Archivo
Herramientas de pentesting interesantes: Jok3r – Parte 1
Desde hace bastante tiempo he querido escribir ésta serie de artículos pero por cuestiones de tiempo no había podido. Últimamente han ido apareciendo bastantes herramientas enfocadas al pentesting/hacking para diferentes contextos, algunas de ellas realmente interesantes y que merece la pena mencionar en este blog. Es importante automatizar todo el trabajo posible para soportar el procedimiento de descubrimiento, detección y posterior explotación de vulnerabilidades, incluyendo otras actividades que en ocasiones se deben realizar directa o indirectamente como ataques de Phishing, aplicación de técnicas OSINT, traceo y seguimiento de usuarios, análisis de tráfico, desarrollo de software, etc. No obstante, como siempre he dicho, ninguna herramienta o conjunto de ellas puede sustituir el trabajo y la metodología que aplica un pentester/hacker a la hora de lanzar un plan de ataque contra un objetivo, aunque las herramientas permiten recopilar información y en algunos casos, directamente explotar vulnerabilidades, lo más común es encontrarnos entornos en donde hay unas medidas de seguridad que ya tienen en cuenta las cosas más obvias, como actualizaciones y medidas de seguridad entre otras cosas. Dicho esto, no hay que olvidar nunca que como en prácticamente cualquier trabajo relacionado con tecnología, es necesario ser muy metódico, ordenado y limpio a la hora de realizar pruebas de penetración y esto es algo que no lo aprendes lanzando todo lo que viene en Kali Linux, lo aprendes con la experiencia y conociendo exactamente qué hacen por debajo las herramientas que utilizas en tu día a día para que no te conviertas en un “Nessus con patas” que solo lanza scripts y si no reportan nada es que todo está bien. Dicho esto, comenzaré a explicar algunas herramientas libres que me ido encontrando y que de alguna manera me han venido bien para trabajos que he realizado para algunos de mis clientes.
Jok3r: https://github.com/koutto/jok3r
Se trata de una herramienta particularmente interesante ya que no “reinventa la rueda” sino que en lugar de eso, reutiliza y combina un buen conjunto de herramientas de pentesting comunes para extraer la mayor cantidad de información de manera conjunta, sin tener que estar ejecutando cada una de forma independiente. Cuando se instala Jok3r el proceso puede tardar unos minutos ya que intenta instalar todas las dependencias y librerías necesarias por los proyectos que intenta combinar. También es posible instalar Jok3r desde su imagen oficial de Docker, una forma cómoda y rápida de tener la herramienta preparada para su uso.
Tal como se indica en el “README” del proyecto, cuenta con algunas características que la convierten en una herramienta muy interesante:
* Integración con más de 50 herramientas de pentesting comunes.
* Configuración sencilla, es posible eliminar o añadir herramientas con un simple fichero de configuración.
* Soporte a múltiples servicios de red basados en TCP y UDP, tales como HTTP, SSH, FTP, DNS, VNC, PostgreSQL, MySQL, etc.
* Se encarga de verificar el objetivo y seleccionar de forma automática las herramientas que puedan arrojar mejores resultados de acuerdo al contexto. Por ejemplo, en el caso de una aplicación web habilitará las herramientas relacionadas con pentesting en entornos web.
* Es capaz de detectar versiones y banners de productos específicos, para posteriormente compararlos con bases de datos CVE online, concretamente tirando de CVE Details y Vulners.
* Es capaz de realizar la explotación automática de algunas vulnerabilidades.
* Es capaz de realizar comprobaciones en CMS para detectar complementos o vulnerabilidades conocidas en Joomla, Drupal, WordPress, entre otros.
* Todos los resultados encontrados por la herramienta se van almacenando localmente en una base de datos y cuenta con algunas funcionalidades de reporting y gestión de resultados de forma independiente para cada auditoría realizada.
Bien, una vez visto el potencial de la herramienta lo siguiente es instalarla y usarla. Tal como se indica en las instrucciones de instalación del proyecto, la forma recomendada de hacerlo es utilizando la imagen Docker oficial, de esta forma no será necesario instalar dependencias directamente en el sistema host (son unas cuantas). No obstante, también se puede instalar directamente desde código fuente fácilmente, ya que cuenta con un script de instalación llamado “install_all.sh” que se encarga de dejarlo todo preparado para que sea posible utilizar la herramienta sin mayores dificultades. Basta simplemente con descargar la imagen y crear un nuevo contenedor, de la siguiente manera:
#sudo docker pull koutto/jok3r #sudo docker run -i -t --name jok3r-container -w /home/adastra/jok3r -e DISPLAY=$DISPLAY -v /tmp/.X11-unix:/tmp/.X11-unix --shm-size 2g --net=host koutto/jok3r |
Las opciones “-w”, “-e”, “-v” y “–shm-size” son utilizadas para evitar problemas de memoria en el contenedor, así como para utilizar herramientas con una GUI como por ejemplo un navegador web. Con “–net” en Docker se especifica el modo de red, en este caso es compartido con el fin de que tanto anfitrión como contenedor se puedan ver y sea posible crear conexiones reversas.
Luego, para poder detener y volver a levantar el contenedor, se puede utilizar el comando “sudo docker start -i jok3r-container”
Una vez levantado el contenedor, es necesario dirigirse a la ruta “~/jok3r” que es donde se encuentra el script “jok3r.py”. Para ver las herramientas que se encuentran instaladas se debe ejecutar el comando:
#python3 jok3r.py toolbox --show-all |
En el caso de la imagen Docker, se podrá ver que están todas las herramientas instaladas, luego para la gestión de las mismas, se pueden ejecutar los siguientes comandos:
Instalar todas las herramientas disponibles (algo que ya viene en la imagen de Docker). #python3 jok3r.py toolbox --install-all --fast Actualizar todas las herramientas sin realizar preguntas, todo sí y adelante. #python3 jok3r.py toolbox --update-all --fast Desinstalar todas las herramientas. #python3 jok3r.py toolbox --uninstall-all --fast Desinstalar una herramienta concreta. #python3 jok3r.py toolbox --uninstall-tool nombre_herramienta Desinstalar un servicio concreto y las herramientas asociadas. #python3 jok3r.py toolbox --uninstall nombre_servicio |
Además del comando “toolbox” existen otros que permiten realizar verificaciones, ataques y ver el estado de la base de datos local.
