Menú

Mostrar Mensajes

Esta sección te permite ver todos los mensajes escritos por este usuario. Ten en cuenta que sólo puedes ver los mensajes escritos en zonas a las que tienes acceso en este momento.

Mostrar Mensajes Menú

Mensajes - HATI

Páginas 1 2 3 4 5 ... 22
#41
Hacking / Re:DxD [Herramienta Generadora de Diccionarios]
Mayo 04, 2018, 06:53:40 AM
Muuuy bueno rollth
#42
Dudas y pedidos generales / Re:DUDA: Como Subir una Shell Utilizando La Explotacion xss
Abril 18, 2018, 09:21:24 AM
Te dejo algunos links sobre el tema:

  • You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

  • You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

  • You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#43
Dudas y pedidos generales / Re:Virus en linux?
Abril 18, 2018, 09:17:23 AM
Existen virus desarrollados únicamente para Windows, otros multiplataforma, exclusivos para iOS, etc
#44
Hacking / Re:GiftCards loves BurpSuite
Abril 06, 2018, 05:49:54 PM
Para testear aplicaciones webs manualmente es lo mejor, @You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Echa un vistazo a este, es con Burp también:

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#45
Hacking / Re:GiftCards loves BurpSuite
Abril 05, 2018, 05:39:29 PM
Lo hice desde Windows con burpsuite, excepto para crear el diccionario, que use el comando seq, como indico en el post.
#46
Hacking / GiftCards loves BurpSuite
Abril 02, 2018, 05:35:04 PM



Actualmente, la mayoría de las empresas relacionadas con la venta al consumidor han tenido que transformarse completamente pata adaptar su modelo de negocio a internet, que también ha ofrecido la posibilidad de crear una tienda sin apenas recursos. Esto ha dado lugar a una gran competencia y a numerosas técnicas de captación de clientes, desde promociones hasta nuestras protagonistas las tarjetas regalo o "gift cards".

La intención del post es meramente educativa y no me hago responsable del uso que haga la gente de esta información.


Generalmente, las Gift Cards suelen estar asociadas a una cuenta de usuario, sobre todo las grandes marcas cómo Nike, Apple, Amazon, etc... tienen buenas medidas de protección.
Las páginas web que utilizan este tipo de tarjetas online, permiten comprobar el crédito del que disponen las mismas, y aquí es donde viene el problema. Si la validación de la tarjeta no se hace de forma segura, es posible hacer scraping y comprobar las tarjetas con crédito para su posterior uso.

Las tarjetas regalo se protegen con los siguientes medios en la mayoría de los casos:

  • Cuenta de usuario
  • Pin secundario
  • Captcha
  • Verificación vía e-mail

Ejemplo de Giftcard check


Como he mencionado antes, Internet ha abierto las puertas a cualquier persona que quiera abrir un negocio, lo que supone miles y miles de tiendas online. Alguien que usa un sistema de Gift Cards debe saber los riesgos que supone, pero gracias a los buscadores cómo google podemos hacer una pequeña búsqueda para conseguir lo que queremos:

Una tienda con Gift Cards, que no use cuentas, ni pin secundario, ni captcha, ni verificación mail para comprobar el saldo de la tarjeta, lo que en google se traduce como
Código: text
inurl:giftcardbalance OR inurl:giftcard + "check" -pin -captcha


Es solo un ejemplo, con un poco de imaginación se pueden obtener mejores resultados. Una vez llegados a este paso, podemos comprar un par de tarjetas para ver si siguen algún patron o podemos mejorar nuestro dork para obtener algo más de información:
Código: text
inurl:giftcard + "check" +  "balance"  -pin -captcha + "digits"


Resultados de la búsqueda


También podemos obtener información de las respuestas:

Respuesta de tienda online


Cuando tengamos una web que cumpla los requisitos y sepamos el patron de las tarjetas, debemos crear un diccionario para usarlo en Burpsuite. Podemos hacerlo con el comando You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Logino cualquier otro generador de wordlists.

Configuramos el navegador y obtenemos la petición que comprueba el crédito:

Petición

Y observando la rspuesta, se comprueba que la petición es correcta.



Tras esto lo mandaremos al intruder y configuramos el ataque con el diccionario que hemos creado anteriormente. Unicamente necesitamos introducir un payload, que será el número de tarjeta a comprobar para cada petición, y configurar la captura de datos:

Burpsuite Intruder

Burpsuite Sniper Attack


Como podeis ver, solo ha hecho falta realizar 9 peticiones para obtener una tarjeta de 50$. Sería posible realizar el ataque para comprobar todas las tarjetas con saldo existentes en la web, y en este caso serían muchas, ya que es un sistema intermediario que se dedica a los pagos seguros, ofreciendo el servicio de Gift Cards a muchas webs.

Esto deja en evidencia la seguridad de las compras online en la actualidad. Es conveniente siempre comprar en webs de confianza o con reputación, y no realizar pagos de manera insegura.


Un saludo, HATI  ;)
#47
Hacking / Re:WhatCMS | Detección y explotación de CMS
Marzo 20, 2018, 12:46:47 PM
@You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, como te dice @You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, debes ejecutarlo desde la consola como en el ejemplo del post:

Código: text

Usage: ./whatcms.sh example.com

-h          Display help message
-wh         Check hosting details
--tools     Display tools information
#48
Hacking / WhatCMS | Detección y explotación de CMS
Marzo 20, 2018, 09:08:08 AM
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Introducción

Cita de: WikipediaUn sistema de gestión de contenidos (CMS) es un programa informático que permite crear una estructura de soporte (framework) para la creación y administración de contenidos, principalmente en páginas web, por parte de los administradores, editores, participantes y demás usuarios.

Os dejo una infografía que os aclarará las cosas un poco:

Clic para aumentar


Aunque parezca mentira, se estima que al menos la mitad de las webs activas actualmente utilizan un CMS, y en el 30% de los casos es Wordpress. Este hecho hace que a la hora de realizar auditorías web, en numerosas ocasiones nos encontremos con plataformas de este tipo. Este hecho me motivó a crear la siguiente herramienta para facilitar la tarea de detectar el CMS de una web y buscar herramientas específicas para dicho CMS con el fin de testear su seguridad.


WhatCMS.sh

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login utiliza la API de You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login y puede detectar más de 330 tipos de CMS diferentes. Una vez detectado, te muestra herramientas de hacking para testearlo ofreciendote la posibilidad de descargarlas automáticamente.

Para usarlo es necesario adquirir la API key desde la siguiente url: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Descarga:

Repo: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Código: text

git clone https://github.com/HA71/WhatCMS.git



Uso:

Código: text


Usage:./whatcms.sh example.com <-wh (opcional)>

-h          Display help message
-wh         Check hosting details
--tools     Display tools information



Nota: la API tiene una restricción de 10 segundos.

Clic para aumentar


Por el momento contiene 44 herramientas de seguridad que abarcan más de 140 CMS. Estoy planeando añadir más, asique si quereis colaborar, podeis hacerlo por aquí dejando la tool que quereis añadir. Aseguraos de que no esté ya en la lista.

Herramientas incluidas:

  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   
  •    You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login   



Un saludo, HATI  ;)
#49
Dudas y pedidos generales / Re:Como Escaneo un sitio para encontrar SQLi
Marzo 12, 2018, 05:27:50 AM
Te recomiendo usar Burpsuite y buscar a mano parametros interesantes hasta encontrar uno que parezca vulnerable. Después puedes probar a inyectar manualmente o usar SQLmap.
#50
Hacking / Re:[BASICO] Editar cualquier web, ideal para imprimir o sacar capturas.
Marzo 09, 2018, 09:54:14 AM
No lo conocía, muy útil para el trabajo en algunas ocasiones.
#51
Dudas y pedidos generales / Re:App para saber contraseñas de Wi-Fi
Marzo 01, 2018, 10:22:30 AM
Hay apps que no requieren de root para realizar un ataque a través de WPS.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#52
Dudas y pedidos generales / Re:Problemas de conexión con proxy
Febrero 23, 2018, 12:12:27 PM
Debes configurar tu navegador para que el tráfico se dirija a través de Burpsuite.
#53
Dudas y pedidos generales / Re:Metodos para SQLI
Febrero 23, 2018, 12:11:03 PM
Para poder detectar vulnerabilidades manualmente que utilicen el método POST, debes usar un proxy y analizar las peticiones, puedes usar Burpsuite, por ejemplo.
#54
Dudas y pedidos generales / Re:Libros o documentación sobre Inteligencia Artificial?
Febrero 17, 2018, 03:09:32 PM
Hay una sección del foro dedicada a ese tema.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#55
Hacking / Re:CVE-2017-0199 - Análisis y Generación
Febrero 02, 2018, 05:53:37 AM
Está genial @You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login, en cuanto pueda lo pruebo.
#56
Off Topic / ASCII art. | Covierte cualquier imágen a formato ASCII
Enero 27, 2018, 08:53:12 AM

Si os gusta el ASCII art, como a mí, en este post aprenderéis ver todas vuestras imágenes en este formato, con la capacidad de editar algunos parámetros para que quede a nuestro gusto.


INSTALACIÓN:

En primer lugar hay que instalar los prerequisitos:

Código: bash
apt-get install netpbm


Y posteriormente la herramienta:

Código: bash
apt-get install aview



Bastante sencillo, ¿verdad? El uso tampoco tiene mucha complicación.


USO:

Uso básico:

Código: bash
asciiview <imégen>



Para usar los siguientes parámetros, hay que ejecutar el siguiente comando:

Código: bash
asciiview <imégen> -driver linux




  • Incrementar el contraste --- (.)
  • Disminuir el contraste      --- (,)
  • Incrementar el brillo:        --- (>)
  • Disminuir el brillo:             --- (<)
  • Aumentar el Zoom:            --- (Z), (+)
  • Disminuir el Zoom:             --- (z), (-)



Un saludo, HATI  ;)
#57
Dudas y pedidos generales / Tipo de hash
Enero 14, 2018, 04:44:05 PM
Eso mismo. ¿Alguien sabe qué tipo de hash es?

Código: text
1f1767b5696e79116b11ecc7f28827
a6fa1f788eb5c21f03516ec162b022
1e3e7c05f0651868110e46ee623738
23e23065fd93fdb4d71efda8fb3210


No es "Juniper NetScreen/SSG (ScreenOS)"

#58
Noticias Informáticas / Hackea su Tesla Model S para minar criptomonedas gratis
Diciembre 04, 2017, 05:14:56 AM


Imagen que colgó un usuario en la web EcoMotoring News:

Con el Bitcoin cotizando por encima de los 11.000 dólares y subiendo un 30% al mes, es lógico que todo el mundo se vuelva loco minando Bitcoins, que es el término que se usa para ejecutar el algoritmo matemático que te permite conseguir Bitcoins, y después puedes vender o especular con ellos. Al menos, hasta que estalle la burbuja...

Minar criptomonedas da beneficios hoy en día, si superas sus dos grandes barreras: el alto coste del hardware (no vale un simple ordenador), y el alto consumo eléctrico. El dueño de un flamante coche eléctrico Tesla Model S ha ideado una nuevo sistema para reducir gastos: usar la batería eléctrica del Tesla Model S para minar criptomonedas gratis. En Estados Unidos los dueños de coches Tesla pueden recargar la batería gratis en los Supercargadores esparcidos por todo el país.


Un equipo de minado está compuesto por chips especiales y un puñado de potentes tarjetas gráficas trabajando en paralelo, que cuestan miles de euros. Y como el que más potencia aporta más se lleva, o juegas fuerte o pierdes. Al coste del hardware hay que añadir el consumo que conlleva un equipo con docenas de tarjetas gráficas funcionando las 24 horas.

La web Motherboard ha estado analizando la foto para averiguar si es viable minar criptomonedas con un Tesla Model S.

En la imagen se pueden ver cuatro placas base conectadas a la batería, con capacidad para cuatro tarjetas gráficas cada una, asi que se podrían alimentar 16 tarjetas gráficas. No se ven chips ASIC que se usan para minar Bitcoins, así que lo más probable es que mine otra criptomoneda, Ethereum.

Dejando a un lado problemas que parecen irresolubles (16 GPUs calentarían en exceso el interior del coche y no funcionarían sin ventilación, transportar el hardware en el maletero para recargar todos los días en el Supercargador es inviable), supongamos que el sistema de minado funciona.

Según Motherboard, alimentar este minero de criptomonedas durante 24 horas equivale a conducir el Tesla Model S durante 278 kilómetros. Asumiendo que funciona durante las 24 horas del día y que la cotización del Ethereum no baja de los 450 dólares, se pueden ganar unos 675 dólares al mes, que es el coste de adquirir un Tesla Model S mediante leasing... pero a cambio de no conducirlo ni un minuto, pues tendría que minar criptomonedas las 24 horas del día.

¿Te compras un Tesla Model S para no usarlo y ganar 600 dólares al mes? Y eso sin considerar el problema de recargar la batería... No parece un sistema de minado demasiado práctico, aunque sí muy original.


Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#59
Underc0de / Re:Concurso mensual en Underc0de: gana premios por el valor de 15 dólares
Noviembre 30, 2017, 11:42:07 AM
Me apunto:

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
#60
Dudas y pedidos generales / Re:Buscador paneles de acceso
Noviembre 28, 2017, 01:20:39 PM
Google + GitHub = You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login
Páginas 1 2 3 4 5 ... 22