Menú

Mostrar Mensajes

Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.

Mostrar Mensajes Menú

Mensajes - davidhs

#1
Buenas.

A mi me paso algo parecido con un lab que monte hace poco para probar varias cve, en mi caso lo que pasaba es que cuando elegía el tipo de red (pública, doméstica o de trabajo) el Windows dejaba de ser vulnerable a ms17_010, comprueba que no te haya pasado lo mismo que a mí, en mi caso dejaba la opción por defecto.

Un saludo.
#2
Hola Arcont_e.

No tienes permitido ver los links. Registrarse o Entrar a mi cuentaaunque he probado con ARPspoofing y ettercap.
Prueba con Man In The Middle Framework (MITMf), es una herramienta de fácil instalación en Kali Linux, ya que viene en sus repositorios y es muy fácil de utilizar sabiendo que parámetros utilizar.

Aquí te dejo un enlace con una breve explicación y vídeo con explicación. Un saludo. No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
#3
Dudas y pedidos generales / DNS Redundantes
Febrero 25, 2019, 08:56:00 AM
Hola comunidad de Underc0de.

Vengo con una pequeña consulta sobre los servidores DNS y a contar un poco la situación, necesito replicar un servidor DNS maestro el cual esta dentro de una red interna, lo que se busca es que en caso de que este caiga dentro de la red por diferentes motivos, se tenga otro externo que permita resolver los dominios, por el tema de servicios que hay externos a esa red interna, he investigado y he llegado a la conclusión de que hay que tener un VPS externo con el servicio DNS en modo esclavo, pero claro en caso de tener el esclavo y el maestro cae, como sabría "internet" que el DNS esclavo es el que tiene que resolver los registros DNS.

Cualquier pista, aporte o empujón es bienvenido. Un saludo.
#4
Dudas y pedidos generales / Re:El mejor libro de seguridad
Noviembre 30, 2018, 07:09:25 AM
Mi recomendación es que primeramente tengas una muy buena base de informática, conocimiento de redes, sistemas operativos Linux/UNIX, Windows, MacOS y sobre todo algún lenguaje de programación si no quieres ser un script kiddie, al contrario de lo que dice dhaxok, la programación es muy importante dentro de la seguridad informática, los lenguajes que te recomiendo podrían ser Python, ruby y javascript(para auditorias web, inyecciones de código, crear tus exploit e incluso crear tus propias herramientas para auditorias.). También discrepo con dhaxok respecto a los libros, intenta leer el máximo de libros de seguridad que puedas, empezando por libros de nivel bajo hasta avanzado, ya que un libro aun que sea de hace un par de años normalmente te explica como realmente funciona(aun que el ataque sea obsoleto, nunca sabes cuando te enfrentaras a una red obsoleta.) una ataque por debajo(no solo dar un click y hacer magia) es decir a pesar de utilizar herramientas de terceros, sabes que esta pasando en realidad por debajo y comprendes realmente el ataque(al saber como funciona, posiblemente sabrás como mitigarlo y si sabes algún leguaje de programación, incluso podrás hacerte tu propia solución). Mi recomendación de libros podrían ser los de 0xWord, son libros en castellano y abarcan muchos temas de la seguridad informática y niveles. Recuerda, lee todo lo que puedas, practica, practica y practica. Ya que un buen hacker ético es una persona que conoce muy bien las tecnologías y sabe aprovecharla a su criterio.

Espero que te resulte de ayuda mi respuesta. Un saludo, Davidhs.
#5
Hola Goaking, en principio si ya has hecho nat en tu router para redirigir las peticiones entrantes, es decir que has abierto el puerto 4444 a la máquina atacante x.y.z.v, ya tendrías un paso realizado, después también en el parámetro de escucha LHOST me imagino como describes habrás puesto la ip de tú máquina atacante, si la configuración de metasploit la tienes configurada correctamente, creo que la clave la tendrás en el nat de tu router o en en la máquina donde estés ejecutando mestasploit, ya que puede ser que el firewall no tenga permitido aceptar esas peticiones(esto es menos probable, pero posible).
#6
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Buenas,

¿Cómo puedo obtener información sobre servidores que están detrás de un balanceador software que va redirigiendo el tráfico a cada uno de ellos? Da igual las aplicaciones que consulte que siempre me devuelve lo mismo.

