Comunicado N° 1

Saludos,

A todos mis lectores quería informarles sobre una modalidad en le blog, comenzaré a incorporar un vídeo de  youtube, donde estará explicado todo el contenido de la entrada. Esto se verá reflejado desde la primera entrada que se creó y las entradas que se vengan realizando.

Aunque el canal el youtube, será abierto a suscripciones, comentarios y demás, el link dentro del blog estará protegido por un sistema que me dará cierta cantidad de dinero por cada acceso a él.

Desde que me planteé este blog como proyecto personal, nunca ha estado en mis planes llenar de publicidad el mismo para generar lucro con ello, y no quiero que se interprete que busco ganar dinero a través de la difusión de conocimiento. Lo que si quiero dejar en claro es que considero que a cualquiera que dedica su tiempo libre a compartir sus conocimientos -no solo a mí- se le debe hacer algún tipo de reconocimiento, y he optado por este sistema, en el que no afectaré ni el contenido del blog, el acceso a él ni mucho menos la cómoda lectura con ventanas de publicidad por todo lado. 

Sin nada más que decir, felices fiestas y hasta una próxima.

Un robot impertinente

Como lo vimos anteriormente, el indexado de páginas, carpetas y archivos es bastante peligroso para una página web. Para disminuir este riesgo, hay un archivo, en la raíz de las páginas web llamado robots.txt. Este archivo aunque no obligatorio, es creado por el administrador de la página web, y en el incluye todas las carpetas y páginas que desea no sean indexadas por las arañas de los motores de búsqueda. Sin embargo, este archivo es de lectura pública y en él se pueden encontrar diversas rutas, entre ellas, direcciones de administradores de contenido entre otras. 

Es por eso que quiero hacer la salvedad que el archivo robots no es una medida de seguridad, es usado para mejorar posicionamientos de búsqueda. evitar el indexado indiscriminado de los enlaces web y disminuir el procesamiento del servidor. 

Veamos como podemos ver como se podría ver afectada la seguridad de un sitio web por este archivo, este es un claro ejemplo de como puede quedar comprometida la seguridad web, ya que se obtiene la url de administración de la página web y a su vez acceso a la administración de la página.

Verificamos el archivo robots.txt

 Y aquí vemos como de manera descarada tenemos acceso al panel de administración. Tal vez un exploit, o algún otro tipo de vulnerabilidad podrían dar privilegios de administración a esta página.

Sin embargo este tipo de cosas se pueden mitigar, por ejemplo, desde la configuración del servidor se puede bloquear el acceso desde internet, desde cierto rango de direcciones, o permitir solo el acceso desde la red LAN a carpetas o direcciones que puedan resultar en una posible intrusión ilegal.

Por ejemplo: 

Correcta configuración de acceso al panel de configuracióm

Espero haya sido lo bastante claro con esta entrada.

Saludos y hasta la próxima.

Lo que los buscadores dicen de una página web

Existe un servicio que ofrecen los buscadores llamado "indexación", y su funcionamiento es bastante simple, los motores de búsqueda cuentan con "arañas" que van siguiendo vínculo tras vínculo de una página web, lo que permite tener un acceso fácil a todos los vínculos y documentos que se encuentran almacenados en un servidor web.

Sin embargo el desconocimiento de este tipo de cosas, llevan involuntariamente a malas prácticas de seguridad, muchos administradores web suelen dejar respaldos de información en el mismo servidor de producción, así como archivos de contraseñas, o incluso archivos con información de tablas SQL (Con usuarios y contraseñas incluidas). Todo esto queda indexado por el buscador y es de fácil acceso con las combinaciones de palabras correctas y el uso de comodínes, esto es conocido como un dork.

En este link dejaré un listado de comandos básicos en google e iremos manos a la obra con unos cortos ejemplos, para evitar que hagan tonterías.

