Como fue el HITBSecConf2007 - Malaysia

Este vídeo colgado en youtube hace unas 2 semanas muestra el ambiente del ultimo "HITBSecConf2007 - Malaysia", en estas conferencias conferencias de seguridad existen actividades de CTF (Capture The Flag) y Lockpicking, ambas actividades muy relacionadas con el tema de la seguridad de la informacion.
Ojala muy pronto podamos tener este tipo de actividades masivas en Sudamerica, desearia conocer de los lectores las existentes en estos paises.

Ayuda memoria para web Pen Testers

Dentro del proceso de descubrimiento inicial de un Pen Test sobre Web, lo que principalmente buscamos conocer es:

• Logística del sitio (información relacionada con la red e infraestructura del sitio)

• Sistema operativo del objetivo
  

• Puertos en los que el objetivo esta a la escucha (puertos abiertos)
  

• Identificacion del servidor Web
  

• Identificacion de la aplicación (solo si es posible, podría ser un aplicativo desarrollado internamente)

• Información de los recursos del sitio

• Información de los servicios Web
  

  1. Crear una base de datos del conocimiento, esto para saber como proceder en fases posteriores. Cuanto mas profundo el conocimiento del objetivo el Pen Test tendrá una mayor tendencia al éxito
     

Es en esta fase (Crear una base de datos del conocimiento) que es importante poder conocer las respuestas del objetivo en relación a nuestras solicitudes, para esto el servidor se comunica con nosotros a través de mensajes de error o éxito.
Ahora identificar y conocer esa cantidad importante de mensajes del servidor que pueden generar nuestras pruebas en un servidor web, creo que podrían resumirse "en una primera instancia" a lo que se muestra a continuación, así con esta información podríamos modificar o continuar con el curso del PenTest.

• 1XX Indican mensajes del tipo información solamente.

• 2XX Indican de algún tipo éxito.
  

• 3XX Redirige la solicitud hacia otro recuso.

• 4XX Indican un error del lado del cliente.

• 5XX Indican un error del lado del servidor.

Este resumen nos ayudara mas fácilmente a conocer y comunicarnos con nuestro objetivo en esta fase de reconocimiento.

Herramienta para deteccion de equipos Zombie, muy util para redes corporativas

PineApp ha publicado una herramienta gratuita para la detección de equipos zombie, mediante esta herramienta se puede conocer al momento, si existen en la red corporativa que administramos, equipos comprometidos, estos pueden estar enviando de manera oculta miles de mensajes de correo spam infectados a otras redes sin nuestra autorización y conocimiento.

En la imagen siguiente se muestra un reporte de ejemplo de esta aplicación.



Para que uno pueda hacer uso de esta aplicación (Zombie Detection System) simplemente tiene que ir a http://www.rbltest.com y colocar la(s) dirección(es) publicas que queremos analizar.

Muchas veces nos preguntamos en que se va nuestro maravilloso ancho de banda, y nuestro corto presupuesto nos impide contar con equipos que nos ayuden a identificar, clasificar y limitar el tipo de tráfico que genera nuestra red corporativa, por lo que herramientas como esta nos pueden ayudar de alguna forma a identificar este tipo de trafico que tanto daño hace, y lo mejor de todo una herramienta gratuita.

Passwords de Myspace secuestrados y publicados

Todo parece ser una venganza por acciones llevadas a cabo por Myspace en contra de un grupo de hackers, Myspace al enterarse de algunas operaciones hechas por este grupo de hackers esta intentando cerrar algunos canales de IRC, como venganza el grupo de hackers libero alrededor de 20000 contraseñas de usuarios de Myspace, se indica que el archivo liberado en varias partes y publicados en sitios de almacenamiento como Mediafire, Wikiupload, Files-upload, Upload2, MyFreeFile y otros, contiene archivos en HTML con links de acceso directo a las cuentas de los usuarios afectados.

Personalmente no tengo conocimientos de las operaciones de estos hackers y si alguien tiene información al respecto le agradecería me informase para poder hacer conocer los puntos de vista de ambos lados en esta historia.

El conocimiento en seguridad de TI tiene que ser publico

Tratare con este blog publicar noticias de seguridad de la información, comentarles algo de mi experiencia en seguridad de la información, y sobre todo ayudar a que el conocimiento en seguridad de la información sea y este publicada para conocimiento publico.