Comando de información para los perfiles, servicios y productos.
El comando “info” permite ver qué perfiles se encuentran habilitados en la herramienta, las pruebas de seguridad que se aplican sobre cada protocolo soportado e información de los productos de software que se encuentran registrados en la herramienta. Tal como se ha visto antes con el comando “toolbox” hay una serie de opciones que permiten interactuar con éste comando.
Como se puede apreciar, el comando “info” soporta algunas opciones simples que permiten ver qué cosas puede hacer jok3r contra un objetivo determinado y otros detalles informativos que pueden ser útiles. Se puede ejecutar la herramienta de la siguiente manera.
| #python3 jok3r.py info –services
Enseña una tabla con los servicios, puertos por defecto de cada servicio, herramientas asociadas y número de checks que realizará Jok3r sobre dicho servicio. #python3 jok3r.py info --checks <servicio> Enseña una tabla con el nombre de cada una de las comprobaciones disponibles para el servicio indicado, así como la categoría del chequeo y la herramienta empleada para ejecutarlo. #python3 jok3r.py info –products Enseña una lista de servicios disponibles y los diferentes tipos de productos que implementa dicho servicio, por ejemplo, para un servidor web, el producto puede ser Apache, Nginx, IIS, etc. #python3 jok3r.py info –attack-profiles Enseña una tabla con los perfiles de ataque disponibles, los cuales simplemente se encargan de agrupar varios checks y herramientas en un contexto concreto, por ejemplo para realizar comprobaciones sobre un CMS. |
Base de datos local en Jok3r.
Antes de realizar cualquier tipo de auditoría de seguridad, en Jok3r se almacena todo en diferentes espacios de trabajo, de tal manera que cada auditoría y sus resultados correspondientes, se encuentran almacenados de forma persistente en contextos separados, esto es similar a lo que hay en Metasploit Framework cuando se utiliza el comando “workspace” desde msfconsole. El comando “db” es el encargado de definir misiones, las cuales son simplemente el contexto de una auditoría y partiendo de dichas misiones ejecutar pruebas de seguridad contra los objetivos indicados, los resultados quedarán almacenados en dicha misión.
Para crear una misión basta con ejecutar el comando “mission” tal como se aprecia en la imagen anterior.
Tal como se puede apreciar, el comando “mission” sirve para gestionar las misiones en Jok3r y además, al crear una nueva misión automáticamente cambia el contexto y ubica al usuario en la misión que se acaba de crear. Para moverse entre las diferentes misiones previamente creadas, se ejecuta el comando “mission <nombre>” y la herramienta se encargará de cambiar el contexto y apuntar a la misión indicada.
De momento esto es suficiente para ver las funcionalidades básicas de la herramienta, en el siguiente post se profundizará en su uso a la hora de ejecutar pruebas para auditorías de seguridad.
Un saludo y Happy Hack
Adastra.
Seguridad en ElasticSearch: Introducción – Parte I
ElasticSearch se ha convertido poco a poco en una solución muy utilizada para el procesamiento de grandes volúmenes de datos. Está pensado principalmente para que las búsquedas sean rápidas y altamente personalizables, un modelo perfecto para la implementación de soluciones basadas en Big Data. ElasticSearch (ES) es un producto que cuenta con una API Rest muy completa para gestionar los índices y documentos, además cuenta con un sistema de complementos que permite extender sus funcionalidades. A pesar de ser un producto que lleva en el mercado varios años y que se ha posicionado muy bien, la seguridad en las instancias de ES a día de hoy es un tema delicado y en muchas ocasiones no es tan sencillo de configurar. Las instancias de ES por defecto no tienen ningún mecanismo de protección a “miradas indiscretas” y la cosa empeora aún más cuando múltiples instancias de ES funcionan en modo “cluster”. No obstante, antes de empezar a explicar estás cuestiones es importante entender el funcionamiento de ES, un poco de historia y sus características principales. Ese será el objetivo de éste post.
ElasticSearch un motor de búsqueda orientado a documentos, basado en Apache Lucene. Mantenido por su desarrollador principal hasta la creación de Elasticsearch.com (http://elasticsearch.com/) en 2012. Actualmente se encuentra bajo desarrollo y mejora continua por dicha empresa, bajo licencia OpenSource Apache 2.
Sus características fundamentales son las siguientes:
- Orientado a documentos: JSON’s, Basado en Apache Lucene.
- No se utilizan esquemas como en una base de datos relacional, de hecho, ES puede ser considerado como un motor de base de datos no relacional.
- Distribuido: Escala dinámicamente y permite la integración de múltiples instancias. Los datos se encuentran replicados en cada nodo por medio de shards primarios y copias, evitando de esta forma la perdida de información en el caso de que un nodo se corrompa o exista un fallo en disco.
- Multi-Tenant: Permite operar sobre múltiples índices a la vez
- Centrado en API’s: Expone todas sus funcionalidades vía APIs REST
- Búsquedas estructuradas y no estructuradas: Permite el uso de varios tipos de filtros, llegando a un nivel de granularidad en las búsquedas bastante preciso, pero también complejo.
