LATEST ARTICLES

marzo 2nd 2016

Las 10 mejores herramientas de seguridad del 2015 según ToolsWatch

Número de lecturas: 1700
{lang: 'es-419'}

Como en los últimos años ToolsWatch, una web para mantener actualizado el arsenal de herramientas de seguridad y hacking, ha publicado el top 10 de las herramientas más votadas por sus lectores:

1. OWASP ZAP

OWASP ZAP (Zed Attack Proxy Project) es una de las herramientas más conocidas para realizar pruebas de intrusión en aplicaciones web. ZAP ofrece escáneres automáticos y bastante fáciles de usar, con el objetivo de verificar si nuestras aplicaciones web son seguras. También dispone de un completo conjunto de herramientas que nos permitirá modificar las pruebas de intrusión y permitir descubrir vulnerabilidades de forma “manual”. Los lectores de ToolsWatch han votado a OWASP ZAP como mejor herramienta de seguridad del año 2015. Podéis visitar la web oficial de OWASP ZAP donde encontraréis tutoriales de uso.

2. Lynis

Esta herramienta de código abierto permite realizar auditorías de seguridad, permite evaluar las medidas de seguridad aplicadas a sistemas basados en Unix y también en Linux. Esta aplicación se ejecuta en el propio host donde queremos evaluar la seguridad, por lo que el análisis de seguridad es bastante más amplio que los típicos escáneres de vulnerabilidades.

 

3. Haka

Haka no es una herramienta de seguridad, sino que es un lenguaje de código abierto orientado a la seguridad que nos permite describir protocolos y aplicar políticas de seguridad mientras capturamos el tráfico en tiempo real, adaptándonos a las circunstancias.

 

4. Faraday

Es un entorno integrado de pruebas de intrusión y está diseñado específicamente para la distribución, indexación y análisis de los datos generados durante el proceso de la auditoría de seguridad. Esta herramienta es capaz de crear gráficas en tiempo real del tráfico capturado para su análisis y también para su estudio posterior.

 

5. BeEF

Este conocido framework se encarga de la explotación de navegadores web, The Browser Exploitation Framework es capaz de controlar a todas las víctimas ejecutando diferentes tipos de payloads, además también permite capturar una gran cantidad de valiosa información como el sistema operativo utilizado, el navegador web, la dirección IP y también las cookies. T

 

6. Burp Suite

Esta herramienta también es ampliamente conocida en el mundo de la seguridad, se encarga de realizar diferentes pruebas de seguridad en aplicaciones web. Se encarga desde el proceso inicial, pasando por el análisis de los diferentes ataques que se pueden llevar a cabo, y finalizando con la explotación de las vulnerabilidades encontradas.

 

7. PeStudio

Es una aplicación que realiza una evaluación inicial de malware de cualquier archivo ejecutable, esta herramienta permite analizarlo sin ejecutar el archivo, por lo que no tendremos ningún riesgo al analizar un archivo malicioso.

 

 

8. Nmap

La navaja suiza de los escáneres de red, de código abierto, gratuita y ampliamente utilizada para el descubrimiento de equipos, identificación de servicios, versiones de los sistemas operativos, puertos abiertos e incluso vulnerabilidades en los servicios descubiertos.

 

9. IDA

Es un desensamblador interactivo para realizar ingeniería inversa, está programado en C++ y es compatible con los principales sistemas operativos como Microsoft Windows, Mac OS X y Linux.

10. OWASP Offensive (Web) Testing Framework

Por último, la herramienta de seguridad que se incluye en este TOP 10 es OWASP Offensive (Web) Testing Framework, un framework que se encarga específicamente en reunir las mejores herramientas y hacer pruebas de intrusión muy eficientes, automatizando las tareas más repetitivas. Esta herramienta está escrita en python.

 

Resultados de 2014:

 

  • 01 – Unhide (NEW)
  • 02 – OWASP ZAP – Zed Attack Proxy Project (-1?)
  • 03 – Lynis (+3?)
  • 04 – BeEF – The Browser Exploitation Framework (-2?)
  • 05 – OWASP Xenotix XSS Exploit Framework (0?)
  • 06 – PeStudio (-2?)
  • 07 – OWASP Offensive (Web) Testing Framework (NEW)
  • 08 – Brakeman (NEW)
  • 09 – WPScan (0?)
  • 10 – Nmap (NEW)

 

Resultados de 2013:

 

  • 01 – OWASP Zed Attack Proxy (ZAP)
  • 02 – BeEF (The Browser Exploitation Framework)
  • 03 – Burp Suite
  • 04 – PeStudio
  • 05 – OWASP Xenotix XSS Exploit Framework
  • 06 – Lynis
  • 07 – Recon-ng
  • 08 – Suricata
  • 09 – WPScan
  • 10 – O-Saft (OWASP SSL Advanced Forensic Tool)
Fuentes:

Fuente: blog.elhacker.net

febrero 24th 2016

[Tutorial] Tortilla + TOR = + privacidad.