Ejemplo práctico de como NO guardar información sensible en el servidor

Buscando páginas con algún formulario de login

Con ese dork podremos buscar inyecciones sql

Buscando hojas de vida de algún empleado

Por último, dejaré unos vínculos a hacking con Bing, y a un completo directorio de dorks aportados por muchos usuarios llamado "Google Hacking Database". 

Espero esta entrada haya sido de utilidad para que resguarden sus datos sensibles y eviten que caigan en manos equivocadas.

Saludos.

Hacking con Bing Parte I

Hacking con Bing Parte II

Hacking con Bing Parte III

Google Hacking Database

Agrupando metadatos

¿Se sintieron atemorizados por los metadatos? bueno, pues hoy le abriré una ventana más a la paranoía; Así como un psicólogo puede crear un perfil de personalidad, agrupar metadatos puede ayudar a crear un perfil de una persona (véase xkeyscore) y también puede darnos información de un sistema que vayamos a auditar. Agrupar metadatos puede darnos nombres de usuarios, versiones de software o de sistema operativo, toda una cantidad de información importante.

La herramienta que usaremos será metagoofil, esta herramienta se encarga de recolectar los metadatos de archivos públicos en un dominio generando un informe con lo recolectado, así crearemos nuestro "perfil de personalidad" del dominio auditado.

Esta herramienta ya se encuentra instalada en Kali, así que nos dirigiremos allí y observaremos sus parámetros con el comando metagoofil:

Como podrán observar los parámetros son simples y los ejemplos están detallados al ejecutar el metagoofil, nuestro conejillo de indias será la página de una reconocida universidad en Colombia, así que acá está el comando

metagoofil -d unal.edu.co -t pdf,doc,docx,xls,xlsx -o unal -f informe.html -l 100 -n 20

Esto nos indica que se creará una carpeta llamada "unal" se generará un informe en html llamado "informe", 20 archivos de cada extensión dada, y el límite máximo de archivos son 100. Veremos como comienza el proceso y esperaremos a que finalice

Finalizada esta tarea, que demorará según su ancho de banda, podemos ver los resultados, ya sea en la consola (aunque puede ser bastante largo) o en el informe generado en html, también veremos los archivos descargados en la carpeta que se creó.

Ahora si le damos una ojeada al informe veremos cosas bastantes relevantes, y en primer lugar el informe de resultados de manera muy simple

En la sección de usuarios aparte de lo obvio, encontraremos una muy mala práctica, usar o permitir que se realicen labores cotidianas con un usuario administrador (espero imaginen porqué)

Otro dato interesante será el software utlizado,  ¿Por qué? Bastante simple, en la fase de "ganar acceso" se puede usar algún tipo de exploit o zero-day de alguno de estos programas.

Mis recomendaciones, como siempre. es no limitarse a lo aquí expuesto, sino que amplien esta idea, vayan más allá, generen nuevas combinaciones de archivos y que puedan imaginar como un atacante malicioso se podría aprovechar de todo esto.

Por último y no menos importante, mis agradecimientos a César, gran amigo, futuro psicólogo por ayudarme con el concepto de test de personalidad, para poder dar un ejemplo claro acá.

Saludos.

Metadatos

Los metadatos son etiquetas que se utilizan en los archivos, con el fin de poder clasificarlos, agruparlos o brindar características o descripción de los mismos y son modificables o borrables.

Como ya es costumbre, las cosas que se ven extremadamente beneficiosas o útiles, se vuelven en nuestra contra o pueden ser perjudiciales, dejaré un link externo donde muestar como el análisis de metadatos han jugado una mala pasada.

Esta práctica la realizaremos con exiftool, herramienta para analizar metadatos, sobre su instalación en la página web encontrarán la forma de hacerlo y dejaré una foto que tomé hace un buen tiempo pensando en esta entrada en este link.

