Volatility Framework

El Volatility Framework es una colección completamente abierta de herramientas, implementadas en Python bajo la Licencia Pública General de GNU, versión 2. Los analistas utilizan Volatility para la extracción de artefactos digitales a partir de muestras de memoria volátil (RAM). Dado que Volatility es de código abierto y gratuito, puedes descargar el framework y comenzar a realizar análisis avanzados sin pagar un solo centavo. Además, cuando se trata de entender cómo funciona tu herramienta internamente, nada se interpone entre tú y el código fuente: puedes explorarlo y aprender todo lo que desees.

¿Por qué Volatility?

Antes de comenzar a usar Volatility, debes entender algunas de sus características únicas. Como se mencionó anteriormente, Volatility no es la única aplicación de análisis forense de memoria, pero fue diseñada específicamente para ser diferente. Estas son algunas de las razones por las que rápidamente se convirtió en nuestra herramienta preferida:

• Un único y coherente framework. Volatility analiza la memoria de sistemas Windows, Linux, Mac de 32 y 64 bits (y Android de 32 bits). Su diseño modular le permite admitir fácilmente nuevos sistemas operativos y arquitecturas a medida que se lanzan.

• Es de código abierto bajo la licencia GPLv2. Esto significa que puedes leer el código fuente, aprender de él y extenderlo. Al aprender cómo funciona Volatility, te convertirás en un analista más eficaz.

• Está escrito en Python. Python es un lenguaje consolidado en el ámbito forense y de ingeniería inversa, con una gran cantidad de bibliotecas que pueden integrarse fácilmente en Volatility.

• Funciona en sistemas de análisis Windows, Linux o Mac. Volatility se ejecuta en cualquier sistema donde se pueda instalar Python, lo cual representa un cambio refrescante frente a otras herramientas de análisis de memoria que solo funcionan en Windows.

• Interfaz de programación de aplicaciones (API) extensible y programable. Volatility te brinda el poder de ir más allá e innovar continuamente. Por ejemplo, puedes usar Volatility para controlar un entorno de análisis de malware (sandbox), realizar introspección de máquinas virtuales (VM) o simplemente explorar memoria de kernel de forma automatizada.

• Conjunto de funciones inigualable. Sus capacidades se han incorporado al framework gracias a la ingeniería inversa y a investigaciones especializadas. Volatility ofrece funcionalidades que incluso el depurador de kernel de Microsoft no soporta.

• Cobertura integral de formatos de archivo. Volatility puede analizar volcados de memoria (raw dumps), volcados por fallos (crash dumps), archivos de hibernación y varios otros formatos (ver Capítulo 4). Incluso puedes convertir entre estos formatos en ambas direcciones.

• Algoritmos rápidos y eficientes. Esto te permite analizar volcados de memoria RAM de sistemas grandes en una fracción del tiempo que toman otras herramientas, y sin consumir memoria innecesaria.

• Comunidad seria y poderosa. Volatility reúne colaboradores de empresas comerciales, agencias de aplicación de la ley e instituciones académicas de todo el mundo. También es utilizado y ampliado por grandes organizaciones como Google, laboratorios nacionales del Departamento de Defensa de EE.UU., DC3 y múltiples empresas de antivirus y seguridad.

• Enfocado en análisis forense, respuesta a incidentes y malware. Aunque Volatility y Windbg comparten algunas funciones, fueron diseñados con propósitos diferentes. Hay varios aspectos que son muy importantes para los analistas forenses pero no tanto para quien depura un controlador de kernel (como el almacenamiento no asignado, artefactos indirectos, etc.).

Read More

Herramientas antiespias para Windows

 

Cuando instalas Windows 10 o Windows 11, el sistema te realiza un montón de preguntas relacionadas con la recolección de datos, que debes permitir o denegar. Sin embargo, el sistema operativo sigue espiándote de todas formas y de múltiples maneras. La buena noticia es que es posible limpiar el equipo de todos estos registros indeseados, que toman nota de tus hábitos de uso: qué aplicaciones empleas, qué webs visitas, qué archivos abres... O&O Shutup está especializado en modiicar el Registro de Windows para cerrar estas ‘puertas’ del sistema.

Consigue el programa, que es gratuito, desde la web 

----- www.oo-software.com/en/shutup10 -----

Instálalo luego. Su uso es relativamente sencillo, ya que simplemente debes leer las diferentes opciones disponibles y desactivar aquellas que quieras desechar. En la columna Recomendado, hallarás disponibles las recomendaciones del programa sobre qué ajuste es el mejor en la mayoría de los casos.

