Reading time: < 1 minute
…carallada?¿?¿
juerga, cachondeo
Pues si, un gallego que vam coneixer a les reunions de seguretat de la
campus.
POzi, despues de una intensa reunio, vam arribar a la zona dels
ordenadors i va vindre aquest gallego i ens va dir aixo. En principi vam dir
que si… Seria una experiencia positiva, pos no se, pero lo que segur que
sabien es que seria una experiencia…
Reading time: < 1 minute
Mala sort, ens hem passat el dia configurant serveis pel concurs de
seguretat i aquesta nit hem tingut una mala noticia. Resulta q nomes hem
d’implementar uns 8 o 9 serveis.
Bàsicament a part del q posa al resum no ha passat res més
avui, ha estat un dia poc mogut. Volia anar a la conferència de
telefonia IP per linux però ha coicidit amb el forum de seguretat.
Així doncs na de na.
Tb hem decidit el benja, pof i jo q montarem un dns secundari a lleida.net
així ja no tindrem problemes de DNS amb maestratnet.net.
Reading time: 1 – 2 minutes
Avui només he dormit 7h i es nota, tinc soneta tan pc s’acusa el
cansament a la vista.
El pof, el benja i jo ens hem passat el dia configurant serveis a la
màquina pel concurs de seguretat la veritat es q encara en voldriem
posar uns quants més però tic petat i no en tinc ganes hauria de
posar el servidor de realaudio i suport wml al apache. Pero fa mandra.
Basicament ens em passat el dia fent això per tant molt divertit no ha
estat, això si entretingut. Ara d’aquí 1h o així anirem de
festa a la discoteca no sé q. Q tenim entrada gratix o això diuen
tot i q no sé si ens deixaran entrar amb la pinta q portem.
Bé això ha estat tot ara me’n vaig a mirar el squid q el pof m’ha
dit q es llarg de configurar i tb seria lo seu posar-lo.
Reading time: 1 – 2 minutes
Aqui tenim un mini howto de com ejecutar el nmap.
#=====================================
-s –> Especificar el tipo de escaneo
-sF : Escaneo por FIN (windows no responde por culpa de una mala implementacion
del protocolo tcp)
-sS : Escaneo por SYN
Estos dos no se logean en el SYSLOG porque no envias un ACK y el demonio no se
activa.
-sT : Escaneo por ACK
-sU : Escaneo puertos UDP, este es muy lento.
-O –> Identificacion de host por fingerprint. Para
averiguar el SO del Host.
-P0 –> Para que no compruebe mediante un ping si la
maquina esta online. O sea no envia un ping para comprobar que la maquina este
online.
-v –> verbose
-d–> debug
-F –> Solo escanea “servicios estandars” en lugar de
escanearse todos los 65523 puertos.
-f –> Envia el escaneo en paquetes fragmentados, con lo
cual es mas dificil detectarlo. Cuidado los windows se pueden quedar
colgados.
-Dhost1,host2,host3,… –> DECOYS. Utilizamos ips de otros
servers para ocultarnos. Lo que estamos haciendo es modificar la SOURCE ADRESS
de la cabecera TCP de los paquetes.
Ejemplo:
nmap -sS -O -P0 -v -d -F ip_host_a_escanear
Reading time: 2 – 2 minutes
Conferències:
– Seguretat en les TI
– Sistema de fitxers Hersier http://devlinux.com/projects/reiserfs/
Forums:
– Forum de seguretat
Les conferencies de seguretat ha estat molt interessant, he aconseguit unes
transparencies molt guapes les hauria de pujar al directori de
documentació.
Això planteja un error d’organització de documentació al
portal. Tema a estudiar.
Sobre el tema de seguretat hi ha uns conceptes a retenir:
– Autenticidad de certificación: fa els certificats.
– Autenticidad de registro: solicita els certificats, es dediquen a demanar les
dades per fer els registres i a entregar els certificats un cops fets.
– Repositorio de certificados: on hi ha les bases de dades de
certificats.
