Archivo

Archive for the ‘Web Applications’ Category

Hacking con Python Parte 7 – Manipulación de peticiones HTTP

marzo 18, 2014 1 comentario

Conceptos básicos sobre el protocolo HTTP y uso de las principales librerías en Python para manipulación de peticiones HTTP (urllib, urllib2, httplib, httplib2).

Repositorio GIT de la serie:

https://github.com/Adastra-thw/pyHacks.git


Make a Donation Button

10 Sitios en la deep web que podrían interesarte – Parte 3 de 3

marzo 17, 2014 1 comentario

Los dos primeros artículos sobre sitios en la deep web he mostrado varios tipos de servicios disponibles en la red de TOR, en esta parte incluiré un poco más de 10 sitios y enseñaré algunas soluciones alternativas de buscadores en la clear web que no registran ni tu dirección IP ni tus criterios de búsqueda.

21. GIT Paradise

Sitio en el que puedes crear repositorios GIT de forma anónima en la deep web de TOR. Del mismo modo que muchos servicios GIT en la clear web como GitHub, si quieres crear repositorios públicos, puedes hacerlo de forma gratuita, pero los repositorios privados son de pago.

Link: http://wzrtr6gpencksu3d.onion/

gitparadise

22. CODE:GREEN

Página de hacktivistas en la que se planifican y organizan protestas en la red. No lleva más de un año en funcionamiento pero está teniendo muy buena aceptación por parte de aquellas personas interesadas en el hacktivismo.

Link: http://pyl7a4ccwgpxm6rd.onion/w/index.php/Main_Page
codegreen

 

23. PasteThis:

Servicio de PasteBin para TOR, el cual también se encuentra disponible en I2P en http://pastethis.i2p/.

Link: http://lw4ipk5choakk5ze.onion/

pastethis

24. TorProject Archive:

En este sitio podrás encontrar todos los proyectos que han sido desarrollados por la comunidad de TOR desde sus primeras versiones. Además, también te encontraras con un reporte mensual con las novedades, anuncios de seguridad y otros temas relacionados con la red de TOR.
Otra característica interesante de este sitio, es que te permite ver las métricas de las autoridades de directorio mes a mes, de esta forma puedes ver la evolución que ha tenido TOR en los últimos meses y las estadísticas sobre el desempeño global de la red: repetidores de entrada, intermedios, salida, usuarios actuando solamente como clientes, etc. El portal de métricas también se encuentra disponible en la clear web: https://metrics.torproject.org/data.html

Link: http://j6im4v42ur6dpic3.onion/

metrics

 

25. Twitter Clone:

Clon de Twitter que te permite enviar y recibir tweets de forma anónima en las redes de I2P y TOR. Además de tratarse de un servicio anónimo, la diferencia con el twitter original, es que no hay censura sobre los mensajes que envían sus usuarios.

Link: http://npdaaf3s3f2xrmlo.onion/

twitterclone

 

26. TorBook (Facebook for TOR)

Al igual que Twitter clone, TorBook es una copia de la red social más popular del mundo, Facebook. Incluye todas las características que se encuentran disponibles en Facebook, con la diferencia de que no se registra información sobre los usuarios que utilizan el servicio y que tampoco hay censura sobre los contenidos que los usuarios deciden compartir.

Link: http://torbookdjwhjnju4.onion/

torbook

27. OnionDir

Funciona igual que TOR Links, un hidden service que he explicado en el primer articulo. Aunque no tiene contenidos tan perniciosos como en TOR Links, pueden haber algunos enlaces que resulten ofensivos o de mal gusto. Tal como he comentado antes, en la deep web nos vamos a encontrar con mucha basura y contenidos que resultan sencillamente asquerosos, así que lo más sano y sensato es simplemente ignorar esos contenidos y centrar nuestra atención en aquellas cosas que nos resulten interesantes.

Link: http://dirnxxdraygbifgc.onion/

oniondir

28. img.bi

Servicio anónimo para subir imágenes y compartirlas con otros usuarios en TOR.

Link: http://imgbifwwqoixh7te.onion/

imgbi

 

29. HFS

Servicio anónimo para subir y descargar musica de todos los géneros.