O&O ShutUp10++ significa que usted tiene control total sobre qué funciones de confort en Windows 10 y Windows 11 desea usar, y usted decide cuándo la transferencia de sus datos va demasiado lejos. Usando una interfaz muy simple, usted decide cómo Windows 10 y Windows 11 deben respetar su privacidad al decidir qué funciones no deseadas deben desactivarse.

O&O ShutUp10++ es completamente gratuito y no es necesario instalarlo; simplemente se puede ejecutar directa e inmediatamente en su PC. ¡Y no instalará ni descargará posteriormente software no deseado o innecesario, como hacen muchos otros programas hoy en día!

Read More

¡Bloquea los rastreadores ocultos en tus aplicaciones!

 

¿Cansado de que tu celular te esté espiando? La mayoria de las aplicaciones que utilizamos para navegar en internet suelen contener rastreadores que vigilan nuestra actividad para utilizarlo en sus campañas de marketing, de esta manera, es como se dan cuenta de nuestras preferencias y nos suelen mostrar minutos después anuncios publicitarios para adquerir productos o servicios que concuerdan con nuestras busquedas en sus propias plataformas.

Empresas como Google y Facebook rastrean información personal a través de web de terceros pero también mediante sus aplicaciones móviles. Los rastreadoeres de aplicaciones pueden tener acceso a información muy sencible de nuestros equipos, desde ubicaciones hasta tus correos electrónicos y número de serie. Incluso aunque no cuenten en sus dispositivos con sus app pueden seguir obteniendo esa información mediante rastreadores que agregan en aplicaciones de terceros haciendo que casi todas las aplicaciones que descargamos en nuestros móviles estén recolectando sigilosamente nuestra información.

Para proteger nuestra intimita de los rastreadores en las aplicaciones, DuckDuckGo desarrolló una herramienta llamada "App tracking Protecion" la cual bloquea muchos rastreadores en otras aplicaciones de su dispositivo, al mismo tiempo que bloquea rastreadores que encontramos en sitios web en los que se navegan. Esta funcionalidad se incluye en su navegador privado "DuckDuckGo" el cual está disponible para Android y Windows.

Consulta más sobre App Tracking Protection en:

https://duckduckgo.com/duckduckgo-help-pages/p-app-tracking-protection/what-is-app-tracking-protection/

Descarga el navegador DuckDuckGo:

https://duckduckgo.com/

Read More

ESCANEO CON NMAP

 

El escaneo es la técnica de búsqueda de las vulnerabilidades de la aplicación objetivo o blanco. Nmap es el escáner más comúnmente utilizado para revisar puertos abiertos y detectar los cortafuegos en anfitriones en vivo. La sintaxis de nmap es la siguiente:

nmap [tipo de escaneo] [opciones] {especifícaciones del objetivo}

A continuación se muestra un ejercicio para facilitar la identificación el escaneo de red con NMAP.

En este ejercicio de laboratorio practicamos con las herramientas de escaneo.

Este labotario de ejemplo está realizado mediante Kali Linux y se hacen las pruebas hacia un host local. Te recomendamos que, si quieres aplicar estas técnicas lo hagas en un entorno controlado, puedes virtualizar un sistema operativo como Kali Linux para instalar NMAP y también virtualizar una máquina Windows o Linux para poner en práctica estos comandos.

*****Advertencia*****

Las pruebas de escaneo mencionadas en este artículo se realizan exclusivamente en un entorno virtualizado y controlado. En ningún momento se utilizan estas técnicas para atacar o comprometer objetivos externos. El propósito de este contenido es únicamente educativo, buscando divulgar conocimientos sobre el uso de herramientas como Nmap para el análisis y la seguridad de redes.

Escaneo 1: Hacer ping al anfitrión [-sn]:

root@kali:~# nmap –sn 192.168.88.1

Escaneo 2: Escanear para encontrar los puertos abiertos:

root@kali:~# nmap 192.168.88.1

Escaneo 3: Escanear para encontrar los servicios [-sV]. El proceso puede durar algunos minutos:

root@kali:~# nmap –sV 192.168.88.1

Escaneo 4: Escanear para encontrar el sistema operativo (OS) [-O]:

root@kali:~# nmap –O 192.168.0.111

Escaneo 5: Escanear puertos UDP

root@kali:~# nmap -sU 192.168.88.1

Escaneo 6: Escanear descubrimiento de redes IPv6

root@kali:~# nmap -6 192.168.88.1

Read More

IP Flooding

 

El ataque de IP Flooding se basa en una inundación masiva de la red mediante datagramas IP.