Lo primero que haremos será ubicarnos en el directorio donde descargamos la imágen y exploreremos sus metadatos, el comando a usar será:

exiftool 2013-03-24\ 16.36.01.jpg

Extraeré las Fecha partes más relevantes:

Nombre de archivo

 Última fecha de modificación

Dispositivo y modelo con el que tomé la foto para ese entonces

Versión del software del fabricante

Fecha de creación de la imágen

Información del GPS

 Como verán se extrajo una cantidad importante de información relevante, entre ellas, los datos del GPS. Si vamos a google maps e ingresamos los datos con el formato 4 42 37.00 - 74 6 41.00, si bien es cierto que en algunos casos no saldrá la posición exacta, si será bastante aproximada, veamos:

Ahora para no parecer una persona tan descuidada por haber tomado la foto desde hace mas de un año y publicar hasta ahora, procederé a realizar una pequeña modificación la fecha de creación apoyado en esta tabla para saber que campo alterar. El comando quedará de la siguiente manera:

exiftool -exif:DateTimeOriginal="2014:05:30 16:36:00" 2013-03-24\ 16.36.01.jpg

Por último, el comando para limpiar todos los metadatos, (en la próxima entrada comprenderán la importancia de esto)

exiftool -all= 2013-03-24\ 16.36.01.jpg

Esto será todo por hoy, la próxima entrada, espero haber podido contribuir con un concepto nuevo para ustedes.

Logrando la transferencia de zona (Recolección de información parte III)

Saludos a todos,

En nuestra entrada anterior vimos unos parámetros básicos del comando DIG, y serán los que usaremos para mostrar como funciona la transferencia de zona.

Para lograrlo, he configurado un servidor DNS de laboratorio y realizar pruebas en un entorno controlado, en las versiones más recientes de cualquier tipo de servidor DNS (bind para GNU/Linux, Server para la familia Windows) la transferencia de zona viene deshabilitada por defecto, pero en realidad sigue siendo común encontrar sitios donde sin ser necesario la han activado, sea por error, por curiosidad, o en algunos casos -tristemente- algunos administradores de red comienzan a habilitar funciones al azar "solo por probar" cuando algo no funciona correctamente.

Para este ejercicio me he valido de otro equipo, diferente donde está montado el servidor, y que está conectado a otra red, lo que significa que tiene una IP diferente a la asignada al servidor. En este ejercicio verán que uso la dirección IP del servidor, en lugar de una dirección de dominio, esto se da porque no tengo un servicio contratado con mi ISP donde repliquen los DNS asociados a mi domino, mas sin embargo, el procedimiento es el mismo.

dirección IP atacante

dirección IP del servidor

Y bien, solo bastará con usar la secuencia de comando de la siguiente forma:

dig dominio @nombre del registro NS axfr

y el resultado es el volcado de la configuración de nuestro servidor, del cual también se podría deducir su función por su nombre:

Espero les sea de utilidad, y prometo cambiar el servidor DNS de windows, por uno en GNU/Linux.

Introducción a transferencia de zona y comando DIG

A todos buena tarde, por fin pude volver, siento haber retrasado por tanto tiempo esta entrada, pero por múltiples cosas no había podido terminarla, espero sepan comprender, y continuando con nuestro apartado de recolección de información, nuestro siguiente paso será aprender algo acerca de la transferencia de zona.

Una zona es un conjunto de nombres de un dominio, y dentro de un servidor DNS es posible crear diferentes subdominios que puedan contener más zonas, o delegar a servidores DNS secundarios, pero para que no hayan problemas de resolución de nombres, o para brindar disponibilidad de servicio, la configuración de los servidores puede ser copiada entre sí, a esta copia se le denomina transferencia de zona. 

esquema de un DNS Primario y secundario.

Como vemos, hasta ahí todo parece normal, pero, las transferencias de zona están a la mano de todas las personas, y un error de configuración, puede comprometer los nombres de dominio alojados en el servidor, permitiendo ver el direccionamiento interno, y los host que pueden estar a la mano dentro de una red LAN.

