El rincón de Zerial

Haré dos presentaciones en el Hackmeeting de este año, se trata de una charla llamada “Hacking Automatizado”, donde busco demostrar y enseñar la automatización de procesos para el “rescate” de información en modo de auditorias de seguridad, obtener información desde dentro de los sistemas y servidores, de forma automatizada con script en bash, php, etc. [...]

[Leer Más →]

El próximo 9 y 10 de Octubre se celebrará en Kernelhouse el hackmeeting correspondiente al año 2010. Habrán charlas, talleres y debates relacionadas con la seguridad informática y libertades. Tweet

[Leer Más →]

Hace un par de semanas reporté publicamente la existencia de una vulnerabilidad XSS y posible SQL Injection en el sitio web de SYM, http://www.sym.cl. Recibí una estupida respuesta por parte de una persona que se hace llamar “MadBox”, quien decia textualmente: el sitio de sym es vulnerable a todo a proposito y les encuentro razón [...]

[Leer Más →]

Sin duda el phishing es una de las técnicas más usadas actualmente para el robo de información y suplantación de identidad, pero debemos reconocer que es todo un arte. Para quienes no saben lo que es el phishing, les extraigo lo siguiente desde la wikipedia: Phishing es un término informático que denomina un tipo de [...]

[Leer Más →]

Hay dos técnicas para atacar un objetivo desde “el corazón”, una es ingresando remotamente a alguno de los servidores mediante algún servicio o alguna vulnerabilidad en el sitio web y la segunda, es ingresando directamente a la red de área local o LAN. Existen muchas vulnerabilidades conocidas y comunes que nos permiten ingresar a lugares [...]

[Leer Más →]

Hace unos días recibí un correo preguntandome cómo acceder -remotamente- a un servidor de base de datos que sólo acepta conexiones desde localhost, sin tener phpMy/PgAdmin ni acceso “directo” (ssh) al servidor. Responderé publicamente la pregunta. La respuesta a primera vista sería “Es imposible, ya que sólo tiene permitido ingresar desde localhost y, generalmente, el puerto [...]

[Leer Más →]

Estamos en el año 2009 y es increible que existiendo tantas herramientas de auditoría y el peligro/riesgo que existe por el mal tratamiento de la información, los desarrolladores esten cayendo en errores tan básicos. Voy a listar las vulnerabilidades que, según mi experiencia, son las más comunes en los sitios web. File/Path Disclosure: Esta vulnerabilidad [...]

[Leer Más →]

Al igual que en el post anterior, que hablaba sobre la vulnerabilidad en uno de los sitios de la Universidad de Chile, esta vez es el turno de la Universidad Catolica de Valparaiso (UCV), especificamente el campus virtual. Al parecer el sitio estaba en mantenimiento ya que me encontre con varios mensajes que del tipo [...]

[Leer Más →]

Se trata del sitio de la biblioteca virtual de la Facultad de Economia y Negocios (FEN) de la Universidad de Chile. Hace un par de dias descubri una vulnerabilidad del tipo path disclosure en http://bibliodoc.fen.uchile.cl. La forma de explotar este fallo era iniciar sesion con cualquier usuario y buscar algun documento, cuando acercabamos el mouse [...]

[Leer Más →]