LATEST ARTICLES

enero 21st 2013

Error wampserver con windows 8 Forbidden You don’t have permission to access /phpmyadmin/ on this server.

Número de lecturas: 919
{lang: 'es-419'}

Si usamos windows 8 he instalamos wampserver todo funciona bien pero se puede presentar este error el cual se soluciona modificando el error en el siguiente archivo: httpd.conf

1. Editar httpd.conf, usando el icono de wampserver icono -> wampserver -> apache -> https.conf
Buscar la linea > Listen 80
y cambiar por > listen 0.0.0.0:80

Mas Informacion:

http://forum.wampserver.com/read.php?2,88798

enero 11th 2013

Detect Mobile Browser – proyecto opensource, detecta y redirige a los navegadores móviles desde tu sitio web

Número de lecturas: 788
{lang: 'es-419'}

Cada vez los teléfonos móviles tienen más importancia en el diseño web, si hace unos años casi nadie usaba Internet desde el móvil, hoy día es un sector con un enorme crecimiento gracias a modelos como el iPhone o los nuevos Android. Eso nos plantea un problema, pues es difícil crear un sitio web que sea valido tanto para resoluciones de ordenador, como para las pequeñas pantallas de los dispositivos móviles. Y si creamos 2 versiones alternativas nos surgirá otra duda, ¿cómo filtramos a los usuarios según el dispositivo desde el que accedan?

Una respuesta a ese problema nos la da el proyecto Detect Mobile Browser que facilita código libre en diferentes lenguajes de programación (Apache .htaccess, ASP, ColdFusion, JSP, Javascript, PHP, Python y Rails) para redirigir a los usuarios de navegadores móviles a una versión especial de nuestro sitio web, que previamente hayamos adaptado.

El código es simple y claro, por lo que no nos supondrá demasiado esfuerzo integrarlo en nuestros proyectos. Además, usa una lista de navegadores bastante completa y actualizada.

Enlace: Detect Mobile Browser

Fuente:

dglibre.com

diciembre 27th 2012

Nueva técnica de robos en cajeros automáticos

Número de lecturas: 1378
{lang: 'es-419'}

Mostramos una nueva técnica de robo en cajeros automáticos introduciendo un cepo,lo denominan “el tenedor”

 

En los últimos meses los departamentos de seguridad de las entidades financieras, vienen comunicando conjuntamente con las Brigadas de Delitos Económicos, asi como las de Seguridad Privada, una nueva modalidad de fraude en los cajeros automáticos de dispensación de efectivo.

Se trata de un cepo, al que se denomina “el tenedor”, consiste en un aparato de fabricación casera, fabricado normalmente sobre metal, el cual se introduce por el “shutter” de dispensación para “atrapar” la dispensación efectivo con su mecanismo.

A continuación explicamos paso a paso en que consiste este sencillo método, para que usuarios y entidades puedan y sepan poner las medidas se seguridad oportunas para intentar minimizar o en el mejor de los casos subsanar este problema.

Para conseguir introducir esta herramienta por el “shutter” o dispositivo de dispensación del efectivo, los delincuentes procesan una operación de bajo importe, así, consiguen que el dispositivo se abra entregando el efectivo.

 

 

cajero-automatico

 

Estas operaciones suelen estar adscritas a cuentas en paraísos fiscales o a cuentas en países del este, en algunos casos también se realizan con tarjetas robadas o falsificadas. Es así como consiguen que a posteriori, las labores de investigación policial, o de identificación de los sospechosos sean más difíciles o en algunos casos imposibles.

cepo1

En el momento de la dispensación, colocan un “tope”, impidiendo que la “tapa” del “shutter” se cierre.

Introducen así, el cepo dentro del dispensador de efectivo. Una vez dentro, los delincuentes quitan el sistema que impedía que el “shutter” se cerrara y abandonan el lugar a la espera de las victimas.

Una vez introducido el “tenerdor” en el cajero automático, es hora de esperar a que, cualquier cliente, procese una operación de retirada de efectivo sobre el mismo. Es en ese momento cuando la ingeniosa herramienta, cobra efecto.

Cuando el cajero automático procesa una operación de retirada de efectivo, y este procede a expulsarlo, el dinero choca con las dos pletinas colocadas en el medio del “tenedor”, haciendo que las medidas de seguridad del dispensador se disparen.

Ante una situación de error en la entrega de efectivo, el cajero inicia un proceso de retirada del mismo hacia el cajón de reciclaje que este posee. Es ahora cuando entra en juego el “tenedor”, gracias a que sus puntas o dientes están doblados hacia su interior de forma que el efectivo queda “enganchado” en ellos.

cepo2

A la vista de la victima, la operación se ha realizado con éxito, a excepción de que su dinero no ha salido nunca del mismo, es decir, el comprobante es correcto, con la consiguiente reducción de saldo, la tarjeta se devuelve de manera correcta.
Salvo por que la victima no ha recibido su dinero, a ojos del banco la operación ha sido totalmente satisfactoria.

