Archive for Herramientas Utiles

Agosto 28th 2017

Escanea la seguridad de tus aplicaciones Web con Spaghetti

Número de lecturas: 442
{lang: 'es-419'}

A diario se crean miles de aplicaciones web, muchas de ellas sin seguir lineamientos de seguridad básicas, para analizar que nuestras aplicaciones web se encuentra en un nivel de seguridad alta es posible usar Spaghetti, un escaner de vulnerabilidad bastante interesante.

¿Qué es Spaghetti?

Es una aplicación de código abierto, desarrollada en Python que nos permite escanear aplicaciones web en búsqueda de vulnerabilidades, la aplicación esta diseñada para encontrar varios archivos predeterminados o inseguros, así como para detectar configuraciones erróneas.

aplicaciones web

Al ser desarrollada en python esta herramienta puede ser ejecutada en cualquier sistema operativo que sea compatible con la versión 2.7 de python.

Contiene un potente Fingerprinting que nos permite recopilar información de una aplicación web, entre las que se destacan la información relacionada al servidor, el framework utilizado para su desarrollo (CakePHP,CherryPy,Django,…), si contiene un firewall activo (Cloudflare,AWS,Barracuda,…), si ha sido desarrollado utilizando un cms (Drupal,Joomla,Wordpress,…), el sistema operativo en el que se ejecuta la aplicación y el lenguaje de programación utilizado.

Además viene equipado con otras series de funcionalidades que permitirá hacer un exhaustivo analisis de la integridad y seguridad de una aplicación web, todo esto desde la terminal y de manera sencilla.

En líneas generales una vez que ejecutemos la herramienta simplemente debemos elegir la url de la aplicación web que deseamos analizar e introducir los parámetros correspondiente a la funcionalidad que deseamos aplicar, luego la herramienta hará el análisis correspondiente y mostrará los resultados obtenidos.

¿Cómo instalar Spaghetti?

Para instalar Spaghetti en cualquier distro simplemente debemos tener instalado python 2.7 y ejecutar los siguientes comandos:

$ git clone https://github.com/m4ll0k/Spaghetti.git
$ cd Spaghetti 
$ pip install -r doc/requirements.txt
$ python spaghetti.py -h

Luego simplemente podemos utilizar la herramienta en todas las aplicaciones web que deseemos escanear. La utilidad es bastante poderosa y fácil de usar, además cuenta con un desarrollador muy activo, que se especializa en herramientas relacionadas a la seguridad informática.

Es importante destacar que el mejor uso que le podemos dar a esta herramienta es el de encontrar brechas de seguridad abiertas en nuestras aplicaciones web, para solventarlas y hacerlas más segura, no obstante, algunos usuarios podrían aprovechar esta herramienta para intentar acceder a aplicaciones web que no son de su propiedad por lo que recomendamos dar un uso adecuado a la misma.

 

Fuente:
blog.desdelinux.net

Agosto 3rd 2017

Realiza pentesting real y LEGAL con PentestIT

Número de lecturas: 674
{lang: 'es-419'}

Si te gusta la materia o piensas dedicarte seriamente al pentesting, sea del tipo que sea, te interesará saber que existen herramientas para poder hacerlo de forma completa y totalmente legal. Es el caso de PentestIT, ofrecido por la web pentestit.ru, que además te permite iniciarte en este camino sin ningún coste.

Los laboratorios de pruebas que te ofrece esta web están basados en entornos productivos 100% reales (fundados sobre casos de empresas reales) y que ponen a tu alcance fallos o agujeros de seguridad en los sistemas que están ahí, listos para ser aprovechados por un intruso.

Laboratorios ofrecidos por PentestIT

Estos entornos virtuales están disponibles en varios niveles, tanto gratuitamente como de pago, que podrás usar sin límites y las 24 horas al día. Obviamente existen recortes en la versión gratuita, básicamente un número de servidores de prácticas y laboratorios más reducido, además de que no cuentan con formación ni asesoramiento por parte de sus especialistas.

