El rincón de Zerial

Informática, GNU/Linux, Seguridad, Hacking, Programación, Ocio

Mostrar menú Ocultar menú

CategoríaHacking

Impresora casera con Arduino y lectores de CDs viejos

noviembre 5, 2012 /

Este post está inspirado en la charla motivacional que dió Ariel Lobos para que dejen de consumir y comiencen a construir, en el Hackmeeting2012 que se realizó el viernes y sábado recien pasado en Valparaíso.

Un Arduino es una placa electrónica con un microcontrolador y que contiene puertos de entrada y salida muy sencilla de programar, es libre y cuenta con un entorno de desarrollo multiplataforma.
Los lectores de CDs antiguos nos van a servir para usar sus “rieles” y de esta forma poder darle movimiento en 2 o 3 dimensiones. En este caso, la impresora se ha construído sólo con los ejes x,y.

En este artículo se mostrará como construir una impresora 2D usando un Arduino, protoboard y los rieles de lectores de CD o DVD. Especial para quienes estan empezando a jugar con los Arduinos y necesitan desafios un poco mas interesantes que encender un led.

Seguir leyendo

Una mirada profunda de la seguridad en los sitios del ejército

septiembre 7, 2012 /

Este corresponde al segundo documento relacionado al concurso de investigación en seguridad informática, el documento fue escrito por @D4NB4R y analiza sitios web que corresponden al ejército de chile y de colombia.

El documento comienza con un tipo de crítica a los eventos de tecnología que existen hoy en día

Esta es la investigación de casi 1 año con esfuerzos y mucha lectura, esta era la conferencia
planeada para mostrar en el Campus Party pero desafortunadamente no soy de la White hat
farandulera que van a exponer sus camisetas estampadas, sus portátiles o sus libros para quitarle el
dinerito a los niños que los alaban, así que será para una próxima oportunidad, pasado esto creo que
es hora de publicar el paper, de antemano pido excusas,primero por si encuentran errores de
ortografía o redundancia en párrafos espero entiendan que está escrito tal cual pensaba. También a
las personas que se sientan atacadas o vulneradas tanto de manera verbal como de manera
tecnológica soy consciente que el texto es un poco fuerte y que puede herir susceptibilidades, solo
busco mostrar una realidad y evitar un posible ataque de estos a gran escala.

Los objetivos seleccionados por D4NB4R son

El análisis lo hace sabiendo que no se trata de un pentest o ataque a una panadería o a un sitio de algun cantante,  se trata del ejército.

Seguir leyendo

Nivel de seguridad informática en los gobiernos

septiembre 3, 2012 /

Con este título publico el primero de los resultados de las investigaciones enviadas para el concurso de investigación en seguridad informática organizado junto a ComunicaciónAr WebHosting.

El documento fue enviado por Ignacio y trata sencillamente de que los sitios o sistemas web del gobiernos son facilmente vulnerables a ataques tan simples y basicos como SQL Injection y Cross-Site Scripting, los cuales permiten realizar ataques desde un ‘deface’ local a nivel de cliente  hasta tomar control remoto del servidor.

Seguir leyendo

Banco Estado expone informacion sobre las transferencias realizadas

agosto 7, 2012 /

Me llegó un correo informandome de una vulneraiblidad critica que afecta al Banco Estado, especificamente a la plataforma movil del banco estado. Se trata de la divulgación de un log de transacciones ubicado en los servidores del Banco, accesible libremente por cualquier usuarios. El log no se encontraba protegido bajo ningun mecanismo de seguridad y la información que exponía es increible.

La información expuesta en este archivo corresponde a nombre de la persona que está realizando la transferencia, nombre del destinatario, email del destinatario, cuenta de origen y destino, montos asociados a la cuenta, información de la tarjeta de coordenadas y además, la password que utiliza el usuario para ingresar al portal. Todo esto debería estar cifrado, ya que utilizan SSL para las peticiones, pero en este log aparecía todo en plano. No tiene sentido que cifren el trafico para prevenir sniffeos y robos de datos en las redes si exponen todo el trafico en tiempo real en texto plano. Es como no usar SSL.

Seguir leyendo

Accediendo a los servidores de desarrollo de LAN

julio 17, 2012 /

Muchas empresas acostumbran a exponer en internet sus servidores de desarrollo y QA, en este caso, LAN ha dejado con libre acceso el servidor de desarrollo.

El servidor tiene una URL y dirección IP distinta y se conecta a una base de datos distinta,y me imagino que los controles de seguridad no son los mismos. Siendo un servidor de desarrollo deberian existir opciones de “debug”, filtros y protecciones desactivados que podrian ser aprovechadas por un atacante.

En el codigo fuente de un javascript, encontré una sentencia que discriminaba si el sitio era “lan.com” o “dev.lan.com”, sumiendo que el segundo corresponde a un servidor de development/desarrollo.

El host dev.lan.com no resuelve a ninguna IP, pero con la ayuda de Google podemos encontrar el host correcto.

Seguir leyendo

Fallas de seguridad en Acepta.com

julio 5, 2012 /

Acepta es una entidad certificadora que otorga certificados de confianza y servicio de custodia electrónica de documentos, hace un tiempo se publicó que era posible acceder a documentos electronicos almacenados en “Custodium” (un producto o empresa de Acepta), dejando abierto al publico los datos de clientes de Entel con detalles de facturación, dirección personal, nombre, etc. Tambien se publicaron algunos Cross Site Scripting que afectaban al sitio. Ambas vulnerabilidades fueron corregidas.

Hace un par de dias, estuve investigando un poco mas y analizando el proceso de obtención de certificado digital.
Luego de buscar el certificado llegamos a una pantalla donde aparece los datos de la persona dueña del certificado y un boton “descargar”. Al momento de presionar el boton descargar el sistema envia mediante
POST el certificado cifrado en base64 y el nombre del archivo en plano. Ambos datos facilmente manipulables.

Seguir leyendo

Antiguas entradas Nuevas entradas

© 2024 El rincón de Zerial

Tema por Anders Norén — Subir ↑