otro lado, wig permite brindar recomendaciones sobre otras herramienta que se podría utilizar para obtener más información una vez detectado algún producto.

Para obtener wig, es posible clonar su repositorio a su ordenador local de la siguiente manera:

$ git clone https://github.com/jekyc/wig.git

Para comprender y ver una demo de como wig nos puede ayudar en nuestras auditorías, les comparto un pequeño video.


Saludos!

Enlace | wig - WebApp Information Gatherer en GitHub

Buscar páginas de administración con #BLACKBOx

BLACKBOx es una interesante herramienta de auditorías para la web, con algunos módulos para activar y utilizar en la búsqueda y explotación de vulnerabilidades.

Una interesante funcionalidad de BLACKBOx es la posibilidad de buscar las páginas de administración por medio del módulo "Admin Page Finder" (admin_brute) por medio de fuerza bruta basado en diccionarios que la herramienta incorpora.

Se puede obtener más información sobre el módulo admin_brute de la siguiente manera:

$ python2 blackbox.py admin_brute -h

Además de especificar la URL -u/--url es necesario aclarar si la web está creada en PHP --php, en ASP --asp, etc de esa manera utiliza los diccionarios especificados para cada lenguaje.

De esta manera y conociendo esta información, se puede ejecutar BLACKBOx de la siguiente forma:

$ python2 blackbox.py admin_brute -u http://miweb.com.ar --php

Muy buena herramienta y simple de implementar para iniciar y buscar información de las webs objetivos en el proceso de pentesting.

Saludos!

Enlace | BLACKBOx Penetration Testing Framework

Obtener información de dominios con #dnsenum

Dentro de las fases de un Test de Intrusión o Pentesting sobre una infraestructura, encontramos la recopilación de información. Esta fase consiste en obtener desde diferentes fuentes información valiosa sobre el objetivo que se va a auditar.

Este punto, aunque mucho los subestiman, es el más importante, ya que toda la información que se obtiene de esta fase va a ser el hilo conductor para los siguientes pasos.

Por otro lado, muchos de los objetivos que se van a auditar tiene una presencia en Internet, tienen servicios asociados, distintos dominios y este es el punto de inicio para comenzar a recopilar información.

Figura 1: DNS, Domain Name Servers

Si tienen presencia en Internet, cuentan con dominios y allí se pude desprender toda la información de servicios que el objetivo está brindando.

Es sabido que además los servidores de DNS no tienden a ser bien configurados, permitiendo en varios casos realizar consultas de transferencias de zona sobre determinadas peticiones y obtener más información de lo necesario.

Obtener información con dnsenum

De esta manera es que me recomendaron la herramienta dnsenum para aprovechar que mucha de la información que se requiere para iniciar una investigación.

dnsenum es una herramienta de línea de comandos escrita en Perl, con el objetivo de obtener la mayor información posible de los dominios especificados.

Se pude obtener dnsenum desde su repositorio en GitHub y clonarlo en local de la siguiente manera:

$ git clone https://github.com/fwaeytens/dnsenum.git

Alguna de las opciones que se puede obtener, son las siguientes:

$ perl dnsenum.pl -h

Figura 2: Opciones para la herramienta dnsenum

Una opción que más me gustó es la posibilidad de otorgar un archivo como diccionario ( -f, --file ) para realizar Fuerza Bruta y obtener más dominio ocultos o pocos visibles, como es el caso del archivo que incluye llamado dns.txt.

El resultado de dnsenum es un conjunto de dominios, NS, servidores de correo MX, Servidores de Mensajería, Servidores webs, muchas direcciones IP junto a sus rangos asignados y sin duda lo más importante, un buen punto de inicio para la siguiente fase.

Conclusiones

Es muy importante tener un panorama global de toda la infraestructura, muchas veces se intenta atacar o buscar vulnerabilidades directamente a servidores de Bases de Datos o aplicaciones web, cuando posiblemente la clave esté en "pivotar" dentro de la infraestructura por medio de servidores que no son tan importante pero que pueden llegar a tener los permisos necesarios para acceder a los más críticos.

Para ello, es necesario contar con información previa y una gran capacidad de inferencia para entender como está conformado los esquemas de servidores y otras conexiones.

#SecLists, una colección de diccionarios

Para hoy les quiero mostrar un interesante proyecto que intenta recopilar diferentes diccionarios y listas de palabras que pueden ser muy útiles como ingreso a otras herramientas de auditorias o tareas de pentesting.