Ej:

En este caso siempre obtengo los datos del balanceador, da igual el servicio que haya por debajo.

Un saludo,
Hola Federik0, es normal que solo te devuelva la información del balanceador, ya que están pensados para ese propósito a parte de balancear claro, ya que es el que da la cara hacia internet y por así decir es lo único que se puede analizar desde fuera de la red, a veces si tienes suerte y la persona que administre estos sistemas no ha realizado un hardening correcto de sus sistemas, al analizar los puertos e información de los servicios públicos a veces es posible encontrar información sobre que sistemas se encuentran tras este balanceador, pero normalmente el servidor que más seguro suelen mantener es el que esta público respondiendo a las peticiones. Si consigues colarte en el balanceador lo normal es que después de este equipo los demás sean un poco más frágiles, que no digo que sea dar un "enter" y entrar, pero tendrás más información. En caso de no poder recabar información desde dentro lo ideal sería recolectar información desde otros lugares públicos, como redes sociales, página web, etc. Podrás encontrar las tecnologías que utilizan y un millón de cosas que te podrán ayudar a conseguir un vector de ataque y analizar los diferentes vectores de ataque a elegir.

No se si te he ayudado, pero he intentado guiarte un poco basándome en mi exp. Un saludo.
#7
Dudas y pedidos generales / Compilar BusyBox
Junio 06, 2018, 08:36:16 AM
Hola a tod@s.

Ya con el título os podéis imaginar de que va la cosa, bueno estoy intentando dejar un backdoor en un firmware de un router Tp-Link, solo me falta personalizar busybox para que al compilar de nuevo el firmware no me diga que el tamaño es mayor al del firmware original, he buscado por la red la manera de como compilar busybox para mips x86 y he encontrado algo relacionado con "cross compile" o algo parecido, cosa que no me ha quedado claro, se que se puede compilar de manera personalizada, pero no encuentro los parámetros de configuración correctos para que mi busybox personalizado arroje la "misma" configuración que el busybox sustituido, también he utilizado busybox-mips, pero el tamaño de este busybox es de 1,6 MB y entonces no puedo compilar el firmware, para posteriormente subirlo al router:

configuración busybox original


Si alguien me arrojara algo de sabiduría con esto se lo agradecería. Saludos.
#8
Hola comunidad de Underc0de.

Me gustaría si es posible, si alguien con los conocimientos suficientes me podría arrojar algo de sabiduría de redes y comentarme un poco los requisitos más avanzados para tener una red con el SLA del 99,7% 99,8% (También se que depende del datacenter donde estén lo servidores, esto no es problema el datacenter ofrece 99,9% de SLA), en principio los requisitos que tengo claro que debería tener mi red es ser redundante con todo el hardware, routers(BGP, VRRP), switchs, cluster de servidores. No tengo claro si para cumplir este SLA(99,8%) tendría que tener en otro datacenter una infraestructura espejo, es decir un disaster recovery a lo grande de toda la infraestructura o solo sería necesario tener la infraestructura principal completamente redundante.