- Agregaciones / facetas: Permite la definición de características comunes en conjuntos de datos (documentos ES). Similar a las funciones de agregación disponibles en SQL estándar
- Soportado por múltiples lenguajes de programación: Al tener una API Rest que permite la gestión de todas las características del sistema, es fácil crear clientes en prácticamente cualquier lenguaje de programación.
- Elastic Search se compone de dos capas que se encuentran completamente desacopladas y tienen su propia gestión independiente:
- Sistema distribuido: Implementa las funciones de gestión necesarias para los nodos de un cluster y el mantenimiento de sus datos. Los objetivos de esta capa se centran en el desempeño, la escalabilidad, alta disponibilidad y la tolerancia a fallos gracias al sistema de shards.
- Motor de búsqueda: Proporciona las funcionalidades de indexación y búsqueda de documentos.
Una vez entendidas sus características principales, merece la pena mencionar la terminología básica para que luego sea más fácil de entender lo que se explicará en los próximos posts.
Cluster: Se trata de un conjunto de instancias de ES que comparten mismo nombre de cluster (propiedad cluster.name). No obstante, un cluster puede estar compuesto por un único nodo. Cuando se inicia una instancia de ES, si no se ha indicado las direcciones IP o hostnames correspondientes al conjunto de instancias “maestro”. También hay que tener en cuenta que cuando se inicia una instancia de ES por primera vez, si no se indica en la configuración la ubicación de los nodos master, es la propia instancia la que actuará como master en los próximos reinicios de la instancia, en tales casos es necesario volver a instalar y configurar la instancia desde cero tal como se verá en un próximo post.
NOTA: Al parecer en ES no creen en el lenguaje inclusivo ni son “100% feminist compliant” ya que usan términos como maestro y esclavo, espero que alguna/algune/alguni no se sienta ofendida/ofendide/ofendidi.
Nodo: Se refiere simplemente a una instancia de ES en ejecución.
Índices: Se trata de una colección de varios documentos (estructuras JSON), que no necesariamente tienen una estructura común. Comparable a los esquemas de una base de datos relacional.
Tipos: Colección de varios documentos de similar estructura. Comparable a tablas de bases de datos
Shard: Espacio de almacenamiento físico de cada uno de los documentos de un índice. También se le suele llamar “Shard Primario” para distinguir entre el “shard” principal y las replicas que se generan en otros nodos del cluster.
Replica: Copia de un shard que permite la replicación de la información. Gracias a este mecanismo ES cumple con los requisitos de alta disponibilidad y tolerancia a fallos. Por defecto, las replicas de un shard no se almacenan en el mismo nodo si hay un entorno de cluster.
Bien, teniendo claros estos términos y considerando que el objetivo de estos posts es que se puedan poner en práctica, lo primero es saber cómo instalar una instancia de ES, que tal como se podrá ver a continuación es bastante sencillo.
Instalación de ES
La instalación de una instancia de ES es un proceso muy simple y no requiere demasiado esfuerzo. Básicamente hay 3 alternativas: 1. instalarlo como servicio del sistema con los típicos gestores de paquetes en sistemas basados en Debian (apt-get) o RedHat (yum). 2. Utilizar una imagen de docker preparada o con Elastic Cloud (https://www.elastic.co/es/cloud/elasticsearch-service/signup). 3. Descargar el fichero tar.gz del sitio oficial, descomprimir y ejecutar el binario correspondiente (https://www.elastic.co/es/downloads/elasticsearch).
Cualquiera de las 3 alternativas es valida, no obstante, como ocurre con muchos otros productos de software que se pueden instalar desde código fuente (tercera opción), en mi opinión es mucho más cómodo, fácil de gestionar (no se instala un servicio systemd directamente en el SO), más fácil de configurar ya que todos los ficheros y binarios están en la misma ruta donde se ha descomprimido y lo mejor, se puede abrir el fichero de configuración ubicado en el directorio “config” y realizar los cambios que sean oportunos. En mi opinión, es mejor seguir la tercera alternativa para entender como funciona el sistema y luego plantarse incluirlo como un servicio en un entorno de producción.
Una vez descargado y descomprimido el fichero “tar.gz” basta con dirigirse al directorio “bin” y desde una terminal ejecutar el comando “elasticsearch”. Con esto, ya tenemos una instancia de ES con los valores de configuración por defecto y todo preparado para empezar a almacenar información.
Cuando se inicia una instancia de ES se podrán ver muchas trazas indicando que el nodo se encuentra levantado y como se verá un otro post, cada nodo puede estar en uno de tres posibles estados “RED”, “YELLOW”, “GREEN”. Los estados simplemente indican cómo se encuentran los shards para los índices que se han creado en la instancia. Por otro lado, también se puede ver que el servicio de ES por defecto se vincula únicamente a la interfaz de red local en el puerto 9200. Para comprobar que se encuentra correctamente instalado, basta simplemente con abrir un navegador web y lanzar una petición HTTP GET contra dicho puerto en local.
Partiendo de una instancia en ejecución, lo siguiente es comenzar a crear índices y comprobar el funcionamiento de ES. Partiendo de este conocimiento sobre el sistema, es posible comenzar a hablar de seguridad y tanto buenas como malas prácticas de configuración. Serán cosas que se verán en próximos posts.
Un saludo y Happy Hack.
Adastra.
