Archive for the 'Seguridad' Category

Hacking TouchaTag/TikiTag: RFIDIOt

Martes, Mayo 12th, 2009

Izquierda, lector de touchatag. Derecha, etiqueta touchatag Mifare UltralightHará como una semana ojeando rfidiot.org lei que Adam Laurie (el creador de RFIDIOt) había estado jugando con un lector nuevo que además se podia conseguir baratito, compatible hasta cierto punto con las herramientas que se publica en su web y es esta ultima parte de cierta compatibilidad la que me llamó la atención, por lo que me decidí a comprarlo. En cuanto me ha llegado esta mañana me he puesto a jugar con el lector, etiquetas y tarjetas que tenía por aqui, descubriendo varias cosillas cuanto menos interesantes.

Touchatag se trata de un servicio gratuito hasta el momento que pretende enlazar objetos de la vida real con internet, y para eso vende un lector RFID y etiquetas que se pegan a los objetos.

El funcionamiento consiste en que tras definir una accion en la pagina web, por cada objeto que pasamos con una pegatina RFID de touchatag por el lector el servicio que corre en nuestro ordenador leerá el número de serie de la etiqueta, lo mandará por internet al servidor de touchatag y este responderá con una acción definida en la cabecera HTTP Location.

Las acciones solo pueden definirse en su página web, y es necesario instalarse un servicio que está en constante contacto con la página web a través de una conexión segura SSL. No existe manera de definir acciones localmente, por lo que es imprescindible que el ordenador esté conectado a internet, además de tener que guardar nuestros datos y acciones en un servidor ajeno (ya sabeis, el gran hermano…).
Se puede leer mas sobre el lector y las pegatinas de touchatag aqui.

Lo preocupante es cuando encuentras fallos de seguridad concernientes a los datos personales, como expongo a continuación.

(más…)

Red WiFi Segura con Gentoo: WPA + MSCHAP-EAP-TLS + RADIUS + MySQL

Miércoles, Abril 15th, 2009

El objetivo de este artículo es que al final hayamos configurado un acceso seguro a la red WiFi a través de algo tan sencillo como un usuario y una contraseña. Eston son los elementos que tomarán parte:

  • WPA: Es el método de acceso que se ha de configurar en el AP (Punto de Acceso).
  • TLS: Será nuestro método de cifrado de la información que circule a través de la WiFi.
  • MSCHAP: Utilizaremos la implementación de Microsoft del protocolo CHAP para la autenticación por ser el mas extendido.
  • RADIUS: Instalaremos un servidor RADIUS que soporte TLS, CHAP y utilice como base de datos MySQL para autenticar a nuestros usuarios.
  • MySQL: Será utilizado principalmente para almacenar usuarios y contraseñas.

Se toma como punto de partida que tenemos un Sistema Operativo instalado junto a un servidor MySQL. Este manual está principalmente orientado a Gentoo, aunque puede utilizarse como punto de referencia para otras distribuciones GNU/Linux.

(más…)

BotNets!

Lunes, Junio 9th, 2008

Anoche un amigo y yo nos aburriamos y ya que ambos tenemos nuestras páginas en un server propio en casita decidimos echarle un ojo a nuestros registros de apache:

# grep txt access.log | grep -v robots

Al resultado de ejecutar esta busqueda aparecieron numerosas peticiones GET con el contenido ‘txt’ en su interior que llamaban a archivos que no estaban en mi directorio web, si no que eran intentos en su gran mayoría de convertir a un host en un zombie para alguna BotNet mediante algun bug RFI.

Las BotNets (o Red de bots o robots) son comunmente servidores bien privados bien públicos de IRC (Internet Relay Chat) que se emplean como HUBs de Zombies que normalmente se encuentran bajo las órdenes del script kiddie mas inútil que puedas encontrarte.

Un Zombie es una máquina que ha sido comprometida y que ejecuta código malicioso a la espera de instrucciones de su dueño (el “hacker”). Los Zombies que suelen conectar y formar BotNets corren un programa script (mayormente perl) que simula ser una persona que se conecta a un IRC específico y que cumple instrucciones de una determinada persona, normalmente identificada por el nick (pseudónimo) o por el host (Dirección IP).

Estos programas reciben el nombre de Shellbot, ya que son Bots que ejecutan instrucciones en la shell de la maquina víctima.A continuación pongo y enlazo mirrors de algunos bots y RFIs para infectar máquinas que he encontrado en la búsqueda anteriormente descrita:

Algunos jaquers infectan directamente con un shellbot, otros ejecutan un php para que luego este último ejecute el shellbot o un deface y los que menos saben programar simplemente suben un único script php como este que les deja ejecutar cuanto quieran siempre que PHP esté mal configurado y que se ve así:

Capura r57

A diario estos ataques se automatizan y se suceden ya que muchos de estos ShellBots actuan como gusanos, se copian en el public_html o www de un servidor al que hayan infectado y acto seguido escanean el mundo en busca de mas víctimas a las que infectar, y lo peor es que la gran mayoría de las botnets existentes se emplean para realizar ataques de denegación de servicio distribuidos (DDoS) por lo que hay que tener cuidado y cuidarse las espaldas si eres administrador de alguna página y/o servidor.