Link: http://wuvdsbmbwyjzsgei.onion/
hfs

 

30. TOR Project Media:

Imágenes, vídeos y toda clase de contenido multimedia sobre TOR. Incluye vídeos técnicos y conferencias muy interesantes en los que se explica el funcionamiento de TOR.

Link: http://p3igkncehackjtib.onion/

tormedia

 

31. TorBox

Servicio de correo electrónico anónimo que permite enviar y recibir mensajes en la red de TOR.

torbox

32. Secure Messaging System for TOR

Se trata de un servicio muy similar al funcionamiento de Villant (el cual he explicado en el articulo anterior) en donde un usuario puede crear un mensaje, compartir una URL donde se encuentra almacenado y una vez leído, se automáticamente es destruido. Una de las características más interesantes de este servicio, es que los mensajes son cifrados con algoritmos fuertes como AES-512, por ese motivo es un servicio que probablemente resulta más seguro que muchos de sus homólogos en la deep web

Link: http://wnxb3hyl6ahavpfh.onion/

smstor

33. FreeFire – FreeNet Gateway

Servicio que permite conectar la deep web de TOR con FreeNet. Se trata de un servicio muy interesante, pero que puede llevar varios minutos en inicializarse, así que la experiencia de usuario puede no ser muy buena. Aun así, después de que las conexiones se establecen, permite navegar por FreeSites desde la red de TOR

Link: http://2vlqpcqpjlhmd5r2.onion/

freenet

 

34. Onion URL Repository

Servicio similar a TOR Links y Onion Dir, con la diferencia de que el administrador de la página se encarga de remover enlaces que estén relacionados con actividades ilegales. Además contiene recursos y foros para aprender a utilizar TOR y algunas de las herramientas del proyecto.

Link: http://32rfckwuorlf4dlv.onion/

onionurlrepository
Para terminar con este articulo, mencionaré tres buscadores que podemos utilizar en la clear web y que no registran ni nuestra actividad ni tampoco nuestra dirección IP. Se trata de buscadores que son una excelente alternativa a otros tan populares como Google o Yahoo, los cuales registran y generan un perfil de tus actividades, algo que desde luego atenta contra tu privacidad: http://donttrack.us/

1. duckduckgo.com

Es probablemente el más conocido por algunos ya que lleva varios años en funcionamiento y ha tenido muy buena aceptación por parte de los usuarios en Internet. Permite aplicar filtros de búsqueda al estilo de Google o incluso instalar plugins para ejecutar búsquedas de forma automatizada.

 

2. startpage.com

Otro buscador muy interesante que clama ser el buscador más privado del mundo. Una de las principales ventajas de este servicio y que resulta muy atractiva, es que utiliza Google para ejecutar las búsquedas, pero eliminando toda la información personal o identificativa de los usuarios. Startpage utiliza Google de forma anónima, de este modo tienes a tu disposición los mejores resultados que puede ofrecer google, sin exponer tu privacidad.

 

3. www.ixquick.com

Este servicio es básicamente igual que starpage, pero con la diferencia de que no solamente utiliza Google para realizar las búsquedas, sino que utiliza de forma anónima, varios de los buscadores más populares en Internet. Además, Ixquick tiene su propio motor de búsqueda que utiliza algoritmos tan potentes como los de Google para refinar los resultados dependiendo de los criterios de búsqueda ingresados. Es probablemente, la mejor solución en buscadores que existe actualmente.

En próximos artículos, hablaré sobre la deep web de I2P y FreeNet, las cuales cuales tienen recursos que también son muy interesantes si sabes buscar adecuadamente.

Saludos y Happy Hack!

10 Sitios en la deep web que podrían interesarte – Parte 2 de 3

marzo 10, 2014 5 comentarios

En el primer articulo sobre sitios en la deep web de TOR he enseñado algunos sitios habituales que probablemente muchos de los lectores ya conocían, sin embargo, del mismo modo que en la clear web hay un mundo enorme esperando a ser descubierto y hay varios sitios que son difíciles de encontrar pero que contienen información que puede resultar valiosa.