Nueva temporada en THW Academy: Más cursos y lanzamiento de THW Labs
THW Academy lleva cerca de un año en funcionamiento y los resultados han sido muy satisfactorios, he tenido la oportunidad de conocer gente que tiene un interés legitimo por aprender y que además, participan activamente. Este proyecto ha nacido como una plataforma de aprendizaje dedicada a las personas interesadas en el mundo de la seguridad informática y el hacking con un enfoque completamente práctico, con esto en mente, uno de los principales objetivos de la academia es el de impartir una formación que en la medida de lo posible fomente la investigación. Nunca me ha interesado crear cursos atiborrados de muchos conceptos teóricos con escasa aplicación práctica y creo que a día de hoy, estoy consiguiendo ese objetivo. No obstante, mucho antes de comenzar con THW Academy y desde la perspectiva de cualquier aprendiz (que es lo que soy y siempre seré) considero que no es suficiente con simplemente recibir cursos, por muy buenos que estos sean, ya que la mejor forma de aprender de verdad es pegarse con problemas y tratar de resolverlos. Por este motivo, he decidido dar un paso hacia adelante y ofrecer algo más, algo que todos pedís constantemente y que no es tan fácil de conseguir: Llevar a la práctica lo aprendido en entornos reales que supongan un reto autentico. Los conocimientos en hacking son esencialmente prácticos, pero aplicar esos conocimientos es complicado, ya que “no puedes”, o mejor, “no debes”, atacar cualquier sistema por las consecuencias legales que tus acciones te pueden acarrear. La mejor forma que tenemos actualmente de poner a prueba nuestras habilidades es por medio de máquinas virtuales con vulnerabilidades o participar en retos del tipo CTF, son cosas que están muy bien, pero es probable que se te queden cortas y que quieras ir un poco más allá. En este sentido, tienes a tu disposición el reto de Offensive Security con la certificación OSCP, un reto que siempre recomiendo por su alto nivel técnico y además de que tienes que “ensuciarte las manos”, ser muy autodidacta y esforzarte mucho para conseguir el objetivo de comprometer todos los sistemas del entorno. Hace algún tiempo os hablé de mi experiencia en el laboratorio de la OSCP y comentaba que es bastante completo para poner a prueba tus conocimientos, sin embargo tiene un “pequeño problema” y es que te puede llegar a constar 1.500 dolares o más, dependiendo del tiempo que contrates. Es un entorno que está muy bien, pero seguramente muchos de vosotros os lo pensaréis dos veces ya que su costo es alto.
Partiendo de esta situación, desde el año pasado me propuse crear un laboratorio de pruebas completo que vaya un poco más allá del típico CTF, un entorno en el que se simule una red corporativa y que suponga un verdadero reto para cualquier hacker o pentester y es así como el día de hoy os presento THW Labs.
(Pincha sobre la imagen)
Se trata de un laboratorio que actualmente cuenta con más de 30 sistemas que incluyen vulnerabilidades de todo tipo y con niveles de dificultad variables, es posible realizar cualquier tipo de prueba y ejecutar ataques contra segmentos de red internos utilizando técnicas de pivoting y port-forwarding, todo ello por medio de una conexión a la VPN de THW Labs. Se trata de un entorno muy similar al de la OSCP, solamente que ahora mismo cuenta con menos sistemas, pero os aseguro que irá creciendo y en poco tiempo estará a la altura del de la OSCP. El objetivo es que se convierta en un entorno tan extenso como el que existe en la OSCP pero con tres diferencias importantes:
- En primer lugar, las vulnerabilidades no son las mismas para cada sistema y cada objetivo tiene sus propias vías de explotación, algo que no tiene la OSCP, ya que fácilmente nos encontramos de 6 a 8 sistemas que se explotan del mismo modo, aplicando las mismas técnicas, los mismos exploits y siguiendo exactamente los mismos procedimientos. En el caso de THW Labs cada sistema es único.
- En THW Labs existen 3 niveles de dificultad (básico, intermedio y avanzado), de esta forma cada participante podrá decidir en qué sistemas centrarse y buscar formas de explotarlos dependiendo de sus habilidades y conocimientos.
- Como se ha mencionado antes, THW Labs es un entorno dinámico, lo que quiere decir que a lo largo del tiempo irá creciendo en objetivos y vulnerabilidades, algo que no ha ocurrido en mucho tiempo con el laboratorio de la OSCP, ya que te vas a encontrar con los mismos sistemas que se podían ver en la versión de PWB (Pentesting With Backtrack). Esto significa que muchas de las vulnerabilidades que han salido recientemente no se encuentran incluidas en el laboratorio de la OSCP, sin embargo, en el caso de THW Labs, se estima que en un promedio de cada 2 meses, habrán nuevos sistemas con vulnerabilidades o vías de explotación que han sido recientemente descubiertas o que en las que es necesario aplicar técnicas de explotación interesantes.
Dicho todo lo anterior, os recomiendo visitar la página web oficial de THW Labs.
Por otro lado, tal como dicta el título de ésta entrada, los cursos que actualmente se están ofreciendo en THW Academy llegan a su fin en el mes de diciembre y a partir de Enero del año que viene, comenzamos con la siguiente temporada de cursos, los cuales se listan a continuación:
Nivel básico:
THWB5 – INTRODUCCIÓN A LA ARQUITECTURA DE ORDENADORES
THWB6 – CONFIGURACIÓN Y USO DE METASPLOIT FRAMEWORK
Nivel Intermedio:
THWI4 – HACKING EN REDES Wi-Fi
THWI5 – PENTESTING CON METASPLOIT FRAMEWORK, NMAP Y SET.
THWI6 – POSTEXPLOTACIÓN SOBRE SISTEMAS GNU/LINUX.
Nivel Avanzado:
THWA4 – NETWORKING CON PYTHON: Scapy, Twisted, Tornado y AsyncIO
THWA5 – EXPLOITING EN SISTEMAS WINDOWS Y GNU/LINUX
Próximamente tendréis disponibles los contenidos de cada uno de estos cursos, además, os recuerdo que podéis registraros a THW Academy en cualquier momento y acceder a todos los contenidos que se han publicado anteriormente y los que se publican mes a mes.
De momento esto es todo, sin embargo si tenéis cualquier duda, comentario o cualquier otro asunto, puedes escribir un correo a adastra@thehackerway.com y se te responderá tan rápido como sea posible.
Un saludo y Happy Hack!