¿Qué sucede ahora? La gran mayoría de los casos las victimascansadas de esperar su dinero, sucumben a la desesperación y abandonan el cajero, o simplemente, piensan que será un fallo del mismo, el cual notifican a la mañana siguiente en esa sucursal.

Lo siguiente es bien sencillo, una vez la victima abandona las inmediaciones, los delincuentes aprovechan para, esta vez si, forzar la pletina del “shutter” y con un mecanismo extractor sacar el “tenedor” con todo el dinero que el último cliente quiso sacar.

Fraude completado.

La única parte menos mala de este fraude, según ha consultado segurpress.com con las entidades financieras, es que una vez perpetrado no se puede repetir, ya que el cajero entra en modo avería y queda inutilizado.

Es muy importante comunicar este tipo de asalto a los cajeros automáticos a los empleados de las oficinas bancarias, al objeto de que comprueben periódicamente que no han colocado algún objeto extraño en el frontal de la dispensación del efectivo y en al caso de ver algo anormal, no tocar nada y avisar al 091 de la Policía ó 062 de la Guardia Civil.

Mostramos unas fotos con el detalle de “el tenedor”, que están empleando en los cajeros automáticos.

cepo3

cepo4

 

Desde www.segurpress.com iremos informando paulatinamente del seguimiento de los distintos fraudes que se vienen cometiendo en las entidades financieras, al objeto de atajarlos y evitar su consecución.

Fuente:

Segurpress.com

diciembre 12th 2012

SMS spoofing en Twitter, un viejo truco

Número de lecturas: 1259
{lang: 'es-419'}

Hace unos días, Jonathan Rudenberg publicaba una vulnerabilidad en el sistema de publicación a través de SMS de Twitter que podría permitir el envío de tweets en nombre de otra persona con solo conocer su número de teléfono. El efecto de esta vulnerabilidad ya se conoce desde hace varios años.

Twitter dispone de una interfaz SMS con la que, a través de mensajes de texto, un usuario puede publicar actualizaciones y seguir a otros usuarios, entre otras

opciones. Para activarla, es necesario enviar un nombre de usuario y contraseña a unos códigos telefónicos que la red social dispone a tal efecto.

Una vez hecho esto, el número de teléfono queda asociado a la cuenta de Twitter.  Jonathan Rudenberg en su blog afirma que esa asociación puede ser utilizada para publicar en la cuenta de otra persona solo conociendo su número de teléfono. El fallo reside en que la interfaz de Twitter confía en la legitimidad del origen del SMS sin pedir ninguna autenticación adicional.

El número de origen de un SMS puede ser fácilmente falseado. Algunos proveedores permiten cambiar el origen del mensaje de texto, así que es posible que un tercero envíe un mensaje con el número de teléfono de la víctima como origen y que Twitter lo publique en su cuenta asociada.

El usuario puede entonces ejecutar todos los comandos disponibles a través de SMS sobre la cuenta de la víctima, entre lo que se incluye el envío de mensajes directos, respuesta a otros usuario, o incluso desactivar la cuenta por completo si se es usuario exclusivo a través de SMS.

Sin embargo, Moxie Marlinspike, en un post en el blog de ingeniería de Twitter, ha dado algunos detalles de la situación. Para utilizar el canal SMS, el usuario tiene la opción de enviar sus comandos a dos tipos de códigos telefónicos.

El código “corto” es un número menor a cinco cifras, disponible en algunos países y proveedores de red móvil (España, por ejemplo, no tiene). Este es el método que utilizan muchos usuarios de Twitter SMS.
Estos códigos funcionan dentro de la misma red del operador y no permite cambiar el origen del mensaje. Por tanto no hay posibilidad de spoofing en este caso.
Sin embargo, el resto de países deben enviar sus tweets a un código ”largo”. Este es un número telefónico normal que sí es vulnerable a spoofing. Por ello, Twitter ofrece una autenticación a través de PIN a los usuarios de estos códigos desde hace varios años, aunque es necesario que el usuario lo active.

Además, si en un país existe un código corto, no se permite al usuario publicar a través del código largo. Por tanto, el impacto de la vulnerabilidad es de menor magnitud, quedando reducido a solo los usuarios que solo puedan enviar sus tweets a un código largo y además no tengan activado el PIN.