Número de lecturas: 1635
{lang: 'es-419'}

Este es un “tutorial” sobre como usar Tortilla con Tor para hacer que todos nuestros programas/conexiones pasen por la red de tor. Esto es importante ya que en muchos casos, Tor no es suficiente para “proteger” nuestra privacidad ya que muchas aplicaciones ignoran completamente TOR y puesto que actúa solo como un proxy es fácilmente salteable por software espía y/o de rastreo.

Nota: Tortilla no es la tortilla de comer. Si has venido aquí desde Google buscando “como usar una tortilla para dar de hostias a alguien” te recomiendo que sigas buscando pues esta no es tu pagina.

Si algo falla mira el ~ FAQ al final del post. Si no esta ahí, entonces postea.

Leete los consejos al final del post… te vendrán bien.

~ ¿Qué es Tortilla?

Como bien se explica en su web, Tortilla es una herramienta open source que permite a los usuarios routear (redirigir) todo el trafico TCP/IP y DNS por la red de Tor de forma segura, anónima y transparente.  Con esta, puedes hacer pasar el trafico de todos los programas a traves de la red de Tor, sin usar VPN’s o hardware. Y aunque Tortilla esta pensada para poder ser utilizada sin tener que recurrir a una VM, la verdad es que de momento es lo mas seguro. Esta herramienta fue creada por Jason Geffner y Cameron Gutman de CrowdStrike y fue presentada en BlackHat en el año 2013.

De momento solo esta disponible para Windows aunque mas abajo dejare un link con un pdf que muestra como utilizarla en Gnu/Linux.

~ ¿Cómo funciona Tortilla?

Como he mencionado arriba, Tortilla hace de enrutador. Básicamente, crea un adaptador que funciona como un túnel redirigiendo todo el trafico TCP/IP y DNS por la red de Tor. De esta forma, puedes crear un puente entre Internet y tu maquina virtual para que todas las conexiones de dicha VM pasen por la red de Tor.

~ ¿Por qué utilizar Tortilla?

Actualmente solo el software que sepa utilizar un proxy, y solo el software que se configure para utilizarlo puede pasar por la red de tor. Esto crea una gran problema cuando quieras utilizar tecnologías como Flash, Java o software sin soporte de proxys. Actualmente utilizar flash o java esta enormemente desaconsejado por los creadores y usuarios de Tor ya que crean sus propias conexiones independientes y pueden comprometer seriamente tu privacidad.

Con esta herramienta haces que todas (absolutamente todas) las conexiones de la maquina virtual pasen por la red de tor. Por otro lado, no tienes que configurar absolutamente nada aparte de instalar tortilla, abrir, abrir Tor y puentear la VM.

~ Inconvenientes de Tortilla

Hay tres inconvenientes que he encontrado hasta ahora.

1. Poquísima documentación y nombre.. confuso. La documentación que hay es poquísima a pesar de ser open source y libre para la comunidad. Quizás se debe a que es algo joven (a penas tiene 1 año). El nombre es confuso.. cuando buscas Tortilla normalmente encontraras información sobre comida.

2. Esta programado para Windows. Un gran inconveniente sinceramente. Aunque hay modos de hacer un puente raro para que una distro pase enteramente por Tor, esta programado para Windows…

3. Actualmente no es posible navegar por .onion. Quizás el mayor inconveniente. A pesar de buscar y buscar no he encontrado una manera de hacerlo resolver .onion. El propio tor lo niega informando de que: Una aplicación ha intentado establecer una conexión insegura. Quizás esto sea resuelto en próximas versiones o por alguien que quiera gastar su tiempo en tocar el source.

Si es posible aunque algo raro, correr tor sobre tor. Osease, usar tortilla y en la VM instalar el Bundle para acceder a dominios .onion. Aunque en el propio proyecto de Tor lo desaconsejan, lo he probado y parece funcionar bien.

~ Descargar Tortilla, Tor y Virtualbox

Antes de empezar, vamos a crear una carpeta (donde queramos) en la que ir metiendo los archivos. La mía estará en el escritorio y se llamara Tortilla.

Bien, para empezar vamos a necesitar 3 programas.