En la versión sin coste (Test Lab) podrás disfrutar de lo siguiente:

  • Rollback automático de la Máquina Virtual a un estado funcional
  • Duración: 6 meses
  • Disponibilidad 24×7
  • 1 laboratorio disponible
  • Servidores vulnerables: 8 a 12

Estos laboratorios emulan una infraestructura 100% real y te permiten analizarlos e introducirte en ellos sin temer posibles represalias legales. Se incorporan vulnerabilidades recientes y de diverso tipo: seguridad de red, sistemas operativos y aplicaciones. Es posible romper los sistemas criptográficos, configuraciones, código y usar el factor humano.

La metodología empleada es de tipo caja gris (grey box). Es decir, se nos ofrece algo de información sobre la infraestructura y un texto descriptivo. Se pueden explotar diversos mecanismos de ataque, como servicios de red, protocolos web, buffer overflow o ingeniería social.

Realiza tus primeras pruebas de pentesting

  • Para empezar a dar tus primeros pasos con los diferentes retos disponibles deberás primero registrarte desde la web pentestit.ru. Recibirás un correo electrónico para confirmar tu cuenta, que deberás aceptar.
  • Después deberás instalar la red privada virtual OpenVPN, que usarás para conectarte a la infraestructura de pruebas.

pentestIt - pruebas de pentesting

  • Cuando hayas confirmado tu cuenta, recibirás un nombre de usuario y una clave para conectarte a dicha red. Además, descargarás un certificado. Pulsa el botón How to connect para más información.

pentestIt - pruebas de pentesting.png 2

  • Ahora deberás pulsar Join the lab para escoger el laboratorio que quieras iniciar. Cada uno representa un caso diferente.

En mi caso, he realizado algunas pruebas con el laboratorio Test Lab 11, debido a que los anteriores han sido cerrados. Se te presentará un mapa de red del objetivo, con algunas IPs e información adicional, enlaces a redes sociales y foro y una barra de progreso, que representa el número de logros que has obtenido.

pentestIt - pruebas de pentesting 1

Los logros se resuelven capturando tokens (según el objetivo obtendremos uno diferente) y que se debn verificar en la parte superior donde dice CHECK TOKEN.

Mapa de red en pentestIt - pruebas de pentesting 3

 

En mi caso, he empezado por hacer unas pruebas con Nmap para intentar averiguar los puertos abiertos y sistemas operativos visibles en el área objetivo.

A partir de aquí, será cosa vuestra el qué y el cómo. Es lo divertido de este sistema, que no existe una única forma de resolver los casos y esto ofrece muchas posibilidades. Espero que os haya gustado este recurso para practicar ethical hacking / pentesting y que le saquéis provecho ?

Fuente:
protegermipc.net

Abril 4th 2017

‘Alerta Password’ para proteger tu contraseña en Gmail

Número de lecturas: 1516
{lang: 'es-419'}

La gigante de tecnología quiere ayudar a los usuarios de sus servicios de correo electrónico y nube a evitar que pasen accidentalmente su información a malas manos.

Google reconoce que el robo de información no sólo afectaría las cuentas bancarias de sus víctimas sino también sus cuentas de correo electrónico — y la gigante de tecnología quiere ayudar a protegerte.

Este miércoles Google anunció el lanzamiento de Alerta, una extensión de Chrome de código abierto para las cuentas de Google, Google Apps y Google for Work. La extensión se puede descargar por Chrome.

La Alerta ayudaría a prevenir que usuarios escriban su nombre de usuario y contraseña en una página de phishing, un sitio no oficial de Google creado por personas que quieren robarse la información del usuario. Los ladrones pueden entrar a sus correos, buscar datos personales, y vender o usar la información personal de las víctimas.

Hay distintas maneras en como los malhechores usan las tácticas de phishing. Una manera es que se te pida un email para entrar a un sitio operado por los ladrones. Sólo un 2 por ciento de los emails que llegan por Gmail a las bandejas de entrada son de phishing, según Google. Sin embargo, de los emails de phishing que sí pasan, el 45 por ciento de las veces son efectivos y engañan al público, añadió la compañía.

