28 abril, 2016

History of the open source



Hola a tod@s


Según la Wikipedia: El código abierto es el software distribuido y desarrollado libremente. Se focaliza más en los beneficios prácticos (acceso al código fuente) que en cuestiones éticas o de libertad que tanto se destacan en el software libre. Para muchos el término «libre» hace referencia al hecho de adquirir un software de manera gratuita, pero más que eso, la libertad se refiere al poder modificar la fuente del programa sin restricciones de licencia, ya que muchas empresas de software encierran su código, ocultándolo y restringiéndose los derechos a sí misma.


Muchos piensan que fenómeno de open source comenzó en los años 90, pero no es así. Corría los años 50 cuando el gigante IBM distribuyo su software con el código fuente sin restricciones a grupo de usuarios como SHARE (IBM) y DECUS (DEC).


El open Source ha evolucionado todos estos años hasta el día hoy, lo más reciente ha sido el anuncio de Apple con Swift bajo licencia de código de código abierto.


Que mejor que poder adentrarnos en la historia y visualizar de forma gráfica:







Fuentes: https://prezi.com/1kaz7rz0qxbh/fechas-de-la-historia-del-software-libre/


No seáis malos.

19 abril, 2016

Mundo Hacker Day 2016



Hola a tod@s

El próximo 27 de abril tenemos una cita en Kinépolis con la 3º edición de Mundo Hacker Day. En el evento  os enseñaran en directo demos, técnicas de seguridad informática y hacking en ponencias y mesas redondas, la cual he sido invitado y tendré el placer de compartir mesa con:
  • Sergio Sáiz García - Sh3llCon
  • Ángel-Pablo Avilés - X1RedMasSegura
  • Juan Carlos Gutiérrez - Mundo Hacker
  • Jaime Andrés Restrepo - DragonJar
  • Igor Lukic - Hackron
  • Esteban Dauksis - FAQin
  • Miguel A. Arroyo Moreno - Hack & Beers
  • Fco. Javier Santiago - SEC/ADMIN
  • Enrique Serrano - HHS
  • Moderador: Raúl Riesco Granadino, Head of R&D de INCIBE
En la que hablaremos del rol de las comunidades en la ciberseguridad, (Hacking Spain). También habla visitas muy interesantes como la de Thomas D'otreppe el autor de la suite de hacking wi-fi aircrack-ng y Jaime Andrés Restrepo creador de la comunidad DragonJAR.

Y por supuesto mucho networking! Para más información visita la web del evento. 

http://www.mundohackerday.com/

No seáis malos.

15 abril, 2016

Post-Explotación con PowerSploit



Hola a tod@s

A veces cuando realizamos un test de penetración no basta con acceder de forma ilegítima a una máquina, tenemos que conseguir persistencia, escalar privilegios, etc. Ahora comienza lo mejor, la post explotación.  Todo arsenal que tengamos es poco, os traigo algo muy bueno para powershell.

PowerSploit es una colección de módulos de Microsoft PowerShell que puede ser de gran utilidad para ayudarnos en test de penetración durante todas las fases de la evaluación. PowerSploit se compone de los siguientes módulos y scripts:


  • CodeExecution: Ejecutar código en una máquina de destino.
  • ScriptModification: Modificar y/o crear secuencias de comandos para su ejecución en una máquina.
  • Persistence: Agregar capacidades de persistencia a un script de PowerShell.
  • AntivirusBypass: Pues eso, evadir los antivirus.
  • Exfiltration: Todos los datos para nosotrosJ. Por ejemplo registra las teclas pulsadas.
  • Mayhem: Causan caos general con PowerShell. Por ejemplo  sobrescribir el master boot record con el mensaje que deseemos.
  • Privesc: Herramientas para ayudar con la escalada de privilegios en un objetivo.
  • Recon: Herramientas para ayudar en la fase de reconocimiento de una prueba de penetración.
  • Recon\Dictionaries: Una colección de diccionarios que se utilizan para ayudar en la fase de reconocimiento de una prueba de penetración.


Lo podéis descargar aquí.



 

12 abril, 2016

Un Minuto sin 01 con Manu (CiberPoliES)

Hola a tod@s

Hoy nos visita Manu, más conocido por @CiberPoliES, en su faceta profesional realiza una gran labor dentro de la brigada de investigación tecnología, un tío cercano, “güena gente” que pude comprobar en la última RootedCon. También podemos disfrutar del blog en el que es autor Spider Bond


1º ¿Quién es Manu? 
Un niño que, con ochos años de edad, no se le ocurrió otra cosa que desmontar el coche teledirigido que le habían regalado sus padres por navidad, sacarle los dos motores eléctricos que llevaba dentro, desmontar los motores para extraer las bobinas de cobre, y unir los ejes de los dos motores dentro de una carcasa de cartón con unos imanes. Luego conectar los cables del segundo motor al primero y hacerlos girar un poco para que el segundo motor comenzara a generar electricidad que alimentara al primer motor y este hiciera girar el segundo motor para generar más electricidad y con la electricidad que sobraba poder encender la bombilla de un foco. Lógicamente aquello no funcionó, a ese niño no le habían explicado en la escuela lo que era la segunda ley de la termodinámica, pero le sirvió para despertar su interés por la informática y la electrónica, así hasta acabar siendo miembro de la Sección Técnica de la Unidad Central de Investigación Tecnológica de la Policía Nacional.


2º ¿Que sueles hacer cuando tienes tiempo libre? 

Buff, el tiempo libre últimamente me escasea, siempre estoy cacharreando con algo nuevo ("research" creo que se llama ahora XD), si no es en el trabajo, es en casa, pero siempre tengo alguna idea en mente que trato de desarrollar, algunas veces con más suerte que otras. La gran suerte que tengo, es que puedo decir, aunque suene a tópico, que mi hobby es mi trabajo, me siento afortunado de poder decir que trabajo en lo que siempre he soñado. 


3º Si no hubieras sido informático, ¿A qué te hubieras dedicado? 

Nunca me lo planteé, desde muy pequeño me gustaba el mundo de la informática y la policía, y como he dicho antes, he tenido la suerte de poder conjugar estas dos profesiones. 


4º El último libro que has leído. 

Aunque parezca mentira, el último libro que me leí fue: "Windows 95 para torpes"  y no es que lleve 21 años sin leer un libro, se trata de un regalo que me hicieron mis antiguos compañeros de trabajo (desde aquí os agradezco este regalo tan actual). La verdad que resulta curioso leer un manual de un sistema operativo 21 años después de su creación, ahí es cuando te das cuenta de cuánto avanzó la tecnología en todos estos años y también sirve para darse cuenta de que la calculadora de Windows sigue siendo la misma desde hace 21 años. 


5º Tu plato favorito. 

No voy a decir ningún plato exótico,  mi plato favorito, son unos huevos fritos con patatas fritas y gulas. ¿Existe algo mejor?.


6º El último sueño raro que tuviste. 

No hace mucho, en una respuesta a un incidente de seguridad, tuve que estar unas cuantas horas trabajando dentro de un CPD, en el que por muchos tapones en los oídos que te pusieras, el ruido de los ventiladores se acababa metiendo dentro de la cabeza, al final acabé soñando con los ventiladores. No fue una pesadilla, pero de sueño raro tenía mucho.


7º ¿Qué música sueles escuchar? 

La verdad que suelo pasar muchas horas al día escuchando música, en cuanto al estilo, me gusta todo tipo de música, depende del momento o de la situación del día escucho un tipo u otro de música, aunque normalmente cuando estoy frente al ordenador, ya sea en el trabajo o en casa, suele sonar: dance o house remember, por ejemplo, ahora mismo, está sonando en mi estudio: Milk Inc - In my eyes.


8º Lo último que piensas antes de dormirte. 

El madrugón que me voy a tener que meter al día siguiente.


9º Lo primero que piensas cuando te levantas por la mañana. 

Ojalá mi despertador tuviera botón de "snooze". Ahora en serio, recién levantado no estoy para pensar mucho, al menos hasta que tome mi primer café del día, mientras tomo ese primer café, normalmente sin televisión,  prensa, ordenador o teléfono móvil, aprovecho para listar todas las tareas que tengo que realizar durante el día, establecer una orden de prioridad para cada una de ellas y pensar la manera de completar cuantas más tareas antes de acabar el día. Lo curioso, es que conforme va pasando el día, la prioridad de cada tarea va cambiando.


10º Lo primero que harías si fueras presidente.

Jurar el cargo XD
https://ssl.gstatic.com/ui/v1/icons/mail/images/cleardot.gif


04 abril, 2016

XSS en Tradukka



Hola a tod@s


Ayer necesitaba traducir un texto y como es habitual tire de un traductor que conocía hace tiempo, pero nunca me puse a analizarlo, su nombre Tradukka, se trata de unos de los traductores más usados por su calidad de traducción más real, comparado con traductores como el de Google que traduce bastante mal.


Tras un simple vistazo, en la URL: http://tradukka.com/translate/en/es/ probé tipo de inyecciones, tras unas cuantas pruebas y payload, bingo! Entro en mi gustirin que nos entra a los que nos dedicamos a esto. Una mezcla  de placer y satisfacción. Mi cara de malo :p  encontré un Cross Site Scripting en la parte pública de la web, más concretamente en la URL principal del aplicativo web.




Vector:'><img src=x onerror=alert("XSS");>

Estado: Solucionado.


La verdad que el equipo de Tradukka ha sido muy rápido en solucionar la vulnerabilidad, lo notifique ayer por la tarde y hoy ya estaba solucionado.

Por lo visto no tienen bug bounty, así que no recibí ni un €, tampoco tienen hall of fame, me han comentado que tienen uno interno. Eso sí me han dado las gracias por Twitter.


No seáis malos.