  • Tortilla
  • Tor (expert)
  • Virtualbox

Aunque puedes usar VMWare, yo utilizare Virtualbox por que es gratuito :P

Empezamos por Tortilla.

Actualmente van por la versión 1.1.0 Beta. El .exe lo puedes encontrar en:
http://www.crowdstrike.com/community-tools/#tool-79

La descarga directa (es posible que sea eliminada)
http://download.crowdstrike.com/tortilla/Tortilla_v1.1.0_Beta.zip

El código fuente esta en GitHub.
https://github.com/CrowdStrike/Tortilla

De momento descargaremos Tortilla desde la descarga directa o desde el botón Download de la pagina de crowdstrike. El archivo .zip contiene 3 archivos: LICENCE, README y Tortilla.exe.. Obviamente a nosotros nos hace falta solo tortilla así que lo extraemos a la carpeta que hemos creado y procedemos a descargar Tor.

Tor

Tor esta disponible en varias versiones. A nosotros nos interesan solo 2 de ellas. De dichas podemos escoger la minimalista (solo tor y tor-resolve) que se llama Expert Bundle o el bundle con Vidalia que se llama Vidalia Relay Bundle. En este caso yo elegiré el Expert Bundle.

Nos vamos a la pagina de descarga:
https://www.torproject.org/download/download

Despegamos el slider de Microsoft Windows y descargamos el Expert Bundle
https://www.torproject.org/dist/torbrowser/5.0.5/tor-win32-0.2.7.6.zip

Viene en forma de .exe aunque no es mas que un descomprimidor de archivos. Selecciona la misma carpeta que hemos creado como directorio de instalación. Podéis quitar que el instalador haga shortcuts (accesos directos) ya que no este tutorial no los usaremos… tampoco necesitaremos la documentación aunque siempre viene bien.

En este momento tendríamos que tener la carpeta que hemos creado así.

Virtualbox

No voy a explicar como se instala virtualbox ya que lo considero innecesario. En la red hay muchísimos tutoriales sobre como hacerlo. Lo único importante en virtualbox es configurar la red que explicare después.

También supongo que sabes como instalar un SO en una maquina virtual. Sino, puedes mirar los tutoriales que hay en la red.

Pagina de descarga de Virtualbox.
https://www.virtualbox.org/wiki/Downloads

Ultima versión (04/03/2014) para Windows (x86/x64)
http://download.virtualbox.org/virtualbox/4.3.8/VirtualBox-4.3.8-92456-Win.exe

~ Instalar Tortilla

Bien si has llegado hasta aquí es que:

  • Tienes la carpeta tal y como la he mostrado en el anterior paso.
  • Has instalado Virtualbox con su respectivo sistema operativo (puedes usar una distro Gnu/Linux)

A continuación vamos a instalar Tortilla. Ya que este actua como adaptador, hay que instalarlo como un driver.

Hacemos doble click sobre Tortilla.exe o bien lo iniciamos desde cmd. Lo primero que nos saldra es una consola donde se te informa de los creadores y otras informaciones e inmediatamente despues te saldra una ventana de Windows diciendo que Windows no ha podido verificar el desarollador del driver

Dale a continuar de todos modos o bien visita el github para saber como firmar el certificado para que Windows no muestre esa alerta.

Tortilla empezara a instalar el adaptador (puede tardar unos minutos). Una vez instalado, dirá algo así como: Ready to receive network traffic from virtual machine En este momento cerraremos Tortilla (ya sea de la X o pulsando Ctrl + C). Y abriremos Virtualbox para configurar nuestra red.

En Virtualbox, seleccionamos nuestra maquina (SO) y damos a Configuración. Nos vamos a la pestaña Red y nos aseguramos de que todos los adaptadores menos el “Adaptador 1” están desactivados.

En “Adaptador 1” nos aseguramos de que la casilla “Habilitar adaptador de red” este marcada, En “Conectado a” seleccionamos Adaptador puente y en “Nombre:” seleccionamos Tortilla Adapter. Debería quedarte mas o menos así:

 

  • Habilitar adaptador de red (si).
  • Conectado a: Adaptador Puente
  • Nombre: Tortilla Adapter
  • Avanzadas (si).
  • Modo Promiscuo: Denegar

* El tipo de adaptador y la Dirección MAC pueden variar, no te preocupes.

Guardamos los cambios y nos vamos otra vez a la carpeta que creamos anteriormente.

~ Ejecutar TOR, Tortilla y VM

Bien, llegamos al paso final, vamos a ejecutar todo paso a paso.