Figura 1: SecLists

SecLists

El proyecto se llama SecLists y su repositorio en GitHub

https://github.com/danielmiessler/SecLists

y desde alli podemos encontrar colecciones de URL's, Username, Password, nombres de Web Shell, nombres de servicios, directorios, y muchas cosas más.

A la hora de realizar PoC en fuerza bruta, crawls o reconocimientos de servicios, SecLists puede ser de gran ayuda para iniciar las pruebas.

Este post primero lo compartí en la Comunidad Pentesting de ElevenPaths, donde lo más interesante es que allí se encuentran los mejores profesionales de seguridad informática listos para colaborar y sumar más conocimiento.

Mi buen amigo Claudio Caracciolo @holesec me dejó un par de enlaces más para reforzar los diccionarios.

Solo para sumar, en este sitio hay bastante de bases muy variadas como asteroides, deportes, etc.:

https://packetstormsecurity.com/Crackers/wordlists/

y cómo no, tablas para auditorias a redes Wi-Fi con WPA-PSK:

https://www.renderlab.net/projects/WPA-tables/

Pero no debemos olvidar el generador CeWl de Digininja que es de gran utilidad:

http://www.digininja.org/projects/cewl.php

Alguien más conoce otras colecciones de diccionarios para ampliar la lista?

Saludos!

Generando Word List con CeWL

Hoy me gustaría recomendarles una herramienta para generar listas, diccionarios o también conocidos Word List partiendo de una página web y que luego podemos utilizarla para crear contraseñas o realizar ataques de fuerza bruta con otras herramientas.

Figura 1: Word List de Password

Se trata de CeWL, una interesante herramienta libre de Licencia GNU/GPLv3, escrita en el lenguaje de Ruby para la línea de consola, con el objetivo de servir y armar un listado de palabras descubiertas en la web que especificamos y de metadatos de archivos descargados.

Muchas veces nos encontramos que las Word List que se encuentran en la web son muy generalizadas y tenemos la necesidad de montar una auditoria con palabras propias del entorno u objetivo. Pues es aquí donde CeWL nos va a ser de gran ayuda.

Para descargar la herramienta, podemos realizar los siguientes pasos:

$ wget https://digi.ninja/files/cewl_5.1.tar.bz2

Luego descomprimir el paquete tar.bz2 descargado

$ tar -xjvf cewl_5.1.tar.bz2

Lo que generará un directorio con el nombre cewl donde se encuentra los ejecutables para lograr comenzar a crear las propias listas basadas en el contenido de una web.

Finalmente, y especificando una web podemos ejecutar CeWL de la siguiente forma:

$ ./cewl -a -e http://paginaweb.lan -v -w wordlist.txt

( -a o --meta ) Incluye los metadatos.
( -e o --email ) Incluye las direcciones de correo.
( -v o --verbose ) Muestra más información a medida que el proceso de ejecuta.
( -w o --write ) Especifica el nombre del archivo que generará la Word List

Finalmente en wordlist.txt se va a encontrar el resultado de palabras claves con las que podemos empezar a auditar o realizar los penetration testing sobre un objetivo.

Saludos!

Enlace | Página oficial del proyecto CeWL

Web Shell Detector

El día de hoy les quiero comentar de una interesante herramienta que utilizo para buscar los "Web Shells" dentro de un directorio Web donde los malos siempre se quieren colar.

Y para ello vamos a utilizar una herramienta llamada Web Shell Detector donde viene en las versiones escrita en el lenguaje de PHP y Python.

A fines prácticos, realmente me gusta mucho utilizarlo como scripts en Python. Para poder descargarlo solo tenemos que clonar el repositorio desde GitHub de la siguiente manera:

$ git clone https://github.com/emposha/Shell-Detector.git

Solo queda ingresar al directorio y ejecutar la herramienta shelldetector.py especificando como argumento -d el directorio que queremos revisar.

$ python shelldetector.py -d /var/www/miweb

Shell Detector va a investigar y analizar cada archivo dentro de ese directorio web en búsqueda de funciones que generalmente los malos utilizan para ocultar y ofuscar scripts como base64_encode, system, exec, etc. y por medio de su firma, expresiones regulares y contenido puede llegar a determinar si se trata de un Web Shell instalado en el servidor.

Recordemos que los Web Shell más populares encontrados en las webs coladas son c99, r57, c100, PHPjackal y Locus, pero claro no son los únicos.

A poner en práctica esta herramienta y monitorear nuestros servidores web con esta herramienta tan simple de implementar.

Saludos!