Para realizar una transferencia de zona, necesitamos 4 cosas: 

1. Consola de comandos: ¡Imprescindible!
2. Dominio a auditar.
3. Comando DIG: (Domain Information Groper) Este comando permite realizar consultas a un servidor DNS y sus tipos de registros, con este comando se podrán realizar consultas de resolución de nombres y direcciones IP.
4. Name Server o registro NS: Esto es simplemente el nombre del servidor al cual se le harán las peticiones de resolución en un dominio específico, y se puede obtener a través de las consultas de resolución hechas al dominio que estaremos auditando. 

Aunque el uso del comando DIG es extenso y con múltiples funcionalidades, nos centraremos en identificar los diferentes tipos de registros y la resolución de direcciones IP. La sintaxis es sencilla, comenzarmos con "dig" seguido del dominio y finalmente una serie de parámetros que podrán ser consultados al escribir en la consola el comando dig -h

Comenzamos solciitando información básica del dominio con el comando dig eltiempo.com

Si quisiéramos consultar únicamente los registros NS del dominio usamos el comando dig eltiempo.com NS, como vemos en la imágen, también se encarga de resolver las direcciones IP de los servidores en cuestión.

Acá un ejemplo de consulta de todos los registros, con el parámetro ANY

Viendo esto nos bastará por ahora para conocer la funcionalidad del comando DIG y será lo que necesitaremos para nuestra próxima entrada, en donde montaremos un servidor DNS casero y haremos la transferencia de zona desde internet.

Espero les sea de utilidad esta entrada, ¡Saludos cordiales!

Versatilidad de herramientas (Recolección de información Parte II)

Estimados usuarios, como lo comenté al inicio de este blog, no pretendo ser un gurú informático ni nada parecido, es por eso que lo que acá se presenta es a manera de guía.

En el mundo del software libre y de GNU/linux existe la particularidad de tener a la mano variedad de herramientas, que aunque parezca que cumplen la misma función puede que alguna se adapte a nuestras necesidades o tenga un mejor entorno gráfico entre otras cosas. 

Toda esta introducción la hago con el fin de adentrarlos en otra herramienta para realizar levantamiento de información y proveer alternativas para realizar una prueba de penetración, The Harvester, como ya es costumbre en el blog, acá dejo algunas generalidades y la forma de instalar y/o configurar el aplicativo en mención.

Ya sabremos con que fin lo haremos, así que comenzaremos, como es un script en python ejecutaremos el siguiente script: 

python theHarvester.py -d edatel.com.co -b google

Explicaré brevemente las partes del comando:

python (Invocamos el compilador intérprete -gracias a la corrección de CP en los comentarios-)

theHarvester.py (Nombre  del script)

-d edatel.com.co (Nuestro conejillo de indias de turno)

-b google (el motor de búsqueda)

Y obtendremos algo como esto que es la lista de correos del dominio extraido, ya habíamos hablado en la anterior entrada las utilidades de eso: 

 

Dentro de las posibilidades de Harvester está la resolución de nombres de dominio (DNS) que nos brindará los hosts con sus respectivas direcciones IP de los dominios configurados, del cual veremos mas adelante su utilidad.

Quiero confesar que siento un vacío al terminar esta entrada, siento que carece de contenido, pero todo ya ha sido explicado anteriormente, si tienen dudas no olviden comentar, ¡Hasta la próxima!

Conociendo al objetivo (Recolección de información parte I)

No solo de computadores vive el hacker, como ya vimos el factor humano es un factor indispensable para poder realizar una auditoría de seguridad, ya que por lo general los ataques que incluyen la interacción con un usuario son los más efectivos.

Con la siguiente demostración, y la herramienta maltego (que previamente instalamos y configuramos aquí) recolectemos información de correos electrónicos, y a partir de éstos hallazgos buscaremos información personal sobre gustos, lugares frecuentados, perfiles en las redes sociales. Aunque esto pareciera no tener sentido, porque se está auditando una compañía y no una persona, los pondré en situación, muchos usuarios tienen acceso a internet, por ende a sus correos personales o corporativos, si en la fase de recolección de información encontramos por ejemplo, que el gerente general de la compañía es aficionado a un equipo de fútbol, será mucho más cómodo enviarle a su correo un enlace o archivo malicioso donde se prometa noticias o actualizaciones de su equipo favorito, pero que en realidad comprometa la seguridad del equipo, y por ende cumplir nuestro objetivo.