Ganando acceso de root en linux < 2.6.24.1

Miércoles, Febrero 13th, 2008

Pues sí, hasta hace poco había un xploit público para ganar privilegios de root en las versiones de la 2.6.13 a la 2.6.17, pero ahora debido a la vulnerabilidad de vmsplice que existe en las versiones 2.6.17 y superiores hasta 2.6.24.1 se ha hecho público un xploit capaz de devolver privilegios de root en estas máquinas.

Teniendo en cuenta que la última versión es la 2.6.24.2 (la que corrige el fallo) este xploit funciona en casi todas las maquinas que tengan linux instalado, por lo que es ALTAMENTE recomendable actualizar el nucleo de linux si la maquina en cuestión no es exclusivamente de uso personal.

Apoyo a Genbeta

Viernes, Febrero 8th, 2008

Últimamente de un par de días hacia aqui genbeta.com sufre un ataque de denegación de servicio distribuida (DDoS) debido a un articulo que uno de sus editores publicaba el pasado 13 de noviembre del 2007, que fué portada de meneame en su día y que debido a la falta de acceso al sitio original paso a citar a continuación:

¿Quieres saber quién te tiene no admitido/eliminado en el MSN? Pues no des tu contraseña a desconocidos

Parece mentira que después de tanto tiempo (¡años ya!) del invento de este fraude todavía haya gente que siga cayendo en él. Es muy simple, y seguro que muchos lo conocéis, simplemente se trata de páginas que ofrecen el servicio de mostrarte quién te tiene como no admitido o te ha eliminado del mésenyer a cambio de que les des tu datos de conexión, es decir, tu usuario y contraseña. Creía que este negocio ya estaba más que muerto, pero hoy mismo un par de contactos míos me han saltado con la típica ventanita que me acceda a una de esas páginas para que me lea el futuro.

Como norma general, dar la contraseña de tu correo a alguien que no pertenezca a tu familia ya es un suicidio tecnológico, y en este caso sería como darle la contraseña de tu tarjeta de crédito a una persona desconocida para que te muestre el dinero que tienes. ¿Quieres saber qué es lo que hacen? La mayoría de páginas, después de mostrarte esa información, se conectan a tu cuenta varias veces al día para molestar a todos tus contactos con spam descarado. Lo que es peor, esto puede colapsar tu cuenta y no sería raro que la perdieras para siempre, o al menos que la conexión sea pésima. Así que ya sabes, no des tu contraseña a ningún sitio web, o atente a las consecuencias.

Pero claro, ¡tú quieres saber quién te tiene como no admitido! Sorpresa: esos sitios, además de ser peligrosos, no funcionan. Microsoft cambió hace tiempo el protocolo para que los servidores de msn no difundieran esta información. Antes sí podías, pero ahora mismo ni siquiera puedes saber el estado de otra persona sin que ella te invite/admite o sin saber la contraseña de la cuenta (sin cambiar la configuración de la cuenta). Sin rebuscar demasiado, algunos sitios fraudulentos que siguen esta práctica serían: blockoo.com, scanmessenger.com, detectando.com, quienteadmite.info, checkmessenger.net, blockstatus, etc… Todos ellos son potenciales phishing, y ninguno funciona más allá de recolectar cuentas de correo.

Disculpad los lectores avanzados que ya habéis dejado atrás este tipo de engaños facilones hace mucho tiempo, pero es que hoy me he vuelto a conectar al messenger por obligación y me he dado cuenta de que las cosas han cambiado muy poquito.

El artículo aún se puede leer en la (bendita) cache de google.

Mucho tiempo después genbeta.com recibió un correo electrónico en el que le amenazaban de un ataque al sitio si no se retractaban del citado artículo:

Les comento que si no sacan esta nota [url de la entrada en cuestión] su pagina sufrira una denegacion masiva enorme, desde un datacenter de china, la cual no la podran detener, y es tan fuerte, que podra afectar toda la red donde alojan, es decir, a otros servidores dedicados.
(…) El motivo es simple, la gente como ustedes me da por las bolas, se la pasan hablando sin fundamentos, o acaso auditaron algun servidor y tienen constancia alguna de que esas web hagan “pishing” entonces para que hablan?
(…) ASI QUE HASTA QUE NO LA SAQUEN, GENBETA.COM NO FUNCIONARA.

CIUDAD DEL ESTE Y EL GRUPO CHINA SE ENCARAGA DE ESTO

A pesar de lo risotorio del correo la amenaza se ha hecho efectiva ya que genbeta.com sigue sin funcionar en el momento de la redacción de este artículo.

Desde aqui me gustaría mostrar mi apoyo a genbeta.com y mi desprecio a los engendros que ni humanos merecen ser llamados que están atacando genbeta.com y demostrando así cuanta razón tenían escribiendo el artículo. Un saludo