Este ataque se realiza habitualmente en redes locales o en conexiones con un gran ancho de banda. Consiste en la generación de tráfico basura con el objetivo de conseguir la degradación del servicio. De esta forma, se resume el ancho de banda disponible, ralentizando las comunicaciones existentes de toda la red.

Podemos pensar en la utilización de este ataque principalmente en redes locales cuyo control de acceso al medio es nulo y cualquier máquina puede ponerse a enviar y recibir paquetes sin que se establezca ningún tipo de limitación en el ancho de banda que consume.

El trafico generado en este tipo de ataque puede ser: 

Aleatorio. Cuando la dirección de origen o destino del paquete IP es ficticia o falsa. Este tipo de ataque es el mas básico y simplemente busca degradar el servicio de comunicación del segmento de red al que esta conectado el ordenador responsable del ataque.

Definido o dirigido. Cuando la dirección de origen, destino, o incluso ambas, es la de la máquina que recibe el ataque. El objetivo de este ataque es doble, ya que además de dejar fuera de servicio la red donde el atacante genera los datagramas IP, también tratará de colapsar al equipo de destino, sea reduciendo el ancho de banda disponible, o bien saturando su servicio ante una gran cantidad de peticiones que el servidor será incapaz de procesar.

Los datagramas IP utilizados podrían corresponder a:

UDP. Con el objetivo de generar peticiones sin conexion a ninguno de los puertos  disponibles. Según la implementación de la pila TCP/IP de las máquinas involucradas, las peticiones masivas a puertos especıficos UDP pueden llegar a causar el colapso del sistema.

ICMP. Generando mensajes de error o de control de flujo.

TCP. Para generar peticiones de conexión con el objetivo de saturar los recursos de red de la máquina atacada.

Una variante del IP Flooding tradicional consiste en la utilización de la dirección de difusión de la red como dirección de destino de los datagramas IP. De esta forma, el encaminador de la red se vera obligado a enviar el paquete a todos los ordenadores de la misma, consumiendo ancho de banda y degradando el rendimiento del servicio.

También existen otras variantes en las que se envían peticiones ICMP de tipo echo-request a varios ordenadores suplantando la dirección IP de origen, sustituida por la dirección de difusión ( broadcast) de la red que se quiere atacar. De esta forma, todas las respuestas individuales se ven amplificadas y propagadas a todos los ordenadores conectados a la red. 

La siguiente figura representa este tipo de escenario:

Read More

¿Problemas con correo electrónico? - Mail BlackList

 

Uno de los problemas de ciberseguridad más populares en la actualidad se lleva a cabo mediante correo electrónico, representando este el principal medio de infección para contraer cualquier tipo de archivo malicioso que comprometa la seguridad de nuestras empresas u hogares.

Técnicas de Ingeniería Social como el Phishing hacen que, miles de personas caigan en engaños mediante correo electrónico suplantando la identifidad de alguna empresa o persona con el único objetivo de infectar los ordenares de los usuarios con algún virus que, en el peor de los escenarios llegan a comprometer nuestra información al estarla extrayendo desde nuestro ordenador sin nuestra autorización y sin darnos cuenta de ello. Desencadenando así, problemas para las organizaciones como: perdida de información, sabotaje, espionaje y/o extorciones que pueden resultar en una gran perdida económica para nuestros negocios.

La realidad es que, nadie sin importar quienes sean, no están realmente a salvo. Incluso.. aunque no estés siendo victima de algún ciberespionaje puedes estar formando parte de una gran red de ciberataques que pueden llegar a comprometer la integridad de alguien o de los servicios en línea de alguien más.

Tal es el caso del spamware que, sin tener conocimiento de ello, tu equipo de cómputo puede estar formando parte de una BOTNET controlada por ciberdelincuentes para atacar a los diferentes servidores de correo electrónico saturandolos de correos basura (spam).

“Spam” significa el envío masivo de mensajes no solicitados, generalmente con fines publicitarios, fraudulentos o maliciosos. Estos mensajes suelen inundar las bandejas de entrada de los usuarios y pueden contener ofertas de productos, servicios, estafas, contenido engañoso o enlaces maliciosos.

De este modo, si se llegara a detectar tráfico malicioso como spam mediante los servidores de correo electrónico nuestra dirección IP pública de nuestro servicio de internet puede ser enlistado en una BLACKLIST derivando problemas en el envio y recepción de correo electrónico en general, provocando problemas graves en nuestros canales de comunicación con nuestros clientes.