Primero ejecutamos Tortilla.exe y esperamos a que salga este mensaje:
Ready to receive network traffic from virtual machine

Luego ejecutamos tor.exe y esperamos a que salga este mensaje:
[notice] Bootstrapped 100%: Done.

En ese momento, puedes ejecutar la maquina virtual. Una vez iniciada la maquina y cargado el SO, nos vamos a la pagina https://check.torproject.org/ y nos aseguramos de que estemos usando Tor.

Si todo esta configurado bien, veras como en Tortilla.exe se muestran direcciones de los sitios a los que vamos accediendo.

~ La prueba

Total que instalo java la dejo en seguridad mínima y instalo flash. Permito que dichas aplicaciones se ejecuten sin que tenga que dar mi permiso y me voy a dos paginas que supuestamente pueden averiguar de donde eres. En ese momento mi IP es: 79.157.XXX.XX de España. Ambos sitios están en la lista de exclusiones de Java para que puedan correr bien.

Pagina 1 – http://whoer.net/extended

Pagina 2 – http://www.mybrowserinfo.com/detail.asp

Ya me gustaría a mi tener 249 Mbps de velocidad :P

~ En Linux

Como mencione varias veces, Tortilla no esta disponible para Linux. Sin embaro hay un pdf que explica como conseguirlo.

http://opentix.blogspot.com.es/2013/09/tortilla-desde-kali-linux.html
https://docs.google.com/file/d/0BzWIvhhpVimuTnlvZ0o5akNid1k/edit

~ Consejos

Otros lo llaman.. lista de los NO.

  • No uses TOR para hacer cosas personales.
  • No uses TOR para hacer transferencias de dinero legales.
  • No uses TOR con ningún servicio que pueda revelar tu identidad.
  • No uses TOR para descargar vía P2P (La mayoría ignoran la red).
  • Recuerda que TOR esta diseñado para proteger tu procedencia NO tu información.
  • La razón por la que NO usar TOR con Tortilla para descargas P2P es que la red es lenta… probablemente tardes días sino años en descargar algo.
  • Siempre usa TOR en una VM. Si el navegador tiene un 0 day y te ownean, es mejor que se lleven lo que haya en la VM a que se lleven todo lo que tienes en tu SO.
  • Usa siempre DNS publicas.. puedes usar las de Google (8.8.8.8 y 8.8.4.4).

~ FAQ

Si algo no te corre bien asegúrate de cumplir estos pasos.

  • Todas las instalaciones y ejecuciones se han de realizar como Administrador.
  • Borra la carpeta %appdata%\tor y vuelve a probar.
  • Asegúrate de que puedes instalar drivers sin certificar.
  • Cualquier otra duda posteala y intentare/mos responderla.

~ Descarga

Me he tomado la molestia (y el permiso) de subir los archivos de tor y tortilla en un zip a mi dropbox de manera que solo tengan que bajarlo y ejecutar. Pueden pasarlo por virustotal.. no tengo intenciones de ownear a gente :P

Tortilla.zip ~ 1.59MB
https://dl.dropboxusercontent.com/u/93362349/Windows/Tortilla.zip

 

Autor: #!drvy

Fuente: http://foro.elhacker.net/

febrero 24th 2016

Error DETERMINISTIC, NO SQL, or READS SQL DATA in its declaration and binary logging is enabled

Número de lecturas: 1380
{lang: 'es-419'}

Utilizando workbench realizando una funcion de una base de datos se presento este error:

DETERMINISTIC, NO SQL, or READS SQL DATA in its declaration and binary logging is enabled

Se podria pensar que la solucion podria ser complicada pero resulta que con una simple busqueda en google se llega al foro que ayuda muchisimo al desarrollador stackoverflow y muestra las 2 posibles soluciones:

  1. Ejecutar por consola el siguiente código:SET GLOBAL log_bin_trust_function_creators = 1;
  2. Agregar en el archivo de configuracion my.ini (indows) o mysql.ini (linux) lo siguiente:
    log_bin_trust_function_creators = 1

Mas detalles en el enlace de stackoverflow

 

febrero 22nd 2016

Alcance, escala y riesgo sin precedentes: Asegurar el Internet de las cosas

Número de lecturas: 1350
{lang: 'es-419'}

Telefonica movistar realizo junto con eleven paths un interesante estudio sobre el Internet de las cosas y los diferentes riesgos que se pueden presentar y que hasta el momento no hemos entendido como usuarios el riesgo al que estamos expuestos y el alcance que tienen los mismos.

Un documento ágil que explica como podemos mejorar en el aspecto de la seguridad del Internet de las Cosas.

 

Download (PDF, 8.91MB)