– Certificados revocados: gestió q es fa quan es perd un
certificat.
– Certificación cruzada: quan varies agencies de certificació
firmen un acord per acceptar els certificats l’una de l’altre.
– Recuperación de claves: problemàtica de quan es perd una clau.
Per evitar això s’usen tècniques com la de CLAU DOBLE,
així s’aconsegueix recuperar la clau. Per mitjà del q se’n diu la
clau mestre.
La conferencia del sistema de fitxers no m’he empanat de res ja q el tio no
s’explicava organitzadament i la traducció era patetica. Així
doncs queda pendent mirar la web http://devlinux.com/projects/reiserfs/ ja q el
projecte malgrat estar en fase inicial té pinta de ser
interessant.
Al forum de seguretat encara no hi he anat ja q es celebra d’aquí dues
hores aprox.
Tb m’he inscrit al concurs de seguretat q s’ha proposat per part del banc
UNO-E, participarem amb 4 maquines el pof, inqui i jo.
Reading time: < 1 minute
Primera marxada de llum, tot continua guay, a destacar una conferencia de 2
a 4 de la matinada sobre seguretat.
La gent del banc Uno-e ens van donar una conferència sobre seguretat
molt interessant, varem tractar conceptes com el paradigme del ACIDAN:
Autenticidad
Confidencialidad
Integridad
Disponibilidad (DOS attack)
Auditoria
No repudio: no poder negar algo q s’ha fet pq tingui validesa judicial.
Avui repetimos… molt interessant.
Reading time: 2 – 4 minutes
Llistat de programes de seguretat interessants…
Nessus — http://www.nessus.org — Netcat —
http://www.l0pht.com/~weld/netcat/ (unofficial site) — Tcpdump —
http://www.tcpdump.org — Snort — http://www.snort.org — SAINT —
http://www.wwdsi.com/saint/ — Ethereal — http://ethereal.zing.org/ — Whisker
— http://www.wiretrip.net/rfp/p/doc.asp?id=21&iface=2 — Internet Security
Scanner — www.iss.net (COMMERCIAL) — Abacus Portsentry —
http://www.psionic.com/abacus/portsentry/ — DSniff —
http://naughty.monkey.org/~dugsong//dsniff/ — Tripwire —
http://www.tripwire.com/ (COMMERCIAL) — Cybercop Scanner —
http://www.pgp.com/asp_set/products/tns/ccscanner_intro.asp (COMMERCIAL) —
Hping2 — http://www.kyuzz.org/antirez/hping/ — SARA —
http://www-arc.com/sara/ — Sniffit —
http://reptile.rug.ac.be/~coder/sniffit/sniffit.html — SATAN —
http://www.fish.com/satan/ — IPFilter — http://coombs.anu.edu.au/ipfilter/ —
ipfwadm/ipchains/netfilter/iptables — http://netfilter.kernelnotes.org/ —
Firewalk — http://www.packetfactory.net/Projects/Firewalk/ — Strobe —
http://www.insecure.org/nmap/index.html#other (unofficial site) — L0pht Crack
— http://www.l0pht.com/l0phtcrack/ (COMMERCIAL) — John The Ripper —
http://www.openwall.com/john/ — Hunt — http://www.cri.cz/kra/index.html#HUNT
— OpenSSH — http://www.openssh.com/ — tcp wrappers —
ftp://ftp.porcupine.org/pub/security/index.html — SSH —
http://www.ssh.com/commerce/index.html (some versions COMMERCIAL) — Ntop —
http://www.ntop.org — traceroute/ping/telnet/NAT — http://www.linux.com (or
most other UNIX) — scanlogd — http://www.openwall.com/scanlogd/ — sam spade
— http://www.samspade.org/ — NFR — http://www.nfr.com (COMMERCIAL) —
logcheck — http://www.psionic.com/abacus/logcheck/ — Shadow —
ftp://piast.t19.ds.pwr.wroc.pl/pub/linux/shadow/shadow-current.tar.gz — Perl
— http://www.perl.org — Ngrep — http://www.packetfactory.net/Projects/ngrep/
— Cheops — http://www.marko.net/cheops/ — Vetescan —
http://www.self-evident.com/ — Retina —
http://www.eeye.com/html/Products/Retina.html — Libnet —
http://www.packetfactory.net/libnet/ — crack —
http://www.users.dircon.co.uk/~crypto/ — Cerberus Internet Scanner —
http://www.cerberus-infosec.co.uk/cis.shtml — Swatch —
http://www.stanford.edu/~atkins/swatch/ — OpenBSD — http://www.openbsd.org —
Nemesis — http://www.packetfactory.net/Projects/nemesis/ — LSOF —
ftp://vic.cc.purdue.edu/pub/tools/unix/lsof/ — Lids —
http://www.turbolinux.com.cn/lids/ — IPTraf —
http://cebu.mozcom.com/riker/iptraf/ — IPLog — http://ojnk.sourceforge.net/
— Fragrouter — http://www.anzen.com/research/nidsbench/ — Queso —
http://www.apostols.org/projectz/queso/ —
Reading time: 1 – 2 minutes
Pos ja tem aki, per fi!