Primero vamos a generar una nueva gráfica:

Seleccionamos "Domain" y lo arrastramos a la zona libre de la izquierda, hecho esto, cambiaremos el valor de "Domain name" a nuestro conejillo de indias de turno "cun.edu.co"

Bien, ahora extraéremos algunos de los correos electrónicos que están asociados al dominio, seguiremos la indicación de la gráfica, primero click derecho sobre la entidad que contiene el dominio, "run transform", luego "Email addresses from Domain" y allí tendremos 3 opciones, las seleccionaremos todas: 

Y obtendremos como resultado algo parecido a esto: 

Bien, ¿Y ahora?, pues comenzaremos a investigar, tomaremos el primer resultado, le daremos click derecho, seleccionamos "Type Actions" y luego "Google me!", como se imaginarán, es para buscarla en google

Iremos a la primera búsqueda que nos arroja google

 y bueno, encontramos cosas bastante interesantes, por ejemplo que este sujeto es el administrador del dominio

Prosigamos investigando

Esta vez no usaremos ninguna acción, sino realizaremos la búsqueda manual en google

Y como verán tendremos un resultado de LinkedIn la popular red social para subir los currículos laborales

Bien, como lo notaron, el sujeto ya no trabaja allí, para reducir el número de falsos positivos, podemos confirmar si la dirección de correo existe o no, gracias a otra de las grandes funcionalidades de maltego, damos click derecho sobre la entidad a confirmar, "Run Transform", "Other transforms" y seleccionamos "Verify email address exists" 

Y obtendremos una confirmación de si la dirección existe o no

Espero hayan disfrutado de la entrada, y no limiten a lo aquí demostrado, sino que continúen explorando las diferentes opciones contenidas dentro de la herramienta. 

¡Hasta la próxima!

Manuales de instalación y configuración

Estimados lectores,pensando en la manera de realizar los tutoriales de manera completa y buscando la forma de siempre hacer las entradas de manera corta, decidí crear páginas aparte dentro del blog, donde se encontrará la instalación y configuración de las herramientas que se usarán en las prácticas, y dentro de las entradas ubicaré el vínculo que los llevará a la página con la información referente al aplicativo, su instalación y configuración.

¡Saludos!

Analizando el objetivo

Nunca me cansaré, ni dejaré de expresar en cuanto foro, blog, lista de correo haya, que el paso mas importante para hacer una prueba de penetración (pentest) es el reconocimiento del objetivo, y es que no se puede ir por ahí, a ciegas, lanzando xploits de manera aleatoria, o realizando ataques de fuerza bruta, esto aunque puede funcionar,es muy poco profesional, a demás de alertar antivirus,  firewalls, IDS, IPS, llenar registros de eventos y "poner en guardia" a administradores de red que están siempre alerta.

Las técnicas de reconocimiento están divididas en dos tipos:

• Reconocimiento pasivo: Consiste en revisar la información pública del objetivo, direcciones, teléfonos, correos electrónicos, licitaciones, empresas prestadoras de servicio, horarios de atención, etc. 
• Reconocimiento activo: Esta técnica es mucho mas invasiva consiste en consultar registros DNS, realizar escaneos de red, identificación de banners, identificación de la estructura web y posibles vulnerabilidades, busca de comunidades SNMP, consultas Whois, y búsqueda de información por medio de motores de búsqueda.

Aunque pueden faltar muchas más formas de obtener información, por el momento trabajaremos con estas, el tema es bastante largo, así que trataré de agilizar lo que mas pueda para poder entrar de lleno a las prácticas.

¡Un saludo!