Un saludo, Davidhs.
#9
Hola kush20, para los MITM, utilizo MITM Framework que es una herramienta que esta muy bien y la puedes instalar en tu distribución Linux, a parte de que tiene parámetros para que puedas invocar otras utilidades muy buenas. A parte de que tienes muchísimas guías por internet para ver como funciona. Y otra herramienta que utilizo para los MITM es Evil Foca, que esta dirigida a realizar ataque en redes IPv4 e IPv6.
#10
Hola Bartz.
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Código: php
nmap --script http-title -sV -p 80 xxx.xx.xxx.57/24


Viendo primero el comando, veo que no estas analizando una página web en particular, que en realidad no estas analizando la página web, estas analizando el servidor donde se aloja esta, estas lanzando el comando de NMAP sobre un rango de direcciones IP, ya que Y.Z.V.X/24 equivale a un rango de direcciones IP, entonces te salen todos esos resultados. Que es lo siguiente:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Nmap scan report for No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (xxx.xx.xxx.2)
Nmap scan report for No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (xxx.xx.xxx.4)
Nmap scan report for No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (xxx.xx.xxx.6)
Nmap scan report for No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (xxx.xx.xxx.7)
En caso de por ejemplo interpretar la siguiente información, yo lo que he interpretado es lo siguiente:
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Nmap scan report for No tienes permitido ver los links. Registrarse o Entrar a mi cuenta (xxx.xx.xxx.25)
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch)
|_http-server-header: Apache/2.2.8 (Ubuntu) PHP/5.2.4-2ubuntu5.10 with Suhosin-Patch
|_http-title: .:: Scientific Computing Group UCLM
Con la información que has proporcionado he visto, que detrás del puerto 80 esta a la escucha un servidor web Apache httpd en su versión 2.2.8, según esto parece ser que el sistema operativo que hay detrás de este servicio, es Ubuntu en su versión 5.10, que a mi parecer es muy antiguo por lo que veo(para indagar más sobre el OS utiliza el parámetro -O), al igual también nos da la información sobre el php instalado en servidor web, es decir PHP 5.2.4 con un parche de seguridad para PHP llamado Suhosin-Patch, también nos dice el título que tiene la página web "Scientific Computing Group UCLM".

En resumen, estos datos son muy importantes, ya que podrías encontrar vectores de ataque, antes de llegar analizar la web en sí con otras herramientas, ya que buscando en la documentación oficial de todos esos servicios y sistemas operativos, podrías encontrar vulnerabilidades de diferentes tipos a explotar, todo solo con la información que te ha arrojado nmap. Toda esta información, es muy útil, ya que podría recortar muchísimo el proceso de un pentesting, ya que si encuentras una vulnerabilidad a explotar sobre ese servidor, acceder, tumbarlo o un largo etc, habrás concluido una intrusión con éxito sin apenas calentarte la cabeza, solo sabiendo interpretar la información que tienes en tu pantalla.

Por ejemplo aquí te dejo un enlace con las vulnerabilidades de la versión de apache httpd 2.2.8: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Espero que te haya resultado de utilidad mi respuesta, un saludo, Davidhs.
#11
Hola elman.
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
1. como saber cual es el nombre de la empresa de hosting.
Para responder a tu primera pregunta, sacar el nombre de la empresa de hosting es algo relativamente "fácil", utiliza técnicas de footprinting, normalmente los proveedores de dominios y hosting, pertenecen al No tienes permitido ver los links. Registrarse o Entrar a mi cuenta(dónde los proveedores de hosting reservan sus IP's públicas, ya que ellos no tienen una o dos IP's, si no rangos completos de red X.Y.Z.V/22 por ejemplo), para reservar este rango de IP's hay que dar los datos de la empresa y con un simple Who is e interpretando correctamente la información que devuelve tienes estos datos en la red, así averiguarías el proveedor de hosting.
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
2. como organiza el hosting el alojamiento de todas las paginas
En el mercado del hosting existe ya software para facilitar a los proveedores el brindar estos servicios, como podría ser CPanel, para la gestión de usuarios, hosting, dominios, vps y todo lo que conlleva ser proveedor de hosting. Después también tienes WHMcs que gestiona toda la parte de facturación, esta herramienta te automatiza este paso.
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
3. si yo fuera el el administrador de una pagina de ellas, la empresa me da algun tipo de entrada para que ingrese a la pagina y puede hacer las actualizaciones o publicaciones, como lo hace?
Normalmente las empresas de hosting, en caso de por ejemplo que gestionen sus recursos con CPanel, el administrador de turno tendría acceso mediante una URL generada por CPanel para acceder a su espacio contratado.

Espero haber resuelto tus dudas. Un saludo.
#12
Dudas y pedidos generales / Re:Consulta sobre MITMF!
Febrero 19, 2018, 09:03:22 AM
Hola binar1io, veo que en la ejecución del comando, te lanza un error en el arranque del servidor web, posiblemente tengas algún servicio ocupando ese puerto(80), localízalo y páralo. Después prueba a lanzar otra vez el comando y vamos viendo que pasa, lo más importante es que cuando lances el comando no aparezca ningún error.
Ya nos vas comentando. Un saludo.
#13
Seguridad / Hacer más seguro MySQL
Febrero 13, 2018, 08:12:29 AM
Hola a tod@s hoy os traigo una pequeña recomenación donde vamos a ver como hacer nuestro servidor de MySQL más seguro, esto nos permitirá tener un control completo de nuestro servidor, ya que en estos tiempos existen muchísimos bots continuamente escaneando la red para atacar nuestros servicios.

Voy a dar por sentado que todos conocemos que es Mysql, pero para el que este un poco perdido voy a dejar un enlace a wikipedia con su descripción: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Bueno para comenzar, hablaremos de la directiva de configuración "bind-address", establecida esta directiva a un valor seguro se restringirían las conexiones solamente a "localhost", es decir en caso de que un cliente desease conectarse, al no generarse la conexión en la propia máquina esta se cerraría. Para que el servidor MySQL solo reciba conexiones en localhost se deberá dejar la política de la siguiente manera, Abrimos /etc/mysql/my.cnf y modificamos:

bind-address=127.0.0.1

La siguiente directiva es bastante importante ya que si el servidor MySQL que estamos gestionando trabaja con una aplicación web, un atacante podría aprovechar una inyección SQL y poder acceder o ejecutar la lectura de los ficheros de configuración de nuestro servidor a través de una shell de MySQL ejecutada con los permisos del usuario que inició el daemon de MySQL, para evitar la carga de ficheros y evitar una posible fuga de información desde el sistema de ficheros mediante SQLi, establecemos las siguientes directivas en el fichero de configuración "/etc/mysql/my.cnf":

[mysqld]

local-infile            = 0

secure-file-priv           = /dev/null

Otro de los pasos más importantes es la de renombrar el usuario root, no es una directiva de seguridad como tal, pero ya sabemos que hay muchos bots probando con fuerza bruta el acceso a nuestros servidores, no hay ningún sistema impenetrable pero siempre hay que ponérselo un poco más difícil al ciberdelincuente, esto se hará con la siguiente actualización de la base de datos "mysql" en la tabla "user":

update mysql.user set user="davidhs" where user="root";

flush privileges;

Otro control que deberíamos llevar dentro de nuestra servidor MySQL es consultar siempre que podamos los privilegios de los usuarios, es recomendable que tengamos varios usuarios con diferentes permisos para cada función, con la siguiente consulta podremos ver los usuarios y sus permisos, según los usuarios que encontremos pues degradaremos o elevaremos los privilegios de los usuarios que nos interese:

select distinct(grantee) from information_schema.user_privileges;

En caso de que solo queramos ver los permisos de un solo usuario se hará con la siguiente consulta:

show grants for 'root'@'localhost';

Otra herramienta y no menos importante es el script "mysql_secure_installation", el cual nos ayuda a eliminar usuario anónimos, establecer una contraseña al usuario administrador, eliminar las bases de datos de pruebas, habilitar o deshabilitar el acceso remoto del usuario administrador, etc. El cual se iniciaría de la siguiente manera:

sudo mysql_secure_installation

Espero que os guste esta pequeña recomendación de como hacer algo más seguro nuestro servidor de MySQL. Un saludo, Davidhs.
#14
Redes y antenas / Re:Guía Proxmox 5.1
Febrero 08, 2018, 11:47:35 AM
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Muy buena guia, completa y bien explicada.