Para protegerte, tienes que instalar la extensión y luego comenzarás a ver una advertencia si estás a punto de usar un sitio de phishing. La extensión también funcionaría para Google Apps y Drive for Work.

Google recomienda que los usuarios cambien sus contraseñas para diferentes sitios Web y que utilicen sus herramientas de verificación de dos pasos y clave de seguridad.

google-alerta-phishing2.png

 

Fuente:

cnet.com

Marzo 2nd 2017

Como localizar a alguien en twitter – “tinfoleak”

Número de lecturas: 2155
{lang: 'es-419'}

Las redes sociales son una fuente de información imprescindible en procesos de investigación con distintos propósitos. Entre estas redes, Twitter destaca por la actividad de sus usuarios dada la facilidad de uso y su simplicidad. En muchas ocasiones, los usuarios no son conscientes de todos los datos que facilitamos (directa o indirectamente) y del uso que podría realizar un tercero de la información que publicamos.

Con idea de disponer de una herramienta OSINT (Open-Source INTelligence) que permita automatizar la extracción de información en Twitter y facilitar el análisis posterior para la generación de inteligencia, Vicente Aguilera Díaz ha desarrollado la herramienta Tinfoleak.

La versión 2.0 actual, implementa las siguientes funcionalidades:

Información básica sobre el usuario:

  • Imagen del perfil.
  • Fecha de creación de la cuenta.
  • Estado de verificación de la cuenta.
  • Nombre en Twitter.
  • Nombre completo de usuario.
  • Descripción de la cuenta.
  • ID de Twitter.
  • Número de seguidores.
  • Número de usuarios a los que sigue.
  • Número de tweets enviados y promedio de tweets por día.
  • Número de likes.
  • Número de listas.
  • URL extendida.
  • Característica de geolocalización.
  • Ubicación.
  • Zona horaria.
  • Idioma.

Aplicaciones utilizadas por el usuario:

  • Aplicaciones utilizadas por el usuario para publicar tweets.
  • Número de tweets publicados por el usuario desde cada una de las aplicaciones.
  • Porcentaje de uso de cada aplicación respecto el total de aplicaciones.
  • Fecha del primer uso de la aplicación.
  • Primer tweet publicado con cada aplicación.
  • Fecha del último uso de la aplicación.
  • Último tweet publicado con cada aplicación.
  • Número total de aplicaciones identificadas.

Análisis de hahstags:

  • Fecha, hora, número de retweets, número de likes, usuario que publica el hashtag,
    imagen de perfil del usuario que publica el hashtag, ubicación del usuario que
    publica el hashtag y consulta de los tweets publicados por el usuario
    conteniendo hashtags.
  • Para cada hashtag utilizado por el usuario, se muestra el periodo de tiempo en el
    que fue publicado, el número de retweets, el número de likes, y el número
    de veces que fue utilizado.
  • Fecha, hora, número de retweets, número de likes, y consulta de tweet,
    de los diez hashtags más utilizados por el usuario.
  • Número de hashtags identificados.

Análisis de menciones:

  • Fecha, hora, número de retweets, número de likes, usuario que publica las
    menciones, imagen del perfil del usuario que publica las menciones, ubicación del
    usuario que publica las menciones y consulta de los tweets publicados por
    el usuario conteniendo menciones de usuario.
  • Para cada usuario mencionado, se muestra el periodo de tiempo en el que fue
    mencionado, el número de retweets, el número de likes, y el número
    de veces que fue utilizado.
  • Fecha, hora, número de retweets, número de likes, y
    consulta de las diez menciones más utilizadas por el usuario.
  • Número de menciones identificadas.

 

Análisis del texto publicado:

  • Se muestran los tweets publicados por el usuario que cumplen el filtro especificado
    (búsqueda por palabras clave, retweets, contenido multimedia y listas negras).
  • Para cada tweet, se muestra la fecha, hora, el usuario que publica el tweet,
    la imagen del perfil del usuario, el nombre del usuario, la ubicación
    del usuario y el contenido del tweet.
  • Número de tweets reportados.

 

Análisis de Metadatos:

  • Se muestran metadatos asociados a las imágenes.