Fases de un ataque informático

Muchos piensan que un ataque a un sistema solo consiste en ingresar a un par de computadores, robar datos privados, publicarlos por toda la red, luego dejar un mensajito "cool" en la página web del atacado para después hacer divulgación en las redes sociales. Esa ha sido la mala fama que se muchos han hecho al rededor de la seguridad informática, pues bien, nada mas alejado de la realidad está lo antes mencionado, los pasos mas comúnes aunque algunos se pueden ver como "opcionales" dependiendo del sistema a atacar:

1. Reconocimiento: Esta fase es una de las más importantes, ya que con ella nos podemos hacer un imaginario de la estructura de la red a auditar, así como direcciones IP, direcciones físicas, correos electrónicos, números de teléfono, posibles nombres de usuario y datos que puedan ser interesantes o contengan información que nos permitan acercarnos a la vćtima.
2. Escaneo: Ya tenemos muy bien identificado al objetivo, ahora necesitamos saber, si tienen algún puerto abierto, alguna versión de software vulnerable, una posible inyección SQL, algún servidor desactualizado o si por lo contrario, la vulnerabilidad está de cara al usuario.
3. Ganar acceso: Esta es la parte donde se canta victoria, si todo va bien, se habrá completado con éxito estaremos dentro de nuestro sistema objetivo, Se realiza realizando alguna explotación de una vulnerabilidad encontrada, el uso de alguna contraseña por defecto, ataque por fueza bruta, o el método que sea necesario para lograr el objetivo.
4. Mantener acceso: No solo basta con tener acceso por una vez al objetivo, ni tener memorizado el proceso realizado en el paso 3, ya que en cualquier momento pueden detectar la vulnerabilidad y cerrarla, así que se debe dejar a la mano alguna herramienta que permita de manera silenciosa acceder al objetivo sin ser detectado.
5. Cubrimiento de huellas: A nadie le gusta ser atrapado en nada ilegal, por eso los atacantes maliciosos son bastante cuidadosos con esto (algunos) y se encargan de borrar toda pista que pueda dar un indicio de su paradero, incluso, se puede llegar a borrar evidencia de como se realizó el ataque.

 Bien, eso es todo por el momento, con esta entrada les estaré dando la antesala a las cosas que vendrán para el blog, espero les emocione tanto como a mí.  Un abrazo y hasta la próxima.

Historia de la vida real II: Una triste historia

Así como las habilidades características de las personas, y el conocimiento, pueden ser empleados con el fin de aportar y cuidar el mundo, o bien desembocarlo en una catástrofe, el bien y el mal son relativos, tal cual pasa con las armas, estas por si solas no hacen nada, todo depende con el fin que se empuñen, y esta historia es de esas que no me gusta que pasen y no me gusta contarla, pero creo que es necesario, ya que casos como este se ven muy a menudo. 

Esta historia no me sucedió mi (afortunadamente), pero si a una persona cercana, un buen día llegó una persona con una caja grande y simulando ser un empleado de una empresa de correo a una casa, timbró y afirmó que debía hacer entrega del paquete de manera urgente, al señor <inserte nombre ficticio acá> la persona, este personaje dijo la dirección del predio exacta y repitió que era urgente, quien lo atendía confundida por el hecho, mencionó el nombre de un habitante de la casa, y preguntó que si el paquete no iba para él, nuestro avivato personaje, revisó los supuestos papeles de la entrega, e indicó que el paquete también estaba a nombre de él, la víctima abrió la puerta, y ya se imaginarán el resto, ingresó de manera abusiva al lugar, ya dentro ingresaron mas personajes y solo fue cuestión de tiempo para hurtar los elementos de valor.

Como podrán ver, el peligro está en todas partes, solo basta de un descuido, lo mismo sucede en la internet, no son cientos, ni miles sino millones de atacantes maliciosos, esperando esa pequeña oportunidad, esos 10 o 15 segundos en los que la seguridad de una empresa o de un hogar se ve fuertemente comprometida, y pasa a ser irrumpida.