Sigue así con los aportes !

Un saludo!

Gracias a la comunidad que siempre me ha ayudado, por eso siempre intento aportar mi pequeño granito de arena. =)
#15
Redes y antenas / Guía Proxmox 5.1
Febrero 08, 2018, 09:12:04 AM
Hola a todos amigos de Underc0de, hoy traigo una guía para desplegar un entorno de virtualización basado en Proxmox VE completamente funcional y para dejarlo en producción. En esta pequeña guía podrás instalar Proxmox 5.1-41, crear un cluster, montar unidades NFS, crear máquinas virtuales completamente optimizadas para su máximo rendimiento, habilitar alta disponibilidad de las máquinas virtuales, gestionar snapshots y las copias de seguridad de las máquinas virtuales.

Dejo aquí el enlace para la descarga del PDF: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Espero que os resulte de ayuda, un saludo, Davidhs.
#16
Hola Ari0n.

En mi opinión para realizar un ataque de phishing lo más real posible y que funcione fuera de internet (en tu caso), tienes la posibilidad de montar un vps, montar un servidor web (nginx, apache, etc), posteriormente asignarle a este servidor web un dominio lo más parecido al real y ahora con los certificados let's encrypt puedes sacarte un certificado de la chistera con magia, creas una web fake la cual sea lo más parecida a la real y el formulario de acceso que tenga guarde las credenciales en un fichero, esto se puede hacer fácilmente con php.

Todo este proceso es el que hace SET básicamente pero más simplificado, con esto aprendes a como funciona el ataque y aprendes a desplegar servicios, aparte de que te pelearas con configuraciones y no solo será darle a 2 botones.

Espero que te sirva esta opinión. Un saludo.
#17
Lo que yo haría sería revisar el código de la web, después miraría si el servidor y su software esta actualizado, después revisaría la configuración de los servicios, miraría todos los logs del sistema tanto de servicios como los generados por el mismo, y si después de todo esto das con la trama, perfecto, si no usa Rkhunter para cazar rootkits o algunas vulnerabilidades en general. Ya si le quieres meter más cañá, puedes usar OpenVas o Nessus para auditar el servidor en busca de posibles vulnerabilidades. Saludos.
#18
Hola B4r7, has probado entrando aquí? No tienes permitido ver los links. Registrarse o Entrar a mi cuenta no se si es esta la página que has visitado.
#19
Seguridad / Re:Instalación Suricata IDS y Mikrotik
Noviembre 01, 2017, 07:42:14 PM
Hola Codig0Bit.

A la primera pregunta de si se puede implementar Suricata con otras marcas de routers, se puede implementar perfectamente, solo tienes que averiguar como replicar el tráfico del router hacia este IDS.
Y en la segunda pregunta de si se puede implementar con wireshark, pues lo que he leído realizando búsquedas es que se puede implementar mediante un plugin, pero no te lo confirmo ya que la prueba no la he realizado, pero si te animas a probar, estaré encantado de que compartas tu experiencia.

Por otra parte no he mencionado que se generan logs y que estos se pueden revisar posteriormente, es normal que eches en falta un poco de la explicación de como se maneja o de las diferentes configuraciones que puede tener nuestro IDS, pero eso lo dejo para otro post.

Me alegra que te haya molado el tinglado jajajaj.

Saludos.
#20
Seguridad / Instalación Suricata IDS y Mikrotik
Octubre 31, 2017, 09:26:22 AM


Hola a todos comunidad de Underc0de, hoy os traigo un pequeño documento donde explico como instalar Suricata IDS sobre CentOS 7 y como analizar el tráfico de nuestro router Mikrotik con nuestro IDS. Espero que os ayude.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Saludos, Davidhs.