Adastra.
Hoy vengo a hablar de mi libro: Deep Web: TOR, FreeNET & I2P – Privacidad y Anonimato
El día de hoy ha salido a la venta mi nuevo sobre anonimato y privacidad, el cual ha recibido el nombre de “Deep Web: TOR, FreeNET & I2P – Privacidad y Anonimato“. Se trata de mi tercera obra, la cual nuevamente ha sido publicada por la editorial 0xWORD. Me ha llevado un poco más de 7 meses redactar todo el contenido, tomar capturas de pantalla, realizar las pruebas, aplicar correcciones y ajustes y luego, a la editorial otros pocos meses más en la maquetación e impresión, que por cierto, me ha encantado. El proceso de redactar un libro y esforzarse para que sea lo más claro y ameno posible para el lector lleva tiempo, pero nuevamente ha sido una experiencia muy satisfactoria, especialmente considerando que era un tema sobre el que quería escribir desde hace años y el día de hoy finalmente, he podido ver mi texto publicado. Del mismo modo que con los dos libros de Python que he escrito, mi principal objetivo ha sido intentar incluir todo el contenido práctico posible, me gusta explicar todo por medio de ejemplos y por ese motivo, en el libro se podrán ver varias configuraciones aplicadas a las principales redes anónimas. También cuenta con un capítulo dedicado a la privacidad en Internet, más enfocado a “usuarios finales”, en el que se explica el uso de algunas VPN disponibles actualmente, complementos para navegadores, buenas practicas enfocadas a la privacidad, etc. Luego, hay un capítulo dedicado exclusivamente a redes I2P, Freenet y TOR respectivamente, el último capítulo es bastante más resumido y en él se habla sobre el uso de otras soluciones similares tales como GNUNet, Hyperboria, CJDNS, YaCy, entre otras.Este es mi tercer libro y sigo fomentando el habito de investigar, escribir y compartir, algo que llevo haciendo desde hace mucho tiempo y que personalmente me resulta de lo más entretenido, lo hago simplemente porque me apasiona. Como he comentado y seguramente muchos de vosotros os podéis imaginar, redactar un libro con estas características no es fácil, requiere de mucho tiempo y dedicación constante, pero para mi, hacer este tipo de cosas me resulta alentador y una motivación adicional para seguir adelante, especialmente después de volver del trabajo, a veces muy cansado y con poco animo por “perder” tanto tiempo del día sin hacer aquellas cosas que realmente te gustan, por sentir que estás desperdiciando tiempo valioso que podrías emplear en hacer cosas interesantes y que la mayor parte de tu energía se va en cumplir unos objetivos, que realmente no son los tuyos. En fin, seguramente muchos de vosotros sabéis de lo que hablo, pero francamente creo que lo importante es no desistir y continuar buscando alternativas que te puedan ofrecer esa libertad que cualquier persona con un poco de “espíritu hacker” siempre está anhelando.
Retransmisión de trafico con TCPReplay
Tcpreplay es una suite de herramientas para el análisis y manipulación de paquetes de datos, muy utilizada principalmente por administradores de sistemas y redes. Las herramientas incluidas en Tcpreplay funcionan principalmente sobre ficheros PCAP que han sido generados previamente por herramientas como tcpdump, wireshark, ethereal, etc. Permiten modificar las cabeceras de los paquetes en varias de sus capas para posteriormente reinyectarlos en la red o también para clasificar y tipificar los paquetes de datos incluidos en los ficheros PCAP. Dicho esto, el principal objetivo de TCPReplay es permitir la modificación de paquetes de datos para probar el funcionamiento de routers, firewalls, IDS/IPS y similares, no obstante es importante tener en cuenta que no funciona adecuadamente contra servidores concretos de cualquier tipo, ya que es un “stateless dispacher”, lo que quiere decir que se encarga de gestionar la posible comunicación que puede existir entre un cliente y un servidor. TCPReplay no soporta flujos de comunicación o el modelo clásico de múltiples peticiones y respuestas, solamente se encarga de replicar los paquetes de datos contenidos en un PCAP. En este articulo os hablaré de esta herramienta, pero seguramente para muchos de vosotros sea más interesante una herramienta que permita hacer labores de fuzzing contra servicios concretos simplemente alterando y reinyectado los paquetes contenidos en un PCAP, para esto también hay varias utilidades y librerías de las que hablaré en el próximo post.
Para empezar, hay que tener en cuenta que hay una versión bastante antigua de la herramienta y que fue inicialmente desarrollada por Aaron Turner (http://tcpreplay.synfin.net/) pero desde hace un tiempo, el equipo de Appneta a tomado el control y ahora todas las mejoras se suben directamente a su repositorio Git. La herramienta se puede instalar directamente desde el código, el cual se encuentra ubicado en el siguiente repositorio: https://github.com/appneta/tcpreplay o en sistemas basados en Debian con APT-GET (instala una versión antigua).
| >./configure –prefix=/opt/tcpreplay >make>sudo make install >cd bin >ls -l total 2916 -rwxr-xr-x 1 adastra adastra 516147 jun 11 00:33 tcpbridge -rwxr-xr-x 1 adastra adastra 120661 jun 11 00:33 tcpcapinfo -rwxr-xr-x 1 adastra adastra 404802 jun 11 00:33 tcpliveplay -rwxr-xr-x 1 adastra adastra 433456 jun 11 00:33 tcpprep -rwxr-xr-x 1 adastra adastra 444838 jun 11 00:33 tcpreplay -rwxr-xr-x 1 adastra adastra 553339 jun 11 00:33 tcpreplay-edit -rwxr-xr-x 1 adastra adastra 496851 jun 11 00:33 tcprewrite |
Una vez instalado, se puede ver la versión del programa y las características soportadas.