Con esto cerramos el ciclo de ingeniería social, falta poco para comenzar con lo realmente divertido y práctico, solo me resta decirles que tengan especial cuidado con su información personal, y con los datos que cruzan verbalmente a diario, son una ventana abierta a un ataque mayor. 

¡Saludos!

Historia de la vida real I: Obteniendo una dirección de una persona.

La ingeniería social (y todo el conocimiento en el mundo) es como un arma, un arma no hace daño a nadie, todo depende de como sea usada, con un arma puedes salvar una vida o sesgarla, les narraré en tres entradas, tres experiencias vividas con la ingenería social, verán como resultó de sencillo lograr el objetivo propuesto.

Objetivo: Obtener la dirección de residencia de una persona conocida.
Escenario: Se cuenta únicamente con el nombre completo de la persona, y su número de celular.
Modus operandi: Si un desconocido llama a su número de celular preguntando de buenas a primeras la dirección de residencia ustedes no darán la información tan fácil (en algunos casos tristemente aún funciona) así que decidí hacer uso de mi experiencia como empleado de la mesa de ayuda de un ISP en Colombia y la cercanía con la terminología de la empresa para poder cumplir mi objetivo, para evitar llamadas "de vuelta" y poder desentenderme de incómodas preguntas a futuro, me he dirigido a una cabina telefónica que tiene una particularidad, el número registrado en el identificador de llamadas del receptor de la llamada aparece algo como 1 93 XXX, tomé el teléfono marqué y después de escuchar el típico "Aló" inició la tarea, muy seguro comencé con voz calmada:

- Buenas tardes, habla Felipe Benedetti* de -inserte aquí el ISP de su preferencia- ¿Con quién tengo el gusto de hablar?

- Habla con Angélica Suárez*.

FB: Señorita AS el motivo de mi llamada es para confirmar la instalación exitosa de su servicio de internet banda ancha, televisión digital plus y telefonía con salida a llamadas celular por un costo de $170.000 mensuales.

AS: No estoy interesada en promociones.

FB: Tal vez no me hice entender, yo soy el técnico instalador, y quería confirmarle que este servicio ya quedó instalado, me comunico para confirmar que todo esté funcionando correctamente.

AS: Se ha equivocado, aquí no se ha pedido ninguna instalación.

FB: Acá tengo registrado que usted ha solicitado la instalación de los servicios, y ya recibió los equipos en su casa.

AS: Eso no puede ser cierto, ¿Con qué documento está registrado eso?

FB: Por motivos de seguridad, la empresa no me brinda esos datos, ya que son sensibles, la información que tengo consignada es que la instalación está a nombre de AS en la dirección High Way To Hell*.

AS: No, esa no es la dirección.

FB: Claro, entiendo, ya me pasó algo similar con un usuario de este sector, la empresa equivocó los datos y no tienen registros de los originales. ¿Me podría confirmar la dirección correcta para actualizar el registro?

AS: Si claro, -Inserte aquí una dirección real-

FB: (Bingo) Si, hay un error definitivamente, disculpe los inconvenientes señorita Angélica, le habló FB de -Acá cambié el nombre del ISP dado al inicio a propósito- Que tenga un buen día.

Post ataque: A los pocos minutos me comuniqué nuevamente con esa persona, desde mi casa, haciendole ver los errores cometidos, por los cuales quedó altamente sorprendida, y lo que mas me ha agradado de esto, es que en la "encuesta de credibilidad" me he sacado un 5.

Como verán, muchos factores pudieron ser los factores que permitieron que esta prueba se realizara de forma exitosa, la recomendación es siempre estar alerta y tener certeza de cuando se comuniquen a nombre de una empresa de servicios, en realidad es un empleado de la misma.

Ya nos veremos con otra historia para contarles.

El eslabón más débil de la cadena

Siento contradecir a aquellos que afirman que las máquinas podrán igualar e incluso superar a los humanos, yo no lo creo así, porque no hay ningún sistema en el mundo, que no dependa de la intervención humana, por sencillo que sea el rol del ser humano, siempre le permitirá estar un paso adelante de las máquinas, y esto, queridos amigos, es lo que hace a los sistemas potencialmente inseguros, ¿Por qué? para nadie es un secreto que la mente es susceptible a todo tipo de agentes internos o externos, la influencia de los sentidos y, a demás es altamente manejable. 

Sin entrar en áreas que se encargan de la psique humana iré al grano, voy a hablar un poco de la ingeniería social, que mas que una técnica de "hacking", es toda una ciencia, y la podemos ver casi que a diario en todos los campos, desde el niño que hace una pataleta para conseguir lo que quiere, el agente de ventas que pretende hacer que compren algo, la ama de casa que pide una rebaja en el supermercado y un sin fin de situaciones que se pueden dar. 

El objetivo de esta entrada y de las siguientes no es el enseñar el uso de la ingeniería social, a quienes decepcioné con la afirmación anterior dejo este completo framework donde se explican minuciosamente diferentes técnicas, sino mostrar cual vulnerable es la información personal, que tan fácil es obtenerla y como un lobo se puede disfrazar de una linda, inocente y lanuda ovejita. 

(Nadie sospecharía de lo que planea este macabro sujeto)

Dejaré una recopilación de ejemplos de uso de ingeniería social recopilados en la red, y en mis próximas dos entradas unos cuantos ejemplos hechos por este humilde servidor para no hacer mas largo esto.

Tres ejemplos de hacking humano

Ingenieria social [ejemplos] + Tesis de Kevin Mitnick

Ojalá les sea de utilidad, ¡Hasta la próxima!

Profundizando en Kali

¡Buen día, tarde o noche a todos!

Continuando con la línea de entradas acerca de Kali, nos adentraremos en las características de esta distribución y haré una pequeña comparación con su antecesor backtrack, ya que me parece incorrecta la afirmación "Kali es el backtrack 6" puesto que Kali se ha construido desde 0 y con otro sistema como base.

Las características relevantes son: 

• Sistema base: Kali viene basado en Debian, backtrack tenía como sistema base Ubuntu, y aunque Ubuntu es basado en Debian, dejaré acá un interesante post donde se explican algunas de sus diferencias, y donde comienzan a bifurcarse los caminos de lo que era backtrack y a donde apunta Kali. Con este cambio, también se abre paso al aumento de arquitecturas de procesadores soportadas, por ejemplo AMR.

• Wifi: Actualización de los parches del Kernel y el aumento de soporte a dispositivos inalámbricos, ahora me permite hacer inyección de paquetes y obtener "datas" al momento de auditar una red inalámbrica, sino que me permite conectarme con una red inalámbrica con el SSID oculto y autenticación LEAP.

Inyección Kali

Inyección Bactrack

Conexión wifi

• Distribución y acceso de aplicaciones: Todas las aplicaciones se han añadido a la variable de entorno $PATH, lo que significa, que ya no es necesario saber la ruta absoluta del script, basta con teclear el nombre de la aplicación y ya la tendremos disponible, a diferencia de backtrack, donde todo se encontraba en la ruta /pentest y allí se encontraban subcarpetas por categorías.

Kali

Backtrack

• Arranque: Kali tiene un arranque optimizado y una disminución notable en el inicio de sesión debido a que ningún servicio se arranca al inicio del sistema, ni un puertos abiertos por defecto. 

Kali

Backtrack

(Acá hay unos servicios que yo he agreado)

• Personalización: A diferencia de Backtrack, una imágen personalizada de esta distribución tenía cierto costo, en Kali basta con seguir las instrucciones de este link para disfrutar de las ventajas de "armar" Kali a su gusto.

Estos son los pilares básicos y las razones por las cuales sigo sosteniendo que Kali no es una simple nueva versión de Backtrack, sino un verdadero renacimiento, un cambio de 180º en el cual los señores de Offensive Security mantengan y eleven la fama que les dió Backtrack. 

No siendo mas, me despido, los invito a dejar sus comentarios y opiniones sobre este artículo. 

¡Hasta la próxima!