En este articulo voy a listar 10 sitios más en la deep web de TOR que tienen contenido interesante. Sin embargo, antes de empezar y para romper un poco el paradigma que tienen muchas personas sobre este tipo de espacios, cabe aclarar que en la deep web no hay nada tan “exótico” o “especial” que no pueda encontrarse en la clear web, ya que como hemos visto antes, hay servicios de correo, buscadores, sitios para realizar compras, foros, redes sociales, librerías online, chats, etc. Incluso, muchos de estos servicios se encuentran disponibles también en la clear web. Hablamos de un espacio que se puede utilizar del mismo modo que la clear web pero con diferencias evidentes que ya se han explicado anteriormente en este blog.

11. TorSearch

Un servicio de búsqueda muy similar a TORCH, sin embargo a la fecha de redactar este documento, contiene más sitios indexados y el proceso de búsqueda parece ser mucho más rápido y preciso. Si tienes un hidden service puedes añadir tu sitio en el motor de búsqueda rellenando un formulario, de esta forma más usuarios en la deep web podrán encontrar su website. También es accesible desde la clear web en el siguiente enlace: http://torsearch.es

Link: http://kbhpodhnfxl3clb4.onion/

torsearch

12. we.riseup

Se trata de un sitio que provee de varias herramientas que pueden ser utilizadas por grupos que buscan cambios políticos y sociales enfocados principalmente a la libertad de expresión. Dichas herramientas son cuentas de correo, chats y listas de usuarios, las cuales se caracterizan por ser privadas y seguras, ya que no se almacenan direcciones IP o cualquier otra información que pueda revelar la identidad del propietario de la información. Por otro lado, todos los mensajes que se almacenan en los servidores de riseup se encuentra cifrados, con lo cual, solamente el propietario de la clave podrá acceder a ellos.
En la clear web podemos encontrar este sitio en https://riseup.net

Link: http://ad332dtuffx66l2q.onion/

Link anonymous: http://ad332dtuffx66l2q.onion/anon1mous
weriseup

13. Imperial Library of Trantor (Galactic Library)

Se trata de una de las librerías más completas que hay en la deep web de TOR. Contiene miles de libros sobre categorías muy variadas que pueden ser descargados sin coste alguno. También permiten que cualquiera pueda registrarse y compartir libros con otros usuarios.

Link: http://xfmro77i3lixucja.onion/
imperial

14. The Anarchism Library

Librería sobre filosofía anarquista, en donde podrás encontrar textos completos sobre autores como Emma Goldman, Alexander Berkman, Alfredo María Bonanno, entre muchos otros. En la clear web se puede encontrar en el siguiente enlace: http://theanarchistlibrary.org/

Link: http://4zeottxi5qmnnjhd.onion/
anarLib

15. Jotunbane’s Reading Club (Readers Against DRM)

Se trata de una comunidad de usuarios que comparten libros, opiniones, experiencias o incluso sus propios escritos con la finalidad de que otros comenten y aporten un feedback a los autores.

Link: http://c3jemx2ube5v5zpg.onion/

drm

16. HackBB

Se trata de un foro que ha sido cerrado y reabierto en varias ocasiones y que se encuentra dividido por secciones sobre temas de cracking y hacking. Contiene recursos muy interesantes y herramientas que a veces son difíciles de conseguir en la clear web.

Link: http://sgggi7p2zgwrzqxz.onion/

hackbb

17. PirateBay

Sitio para subir y descargar torrents. En la clear web se encuentra disponible en el siguiente enlace: http://thepiratebay.se/

Link: http://jntlesnev5o7zysa.onion/

bay

18. HoneyNet

Se trata de un interesante recurso que tenemos a nuestra disposición en la deep web en donde vamos a poder encontrar manuales sobre técnicas de hacking y seguridad informática. Están muy bien explicados y se encuentran en castellano.

Link: http://honeynetvg7i4lc6.onion/

honeynet

19. TorSafe

Otro interesante recurso que nos permite subir ficheros y compartirlos con grupos de usuarios. Además, permite crear wikis e intercambiar mensajes. A diferencia de otros servicios similares, TorSafe tiene un sistema de versionado que permite tener un seguimiento de los cambios realizados sobre cada documento.