Las PBL (Public BlackList) son organizaciones internacionales sin fines de lucro que rastrean el spam y las amenazas cibernéticas relacionadas, como phishing, malware y botnets, proporcionan inteligencia sobre amenazas altamente precisa y procesable en tiempo real a las principales redes, corporaciones y proveedores de seguridad de Internet, y trabajan con agencias policiales para identificar y buscar fuentes de spam y malware en todo el mundo.

Las listas de bloqueo de reputación y amenazas en tiempo real de las PBL protegen actualmente más de 3 mil millones de buzones de correo de usuarios y son responsables de bloquear la gran mayoría del spam y el malware enviados a Internet. Sus datos son utilizados hoy en día por la mayoría de los ISP de Internet, proveedores de servicios de correo electrónico, corporaciones, universidades, gobiernos y redes militares.

El tiempo estimado de los bloqueos en las PBL suele depender de cada una de las organizaciones, esto puede ser desde semanas hasta meses desde la última fecha en que se detectó el spam desde determinada dirección IP. Algunas dependencias, suelen catalogar el nivel de riesgo de sus amenazas y pueden incluir sistemas automáticos de desbloqueos, únicamente se necesita saber cuál o cuales PBL han realizado el bloqueo, acceder a su página de internet y llenar un formulario para posteriormente desbloquear la dirección IP. Cabe mencionar que, si el nivel de riesgo es catalogado como crítico, la PBL no permitirá que sus usuarios puedan desbloquear sus direcciones IP, para ello, será necesario abrir un ticket para que alguno de sus agentes lleve el caso hasta su posible solución y que, manualmente uno de ellos (si lo concidera propio) realice el desbloqueo.

¿Cómo puedo determinar si estoy en BLACKLIST?

Puedes realizar un escaneo a tu dirección IP en cualquiera de los siguientes BLACKLIST-CHECK que verifican en su base de datos de PBLs si te encuentras enlistado en alguna de ellas.

https://mxtoolbox.com/blacklists.aspx

https://blacklistalert.org/

Basta únicamente con ingresar la dirección IP en cuestión y en esperar a que se termine el escaneo, en el cual se obtendrá toda la información necesaria para saber si se está en blacklist y que dependencia en base a que razones realizó el bloqueo sobre dicha dirección IP.

Read More

Exploración de puertos

 

La exploracion de puertos es una técnica ampliamente utilizada para identificar los servicios que ofrecen los sistemas de destino. Suele ser la ultima de las actividades previas a la realizacion de un ataque.

La exploracion de puertos puede permitir el reconocimiento de los servicios ofrecidos por cada uno de los equipos encontrados en la red escogida. Con esta información, el atacante podría realizar posteriormente una búsqueda de exploits que le permitierá un ataque de intrusión en el sistema analizado.

Exploracion de puertos TCP

Aparte de ser de utilidad para obtener la huella identificativa de un sistema conectado a la red, la exploración de puertos TCP se puede utilizar para descubrir si dicho sistema ofrece o no un determinado servicio.

Existe un grande número de técnicas para realizar esta exploración de puertos TCP. Entre las mas conocidas, podemos destacar las siguientes:

• TCP connect scan. Mediante el establecimiento de una conexión TCP completa (completando los tres pasos del establecimiento de la conexión) la exploración puede ir analizando todos los puertos posibles. Si la conexión se realiza correctamente, se anotará el puerto como abierto (realizando una suposición de su servicio asociado según el número de puerto).
• TCP SYN scan. Enviando únicamente paquetes de inicio de conexión (SYN) por cada uno de los puertos que se quieren analizar se puede determinar si estos están abiertos o no. Recibir como respuesta un paquete RST-ACK significa que no existe ningún servicio que escuche por este puerto.
• TCP FIN scan. Al enviar un paquete FIN a un puerto, deberíamos recibir un paquete de reset (RST) sí dicho puerto está cerrado. Esta técnica se aplica principalmente sobre implementaciones de pilas TCP/IP de sistemas Unix.
• TCP Xmas Tree scan. Esta técnica es muy similar a la anterior, y también se obtiene como resultado un paquete de reset si el puerto está cerrado. En este caso se envían paquetes FIN, URG y PUSH.
• TCP Null scan. En el caso de poner a cero todos los indicadores de la cabecera TCP, la exploración debería recibir como resultado un paquete de reset en los puertos no activos.

La mayor parte de aplicaciones para realizar exploración de puertos TCP suelen ser ruidosas, es decir, no intentan esconder lo que se está analizando la red. Esto suele ser ası porque se presume que o bien nadie está revisando la actividad de exploración o que, utilizando un equipo comprometido, nadie podrá descubrir el equipo desde el que realmente se realiza la exploración de puertos.