| >./tcpreplay -V |
Ahora es el momento de utilizar la herramienta y jugar un poco con los interruptores que soporta. Antes de continuar, es necesario contar con un fichero PCAP que será utilizado por la herramienta para replicar los paquetes de datos que se encuentran almacenados en dicho fichero. Para realizar pruebas simples, se pueden capturar paquetes con TCPDump, Wireshark o Scapy y guardarlos en un PCAP o también es posible descargar alguno de los ficheros de ejemplo que se encuentran subidos en el proyecto. http://tcpreplay.appneta.com/wiki/captures.html
Para efectos prácticos, se utilizarán los ficheros PCAP del proyecto, los cuales se pueden abrir con una herramienta como wireshark
PCAP de “BigFlows”
Partiendo de este fichero, se puede utilizar la herramienta e indicar la interfaz de red que será utilizada para el envío de los paquetes.
| >sudo ./tcpreplay -i eth0 -t /home/adastra/Escritorio/smallFlows.pcap
File Cache is enabled Actual: 14261 packets (9216531 bytes) sent in 0.087737 seconds. Rated: 105047254.8 Bps, 840.37 Mbps, 162542.59 pps Flows: 1209 flows, 13779.81 fps, 14243 flow packets, 18 non-flow Statistics for network device: eth0 Attempted packets: 14261 Successful packets: 14261 Failed packets: 0 Truncated packets: 0 Retried packets (ENOBUFS): 0 Retried packets (EAGAIN): 0 |
El ejemplo anterior utiliza el interruptor “-i” para especificar el dispositivo primario de salida, por medio del cual se enviarán los paquetes del fichero PCAP y con “-t” se especifica que los paquetes deben enviarse tan pronto como sea posible.
Existen otras opciones que permiten limitar la velocidad, el número de paquetes máximo a enviar o incluso, especificar otro dispositivo de salida por el que también se replicará el trafico.
| >sudo ./tcpreplay -i eth0 -p 100 -L 100 /home/adastra/Escritorio/smallFlows.pcap
Actual: 101 packets (61705 bytes) sent in 1.00 seconds. Rated: 61653.7 Bps, 0.493 Mbps, 100.91 pps Flows: 11 flows, 10.99 fps, 101 flow packets, 0 non-flow Statistics for network device: eth0 Attempted packets: 101 Successful packets: 101 Failed packets: 0 Truncated packets: 0 Retried packets (ENOBUFS): 0 Retried packets (EAGAIN): 0 |
El interruptor “-p” permite indicar el número de paquetes que se enviarán por segundo y “-L” indica el número total de paquetes que se deben leer y enviar desde el PCAP. Como se puede apreciar, en este caso concreto ambos interruptores tienen el valor “100” por este motivo los paquetes se han enviado en exactamente 1 segundo.
Por otro lado, anteriormente se ha utilizado el interruptor “-t” que indica que los paquetes deben enviarse a su destino lo más rápido posible, sin embargo existe otra opción que permite controlar la velocidad de trasferencia de los paquetes, dicho interruptor es –mbps.
| >sudo ./tcpreplay -i eth0 -L 100 –mbps 9500 /home/adastra/Escritorio/smallFlows.pcap
Actual: 101 packets (61705 bytes) sent in 0.000525 seconds. Rated: 117533333.3 Bps, 9490.26 Mbps, 192380.95 pps Flows: 11 flows, 20952.38 fps, 101 flow packets, 0 non-flow Statistics for network device: eth0 Attempted packets: 101 Successful packets: 101 Failed packets: 0 Truncated packets: 0 Retried packets (ENOBUFS): 0 Retried packets (EAGAIN): 0 |
En este caso, se envían los paquetes a un máximo de 9500 MB por segundo y tal como se puede ver en las estadísticas que arroja “tcprelay”, el promedio ha sido de 9490 MBPS. Evidentemente, entre más bajo sea este valor, más tiempo tardará la herramienta en replicar los paquetes de datos.
Otra característica interesante de TCPReplay es la posibilidad de controlar los flujos de trafico, los cuales son simplemente una secuencia de paquetes que se intercambian entre un emisor y un receptor. Por ejemplo, el clásico TCP Hanshake, es un “traffic flow” que se compone por una serie de paquetes que de forma independiente puede que no tengan mayor sentido, pero cuando se relacionan con otros paquetes tienen significado bien definido. TCPReplay cuenta con varios interruptores para controlar los flujos contenidos en un fichero PCAP. Uno de ellos es “–unique-ip”, el cual se encarga de modificar la dirección IP de destino tras cada repetición de un bucle (con el interruptor –loop). Con “–flow-expiry”, se le indica a la herramienta que debe ignorar aquellos flujos que se consideran “expirados”, es decir, aquellos que tardan más tiempo del especificado en completarse. El valor de este interruptor debe indicarse en segundos y evidentemente, entre más pequeño sea, mayor será el número de paquetes descargados ya que se consideran que hacen parte de un flujo expirado.
| >sudo ./tcpreplay -i eth0 -t –flow-expiry 30 /home/adastra/Escritorio/bigFlows.pcap
Actual: 791615 packets (355417784 bytes) sent in 8.01 seconds. Rated: 43556960.3 Bps, 348.45 Mbps, 97013.55 pps Flows: 58505 flows, 40686 unique, 17819 expired, 7169.87 fps, 791179 flow packets, 436 non-flow Statistics for network device: eth0 Attempted packets: 791615 Successful packets: 791615 Failed packets: 0 Truncated packets: 0 Retried packets (ENOBUFS): 0 Retried packets (EAGAIN): 0 |
El fichero “bigFlows.pcap” contiene una buena muestra de datos con paquetes de todo tipo, con lo cual es una buena forma de ver el funcionamiento de estos interruptores. En este caso concreto se puede ver que el número de flujos que tardan 30 o más segundos en completarse son marcados como expirados.