Link: http://torsafeiwttlkul6.onion/

torsafe

20. Vaillant

Creo que la forma más clara de explicar como funciona este servicio es recordando las películas de misión imposible, donde el protagonista entra en una cabina de teléfono, recibe un mensaje y luego, el mensaje se auto-destruye después de cinco segundos. Pues lo mismo ocurre con Vaillant. Aquí te creas un mensaje con una clave y dicha clave se la entregas a su correspondiente destinatario, después de que el mensaje es leído, automáticamente se destruye y no puede ser recuperado. De esta forma se garantiza que una vez sea entregado a su destinatario, nadie más pueda leerlo.

Link: http://thghw56tho2hsmvz.onion/index_en.php

vaillant1

1. Creación del mensaje

vaillant2

2. Enlace para leer el mensaje

vaillant3

3. Mensaje leído.

vaillant4

4. Mensaje destruido

Después de leer el mensaje, podemos apreciar que si intentamos acceder nuevamente al enlace, ya no se encuentra disponible, dado que ya ha sido visualizado anteriormente y se ha destruido automáticamente.

En la próxima entrada, hablaré sobre otros servicios disponibles que personalmente me resultan interesantes y que seguramente para otros lectores también lo serán.
¿Tienes algún enlace que quieras compartir? no dudes en escribir un comentario o enviarme un mensaje de correo electrónico.

Un Saludo y Happy Hack.

10 sitios en la deep web de TOR que podrían interesarte – Parte 1 de 3

marzo 3, 2014 15 comentarios

Como seguramente muchos de los lectores de este blog ya saben, soy una persona que suele navegar con bastante frecuencia en la denominada “deep web” utilizando principalmente canales como TOR o I2P. En ocasiones he hablado sobre el tema con compañeros de trabajo, amigos que poco tienen que ver con la informática o en algún foro y la reacción en todos los casos siempre ha sido la misma, preguntan y expresan su preocupación sobre cosas como la venta de armas, la venta de drogas, asesinos a sueldo, robo de bitcoins, etc, etc, etc.
Conclusión: Frecuentemente este tipo de temas se asocian directamente a delincuentes y gente que tiene algo que ocultar.

Esto es algo que si bien, en algunos casos es verdad, también es cierto que no se puede medir con la misma vara a todo el mundo y el objetivo de esos espacios no es el de proteger a delincuentes, sino proteger la privacidad de los usuarios. Aunque desgraciadamente esa premisa sea una espada de doble filo.

Luego, si has superado el miedo y la paranoia que muchos han intentado inculcarte para no entrar en ese tipo de espacios (tomando las medidas de seguridad adecuadas), al principio puede que te sientas perdido y no tengas del todo claro por cuales sitios navegar. Seguramente te habrás percatado de que las direcciones en la deep web tienen un formato “raro” y que suelen ser muy difíciles de memorizar.

Dado el panorama que pintan muchos bloggers en internet, la mala fama que tiene la deep web y el desconocimiento general que tiene la gente sobre los sitios por los que puede navegar, he decidido escribir algunos artículos en donde voy a listar sitios web interesantes en la deep web y que se alejan del tópico que dice que aquel que navega por esos sitios, necesariamente tiene que ser un delincuente o tiene algo muy gordo que ocultar.

En este primer articulo voy a mencionar algunos sitios en la deep web de TOR y en próximos artículos, haré lo mismo pero para I2P y FreeNet.

NOTA 1: Dada la naturaleza constantemente cambiante de los sitios web en la deep web es probable que algunos de los sitios que aquí voy a listar, se encuentren deshabilitados en unos meses o simplemente no se encuentren todo el tiempo disponibles. Sin embargo, los sitios de esta lista tienen servidores dedicados y es raro verlos caídos.

NOTA 2: Evidentemente tienes que estar conectado a la red de TOR para poder navegar por estos sitios :)

1. Onionweb FileHosting

Se trata de un servicio gratuito que permite subir y compartir anónimamente ficheros de varios tipos. Puedes seleccionar entre cinco servidores disponibles para subir los ficheros que quieres compartir, además cualquier fichero que sea considerado ilegal dado su contenido, es borrado inmediatamente por los administradores

Link: http://3fnhfsfc2bpzdste.onion/

OnionWebFileHosting

2. OnionWallet

Si tienes Bitcoins, seguramente estarás familiarizado con varios servicios disponibles en la clear web (Internet que todos conocemos) que se encargan de almacenar tus bitcoins. Dichos servicios son también conocidos como “monederos” (wallets) y te permiten enviar y recibir bitcoins (ver: https://bitcoin.org/es/elige-tu-monedero). En tales casos, tanto la identidad tuya como la de la persona que recibe los bitcoins es conocida a priori, sin embargo, también es posible enviar y recibir bitcoins de forma “anónima” utilizando TOR y para ello, seguramente uno de los mejores servicios disponibles es OnionWallet.