Pos res com sempre, molta calor, molt estres, configurant la xarxa a tot deu
pq això del DHCP ningú sabiem el q era. Així doncs he
hagut d’investigar com rular. Però és una tonteria el tema
està en no posar res pq configuri la xarxa i tenir el eth0 down i
després executar el dhclient i ell s’ho fa tot està molt
bé no cal pensar massa pq ruli. Està bé, tp es tan guarro
com em pensava, això no vol dir pas q sigui millor q el modo IP fixa,
però per xarxes grans reconeixo q va molt millor.
Bé això és tot, q no tinc més ganes d’escriure
més q aquí tothom demana coses i no em concentro per
escriure.
Només dir q com sempre em divertiré més q no pas
aprendre.
Però bueno com sempre. GUAY!
Reading time: < 1 minute
És un shell script q he trobat a freshmeat q està curradissim
un nipon q tenia poca feina, s’ha dedicat a pillar les noticies de fotimer de
sites a internet. Ja podia jo currar-me un puto script en PHP pq ho fes :'(
Sort q l’script q jo he fet fa cosetes q l’altre no fa. Però el puto
nipon està currat.
Reading time: 6 – 10 minutes
CASL és un llenguatge de programació d’xploits i altres proves
de seguretat similiars…
Roses Labs En exclusiva para Canal #Networking IRC by Conde Vampiro
————————– ||Lenguajes de Seguridad||
————————– CASL —- CASL (Common Attack Script Language) fue
diseñado con el proposito de proporcionar una poderosa herramienta al
ejercito de los EE.UU. Logicamente este era un proyecto secreto, por lo que
practicamente no ahi ninguna informacion sobre CASL en Internet. Quiero dejar
claro que ni yo ni nadie de los Roses Labs a sido el creador de CASL, nosotros
simplemente hemos realizado una libreria para mejorar el lenguage en si,
aportando mas funciones y hemos realizado numerosos ejemplos en CASL. CASL
salio a la luz a principios de 1998, cuando los propios creadores de CASL,
sacaron su obra maestra, un documento de obligada lectura titulado: “Insertion,
Evasion, and Denial of Service: Eluding Network Intrusion Detection” por Thomas
H. Ptacek y Timothy N. Newsham. En este documento se uso CASL para realizar las
pruebas a los distintos NIDS (Network Intrusion Detection System) evaluados. EL
cual esta disponible en
http://www.nai.com/services/support/whitepapers/security/IDSpaper.pdf CASL es
un producto que pertenece a NAI (Network Associates, Inc. http://www.nai.com)
que forma parte de su scanner de vulnerabilidades CyberCop. Posiblemente la
mejor herramienta comercial que he conocido. Y sobre mediados de 1999 NAI
decidio crear un interprete CASL independiente para Linux sin necesidad de
tener que utilizar CyberCop. Lo bueno de usar este potente lenguaje, es que nos
permite crear programas en poco minutos para comprobar la (in)seguridad de una
red o sistema. Ya que CASL es un lenguaje de bajo nivel, en el sentido que solo
nos enfocamos en lo que nos interesa sin tener que preocuparnos por
abrir/cerrar socket, etc.. todo ello se encarga el interprete CASL. Nosotros
solo vamos a por lo que nos interesa 🙂 Esto es una enorme ventaja ya que
podemos escribir potentes programas en muy pocas lineas de codigo, ademas es un
lenguaje muy facil de aprender si contamos con ciertas nociones de C y TCP/IP.
CASL utiliza TCP/IP, UDP e ICMP. Podemos escribir programas para: – Testear un
NIDS. – Firewall virtual – Scanners – DoS (Denegacion de Servicio) – sniffers
NASL —- NASL (Nessus Attack Scripting Language) es un lenguaje que forma
parte del scanner de vulnerabilidades Nessus (http://www.nessus.org). Nessus es
un scanner en modo cliente/servidor. Es La herramienta por excelencia en el
mundo del software libre 🙂 Aunque tecnicamente no es un herramienta bien
diseñada aunque sirve bien sus propositos. Mediante el uso de NASL
podemos crear Tests de Seguridad (“Security Test codes”) en poco tiempo.
Podriamos decir que cuando aparece un nuevo fallo podemos en menos de una hora
crear un Test de Seguridad para detectar el fallo. Ahi que tener en cuenta que
solo podemos utilizar NASL mediante el uso de Nessus, y el servidor solo corre
actualmente en sistemas *nix, pero existen clientes tanto para Linux como
Windows. Entre todos los lenguajes que voy a comentar, NASL es el unico que
utiliza una plantilla que estamos obligados a cumplir si queremos escribir un
Test de Seguridad para Nessus. Este plantilla esta divida en dos partes: 1-
“(description)” Aqui pondriamos todo la informacion referente al fallo (Autor,
Problema, Solucion, Plataforma, tipo de fallo, , familia, Idioma, etc..) 2- En
esta parte ya seria el codigo para detectar el fallo en si. Nessus divide su
deteccion de fallos en familias, las cuales serian las siguientes: – Gain a
shell remotely – CGI abuses – Backdoors – Remote file access – Denial of
Service – Useless services – NIS – Finger abuses – Firewalls – Misc. – FTP –
Gain root remotely – SMTP problems – Port scanners – RPC Podemos ver que Nessus
tiene muchas familias. Si solamemnte utilizamos los Test de Seguridad que
incorpora Nessus, podemos detectar unos 280 fallos aproximadamente para
sistemas *nix o Windows. ELZA —- Elza es un lenguaje de script
diseñado para analizar servidores web, el cual nos puede ser de gran
ayuda. Esta escrito en Perl y su lenguaje por tanto es parecido al Perl.
Podemos utilizar Elza tanto en *nix o Windows. Podemos encontrar el interprete
Elza en http://phiphi.hypermart.net Mediante el uso de Elza podemos: – Examinar
el contenido de un website (Su codigo HTML). – Robar formularios (Hijacking). –
Utilizar Elza bajo SSL. – Lanzar Ataques de Fuerza bruta – Automatizar el
relleno de formularios. – Detectar CGIs. – Evaluar ataques NIDS bajo HTTP. –
Utilizar proxys – Rotar proxys o webs. Elza nos permite usar sus script
remotamente como si fueran CGI y/o desde una pagima web. Esto es una gran
ventaja ya que podemos poner nuestros scripts en una maquina y utilizarlos
desde otra 🙂 SuperCACLS ———- SuperCACLS es una interesante herramienta
para sistemas Windows NT, este lenguaje basado en script “.bat” (de toda la
vida 🙂 puede sernos muy util para comprobar la seguridad de un sistema NT o
una red NT. Este conjunto de utilidades es un producto comercial de Trusted
Systems Services, Inc. (http://www.trustedsystems.com). Tendremos control total
sobre las ACL (Access Control List). Esta diseñado para integrarse sin
problemas en NT y requiere poco aprendizaje por parte del experto en seguridad
🙂 Mediante el uso de SuperCACLS podemos: – Buscar/Borrar/Cambiar permisos en
ficheros o usuarios. – Buscar/Borrar registros – Tanto local como remotamente.
Como he dicho antes, SuperCACLS esta formado por un conjunto de programas, que
son los siguientes: – PRACL = Nos muestra el ACL en el mismo formato que el NT
ACL Manager. – REACL = Para modificar las ACL. (directorios, usuarios, grupos.)
– MODACL = Modifica, remueve o añade ACL individuales. – TAKEOWN = Para
tomar el control de un objeto, o a nosotros el control total 🙂 – RENAMEACL =
Cambia todas las ocurencias de un usuario o grupo de una ACL a otra. Como
podemos apreciar es una herramienta interesante si trabajamos en sistemas NT,
ya que podemos analizar todo el registro en busca de registros
“extraños”, usuarios sospechosos, etc. AdvancedChecker —————
AdvancedChecker es otro producto comercial de Trusted Systems Services, Inc.
(http://www.trustedsystems.com). Es un poderoso lenguaje de script que nos
permite comprobar la seguridad de nuestra red NT o de nuestros IDS inclusos. Es
una formidable herramienta tanto para expertos en seguridad o administradores
en entornos NT. Este herramienta ya requiere un cierto aprendizaje pero es
facil 🙂 Mediante AdvancedChecker podemos: – Comprobar/establecer las
politicas. – Revisar las ACL. – Revisar los Logs. – Modificar el Registro. –
Firmar los ficheros. – Enviar mail si detectamos anomalias. – Comprobrar los
passwords. Utilizando AdvancedChecker podremos comprobar la seguridad de
nuestro sistema NT, de forma rapida y eficaz. ——————— ||Discusion
General|| ——————— Cuando vamos a escribir codigo para probar una
teoria o simplemente para detectar un fallo, debemos tener cuidado con lo que
hacemos. Por ejemplo, hace unos meses salio un adv por parte de ADM sobre
varios fallos en el Bind, posiblemente uno de los fallos mas importante para
pasar al 2000. Si escribimos codigo para detectar este fallo, no podemos
escribir un programa que lo explote, ya que si lo hicieramos nuestro scanner no
podria continuar con el analisis, por ello los scanners de vulnerabilidades
simplemente detectan la version. No siempre nos interesa explotar el fallo 🙂
Si utilizamos CASL debemos tener precaucion, ya que podemos inflinjir
daños en la red que queremos analizar y no creo que a los
administradores les vaya a gustar, sobre todo si es un sistema de produccion.
Al escribir Tests de Seguridad para Nessus, debemos hacerlo en NASL
logicamente. Pero debemos prestar mucha atencion con lo que hacemos ya que el
interprete NASL no detecta si nos hemos equivocado al escribir el Test de
Seguridad. Esto puede ser frustante a la hora de buscar nuestro fallo y ademas
puede causar que el servidor Nessus pete!!! Existen mas lenguajes enfocados en
la seguridad, que pueden sernos de gran interes, los cuales son parte de
conocidas herramientas de seguridad. – Packet Shell, es un lenguaje parecido a
CASL para entornos solaris, disponible en http://playground.sun.com/ – N-Code
es un potente lenguaje del conocido NIDS NFR (http://www.nfr.net). NFR es uno
de los NIDS comerciales por excelencia, para entornos Linux. NFR es un potente
sniffer programable mediante el uso de N-Code. – POST Platform for Open
Security Testing (POST) es un lenguaje parecido a Perl para escribir Test de
Seguridad para el scanner de vulnerabilidades de la casa WebTrends, conocido
como WebTrends Security Analyzer, disponible en
http://www.webtrends.com/default.htm ———————— Conde Vampiro
Roses Labs / w00w00 http://www.roses-labs.com Advanced Security Research.