| >sudo ./tcpreplay -i eth0 -t –flow-expiry 90 /home/adastra/Escritorio/bigFlows.pcap
Actual: 791615 packets (355417784 bytes) sent in 7.08 seconds. Rated: 45216137.2 Bps, 361.72 Mbps, 100709.00 pps Flows: 41818 flows, 40686 unique, 1132 expired, 5320.07 fps, 791179 flow packets, 436 non-flow Statistics for network device: eth0 Attempted packets: 791615 Successful packets: 791615 Failed packets: 0 Truncated packets: 0 Retried packets (ENOBUFS): 0 Retried packets (EAGAIN): 0 |
Como se puede ver en las estadísticas generadas por la herramienta, el número de flujos expirados es muchísimo menor, ya que el limite que se ha especificado es de 1 minuto y medio, un valor lo suficientemente alto como para considerar que se trata de una conexión extremadamente lenta o simplemente que el destinatario no era capaz de procesar los paquetes enviados por el emisor debido a que se encontraba ocupado o no disponible.
Existen algunas otras características interesantes en TCPReplay, tales como la posibilidad de integrar Netmap para mejorar las operaciones I/O por medio de buffers RX/TX preasignados y buffers en memoria con accesos asíncronos.
Un saludo y Happy Hack!
Adastra.
Entrevista en ViceSpain sobre hackers en España
Hace algunos días el periodista Gonzalo Toca (https://es.linkedin.com/in/gonzalotoca) se puso en contacto conmigo para redactar un artículo sobre el modo de vida de los hackers en España. Dicho artículo ya se ha publicado y lo podéis ver en el siguiente enlace: http://www.vice.com/es/read/no-tienes-ni-idea-de-lo-duro-que-es-ser-hacker-en-espana-691
Me hizo una entrevista previa que le sirvió para redactar el artículo y dado que en sus preguntas tocaban temas que a mi juicio, representan el estado y la mentalidad generalizada de la gente cuando se habla de hacking, creo que puede resultaros interesante leer sus preguntas y mis respuestas en este post.
Aquí la tienes:
Q- Siempre en general: ¿Tienen los hackers trabajo seguro y acceso a buenos sueldos como dice el mito o han tenido que irse muchos al extranjero como el resto de jóvenes para vivir dignamente?
A- La situación económica y la crisis que afronta España nos afecta a todos, incluyendo a los expertos en seguridad informática. Han sido muchos los jóvenes talentos que han tenido que irse fuera porque no encuentran trabajos en los que les paguen lo que realmente merecen. He vivido de cerca esta situación con un par de amigos que han tenido que irse a trabajar a Reino Unido por falta de oportunidades laborales, muchos se han ido porque la situación les obliga, más no porque hayan querido hacerlo. Personas que profesionalmente tienen un valor increíble y que desafortunadamente las empresas españolas no han sabido valorar. No obstante, aun son muchos los hackers que se quedan en España y que intentan vivir honesta y dignamente, los puedes ver en conferencias de seguridad informática o cuando quedas con ellos en cualquier sitio para tomarte algo.
Q- Siempre en general: ¿Hasta qué punto no hemos confundido a los hackers con nuevos bohemios o con un estilo de vida fabricado por Hollywood marcado por horarios imposibles, dietas imposibles, relaciones interpersonales imposibles y trabajos fabulosamente creativos y emocionantes?
En primer lugar, un “hacker” no es únicamente una persona que tiene conocimientos sobre informática, se refiere a cualquier persona que le apasione su profesión/arte y que además tiene lo que se conoce como “pensamiento lateral”. Este termino se refiere a la creatividad, la inventiva, la capacidad de romper paradigmas y hacer que las cosas funcionen de un modo distinto al establecido, a crear cosas nuevas desde cero o partiendo de las existentes. Dicho esto, puedes reconocer auténticos hackers en cualquier rama del conocimiento, en las ciencias humanas, el arte, la literatura, la ingeniería, etc. Han existido grandes hackers incluso antes del desarrollo del primer ordenador.
Los hackers se caracterizan por ser personas curiosas, investigadores innatos que disfrutan aprendiendo y desarrollando sus habilidades. Esto necesariamente implica mucho tiempo, esfuerzo, sacrificio y dedicación constante y curiosamente, es algo que “olvidan” mencionar algunos medios de comunicación/entretenimiento cuando se refieren a ellos de forma irresponsable y atrevida dando la imagen de que es lo que “está de moda” y que cualquiera puede conseguir fácilmente sin mayor esfuerzo, que basta con parecerlo o auto-proclamarse uno. No se refiere a lo que lleves puesto, a la imagen que das al mundo, no es cómo te ves por fuera, sino lo que llevas dentro, lo que oportas a la comunidad con tu trabajo y dedicación.
Q- En el momento en el que lo vuestro se ha convertido en un estilo de vida con glamour imagino que habréis atraído a mucha gente que se autodenomina hacker y no pasa de hábil con los ordenadores. ¿Es así?
El glamour en el estilo de vida de un hacker es algo que se queda únicamente en la “pantalla grande”, en donde los “hackers” tienen veinte ferraris y treinta lamborghinis, veintemil tías detras de ellos, esquiban balas, saltan desde coches en marcha sin despeinarse y hacen proezas imposibles para el resto de mortales. Las mentes menos obtusas y aquellas personas que tienen criterio saben perfectamente que todo aquello es ficción, simplemente entretenimiento. No obstante, otras personas carentes de sentido común creen que ser hacker “es lo que se lleva”, algo que te hace ver “guay”, que les proporciona un subidón de autoestima y a lo que puede aspirar cualquiera con un par de días lanzando herramientas automátizadas. Y efectivamente, son personas que tardan dos días en ser completamente ignoradas por la comunidad. El termino “meritocracia” es algo que entendemos todos los que nos dedicamos a esto.