Se trata de un hidden service de TOR en el que almacenas tus bitcoins y los utilizas para realizar compras y ventas. A diferencia de los monederos convencionales, con OnionWallet, nadie sabe quien eres, además, se trata de un servicio que “mezcla” los bitcoins de todos los usuarios, lo que quiere decir que los bitcoins que has comprado en un mercado local, por ejemplo, no van a ser los mismos a los que vas a ver en tu monedero con OnionWallet, ya que se mezclan con los de otros usuarios (evidentemente sin que ello afecte la cantidad de Bitcoins que tienes en tu monedero). Por está y otras razones, se convierte en un servicio que te provee anonimato y seguridad a la hora de intercambiar tus bitcoins.

Link: http://ow24et3tetp6tvmk.onion/

OnionWallet

3. MailTOR

Del mismo modo que tienes una cuenta de correo electrónico para recibir y enviar mensajes en la clear web también puedes crear cuentas de correo anónimas utilizando alguno de los muchos servicios disponibles en la deep web de TOR. Probablemente uno de los servidores más conocidos y estables para dicho cometido es MailTOR.

Del mismo modo que muchos de los servicios en TOR, cuenta con una interfaz bastante austera pero que cumple sobradamente con su cometido.

Link: http://mailtoralnhyol5v.onion/src/login.php

mailTor

4. TorLinks

Se trata de un servicio de “páginas amarillas” en las que se incluyen enlaces a múltiples sitios en la deep web, sin embargo, en este caso podemos encontrarnos con enlaces a sitios que pueden resultar ofensivos o de mal gusto para algunos, evidentemente es cuestión de elegir aquellos sitios que incluyen información de nuestro interés.

Link: http://torlinkbgs6aabns.onion/

torLinks

5. TORCH

Servicio de indexación y búsqueda de contenidos. Se trata de un sitio de vital importancia para navegar en la deep web ya que nos permite encontrar sitios que sean de nuestro interés de forma rápida y sencilla, muy similar a como lo hacen los múltiples buscadores disponibles en la clear web

Link: http://xmh57jrzrnw6insl.onion/

torch

6. DuckDuckGo!

Se trata del conocido buscador duckduckgo el cual también se encuentra disponible en la deep web de TOR como un servicio anónimo.

Link: http://3g2upl4pq6kufc4m.onion/

duckduckgo

7. The Hidden Wiki

Se trata de una wiki anónima que funciona de un modo similar a Wikipedia, en la que puedes agregar, modificar y en algunos casos, eliminar artículos y reseñas.

Link: http://kpvz7ki2v5agwt35.onion/wiki/index.php/Main_Page

theHiddenWiki

8. Galaxy

Se trata de una interesante red social en la deep web en la que te puedes unir a grupos y crear redes de contactos. Además te permite la creación de blogs, compartir álbumes de fotos, chatear con tus contactos, entre otras de las muchas de las características que ofrecen las redes sociales hoy en día, pero por supuesto, respetando tu privacidad y derecho a permanecer en el anonimato gracias al uso de TOR.

Link: http://hbjw7wjeoltskhol.onion/

galaxy

9. TorShops

Si estas interesado en montar una tienda para vender tus propios productos utilizando TOR, TorShops es tu sitio. Aquí puedes crear una tienda que admite el pago con bitcoins y tiene integración completa con monederos. Cuenta con varias características interesantes como la posibilidad de comprar un dominio .onion (con los 6 primeros caracteres personalizables), soportar múltiples categorías y evidentemente personalizar completamente tu sitio web con soporte guiado.

