Seguridad en Sistemas y Técnicas de Hacking. TheHackerWay (THW)

Esta es una entrada que tenia pendiente desde hace algunos días, así como muchas otras, pero debido a la cantidad de cosas que estoy haciendo no me ha dado tiempo, por cierto… pronto novedades😉
Volviendo al tema, tal como anuncié hace algunas semanas en este blog, la charla que había preparado para la segunda edición de la DragonJar Security Conference de este año en Colombia fue aceptada y para allá que me fui la segunda semana de septiembre. El objetivo era dar un taller sobre Pentesting con Python y una charla sobre la web profunda de Tor, pentesting y desanonimización de servicios ocultos maliciosos, para finalmente terminar con la presentación de la herramienta TortazoWeb.
En el viaje no hubo ninguna complicación y aunque fueron muchas horas, me resultaron muy entretenidas charlando con Lorenzo (@lawwait) de todo un poco, no le conocía personalmente y ha sido genial comprobar que es una persona con la que puedes hablar de cualquier cosa y de la que puedes aprender muchísimo, por mi parte espero que podamos coincidir nuevamente🙂.
Llegamos un día antes de comenzar los talleres a Pereira, no sin antes tener una escala en Ciudad de Panama, en donde pasamos varias horas en el aeropuerto esperando nuestro vuelo a Colombia. En Pereira nos esperaban nuestros amables anfitriones, Jaime (@DragonJar) y Jacobo (@jjtibaquira), los cuales nos dirigieron hacia el coche que nos llevaría a Manizales. Unos metros antes de llegar al coche, nos paso algo que no esperábamos, resulta que había un concierto de Vilma Palma en dicha ciudad y al parecer iban a llegar más o menos a la misma hora que llegamos nosotros, con lo cual cuando salimos del aeropuerto de Pereira habían varios fans con las típicas pancartas y tías buenas mostrando las tetas. No, eso último desafortunadamente no😄. El caso es que unos metros antes de llegar al coche se nos acercaron dos tías diciendo cosas que al principio no pude entender producto del agotamiento, hasta que nos dimos cuenta de que nos confundieron con dos de los integrantes de Vilma Palma y no sé si querían un autógrafo u otra cosa, pero después de indicarles que no eramos quienes ellas creían, se alejaron con escepticismo, al parecer aun creían que eramos esas personas y nos miraban mientras nos marchábamos en el coche.
Como cualquiera se puede imaginar, esto ha dado lugar a interminables trolleos durante y después de la CON. Para los ninjas troll: NO, no me sé ni “el auto rojo”, ni “travesti”, ni nada de eso.😄.
Un par de horas después llegamos a Manizales, mi ciudad natal, la cual después de tantos años me resulto muy distinta a como la recordaba en todos los sentidos, aunque aun no ha perdido su esencia y sigue siendo ese lugar encantador en donde comencé a interesarme por la informática a la edad de 16 años, en donde aprendí a cuestionarlo todo, donde aprendí que las cosas no siempre son lo que parecen y que intentar ver las cosas desde el punto de vista del otro nos permite abrir nuestra mente y comprender otras formas de pensar y actuar. Probablemente lo que más recuerdo es “Chipre”, el barrio donde viví más de media vida, recuerdo que cuando era niño siempre estaba jugando en los parques saltando de un lado al otro (eso cuando no tenia algún brazo roto) y cuando era un poco más mayor, pasaba horas y horas con mis libros de informática mientras disfrutaba de sus atardeceres desde la colina más alta, respirando aire fresco y maravillandome al descubrir el mundo de los ordenadores. Fueron tiempos muy buenos que nunca olvidaré, ahora llevo varios años viviendo en Madrid y es otra ciudad por la que siento un cariño muy especial y en la que he podido conocer a gente estupenda que ahora hacen parte de mi vida, a pesar de que tantos hablen mal de ella y de sus ciudadanos. Muy probablemente en unos años me iré a vivir a otra parte del mundo y no me cabe la menor duda de que al sitio al que vaya, siempre llevaré conmigo un “cachito” de estas dos tierras que tanto me han aportado.
El evento tenia una duración de dos días en las que se iban a impartir las charlas por parte de los ponentes, pero los tres primeros días correspondían a los talleres. Dichos talleres se realizaron en la universidad de Manizales y allí pasé los tres primeros días de la semana hablando sobre Python y pentesting a un grupo de personas a las que se les notaba muy motivadas y con ganas de aprender, así da gusto enseñar cosas.🙂
El jueves 17 de septiembre comenzaron las charlas, arrancando con Lorenzo Martinez y finalizando al día siguiente con Gabriel Bergel. En términos generales han ido muy bien, el nivel técnico de los ponentes ha sido bastante alto y la gestión general por parte de los organizadores ha sido impecable. Mi charla fue una de las últimas, el día viernes en la tarde justo después de la charla de Cristian Amicelli sobre NLTK (que por cierto fue una de las que más me gusto). A mi juicio, las mejores cosas del evento fueron las siguientes:

• Ponencias muy entretenidas y desarrolladas por gente que sabe de lo que habla. Todas me gustaron, sin excepción alguna.
• Las atenciones recibidas por parte de la organización y lo pendientes que estaban en todo momento de cada detalle. Todos fueron cercanos y muy amables, algo que desde luego es muy característico en la gente de mi tierra.🙂
• Las condiciones pactadas con los organizadores del evento se cumplieron hasta la última coma, demostrando seriedad y buena voluntad.
• El buen ambiente generado entre los ponentes. Rápidamente ganamos confianza y los trolleos iban y venían constantemente. He vuelto a España con varias “etiquetas” nuevas, un grupo de rock?/pop? e incluso con una carrera política que aboga por los derechos de los animales.😄
• El “securityroom” fue la caña, a pesar del Panameño pesao y de que tuvimos que salir muy pronto para iniciar nuestro viaje de regreso.
• El café, el ceviche, el arroz caldense, los chuzos y hamburguesas “caliche”, los kilos que he subido comiendo tantas cosas ricas….😛
• En nuestro viaje de vuelta Lorenzo y yo hemos tenido la oportunidad de conocer Ciudad de Panamá durante un día. Rafa Revert (@Bl4ck_D4wn) muy amablemente nos recibio y nos llevo a conocer los lugares más emblemáticos de la ciudad, donde por supuesto no podía faltar el canal.

No obstante, no todo fue tan bueno y hubo un par de puntos negativos que no me gustaron nada.

• El puñetero “jet lag”. Viajar de un lado al otro es extremadamente agotador, especialmente si tienes escalas que duran varias horas. No obstante, es lo que hay y desde luego que no es un punto negativo de cara al evento, el cual a partir de esta segunda edición seguiré recomendando.
• Los “haters”. Antes de viajar no tenia ni idea que había personas (bueno, para ser exactos y que yo sepa, solamente una) con comentarios muy negativos sobre la comunidad DragonJar. Sin embargo, después de leer dichos comentarios estando allí y viendo la cantidad de resentimiento que destilaban, me quedó perfectamente claro no hay objetividad en dichas palabras y que son producto de un problema personal de esa persona con Jaime, el cual, asumiendo una actitud que a mi juicio es absolutamente madura y responsable, decidió simplemente ignorar esos comentarios y dejar que los hechos hablarán por si solos. Cuando alguien no es capaz de defender sus argumentos desde el respeto, o bien su educación es muy pobre o sus argumentos carecen de peso. En cualquiera de los dos casos, esa persona pierde legitimidad y lo único que consigue es ponerse en evidencia.
  Personalmente ese tipo de cosas son las que me echan para atrás a la hora de asistir a eventos relacionados con la seguridad informática y relacionarme con otros “hackers”, ya que una comunidad tan fuerte como la Latina, en donde no solamente se incluyen hackers de América Latina, sino también de España, debería caracterizarse y tener por bandera los principios mínimos de respeto y colaboración, pero la realidad es muy distinta (salvo contadas excepciones).
  Siempre me he topado con la misma mierda (y perdonar la expresión), gente que en lugar de alegrarse y apoyar el progreso de otras personas que llevan años trabajando duro y aportando a la comunidad, se llenan de envidia y resentimiento, sentimientos propios de individuos mediocres que son incapaces de sobresalir por sus propios medios o con problemas psicológicos que desafortunadamente, otros tenemos que aguantar. Muchas veces he visto gente que sin ser realmente hackers, habla mal de otros que si que lo son y si escuchas detenidamente sus criticas, te das cuenta que en la mayoría de los casos no tienen ningún fundamento y que además, son llevadas al terreno personal, cuando en muchos casos ni siquiera han hablado más de 10 minutos con la persona que es objeto de critica.
  También he visto gente que se llaman a si mismos “hackers” solamente por el hecho de utilizar Metasploit (y a veces ni eso) pero que luego los sacas de ahí y no saben ni lo que es un desbordamiento de pila y no saben ni escribir un mísero algoritmo en papel, pero lo que les falta en conocimientos les sobra en verborrea y veneno para con otras personas. Todos tenemos nuestros fallos y desconocemos cosas que otros controlan bastante bien y precisamente por ese motivo han surgido las comunidades. No vayas de “guay” haciéndote llamar a ti mismo hacker cuando no tienes ni siquiera los conocimientos básicos de informática y mucho menos critiques a los que llevan años aportando activamente a mejorar tus conocimientos y los de otros que quieren mejorar sus habilidades.
  Hay gente en nuestro sector que siempre han estado ahí para contestar a tus correos con preguntas, para explicarte cómo funcionan ciertas cosas en sus respectivos blogs o comunidades de forma constante, ininterrumpida y gratuita, que viajan a la otra punta del mundo para dar una charla de cosas que nunca has escuchado hablar, por la que no va a recibir ni un duro y que ha preparado con ilusión y dedicación. Mostrar un poco de agradecimiento a esas personas y tratarlas con un mínimo de respeto se llama NOBLEZA y es una de las características más valoradas que puede tener cualquier persona, sea hacker o no.

Personalmente, creo que es uno de esos eventos a los que merece la pena asistir todos los años y desde ya os digo, el próximo CFP de la DragonJAR tendrá un paper mio con investigaciones que estoy haciendo y que espero que sea de interés para todos.

Un saludo y Happy Hack!
Adastra.

Hace algunos días recibí una muy agradable sorpresa, el equipo de DragonJAR ha valorado mi propuesta para asistir como ponente a la próxima edición de la DragonJAR Security Conference que se celebrará en Colombia en el mes de septiembre😀.
En dicho evento, voy a impartir un taller sobre Python enfocado al pentesting, con un contenido muy similar al del RootedLab que he dado este mismo año en Madrid, pero con una diferencia importante: El tiempo. El taller de la Rooted duraba solamente 8 horas, con lo cual tuvimos que ir bastante rápido sobre los contenidos para poder abarcar todas las cosas interesantes que aporta Python a la hora de ejecutar procesos de pentesting, pero en este caso el taller durará 3 días (24 horas) en las que vamos a poder realizar muchas más practicas y demostraciones, además de explicar algunos detalles sobre el lenguaje que incluso se les escapa a programadores con conocimientos sobre Python.
Por otro lado, el día 18 de septiembre a las 14:00 dará comienzo mi charla sobre la “deep web” y anonimato con TOR. Es una charla en la que voy a hablar sobre lo que es la deep web y voy intentar desmitificar muchas de las ideas preconcebidas que he visto rondando en foros o incluso en comentarios en este blog. Será una charla en la que voy a invitar a los asistentes a reflexionar, a romper sus esquemas y la forma en la que ven la deep web y TOR (atentos los vendemo… emm, “analistas del big data” XD). Luego, me voy a centrar en explicar a grandes rasgos la arquitectura de TOR y cómo realizar pruebas de penetración básicas contra servicios ocultos en la deep web. Finalmente, voy a presentar la nueva versión de Tortazo con la que he estado trabajando los últimos meses con constancia e ilusión. Como vaís a poder ver, el enfoque que le he dado ahora es completamente distinto a la primera versión, será más “amigable” y enfocada a compartir información, además de que la podrá utilizar cualquiera con o sin conocimientos tecnicos, eso si, el “core” de Tortazo, es y seguira siendo igual, es decir, tienes que saber exactamente lo que estas haciendo para poder instalar y configurar la herramienta, no está enfocada a script kiddies ni es un metasploit framework que instalas y utilizas con dos comandos que te encuentras por Internet, tampoco es una herramienta pensada para ejecutarse en la plataforma concreta de tu ordenador, es muy probable que tengas que adaptarla para cumplir con tus necesidades concretas, en ese sentido no hay cambios. De todos modos, como podrán ver los asistentes, la nueva versión será un servicio web que se encontrará disponible en Internet en los próximos meses, con el que se podrá acceder a cientos de servicios ocultos en la deep web de TOR y realizar busquedas muy amplias contra la “onion land”, ya sea utilizando una aplicación web o directamente por medio de una arquitectura de servicios REST que se encontrará disponible para todos los usuarios…. creo que ya he dicho demasiado, si realmente te interesa, es mejor que asistas a la charla.🙂
Tengo muchas ganas de ir a conocer a grandes profesionales de la seguridad informática y estoy completamente dispuesto a aprender todo lo que pueda. Quiero volver a España con una bolsa llena de ideas listas para ponerlas en practica.😉
Por último, si llevas alguna de las copias del libro de Python para Pentesters o Hacking con Python, te puedo hacer una dedicatoria sin ningún problema, o si te quieres acercar para preguntarme algo o para conocerme allí estaré, no me voy a ir a ninguna parte y tampoco te voy a morder (bueno… ya si eso lo voy viendo)😄.
Nos vemos en Colombia!

Saludos y Happy Hack!
Adastra.