Exploración de puertos UDP

Mediante la exploración de puertos UDP es posible determinar si un sistema está o no disponible, ası como encontrar los servicios asociados a los puertos UDP que encontramos abiertos.

Para realizar esta exploración se envían datagramas UDP sin ninguna información al campo de datos. En el caso de que el puerto este cerrado, se recibirá un mensaje ICMP de puerto no alcanzable (port unreachable). Si el puerto está abierto, no se recibirá ninguna respuesta.

Dado que UDP es un protocolo no orientado a conexión, la fiabilidad de este método depende de numerosos factores (mas todavía en internet), como son la utilización de la red y sus recursos, la carga existente, la existencia de filtros de paquetes en sistemas finales o en sistemas cortafuegos, etc.

Asimismo, y a diferencia de las exploraciones TCP, se trata de un proceso mucho más lento, puesto que la recepción de los paquetes enviados se consigue mediante el vencimiento de temporizadores (timeouts).

En el caso de detectar un elevado número de puertos UDP abiertos, el atacante podría concluir que existe un sistema cortafuegos entre su equipo y el objetivo. Para confirmar esta última posibilidad, se puede enviar un datagrama UDP al puerto cero. Esto tendría que generar una respuesta ICMP de puerto no alcanzable. No recibir esta respuesta significa que existe un dispositivo que filtra el tráfico.

Read More

Explorando el Mundo del Hacking Ético: Herramientas Esenciales para Pentesting

 

En este artículo, exploraremos algunas de las herramientas básicas utilizadas en el campo del hacking ético y el pentesting, destacando su importancia para identificar y reforzar las vulnerabilidades de seguridad.

El hacking ético, o pentesting, traspasa los límites de la seguridad informática para identificar y corregir vulnerabilidades antes de que puedan ser explotadas maliciosamente. Aquí destacamos algunas herramientas clave que los profesionales de la seguridad utilizan en este apasionante campo.

1. Metasploit:

Descripción: Una herramienta integral para pruebas de penetración y desarrollo de exploits. Metasploit facilita la identificación de vulnerabilidades y la realización de ataques controlados.

Uso: Exploración, explotación y posterior explotación.

2. Wireshark:

Descripción: Un analizador de protocolos de red que permite examinar el tráfico en tiempo real. Ideal para detectar posibles brechas de seguridad y entender las comunicaciones en la red.

Uso: Análisis de tráfico de red.

3. Nmap:

Descripción: una herramienta de escaneo de red que ayuda a descubrir dispositivos y servicios en su red. Proporciona información valiosa sobre la topología de la red.

Uso: descubrimiento y evaluación de redes.

4. Burp Suite:

Descripción: Una suite completa para realizar pruebas de seguridad para aplicaciones web. Esto le permite identificar vulnerabilidades como inyecciones SQL y secuencias de comandos entre sitios (XSS).

Uso: Análisis de seguridad en aplicaciones web.

5. Aircrack-ng:

Descripción: Herramienta de auditoría de seguridad inalámbrica utilizada para analizar y romper claves de cifrado WEP y WPA.

Uso: Evaluación de la seguridad de redes inalámbricas.

6. OWASP Zap:

Descripción: Zap es una herramienta de seguridad de aplicaciones web de código abierto. Ayuda a encontrar vulnerabilidades de seguridad durante el desarrollo y las pruebas.

Uso: pruebas de seguridad en aplicaciones web.

7. John the Ripper:

Descripción: una herramienta de prueba de contraseñas que realiza ataques de fuerza bruta y ataques de diccionario para recuperar contraseñas.

Uso: Auditoría de contraseñas.

El hacking ético es esencial para fortalecer la ciberseguridad. Estas herramientas son valiosos aliados para los profesionales que desean identificar y corregir vulnerabilidades antes de que los ciberdelincuentes las exploten. Sin embargo, es importante recordar que estas herramientas deben usarse de manera ética y con los permisos adecuados para garantizar la integridad y legalidad de las pruebas de seguridad.

Read More

Rootkit y botnet.

Rootkit es una pieza de software instalada y escondida en la computadora de un usuario sin que éste sepa de su existencia. El rootkit puede estar incluido en un paquete de software o haber sido instalado en forma personal por el atacante, aprovechando los puntos vulnerables de una computadora, sobre todo si el usuario “baja” información muy voluminosa de Internet. Un rootkit esconde actividades maliciosas, ya que una vez que está instalado, el atacante puede tener acceso a la información de la computadora, monitorear las actividades del propietario de la computadora, modificar programas y otras actividades sin que nadie lo note.

