Archivo

Archivo de Autor

Explotación de Software Parte 25 – Desarrollo de Exploits basados en la Stack – Explotación basada en SEH

julio 24, 2014 Deja un comentario

Conceptos básicos sobre exploits basados en SEH.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 25 – Atacando Repetidores de Salida de TOR

julio 22, 2014 Deja un comentario

Script que utiliza STEM, Python-Nmap y Shodan para atacar los repetidores que se encuentran registrados en los descriptores publicados por las autoridades de directorio.
Se trata de una versión inicial, que modificaré y extenderé en los proximos días.
Publicaré un post para explicar en que consistiran las caracteristicas que quiero implementar y como utilizarlo.

attackTor: https://github.com/Adastra-thw/pyHacks/blob/master/attackTOR.py

Repositorio GIT de la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Explotación de Software Parte 24 – Salto y Ejecución de Shellcodes

julio 17, 2014 Deja un comentario

Se explican algunos métodos disponibles para realizar saltos a una dirección de mémoria donde reside un shellcode. También se explica el uso basico de memdump y msfpescan.

vulnServerExploit.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/vulnServerExploit.py

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 24 – Consulta de descriptores de TOR con Stem

julio 15, 2014 Deja un comentario

Conceptos basicos sobre los descriptores de TOR utilizando la API de STEM.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Explotación de Software Parte 23 – Desarrollo de Exploits basados en la Stack

julio 10, 2014 4 comentarios

Ejemplo simple sobre explotación de programas vulnerables sobre-escribiendo directamente el register EIP.

exploitMinishare.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/exploitMinishare.py

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 23 – Controlando instancias de TOR con Stem

julio 8, 2014 Deja un comentario

Utilizando la API de Stem para acceder a repetidores locales de TOR.

Repositorio GIT para la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Explotación de Software Parte 22 – Conceptos basicos sobre explotación de software

julio 3, 2014 1 comentario

Conceptos basicos sobre explotación de software vulnerable y principales tipos tipos de vulnerabilidades.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Resultados del Primer reto de Jóvenes profesionales de ISACA – Madrid Chapter.

julio 2, 2014 Deja un comentario

Tal como mencionaba la semana pasada el viernes 27 de junio se ha celebrado la primera edición del concurso de jóvenes profesionales de ISACA (@ISACAMadrid), evento en el que hemos participado Ismael González (@kontrol0) y yo presentando Tortazo. Nuestro objetivo era dar a conocer el proyecto e intentar captar el interes de otros desarrolladores para que nos colaboren con ideas y código. Nuestra presentación fue la primera, pero desafortunadamente no fue tan bien como esperábamos, ya que el fichero ODP que llevamos, se rompió al abrirlo con el Office que tenia instalada la máquina donde íbamos a presentar la idea, pero ese era el menor de los problemas… ya que solamente contábamos con 25 minutos para la charla llevamos unos vídeos para intentar exponer el mayor número de características de la herramienta de forma rápida y explicando paso a paso el uso de Tortazo y aunque se veían genial en nuestros ordenadores, en la pantalla del proyector no se veían ni las letras, así que hemos tenido que ir sacando pantallos y e ir tratando de explicar el uso de la herramienta con las imágenes que íbamos sacando: En resumen, nuestra presentación no ha del todo bien. De todos modos, hemos intentado explicar claramente de qué va la herramienta y al parecer la gente lo entendía y además, mostraban interés, así que eso ha estado bien.
Los demás participantes han tenido un poco más de suerte, excepto el chico de los drones al que no le dejaron sacar su dron para la parte practica. Las demás charlas hablaban de modelos de negocio, ciberseguridad y herramientas para la gestión de la información. Las charlas han estado muy bien y han sido muy entretenidas, todas sin excepción.
Al final, en la entrega de premios, francamente pensábamos que dada la presentación que habíamos dado (en la que no enseñamos ni la mitad de lo que queriamos mostrar a los asistentes), los demás participantes tenían más opciones de ganar, sin embargo…

Oh sorpresa!! nos hemos llevado el primer premio!!  :-O

Ha sido una gran sorpresa para nosotros, ya que después de los problemas que habíamos tenido con la presentación y la calidad técnica de las otras propuestas, creíamos que nuestro proyecto no iba a estar tan bien valorado, pero no fue así. Hemos salido del evento con las pilas recargadas y con la sensación de que vamos por el buen camino, ha sido un incentivo que nos motiva a seguir desarrollando nuevas características en Tortazo y mejorando las que ya se encuentran desarrolladas. Ha sido todo un acierto participar en el evento y esperamos que el próximo año tenga mucha más difusión y que hayan muchas más propuestas (técnicas preferiblemente). Hay gente con mucho talento en este país y siempre es un placer conocerles y saber en qué están trabajando, que nos sorprendan con sus proyectos y sus ideas. Compartir conocimiento, es la clave para la mejora y el desarrollo de cualquier sociedad.
Del evento como tal, solamente decir que la planificación y la organización ha sido notable, aunque creo que le ha faltado más difusión y a lo mejor debido a las fechas, la asistencia no ha sido tan buena. Supongo que la gente se encontraba muy ocupada un viernes a las 16:00h en pleno verano… :-P
Por otro lado, hemos tenido la oportunidad de conocer a los organizadores de Navaja Negra, han estado en el evento y han rifado algunas entradas para el evento que se celebrará entre el 2 y 4 de Octubre en Albacete. Nos han dicho que habrá cervezas y otras bebidas alcohólicas, ha sido demasiado tentador así que evidentemente, no hemos dudado en enviar nuestra propuesta al CFP y aunque no quede seleccionada, tengo pensado asistir.
Por último, dejo algunas de imágenes, espero que se repita el próximo año.

BrJae7EIMAAyAORSinfonier

BrJVFd5CQAAxgDaTío! la presentación no abre y los vídeos no se ven ni con lupa… Toca improvisar, la …. que ….

BrJWpXbIQAAF7g5Homenaje a uno de los mejores currantes que conozco en el campo de la seguridad : Homer Simpson. No tiene el reconocimiento que se merece. ;-)

 

dY2MDc6Foto final

Saludos y Happy Hack!!

Categorías:Uncategorized

Hacking con Python Parte 22 – Características avanzadas de Plumbum

julio 1, 2014 Deja un comentario

Uso de la libreria Plumbum para la ejecución automatizada de comandos y parseo de argumentos por linea de comandos.

Test.py: https://github.com/Adastra-thw/pyHacks/blob/master/Test.py

Repositorio GIT para la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Explotación de Software Parte 21 – Instalación de Sulley Framework

junio 26, 2014 Deja un comentario

Instalación de Sulley Framework sobre un sistema Windows 7.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Reto de ISACA Madrid para Jóvenes Profesionales

junio 24, 2014 1 comentario

El día viernes 27 de Junio, a las 16:00 horas se celebrará la primera edición del “Reto de ISACA Madrid para Jóvenes Profesionales”. En mi caso, participaré junto con mi compañero Ismael González (aka. @kontrol0) para hablar sobre el funcionamiento de “Tortazo”. Hace algunas semanas he escrito un par de entradas hablando sobre el objetivo de dicha herramienta y ahora vamos a intentar explicarlo “a viva voz” en una charla presencial en el Salón de Actos de la Secretaria de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI).  Será una charla corta de 25 minutos de duración, con lo cual solamente se podrán explicar las principales características de Tortazo y cómo va su desarrollo. Aunque es poco tiempo, creo que será suficiente para explicar exactamente de qué va ésta herramienta y despertar el interés de otras personas que quieran colaborar con el proyecto. Además, en la página donde se encuentra el programa del evento  veréis que hay otras charlas que tienen muy buena pinta y que seguro van a encantar a todos los asistentes. En mi caso, estoy seguro que me lo voy a pasar genial viendo las propuestas de los otros participantes y pensando sobre cómo poder “jugar” con lo que nos vayan a enseñar.
Cualquiera puede inscribirse gratuitamente, así que os invito a participar y disfrutar de cada una de las charlas que se van presentar. Además, también podéis seguir el hashtag en twitter “#RetoISACA” y la cuenta “@ISACAMadrid” para estar al tanto de todas las novedades que vayan surgiendo durante la semana.
Allí nos veremos!!

Saludos y Happy Hack!!

Categorías:Uncategorized

Hacking con Python Parte 21 – Automatización con Plumbum

junio 24, 2014 Deja un comentario

Uso de la libreria Plumbum para la ejecución automatizada de comandos y parseo de argumentos por linea de comandos.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Explotación de Software Parte 20 – Fuzzing con Sulley Framework

junio 19, 2014 Deja un comentario

Fuzzing utilizando la API y herramientas disponibles en Sulley Framework.

AbilityRequest.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/AbilityRequest.py
abilitySession.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/abilitySession.py

VulnServerRequest.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/VulnServerRequest.py
VulnServerSession.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/VulnServerSession.py

httpSavant.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/httpSavant.py
httpfuzz.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/httpfuzz.py

MiniShareRequest.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/MiniShareRequest.py
MiniShareSession.py: https://github.com/Adastra-thw/ExploitSerie/blob/master/MiniShareSession.py

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 20 – Controlando servidores SSH con Paramiko

junio 17, 2014 Deja un comentario

Utilizando Paramiko para gestionar conexiones y ejecutar comandos contra máquinas remotas por medio de un servidor SSH.
SSHTestParamiko.py: https://github.com/Adastra-thw/pyHacks/blob/master/SSHTestParamiko.py
SSHTestParamikoPortForward.py: https://github.com/Adastra-thw/pyHacks/blob/master/SSHTestParamikoPortForward.py
SSHTestParamikoSFTP.py: https://github.com/Adastra-thw/pyHacks/blob/master/SSHTestParamikoSFTP.py

Repositorio GIT de la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

Recomendaciones de seguridad en dispositivos Android.

junio 16, 2014 3 comentarios

La tecnología evoluciona constantemente, por lo que día a día, se produce un incremento del uso de dispositivos móviles (smartphones y tablets). Y cómo no, éstos se están viendo afectados por vulnerabilidades de seguridad y ataques de virus/maleware.