 

Análisis de imágenes y videos:

  • Se muestran las imágenes y videos publicados por el usuario, junto a la fecha y
    hora de su publicación, la aplicación utilizada, el usuario a quien se ofrece
    respuesta (si la hubiera), el número de retweets y likes, así como la consulta
    del tweet donde se publica el contenido multimedia asociado.
  • Número de imágenes y videos publicados por el usuario.
  • Descarga de todo el contenido multimedia publicado por el usuario.

 

Análisis de la geolocalización:

  • Fecha y hora de la publicación del tweet.
  • Coordenadas y localización desde las que se publicó el tweet.
  • Información sobre el contenido multimedia (fotografía o video) contenido en el tweet.
  • Acceso al tweet geolocalizable.
  • Aplicación utilizada para la publicación del tweet.
  • Localización asociada a las coordenadas desde las que se publicó el tweet.
  • Ruta seguida por el usuario (incluyendo periodo de tiempo en el que permanece
    en cada ubicación, y número de tweets que envía desde cada una de ellas).
  • Localizaciones más visitadas por el usuario, incluyendo periodo de tiempo
    desde el que publica tweets desde cada localización, número de tweets que envía,
    días de la semana en los que ha publicado tweets desde cada localización,
    día de la semana que más publicaciones ha realizado, coordenadas de cada
    localización y nombre de la ubicación.
  • Generación de fichero de salida en formato KML para ser importado desde
    Google Earth, mostrando los tweets y el contenido multimedia publicado
    desde cada ubicación.

Análisis basado en coordenadas geográficas

  • Identificación de tweets publicados en el área geográfica especificada.
  • Fecha, hora, coordenadas geográficas, contenido multimedia publicado, y
    aplicación utilizada en la publicación de cada tweet, así
    como el usuario geolocalizado y consulta del tweet asociado.
  • Identificación de usuarios geolocalizados, incluyendo fotografía del usuario,
    su identificador en Twitter, así como sus identidades digitales en Instagram,
    Foursquare y Facebook.
  • Identificación de usuarios etiquetados en el área geográfica especificada.
    Se incluye el usuario etiquetado, el usuario que lo ha etiquetado, la fecha y hora
    de publicación del tweet, la fotografía en la que se ha etiquetado al usuario,
    y las coordenadas geográficas donde se publicó el tweet.
  • Análisis de contenido multimedia publicado en el área geográfica especificada.
  • Análisis de hashtags y menciones realizadas en el área geográfica especificada.

 

Análisis de conversaciones entre usuarios

  • Se muestran las conversaciones que ha mantenido el usuario especificado
    con el resto de usuarios.
  • Los tweets se agrupan por conversación y se muestran ordenados
    en base al tiempo, mostrando una apariencia de chat.
  • Las conversaciones pueden ser filtradas en base a usuarios, fechas,
    o palabras clave.
  • Se muestra el número de conversaciones y el número
    de mensajes por conversación.

 

Análisis de identidades digitales

  • Identificación de la presencia del usuario en otras redes sociales
  • Se muestra la red social en la que se ha identificado al usuario, el identificador,
    nombre y fotografía que utiliza en cada red social, así como información adicional.
  • Se analiza la presencia del usuario en las siguientes redes sociales:
    Twitter, Instagram, Foursquare, Facebook, LinkedIn, Runkeeper, Flickr, Vine,
    Periscope, Kindle, Youtube, Google+ y Frontback.

Steve Wozniak Twitter Metadata TinfoleakSteve Wozniak Client Applications TinfoleakSteve Wozniak Twitter Metadata Tinfoleak

Análisis de conversaciones entre usuariosSteve Wozniak Twitter Metadata TinfoleakSteve Wozniak Twitter Metadata Tinfoleak

Steve Wozniak Twitter Metadata TinfoleakSteve Wozniak Twitter Metadata TinfoleakSteve Wozniak Twitter Mentions Tinfoleak
Los Requisitos son:

Tener Python (Recomiendo alguna distrito de Linux)
Tinfoleak (Descarga Oficial: https://github.com/krmaxwell/tinfoleak)

Tutorial

 

Fuente:

isecauditors.com