Además de los rootkit, los atacantes también hacen uso de botnet, un programa que se ejecuta de modo automático en la computadora, el cual tiene su origen en la palabra bot, que proviene de robot. Los botnets se refieren a computadoras que se controlan por una o más fuentes externas.

Durante el ataque con los botnet, el atacante toma el control de una computadora infectándola con un virus u otro intruso maligno, lo que le permite tener acceso a la computadora. Una vez que el atacante ha tomado el control de una computadora, ésta trabaja de manera normal, con lo cual al atacante se le facilitan ciertas operaciones, como la distribución de correos spam, infectar con virus a otras computadoras o realizar ataques de negación de servicio.

Estos ataques son muy difíciles de detectar, tanto el rootkit como el botnet, debido a que los atacantes suelen esconderse muy bien, por lo que pueden pasar inadvertidos para el usuario de la computadora, a menos de que éste busque ciertas actividades; incluso, un buen antivirus no puede detectar, y menos eliminar, estos programas malignos, los cuales son utilizados, entre otras cosas, para modificar información personal del propietario de la computadora, con el fin de dañarlo seriamente, sobre todo en sus cuentas bancarias. Si se considera que un atacante puede tomar el control de una computadora, también puede controlar muchas otras, lo que le permite cometer los mismos delitos (robar y alterar información) con muchos usuarios e incluso vigilar sus actividades en línea.

La mejor forma de evitar convertirse en víctima de alguno de estos tipos de ataque es tener buenos hábitos en lo que se refiere a seguridad informática, ya sea que se trate de una computadora personal o una red; en el caso específico de redes de cómputo, por política de las empresas (para mayor detalle véase capítulo 4, La seguridad física y lógica en redes), corresponde al administrador de la red mantener dichos hábitos. La instalación de un firewall previene esos riesgos de infección, bloqueando el tránsito de información maliciosa antes de que entre a la computadora y limitando la cantidad de información que se envía. También es importante utilizar buenos antivirus y mantenerlos actualizados, pues hay que recordar que los atacantes también actualizan sus virus para facilitar sus ataques.

Por desgracia, es muy difícil que un usuario detecte que ha sido atacado por un rootkit; y aunque logre detectarlo, es muy difícil que consiga eliminar dicha infección, pues una vez que el atacante ha logrado modificar algunos archivos en la computadora del usuario, la eliminación de estos archivos no basta para acabar con el problema y, de hecho, todas las versiones anteriores de ese archivo serán sospechosas de haber sufrido un ataque similar. Una alternativa para solucionar el problema es formatear toda la computadora y reinstalar desde el sistema operativo con un software nuevo. Es tan difícil eliminar una infección de este tipo, que en ocasiones el rootkit se aloja en niveles muy profundos que no se eliminan formateando ni reinstalando el sistema operativo.

Read More

Inyección SQL

 

El método de inyección SQL permite que un código intruso entre a una aplicación en el nivel de validación de las entradas, para realizar operaciones sobre una base de datos. El lenguaje estructurado para consulta (SQL, por sus siglas en inglés; Structured Query Language) es un lenguaje basado en el desarrollo de programas que especifican o declaran un conjunto de condiciones, proposiciones, afirmaciones, restricciones, ecuaciones o transformaciones que describen el problema y presentan la solución. Permite el manejo del álgebra y el cálculo relacional, lo cual admite consultar las bases de datos para recuperar información de manera sencilla y hacer cambios en la información que poseen las bases de datos.

El origen de la vulnerabilidad radica en que no se verifican de manera correcta las variables utilizadas en un programa que contiene o genera un código SQL, esto es un error que sucede en cualquier lenguaje de programación que está incorporado a otro lenguaje, y por eso es posible incrustar un código intruso dentro del código SQL programado, con lo cual se altera el funcionamiento normal del programa, pues éste ya contiene un código adicional en la base de datos.

Cuando alguien, por lo común un hacker o un cracker, logra “agregar” ese código extra a la base de datos, lo hace para dañar o espiar la información de la base de datos, lo cual se logra más fácilmente cuando el programa se desarrolló con descuido o con ignorancia del problema, exponiendo a un riesgo la seguridad del sistema; por ejemplo, si al programar hay un simple olvido de anotar comillas en el programa, esto puede ser suficiente para volver vulnerable a ese programa, ya que una inyección de código SQL se aprovecha de la sintaxis en este lenguaje para introducir comandos de manera ilícita que permitan leer o modificar la base de datos, comprometiendo el contenido de la consulta original. Una vez que el intruso ha logrado entrar mediante la inyección o adición de este código, éste puede modificar valores en la base de datos en forma arbitraria, instalar cualquier tipo de malware, tener privilegios extras con el uso de las vulnerabilidades del sistema operativo o atacar usuarios de páginas web con inyecciones de código HTML o scripts.