Q- En mi sector, hay más periodistas profesionales trabajando en comunicación para las empresas que en los medios: ¿Dirías que hay más hackers profesionales currando para empresas que hackers que vivan de acciones ilegales?
Como comentaba anteriormente, muchos buscamos vivir tranquila y dignamente y para ello lo más común es, o bien trabajar por cuenta ajena para alguna empresa o trabajar por cuenta propia como profesional freelance o creando tu propia empresa. En general, la mayoría de hackers que conozco optan por la primera opción principalmente por comodidad y seguridad, aunque los hay también que optan por la segunda aun con los riesgos que implica. Muchos de los hackers que he tenido el placer de conocer personalmente, tienen hijos, familia y lo único que buscan es poder vivir sin el temor de que vayan a por ellos. Personalmente creo que el principal objetivo de cualquier persona es vivir en paz y a mi juicio, es algo que resulta incompatible con cualquier actividad ilegal, por eso me atrevería a afirmar que la gran mayoría tienen su trabajo en alguna empresa, cumplen con su horario y en su tiempo libre se dedican a explorar y estudiar. Al menos en mi caso, es así.
Q- ¿Cuáles crees que son las cosas más exageradas que os han atribuido a los hackers en España? Echo un vistazo a la cobertura de Navaja Negra y me encuentro con que el Estado necesita pediros ayuda, con que todos sois autodidactas (y muchos sabíais programar a los diez años), con que no necesitáis ir a clase porque os basta con estudiar apuntes fusilados y cartearos con expertos mundiales (hay que asumir que esos expertos están deseando responder todas las dudas de estudiantes que ni son ni serán probablemente sus alumnos).
Desde mi punto de vista, otra de las ideas más curiosas que se han instaurado últimamente es que los hackers son genios con síndrome de asperger, sin vida social, sin emociones, máquinas que viven única y exclusivamente para machacar teclas todo el día. Creo que así es como nos comienzan a ver las empresas privadas y organismos públicos, pero no están dispuestos a pagar a los profesionales lo que realmente valen. ¿Requieren ayuda? claro que sí, pero la quieren a un coste muy bajo o en el peor de los casos gratis, y las cosas no son así. Del mismo modo que cualquier profesional especializado de cualquier sector, valoramos nuestro tiempo.
Q- ¿A qué crees que se debe esta especie de leyenda? ¿A Hollywood? ¿A la necesidad de creer en gurús, en conspiraciones mundiales por parte de la gente? ¿A la necesidad de sentirse importantes por parte de los propios hackers y de los que se autodenominan así sin serlo?
Los temas relacionados con el hacking aun son bastante novedosos y existe mucha confusión al respecto debido a que los medios de comunicación tradicionales no han sabido transmitir adecuadamente la diferencia entre un hacker y ciberdelincuente. Dicha confusión genera dos grupos de personas: Aquellos que quieren sentirse seguros cuando acceden a cualquier servicio de banca online o simplemente, cuando visitan su muro de facebook. Son personas que quieren saber cuáles son las mejores practicas a la hora de proteger su información, incluso en ocasiones, les “contagiamos” esa curiosidad y ganas por aprender como funcionan las cosas, es algo que nos favorece a todos. Pero por otro lado, tenemos a personas que quieren ser “hackers” y robar cuentas de correo electrónico, facebook, conversaciones de whatsapp, etc. Evidentemente el primer grupo son mucho más cautos y el segundo, bueno… suelen ser personas que nos ven como mercenarios a sueldo.
Suelo recibir correos de personas de ambos grupos y en el primero de los casos siempre respondo de forma amable y si conozco la respuesta a la duda que se me plantea trato de explicarlo de la forma más clara que puedo y si no lo se, intento sacar tiempo e investigo. Sobre el segundo grupo, simplemente los ignoro, creo que está de más explicarle a alguien que robar o cometer cualquier tipo de delito es algo que no deberías pedir tan alegremente a una persona en Internet que ni siquiera conoces. Es algo bastante obvio, ¿no?. En esos casos prefiero no perder el tiempo y paso de contestar, guardo todos esos mensajes en una carpeta separada de mi bandeja principal y simplemente me limito a ver como el número de mensajes crece diariamente. No me molesta que me escriban con solicitudes para “hackear algo”, incluso me resulta divertido ver lo que la gente pide y como están ciertas cabezas. Sin duda, algunas de las más divertidas, tienen que ver con temas relacionados con la deep web y actividades ilegales. La gente cree que redes como TOR son “el santo grial” de cualquier delincuente, pero lo ven como algo muy complicado y necesitan a un “guru” que los lleve de la mano y si hace falta, que asuman las consecuencias de sus actos por ellos.
Saludos y Happy Hack!
Adastra.
Servicios en TheHackerWay
Descubre los productos y servicios enfocados a la seguridad informática que ofrecemos en TheHackerWay
Deep web: Privacidad y anonimato.
Compra el libro de "Deep Web: TOR, FreeNET & I2P - Privacidad y Anonimato"
Hacking con Python
Compra el libro de "Hacking con Python".
Python para Pentesters
Compra el libro de "Python para Pentesters".
Número de Visitas:
Sobre Adastra:
Soy un entusiasta de la tecnología y la seguridad informática, me siento atraído principalmente por la cultura y los fundamentos del Gray Hat Hacking.
Soy una persona afortunada de poder dedicar mi tiempo y energía en hacer lo que me apasiona, aprendiendo y compartiendo lo aprendido. Con bastante frecuencia iré publicando entradas relacionadas con estudios y técnicas que he ido asimilando a lo largo de mis investigaciones, todas enfocadas a las diferentes facetas de la informática con un énfasis especial en la seguridad.
Saludos y Happy Hack!
adastra