Efecto conocido Si Twitter ofrece activación por PIN, es porque ya fue vulnerable al falseamiento del remitente del SMS. Ya a principios de 2007, Nitesh
Dhanjani daba detalles de este problema, lo que desemboco en la implementación de esta doble autenticación. Posteriormente, en 2009, Lance James se hacía eco del mismo fallo, esta vez solo afectando a usuarios de Reino Unido y Alemania. También SecurityByDefault aprovechó este fallo hace algunos años para realizar una divertida broma, con la que publicó un mensaje en una cuenta tan popular como la de @edans.

Parece que los reportes de la vulnerabilidad se han ido dando en zonas donde aún no había disponibles códigos cortos. Por tanto, la publicación no muestra nada nuevo, simplemente que siguen existiendo zonas donde la red móvil hace posible el spoofing en Twitter si no se tiene activado el PIN.

Este mismo fallo se podía encontrar en Facebook y Venmo, una plataforma social de pagos. Estos fueron solucionados antes de la publicación de la vulnerabilidad y no han trascendido más detalles.

 

Más información:

SMS Vulnerability in Twitter, Facebook and Venmo
http://titanous.com/posts/twitter-facebook-venmo-sms-spoofing

Twitter and SMS Spoofing
http://engineering.twitter.com/2012/12/twitter-and-sms-spoofing.html

Twitter and Jott Vulnerable to SMS and Caller ID Spoofing
http://www.oreillynet.com/onlamp/blog/2007/04/twitter_and_jott_vulnerable_to.html

Twitter Spoof (Twoof/Tweef?) You decide
http://lancejssc.tumblr.com/post/83499045/twitter-spoof-twoof-tweef-you-decide

Hackeos memorables: El Twitter de Enrique Dans
http://www.securitybydefault.com/2009/03/hackeos-memorables-el-twitter-de.html

Fuente:

hispasec.com

diciembre 11th 2012

Instalar el módulo mod_rewrite en Ubuntu 12.10

Número de lecturas: 1495
{lang: 'es-419'}

Si necesitas usar el módulo mod_rewrite de Apache para usar basta con hacer:

sudo a2enmod rewrite

Editar el fichero /etc/apache2/sites-enabled/000-default:

sudo gedit /etc/apache2/sites-enabled/000-default

y cambiar: ‘AllowOverride None’ por ‘AllowOverride All’ en el apartado correspondiente al directorio www.

y luego reiniciar Apache:

sudo /etc/init.d/apache2 force-reload

El módulo mod_rewrite se suele usar para convertir las URL de una web en “amigables” para los navegadores. Por ejemplo para convertir:

index.php?page=main&section=cursos&num=3

a algo como:

main/cursos/3

Esta segunda es más fácil de recordar para los humanos y a los buscadores les gusta más.

Fuente:

http://nideaderedes.urlansoft.com

diciembre 7th 2012

Microsoft Problem Steps Recorder, una herramienta para el bien o para el mal

Número de lecturas: 944
{lang: 'es-419'}
A través del siempre genial blog del SANS,llego a la herramienta ‘PSR’ creada por Microsoft y cuyo objetivo legítimo es ayudar a resolver problemas.
Esta herramienta viene ‘by default’ a partir de Windows 7, y lo que hace es capturar toda la actividad de la pantalla y generar un fichero en formato MHTML con las capturas de pantalla, movimientos de ratón y algunas pulsaciones de teclado.
Esto, evidentemente, es muy útil cuando tienes que lidiar con una persona que ‘no hace nada’ pero algo le va mal, con tan solo pedir que ejecute el comando PSR ya puede iniciar una sesión de lo que está haciendo y enviar el fichero para que se revise.
Aquí se puede ver un ejemplo de cómo captura PSR:

 

Tal y como se puede apreciar, la herramienta muestra el pantallazo y la descripción de lo que estaba haciendo el usuario.
¿Problema? Resulta que esta herramienta se puede invocar por línea de comandos y además tiene un modo en el que el usuario no vería que se está empleando.
En concreto con este comando:

psr.exe /start /output \\?\%USERPROFILE%\Desktop\diag.zip /maxsc 100 /sc 1 /gui 0

Se lanzaría una sesión de PSR y se almacenaría lo capturado en un fichero .zip situado en el escritorio del usuario.
En este punto, probablemente todo el mundo haya caído en la cuenta de la enorme utilidad que puede tener en caso de tener un acceso a un cmd.exe en remoto (por haber explotado una vulnerabilidad, por ejemplo) y querer ‘mirar’ lo que está pasando en la pantalla.
No obstante, y quitando ese matiz, la herramienta me parece genial y de hecho, me estoy planteando seriamente cambiar Camtasia por esta herramienta a la hora de generar vídeo-reportes donde he de describir como se explota una vulnerabilidad o un procedimiento.
Me parece mucho mas vistosa, los ficheros pesan menos y además es altamente descriptiva.
Fuente:
securitybydefault.com