Si estás pensando en renovarte el móvil, échale un vistazo a la sección de iLevante de móviles libres donde hay muy buenos precios.

A día de hoy, el móvil es el dispositivo preferido para conectarse a internet, superando a los ordenadores de sobremesa y portátiles, cuenta con millones de usuarios que se descargan diariamente más de 4 millones de apps.

Los dispositivos que se ven más afectados a los ciber ataques, son los que tienen sistema operativo Android.

¿Cómo podemos estar seguros que nuestro móvil o Tablet está libre de software malicioso? ¿Qué podemos hacer para protegernos?

Esto se debe, principalmente, al gran desconocimiento de los usuarios sobre la seguridad de sus dispositivos. El gran número de desarrolladores que crean sus aplicaciones, en muchos casos gratuitas, y la desmedida instalación de éstas en los dispositivos, sin control alguno. Hacen que éstos sean más vulnerables.

Se han visto casos de aplicaciones que solicitan permisos de acceso a la cámara, cuando en teoría no hace uso de ella. El usuario sin saberlo, acepta la petición. La aplicación, por su parte, crea un pixel activo con la cámara que va capturando todas las imágenes, sin que el usuario se entere de nada.

Por todo ello, es de vital importancia que vigilemos la seguridad de nuestros dispositivos, con algunas de estas recomendaciones:

  • Instalar las aplicaciones sólo en aquellas tiendas oficiales y fiables, como pueden ser Google Play o Amazon.
  • Mantener actualizadas las aplicaciones y el sistema operativo del dispositivo también.
  • Asegurarse que las peticiones de acceso a las herramientas del dispositivo sean acordes con la aplicación instalada. Para ello accederemos a:  Ajustes -> Aplicaciones -> Elegimos una aplicación -> miramos los permisos que suelen estar al final.
  • Si no estamos seguros de la seguridad de una aplicación, lo mejor es buscar información y opiniones en internet, y en caso de duda, desinstalarla.
  • Instalar un antivirus para estar totalmente protegido.

Articulo cortesía de:  http://www.ilevante.com

 

Saludos y Happy Hack!!

Explotación de Software Parte 19 – Fuzzing con Spike

junio 12, 2014 1 comentario

Introducción a Fuzzing con SPIKE.

AbilityFTPServer.spk: https://github.com/Adastra-thw/ExploitSerie/blob/master/AbilityFTPServer.spk
MiniShareServer.spk: https://github.com/Adastra-thw/ExploitSerie/blob/master/MiniShareServer.spk
VulnServer.spk: https://github.com/Adastra-thw/ExploitSerie/blob/master/VulnServer.spk

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 19 – Automatizacion con Pexpect

junio 10, 2014 Deja un comentario

Utilizando PExpect para automatización de tareas.


Make a Donation Button

Explotación de Software Parte 18- Introducción y Conceptos Básicos sobre Fuzzing

junio 5, 2014 Deja un comentario

Conceptos básicos sobre las principales técnicas de fuzzing para el descubrimiento de vulnerabilidades.

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Hacking con Python Parte 18 – Módulo FTPLib para acceder a servidores FTP

junio 3, 2014 Deja un comentario

Uso del módulo FTPLib para acceder a servidores FTP. En este vídeo se ha creado un script en el que se utiliza Shodan para extraer un listado de servidores FTP que permiten autenticación anónima y posteriormente se utiliza FTPLib para los contenidos del directorio raíz.

FtpQueue.py: https://github.com/Adastra-thw/pyHacks/blob/master/FtpQueue.py


Make a Donation Button

Explotación de Software Parte 17 – Programación en MASM

mayo 29, 2014 Deja un comentario

Explicación de programas que enseñan el uso de las principales características incluidas en MASM.

UserInput.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/UserInput.asm
Numbers.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/Numbers.asm
ConcatProc.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/ConcatProc.asm
ASMJumps.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/ASMJumps.asm
BrachingMASM32.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/BrachingMASM32.asm
LoopingMASM32.asm: https://github.com/Adastra-thw/ExploitSerie/blob/master/LoopingMASM32.asm

Repositorio GIT de la serie:

https://github.com/Adastra-thw/ExploitSerie.git


Make a Donation Button

Seguir

Recibe cada nueva publicación en tu buzón de correo electrónico.

Únete a otros 901 seguidores

%d personas les gusta esto: