Compilado de enlaces

Hola a todos!

Este es un compilado de enlaces mas, y a la vez el mejor compilado de enlaces de todos los tiempos.

Abrazos!
P

Compilado de enlaces y vulnerabilidades

Hola a todos.

Este es un compilado de enlaces como los que comparto siempre, pero con una diferencia en el formato que voy a aplicar de ahora en mas, provisto que tenga tiempo y se me den las bolas: va a incluir una sección con mis vulnerabilidades favoritas.

Estas vulnerabilidades son publicadas en distintos sitios web y/o listas de distribución. No es nada especial en el sentido de que no va a tener ninguna vulnerabilidad no reportada, pero puede llegar a ser de interés para mantenerse al día con esas cosas, ¿Eh?.

Sin mas, de enlaces, un compilado:

Vulnerabilidades para el recuerdo:

  • CatBotSQL Injection – Una vulnerabilidad de inyección SQL en un “laser para entretener gatos automático”.
  • Simple Security – XSS – Una vulnerabilidad en un módulo de wordpress (hay muchísimas de estas) llamado “Simply Security”. Lo irónico es que esta vulnerabilidad permita a un atacante tomar control sobre el blog, cosa que no sería posible si no hubieran instalado este plugin de “seguridad”.
  • RedStar – Privilege Escalation: I, II, III – Tres vulnerabilidades que permiten a un atacante escalar privilegios en el sistema operativo coreano.
  • ManageEngine Administrator Account Creation + Remote Code Execution – ManageEngine es un motor que permite administrar las computadoras de una empresa. Penetrar la seguridad de el servidor ManageEngine de una compañía, por lo tanto, es un tema serio, y estas vulnerabilidades permiten a un atacante crear una cuenta de admin/ejecutar código remotamente.
  • N-Central – Remote Code Execution + Arbitrary File Read – Esta vulnerabilidad, encontrada por uno de mis colegas de Security-Assessment.com, es similar a la de arriba, ya que N-Central y ManageEngine son parecidos en su funcionalidad.

Un abrazo grande,
Pedro

Un poco de historia.

Este es un artículo que tiene la intención de describir el porque de la paranoia en la comunidad informática en general en los tratos con las agencias de tres o cuatro letras. También tiene la intención de detallar, para aquellos que quizás no formen parte de la comunidad informática, el porque es importante manejarse con un buen grado de “OPSEC”, o “seguridad operacional”, incluso aunque uno no esté haciendo nada particularmente nefasto. El principal problema es la falta de comunicación y entendimiento entre diversos grupos, y para aportar mi grano de arena, debo decir que yo entiendo que las personas que integran un grupo no son una reflexión de las acciones que un grupo toma; y sinceramente creo que las compañías o agencias detrás de los arrestos que voy a resumir a continuación genuinamente actúan con el interés común en mente.

Lo que sigue a continuación es una lista de gente que fue arrestada y/o procesada en los últimos cinco años. Cada uno muestra diversos grados de inmadurez y falta de respeto por la autoridad, y están listados de peorcito a mejorcito.

Continue reading

Compilado de Enlaces

Hola a todos!

Un compilado de enlaces mas, como siempre, enlaces varios sobre seguridad!

Un abrazo!
Pedro

Compilado de enlaces

大家好!

Este es un compilado de enlaces nuevo, vamos a ver de que se trata:

再见!,
小佩

Compilado de enlaces

Buenas,

Un compilado de enlaces, para festejar que me compre una patineta.

Un abrazo,
Pedro

 

MITMProxy, Kraken y identificación

¡Hola a todos!

Hace poco comenté que Kraken, un bitcoin exchange, ofrecía un Bug Bounty. En la búsqueda de fallos, me encontré que el API de Kraken tiene un medio de identificación bastante poco estándar.

Está descrito acá, pero les dejo un poco de código, en python y usando mitmproxy, que sirve para manejar eso de manera automática. Para hacer funcionar esto, ejecutar este script (potencialmente cambinado el puerto para evitar conflictos), y luego configurar ZAP o Burp para que utilizen el proxy como “parent proxy”.

También, importante instalar mitmproxy (pip install mitmproxy).


#!/usr/bin/env python

"""
This MITM proxy example grabs a request that comes through and analyzes the
data, creates a valid HMAC-SHA512 signature and puts those into the headers, as
required by kraken, the bitcoin exchange in it's API.

Be sure to change the contents of key and secret.
"""
from libmproxy import controller, proxy
import os
import re
import time
import hashlib
import hmac
import base64

key = ""
secret = ""

class StickyMaster(controller.Master):
    def __init__(self, server):
        controller.Master.__init__(self, server)
        self.stickyhosts = {}

    def run(self):
        try:
            return controller.Master.run(self)
        except KeyboardInterrupt:
            self.shutdown()

    def handle_request(self, msg):
        # strip nonce
        new_content = re.sub("nonce=.*?&", "", msg.content)
        nonce = int(1000*time.time())
        new_content += "&nonce=" + str(nonce)

        msg.content = new_content

        new_headers = self.headers_signature(msg.path, new_content, nonce)

        msg.headers["API-Key"] = [new_headers["API-Key"]]
        msg.headers["API-Sign"] = [new_headers["API-Sign"]]
        print msg.headers

        msg.reply()


    def headers_signature(self, request_path, postdata, nonce):
        headers = {}

        message = request_path + hashlib.sha256(str(nonce) +
            postdata).digest()
        signature = hmac.new(base64.b64decode(secret),
            message, hashlib.sha512)

        headers['API-Key'] = key
        headers['API-Sign'] = base64.b64encode(signature.digest())

        return headers


config = proxy.ProxyConfig(
    cacert = os.path.expanduser("~/.mitmproxy/mitmproxy-ca.pem")
)
server = proxy.ProxyServer(config, 8080)
m = StickyMaster(server)
m.run()