Cuando se ejecuta un programa vulnerable es posible “agregar o inyectar” el nuevo código. Si esta acción se ejecuta en un sitio web, tiene lugar en el servidor huésped. Una inyección de código puede resultar en la pérdida o la corrupción de datos, falta de responsabilidad en acciones o denegación de acceso. Una inyección es capaz, incluso, de tomar control total de un nodo.

Pero el sistema se vuelve más vulnerable cuando en un programa se arma una sentencia SQL en forma descuidada en el intervalo de tiempo en que un programa de la computadora se ejecuta en un sistema operativo, que inicia al poner en la memoria principal el programa, por lo que el sistema operativo empieza a ejecutar sus instrucciones, y concluye al enviar al sistema operativo la indicación de terminación. Otro momento de vulnerabilidad se produce durante la fase de desarrollo, cuando el programador indica directamente la sentencia que se debe ejecutar, pero lo hace de manera desprotegida. Cuando el programador va a hacer una consulta en la base de datos, y hace uso de los parámetros a ingresar por parte del usuario, es dentro de esos parámetros en que se puede “agregar o inyectar” un código adicional malintencionado. En el tiempo en que el programador hace la consulta, el código maligno, que ya forma parte de la base de datos, también se ejecuta y pone en práctica cualquiera de los comandos que se han señalado (insert, update, delete y select).

La inyección de encabezado HTTP es un área relativamente nueva para los ataques basados en la Web, que se produce cuando los encabezados del protocolo de transferencia de hipertexto (HTTP) se generan dinámicamente en función de la entrada del usuario. La inyección de cabeceras en las respuestas HTTP puede permitir la división de respuestas HTTP en la falsificación de solicitudes en un sitio de cruce de información (CSRF, por sus siglas en inglés; Cross Site Request Forgery) y los ataques de redireccionamiento maliciosos a través de la cabecera de ubicación del HTTP.

Existe otra forma de ataque mediante la inyección de comandos, por lo que es importante que los administradores de red conozcan que cualquier dato es factible de ser modificado, ya sea que vaya hacia un buscador o salga de éste, por lo que se recomienda que cada dato de entrada sea validado en el mismo servidor y que el usuario no pueda controlarlo. Esto significa que el administrador de la red deberá configurar el servidor para que haga una autenticación en el directorio de cada archivo que éste contenga.

Un atacante con cierta experiencia logra modificar los parámetros accountnumber y debitamount, con el fin de obtener un beneficio monetario de esta acción, ya que en general estos parámetros están asociados a cuentas y operaciones bancarias. Asimismo, también pueden ser modificados los pará- metros de atributos que tienen datos únicos y que caracterizan el comportamiento de la página que se envía. En la actualidad, hay aplicaciones web para compartir contenidos que sólo permiten que el creador del contenido pueda modificar la información, ya que ésta verifica que el usuario que solicita acceso es el verdadero autor del contenido. Pero, si es un atacante quien solicita el acceso y le es negado, al modificar el parámetro mode readwrite, él podría obtener el permiso para entrar al contenido. Cualquier mecanismo de validación que no sea suficientemente robusto, siempre será una debilidad del sistema que permita ataques maliciosos.

Read More

Ataque en la capa de red

 

Aunque el ataque de ARP Poisoning es potencialmente el más funcional para la realización de la técnica de hombre el medio, no es el único existente. Aun siendo menos functional, existe también la posibilidad de hacer uso de la técnica de lCMP Redirect. Este ataque presenta un problema fundamental y es que no es factible realizarlo en una red con Switch, se encuentra limitado a una red con concentradores. Pero sin en una red con concentradores la infonnación ya llega al atacante ¿para qué vale? Pues en este caso para manipular el tráfico que envfa la víctima.

El ataque de ICMP Redirect se basa en el envio a un equipo de la red de un mensaje de redirección ICMP, haciendo creer que es la mejor ruta hacia Internet. Todas las conexiones serán enviadas al atacante, el cual las enviará al Gatcway. El ataque es de tipo M1TM Half Dúplex, es decir solo hacia un sentido: victima hacia el router. El router enviará las respuestas directamente hacia el cliente. Es importante tener en cuenta que no deberla modificarse el tamaño del paquete, puesto que entonces se producirla un fallo en la secuencia TCP al no poder ser actualizado en ambos sentidos. Los paquetes podrán ser alterados pero deberá mantenerse el tamaño.