Enlace | Web Shell Detector

Owasp Zed Attack Proxy Guide

Estás interesado en aprender un herramienta como OWASP ZAP? Sin duda esta documentación en español y distribuida como Ebook es la mejor opción!

Su autor es Eric Balderrama @EricBalderrama y esta gran documentación se encuentra editada por mi amigo Jose Moruno Cadima de @sniferl4bs 

En este Ebook, vas a poder leer temas como:

• Introducción a Zaproxy
• Intercept Proxy
• Escaneos Pasivos y Activos
• Zap Web Crawling
• Fuzzing con Zap
• Zap Forced Browse
• Zest Script sobre Zap
• Actualización y Plugins en Zap
• Cuestiones que nos olvidamos
• Reporting

Todas mis felicitaciones para Eric y José por este gran trabajo y seguir compartiendo información tan valios.

Saludos!

Enlace | OWASP Zed Attack Proxy Guide

GenerateWP

GenerateWP es un recurso que encontré dando vueltas por la web en busca de nuevas ideas e investigaciones para poder mejorar WPHardening.

Entre tantas opciones que GenerateWP tiene para el usuario, encontré uno que realmente me llamó la atención y tiene que ver con un servicio con el que ya cuenta WPHardening que es un wizard para la creación del archivo wp-config.php para un paquete de WordPress.

Lo interesante de esto es que quizas extiende a más parámetros de los que en WPHardening aplica, pero sin dudas estoy muy ancioso por aprender y ver cada uno de los otros que GenerateWP propone.

La idea siempre fue facilitar al usuario promedio y automatizar algunas tareas de seguridad, para proponer niveles aceptables de seguridad en los proyectos WordPress, esa es la premisa fundamental del proyecto y en esta oportunidad GenerateWP me está brindando muy buenas ideas.

Saludos!

Enlace | GenerateWP

WPHardening 1.4

Luego de vivir una fantástica jornada de seguridad con la que fue Andsec Security Conference 2014 presenté una nueva versión de WPHardening incorporando nuevas y mejores funcionalidades para la herramienta.

Entre las mejoras publicada para la versión 1.4 el 29 de Noviembre del 2014 podemos encontrar:

• Controles para el user-agent libwww-data
• Optimización del código fuente
• Nuevo valores por defecto en la opción --wp-config
• Control en los Query String Exploit
• Validación en el ingreso de datos
• Ocultación de diferentes errores
• Se agrega un nuevo filtro en login_error que oculta los problemas de autenticación
• Nuevo parámetro MEMORY_LIMIT en la opcion --wp-config
• Muestra información de las librería TimThumb
• Corrige un fallo de Full Path Disclosure
• Elimina los Theme que no se utilizan
• Se creo la opción --load-conf para cargar una configuración previa y no escribir todos los parámetros.

Recuerden descargarse el código fuente desde GitHub de la siguiente manera:

$ git clone https://github.com/elcodigok/wphardening.git

Luego pueden ejecutar:

$ ./wphardening.py -h
Usage: wphardening.py [options] arg

Options:
  --version             show program's version number and exit
  -h, --help            show this help message and exit
  -v, --verbose         Active verbose mode output results
  --update              Check for WPHardening latest stable version

  Target:
    This option must be specified to modify the package WordPress.

    -d DIRECTORY, --dir=DIRECTORY
                        **REQUIRED** - Working Directory.
    --load-conf=FILE    Load file configuration.

  Hardening:
    Different tools to hardening WordPress.

    -c, --chmod         Chmod 755 in directory and 644 in files.
    -r, --remove        Remove files and directory.
    -b, --robots        Create file robots.txt
    -f, --fingerprinting
                        Deleted fingerprinting WordPress.
    -t, --timthumb      Find the library TimThumb.
    --wp-config         Wizard generated wp-config.php
    --delete-version    Deleted version WordPress.
    --plugins           Download Plugins Security.
    --proxy=PROXY       Use a HTTP proxy to connect to the target url for
                        --plugins and --wp-config.
    --indexes           It allows you to display the contents of directories.
    --malware-scan      Malware Scan in WordPress project.

  Miscellaneous:
    -o FILE, --output=FILE
                        Write log report to FILE.log

Me ayudan con un Like, +1 o un Tweet a difundir este proyecto y que pueda llegar a todos los usuarios de WordPress? Muchas gracias.

Saludos!

WPHardening 1.3

Que bueno es volver a escribir sobre este proyecto que tantas satisfacciones me da a nivel profesional, simplemente contarles que después de varios meses de trabajo, programación e implementación de nuevas funcionalidades, ya se encuentra disponible WPHardening 1.3

Esta nueva versión de WPHardening contiene varias mejoras y nuevas funcionalidades que les quería compartir:

• Se corrigieron algunos bugs y excepciones cuando no se detecta una conexión a Internet.
• Se implementó una mejora en la detección del proyecto WordPress basado en un extenso diccionario.
• Se incorporó Latch como recomendación de plugins de Seguridad.
• Totalmente compatible con WordPress 3.9.1 o inferiores, incluso ya me encuentro haciendo pruebas para el nuevo WordPress 4.0
• Se implementó la búsqueda de las librerías timthumb.php dentro de todo el proyecto, simplemente para alertar al usuario que existe.
• Dentro de lo que es el código fuente del proyecto, se renombraron algunas variables para no perder la estética y simpleza de su código.
• Otra implementación, es la posibilidad de actualizar siempre a la última versión estable con la opción --update
• Finalmente, complete el modo verbose para todas las opciones de wphardening.

De entre las modificaciones, trabajé mucho en la estética de su código y en la simpleza de las funciones, por otro lado hay una extensa lista de tareas para seguir trabajando y mejorando mucho más.

Para descargar WPHardening mi recomendación es que lo hagan desde GitHub de la siguiente manera

$ git clone https://github.com/elcodigok/wphardening.git

De todas maneras, a partir de esta versión van a tener la posibilidad de actualizarlo desde la misma herramienta que va a consultar al repositorio de GitHub

$ ./wphardening.py --update 

Como fusionar GoLismero y SpiderFoot

Hace unos días estuvimos hablando de SpiderFoot, realmente una excelente herramienta de footprinting que el software libre nos regala y por otro lado, en algún momento estuvimos hablando sobre GoLismero, otra herramienta integradora ideal para el uso diario en nuestros pentesting.

Hoy les propongo mostrarle la forma de como integrar las búsquedas de SpiderFoot junto al poder de GoLismero, no se lo pierdan.

Dando el supuesto de que las dos herramientas ya la tenemos en nuestro entorno de prueba, directamente descargados desde sus repositorios en GitHub, lo primero que vamos a hacer es ejecutar el servidor de SpiderFoot de la siguiente manera:

$ cd spiderfoot/
$ python sf.py

OwnCloud 7

Tal y como estaba planificado, ayer fue el gran lanzamiento de ownCloud 7, el software OpenSource que te permite crear un SaaS (Software as a Service) en tu propio servidor, dando la posibilidad de usar una nube privada o hídrida.

Frank Karlitschek, creador del proyecto y principal desarrollador comentó en su blog personal:

La liberación de ownCloud 7 no es sólo la celebración de un montón de trabajo duro por la comunidad ownCloud, sino también un nuevo comienzo! No sólo vamos a lanzar actualizaciones de esta versión, solucionar problemas y añadiendo traducciones, pero la comunidad ahora también empieza a actualizar las numerosas aplicaciones OwnCloud a ownCloud 7.

Características de ownCloud 7

• Mejoras muy importantes a la hora de compartir archivos, ahora es mucho más simple y flexible
• Mejoras en la Edición de archivos colaborativo, ahora se puede convertir los documentos de Microsoft Word y editarlos on-line.
• Notificación en la actividad de los archivos, permite notificar por email toda actividad que pase en un directorio.
• Nuevas vistas en el navegador de archivos, mucho más ordenado y simple.
• Indicador de fortaleza a la hora de crear nuestro password, de mucha ayuda para los usuarios para indicarle el nivel de robustes de sus claves.
• Importante optimización en la velocidad de carga de los archivos CSS y JavaScript.
• Nuevo Administrador de usuarios, con mejoras para administrar los grupos.
• Mejoras en el Acceso de Almacenamiento Externo como FTP, Dropbox, Google Drive, sFTP, Swif, S3, WebDAV, SMB/CIFS entre los más utilizados.
• Implementación de objetos Swift como objeto de almacenamiento.
• Integración con un escanner de Antivirus, podemos implementar CLAM AV.
• Mejoras en la implementación de autenticación con LDAP y ActiveDirectory.
• Wizard para la configuración de SMTP.
• Template de correos editable.
• Mejoras en la implementación de Cuotas de disco, incluido almacenamiento externo.

SpiderFoot

Hoy me gustaría recomendarles una herramienta que nos puede facilitar mucho la tarea de Footprinting a la hora de iniciar cualquier Pentesting.

Se llama Footprinting a las técnicas utilizadas para recopilar datos relevantes del objetivo a analizar antes de realizar cualquier test de intrusión. Por ejemplo: número de telefonos, direcciones IP, rangos de red, dominios, usuarios, etc.

Para esta tarea existen varias herramientas que podemos utilizar, pero hoy quería recomendarles la que estoy utilizando desde hace tiempo, llamada SpiderFoot.

Antes, hacer este trabajo sin una herramienta requería de un buen manejo de buscadores, varias pestañas abiertas, crear scripts para hacer un match de alguna expresión regular, cosas muy a al estilo ninja, muy divertidas pero a su vez el tiempo que requería comenzar era bastante y siempre hablando de la primera etapa en un Pentesting, donde muchos la califican como la más importante.

SpiderFoot es una herramienta que automatiza todas estas búsquedas de información, dejando algunos detalles técnicos, les puedo comentar que está escrito en Python, es multiplataforma por lo que se puede ejecutar en sistemas Windows y Linux, y además es una herramienta Open Source.

Cada escaneo que realizamos en SpiderFoot no da la posibilidad de escoger entre más de +30 módulos tales como DNS, E-Mail, Google, GeoIP, Shodan, Social Network, Web Server, etc.

Otras de las cosas interesantes de SpiderFoot son los reportes Web, que nos van indicando en todo momento el estado de cada escaneo y su resultado final en tiempo real, con un excelente trabajo estético en los reportes web.

GoLismero 2.0 Beta 3

Desde hace ya un tiempo, me dediqué a utilizar en mis Auditorías de Seguridad a la herramienta GoLismero y la verdad que desde el primero momento fue una experiencia única.

GoLismero

… es un Framework Open Source destinado al Pentesting. En la actualidad, está dirigido a la seguridad en aplicaciones web, pero es posible ampliarlo para otro tipos de aplicaciones o estructuras de sistemas. Tiene la capacidad de ejecutar sus propias pruebas de seguridad y utilizar una gran cantidad de herramientas de seguridad conocidas (OpenVas, Wfuzz, SQLMap, DNS recon, etc.) Una característica que la hace única a GoLismero, es la capacidad de retroalimentarse de información de cada plugin o herramienta y unificar de forma automática sus reportes.

Esta herramienta, se ejecuta en la consola de comandos, como lo dijimos anteriormente, está fundada desde sus inicio como Software Libre bajo la licencia GNU/GPLv2, es multiplataforma, debido que lo podemos ejecutar en Windows, GNU/Linux, *BSD y OSX, se encuentra programada en Python, es muy simple y rápido al momento de comenzar a usarla, existe la posibilidad de crear nuestros propios Plugins y colaborar al proyecto, unifica los reportes, etc. Con todas estas características, como no probar GoLismero y por que no colaborar al proyecto.

El equipo de GoLismero está compuesto por Daniel García ( @ggdaniel ), Mario Vilas ( @Mario_Vilas ) y Raúl Requero ( @rrequero )

Eliminar todas las reglas y cadenas en iptables

Este es un script que utilizo en todos mis firewalls para poder eliminar y dejar a cero las reglas creadas anteriormente en iptables.

Si estamos en una etapa de desarrollo del firewall y remotamente les recomiendo que a este script lo dejen ejecutando en el cron, la experiencia me indica que por alguna razón mientras creamos reglas y depuramos nuestro firewall podemos llegar a bloquear algún puerto en el que estamos conectados. Pero si lo dejamos como una tarea periódica cada 30 minutos lo podemos mitigar.

Primero podemos inicializar algunas variables de la siguiente manera

CAT=`which cat 2>/dev/null | head -n 1`
GREP=`which grep 2>/dev/null | head -n 1`
CUT=`which cut 2>/dev/null | head -n 1`
IPTABLES=`which iptables 2>/dev/null | head -n 1`

Con lo cuál, vamos a tener el path completo de su binario, independientemente del sistema que tengamos.

Luego completamos el script de la siguiente manera:

TABLES=`${CAT} /proc/net/ip_tables_names`
for t in ${TABLES}
do
    ${IPTABLES} -t "${t}" -F
    ${IPTABLES} -t "${t}" -X
    ${IPTABLES} -t "${t}" -Z

    # Find all default chains in this table.
    CHAINS=`${IPTABLES} -t "${t}" -nL | ${GREP} "^Chain " | ${CUT} -d ' ' -f 2`
    for c in ${CHAINS}
    do
    ${IPTABLES} -t "${t}" -P "${c}" ACCEPT
    done
done

Simple, fácil y efectivo.

Saludos!