Link: http://shopsat2dotfotbs.onion/

torShops

10. The Ultimate TOR Library

Se trata de una librería que contiene libros sobre varias temáticas y autores, algunos de los cuales han sido censurados y por ende, son difíciles de encontrar en la clear web.

Link: http://am4wuhz3zifexz5u.onion/

torLibrary

Los enlaces proporcionados en este articulo, son solamente unos poquísimos de la cantidad de recursos que puedes encontrar en redes como TOR, la verdad es que me he dejado muchísimos sitios, así que en cuanto tenga un rato, prometo  escribir un nuevo articulo sobre websites en TOR para complementar esté.

Finalmente, invito a todos los que tienen una imagen negativa sobre redes como TOR, que investiguéis y que os permitáis formular vuestro propio criterio en base a lo que descubráis y no, en base a lo que os venden los medios de comunicación y personas con una visión miope acerca de la deep web (ya que solo son capaces de prestar atención a lo malo y más morboso en este tipo de redes). Del mismo modo que en la clear web en la deep web vas a poder encontrar muchas cosas de interés, con la ventaja de que si tienes correctamente configurado tu entorno, la privacidad de tu información, no se verá afectada.

Saludos y Happy Hack!

WEB HACKING – Atacando DOJO InsecureWebApp – Arachni contra Insecure WebApp – Parte XXXI

julio 17, 2013 Deja un comentario

Como se ha visto en el articulo anterior, algunos de los plugins de W3AF son bastante útiles para conseguir de forma rápida, información sobre una aplicación web y la infraestructura del servidor. En el articulo anterior, solamente se han incluido algunos plugins de descubrimiento de W3AF, en esta publicación, vamos a utilizar algunos de los plugins de auditoria y haremos una corta introducción a Arachni, el cual, como en el caso de W3AF, es una herramienta muy completa para la ejecución de pruebas de penetración contra aplicaciones web y aunque ya viene incluida en Dojo, es interesante realizar una instalación manual de la herramienta con la última versión disponible.

Leer más…

WEB HACKING – Atacando DOJO InsecureWebApp – Enumeración – Parte XXX

junio 13, 2013 Deja un comentario

Otra aplicación web vulnerable existente en DOJO es InsecureWebApp, dicha aplicación se encuentra escrita en JSP y contiene una buena cantidad de ejemplos de funciones vulnerables que pueden ser explotadas fácilmente. En los siguientes posts hablaré sobre dichas vulnerabilidades y como es posible explotarlas. El primer paso, como se ha mencionado en muchas ocasiones, es el de recolectar tanta información como sea posible sobre la aplicación web. No solamente son importantes los detalles técnicos, también es muy importante conocer detalles funcionales sobre la aplicación en cuestión, saber para que está hecha y en general cuales son sus características.

Leer más…

WEB HACKING – Atacando DOJO Hackme Casino – Sesiones inseguras en Ruby On Rails – Parte XXIX

mayo 16, 2013 Deja un comentario

Cuando se utiliza una plataforma como Ruby OnRails, es conveniente tener presente que hay ciertas “buenas practicas” que se deben seguir para desarrollar de forma segura, muchas de esas practicas, como prácticamente todo en el mundo de la seguridad informática, son simplemente de sentido común, otras resultan un poco más complicadas de entender y de cumplir. Sin embargo, en el caso de las sesiones que se pueden manejar en Ruby OnRails, es importante para un desarrollador, entender, cumplir y comprobar que se siguen las pautas adecuadas para tener la información segura y el sistema funcionando como corresponde. La razón por la que es importante prestarle atención a las sesiones en Ruby OnRails, radica en que existen varios métodos de almacenamiento que pueden ser implementados y que si no somos lo suficientemente prudentes, nos podemos encontrar con que la información que tenemos almacenada en dichas sesiones puede ser fácilmente comprometida por un atacante, que es justo lo que ocurre con HackMe Casino. Antes de entrar en la parte practica de está publicación, intentaré explicar un poco, como es el funcionamiento de las Sesiones en Ruby OnRails (que es más flexible que en otros lenguajes de programación tradicionales como JSP o PHP)

Leer más…

Seguir

Recibe cada nueva publicación en tu buzón de correo electrónico.

Únete a otros 926 seguidores

%d personas les gusta esto: