Ni ceros ni unos ...

En un artículo anterior expliqué como instalar de forma sencilla un sistema de detección de intrusos (IDS), más concretamente Snort con la interfaz Snorby . Hoy voy a mostrar la potencia de este tipo de aplicaciones a través de un ejemplo que me encontré en mi trabajo como consultor. Para situarnos un poco imaginemos una PYME sin ningún responsable del área de sistemas, como muchas en España. Cuando llegas tardas un tiempo en conocer el funcionamiento de todo el sistema (ya que no hay una persona a quien consultarle las dudas) y un IDS ayuda mucho en esta tarea detectando anomalías en el tráfico de red de la organización. En la primera imagen (vista del último año) se observa que al principio se detectaron mas de 70 incidencias clasificadas como graves y muchísimas leves, las medias las provoqué yo probando con el nmap. Ésto me llevó a investigar un poco más y resultó que el antivirus no escaneaba (o no lo hacía bien del todo) un tipo de ficheros específico de una aplicació...

En el artículo anterior configuré el entorno necesario para montar el punto de acceso ficticio y dar acceso a las víctimas a Internet, ahora paso a la segunda parte de este ataque que es lanzar el Karmetasploit. Antes de nada, como necesita una base de datos, la forma más sencilla de configurarlo(según sus cradores): gem install activerecord sqlite3-ruby. Ahora arranco Metasploit con el script karma.rc : iptables -t nat -A PREROUTING -i at0 -j REDIRECT & msfconsole -r karma.rc >> captureKarma.txt - El primero es necesario porque en la página del proyecto aconsejan forzar que siempre atienda el punto de acceso las peticiones DNS y el cliente no use las que tiene cacheadas. - Al arrancar msfconsole hay un error al principio porque dice que el plugin de db_sqlite3 está deprecated , hay que eliminar la primera línea de karma.rc ya que ahora (con Backtrack y Metasploit actualizados) lo carga directamente al iniciar el framework, de hecho vemos que crea la ba...

Hace algún tiempo a través de PenTestIt descubrí algo que me sorprendió mucho a primera vista: Karmetasploit , en la introducción del proyecto nos cuentan un poco de historia: "La versión original de KARMA dependía de una versión modificada del controlador Madwifi para tarjetas inalámbricas Atheros . Si bien este enfoque funciona, se limita a los tipos de tarjetas de red que se pueden utilizar y requiere un cierto esfuerzo para mantener el parche con la última versión del código fuente de madwifi. Para remediar esto, los desarrolladores de Aircrack-NG (específicamente Hirte) desarrolló punto de acceso en modo usuario que funciona con cualquier tarjeta inalámbrica que soporte el modo monitor y la inyección. Esta herramienta se llama 'airbase' y fue incluida en la versión 1.0rc1 de Aircrack-ng. No sólo resuelve los límites de hardware de utilizar un controlador madwifi parcheado, también hace mucho más fácil modificar e integrar nuevas funciones. " Después de...