CategoríaSeguridad

Temas relacionados con seguridad informatica.

Charlas: “Hacking automatizado” y “Live Hacking”

charlaEstoy preparando dos charlas para el Hackmeeting que se realizará desde el 10 hasta el 12 de Octubre, tituladas “Hacking Automazado” y “Live Hacking”.

La primera, corresponde a una charla educativa de nivel avanzado donde mostraré y enseñaré a automatizar procesos y tareas para la recolección e interpretación de información.
Automatización de procesos orientados al hacking y auditorias de seguridad. Obtención y análisis de información, ejecución de código maligno y pruebas de concepto. Creación y utilización de herramientas/scripts para automatizar la recolección de información y penetración a un sistema. Tambien haré una presentación de las herramientas que he publicado en este blog (disponibles en codes.zerial.org).

La segunda será una demostración en vivo y en directo.  Penetración de sistemas y explotación de vulnerabilidades web en vivo y en directo. Explotación de vulnerabilidades tipo XSS, SQL-Injection, LFI, RFI, Directory Transversal y RCE.

Cuando termine de hacer el paper de las presentaciones lo publicaré, por ahora pueden revisar el abstracto/resúmen de estas charlas:

Hacking Automatizado [PDF]
Live Hacking [PDF]

Empresas de hosting y diseño web al descubierto: WebSeo

El segundo sitio objetivo corresponde a la empresa WebSeo. Debo admitir que a esta empresa no le he informado sobre sus vulnerabilidades por una simple razón: Ellos son expertos en SEO por lo que saber qué sitios hablan de ellos, quienes los linkean, etc no debe ser problema para ellos y se enterarán de inmediato.

pwned_fulld

Tambien me gustaria emitir un comentario personal; las empresas que se dedican a realizar sitios, diseños de “última generación”, web 2.0, web marketing, etc etc y que dicen ser expertos en la captación de clientes, saben cómo navega un usuario en su sitio, etc siempre dejan de lado la seguridad y generalmente no tienen a gente altamente capacitada para programar o adminsitrar un servidor y es este motivo el que me da ganas de romperles la seguridad del sitio, de buena manera, obviamente.

Ya, vamos a la acción…

Seguir leyendo

Empresas de hosting y diseño web al descubierto: DCH

La primera empresa objetivo para el test de calidad de las empresas de hosting y diseño web corresponde a “DCH Comunicaciones“, una empresa que entrega servicios de webhosting y diseño web.

dch_disclosure

Antes de exponer cualquir cosa, quiero dejar en claro que intenté comunicarme con los encargados (info@dch.cl email que aparece en la web) y no obtuve respuesta. Dejando claro esto, procedo 🙂

Seguir leyendo

Testing de calidad a las empresas de hosting y desarrollo web en Chile

Binary Code AbstractHace un tiempo comencé con la idea de exponer públicamente una lista, semanal, de sitios vulnerables.
Ahora, mi propósito será realizar un análisis de seguridad a las empresas de desarrollo web y hosting en Chile, exponiendo todas sus debilidades y fortalezas para generar un poco de conciencia respecto a la seguridad tanto como en las empresas como en los clientes o usuarios, quienes hacen uso de estos servicios.

Analizaré tanto los servidores de las empresas como sus sitios web, al igual que los sitios web de sus clientes.

Explotando una vulnerabilidad Full Path Disclosure+Directory Transversal

Antes de mostar cualquier cosa quiero dejar en claro que todo lo que leerán de aquí en adelante es sólo con fines educativos, si tu eres un hacker malo que le encanta hacer cosas feas a los sitios con este tipo de fallas tan estúpidas comunes, este documento no es para ti, asi que vete maldito delincuente hacker inescrupuloso.

directory-trans

Habien dicho todo esto, llego el momento de la acción. Wanna rock?

Seguir leyendo

Algo así como un asesino a sueldo

espia_asesinoUltimamente me ha contactado harta gente para hackear cuentas de correo a cambio de dinero, independiente de mi respuesta, esto me hace sentir como un “asesino a sueldo”. Muchas veces las personas confunden, por ignorancia, los terminos y las habilidades de una persona respecto a los computadores.

Los sistemas de correo usados comunmente son GMail, Hotmail, Yahoo, entre otros no tienen fallas conocidas como para que una persona pueda obtener la password de un usuario tan facilmente, ni romper un sistema de autentificación, ni acceder a los servidores, etc. Para lograr obtener acceso a una cuenta ajena se puede lograr de varias formas, crackeando o hackeando otros servicios donde esta persona es parte o bien “adivinando” la contraseña de la víctima, pero para esto, hace falta tiempo y no se logra de 1 día para otro. Muchas veces basta con un poco de ingenieria social y no hace falta ser un experto gurú de la informática.