Para que este ataque sea factible hay que facilitar como datos la dirección MAC y la lP del router real. Este ataque como se ha dicho implica que no puede ser utilizado en una red con dispositivos de conmutación.

En la capa de red se dan también otros tipos de ataques donde los mlis significativos corresponden con las técnicas de Spooflng de protocolos de enrutamiento. La capacidad para alterar las rutas de encaminamiento permitirla a un atacante reconducir el tráfico a su antojo a la vez que podría analizar el tráfico circulante. La idea fundamental es ganar la confianza y declarar ser la mejor opción o bien inyectar nuevas rutas en los dispositivos de enrutamiento. La mayor parte de protocolos de enrutamiento dinámicos determinan que la mejor forma de llegar a un punto viene determinada por un proceso de prelación. El mismo se consigue estableciendo la menor ruta factible como la más óptima en una métrica de rutas. Si se alteran las rutas o se introducen nuevas, podría suponer una reconfiguración del escenario muy significativo.

Aunque no es muy habitual que los protocolos de enrutamiento dinámicos sean utilizados en las redes internas de una organización, a veces por la complejidad de las mismas, se hace necesario emplearlos. En otras ocasiones se encuentran activos en los dispositivos de enrutamiento pero no configurados. Las condiciones de enrutamiento entre VLAN, también necesitan de la configuración de rutas y a veces son mantenidos automáticamente por los dispositivos de Capa 2/3, sin la intervención del administrador de red. Estas situaciones podrían ser aprovechadas por un atacante para mediatizar el tráfico que circula en la organización

Read More

Soluciones de seguridad

 

Network Access Control (NAC):

Verificar el estado de los equipos que se conectan a la red y corregir los desvios antes de que pueda utlizar los servicios de esta.

Wireless LAN Controller:

Administra los Access Point distribuidos y los muestra como si fueran uno solo de gran cobertura. Centraliza las políticas y la autenticación.

Firewall de aplicación:

Permite filtrar según contenido, y no solamente por números de puertos. Puede integrarse con un IPS para bloquear ataques.

Intrusion Prevention System (IPS):

Analiza el tráfico en búsqueda de amenazas. Posee firmas para vulnerabilidades conocidas y aplica reglas generales sobre el tráfico.

Read More

Introducción a la Criptografía (Primera Parte)

 

El término criptografía proviene del griego y significa código secreto; ésta consiste en ocultar y mantener en secreto la información cifrándola. Llamamos encriptación a esta codificación.

La encriptación garantiza que el texto normal (sin formato), cuando lo envías, sea ilegible para el destinatario (ya sea intencionado o no). Llamamos texto cifrado a la versión encriptada del texto sin formato.Sólo la persona a quien va dirigido el texto sabe cómo hacer que éste sea legible otra vez. A esto último, es decir, a hacerlo legible nuevamente, se le llama descifrado. En lugar de utilizar los términos cifrado y descifrado, también utilizamos la antonimia codificación y decodificación.

El cifrado, en su forma más simple, puede ser un acuerdo de antemano sobre las palabras codificadas. El código puede ser una palabra simple o un algoritmo; también se le llama clave.

Existen dos tipos de criptografía:

Criptografía simétrica: El remitente y el destinatario acuerdan qué clave secreta se utiliza para el cifrado y el descifrado. Debido a que el emisor y el receptor deben compartir la misma clave, es posible que ésta sea interceptada por los hackers durante la comunicación.

Criptografía asimétrica: Utiliza claves públicas y secretas. Los cifrados con la clave pública sólo se pueden descifrar con la contraseña secreta. Aquí es donde el emisor y el receptor se comparten sus claves públicas, pero no las secretas. Por ejemplo, el remitente encripta un texto con la clave pública del destinatario. El texto cifrado ahora sólo se puede descifrar con la clave secreta del destinatario. Es importante considerar que las claves secretas nunca se comparten.

Read More

¡Bloquear Publicada, Malware y Páginas para adulto en tu Red desde la capa DNS!

 

Seguramente en navegación día a día a través de tu red, sufres con los problemas más comunes que rodean al internet en todo momento, tus dispositivos se contagian de Virus Informáticos provenientes de páginas de navegación no segura o de alguna publicidad dañina, así mismo, puedo asegurar que la publicidad al navegar te persigue sin cansancio en todo momento en la mayoría de las páginas que visitas. Si no cuentas con un software antivirus que te proteja de todos estos problemas del internet de ahora, puedes optar por usar DNS públicos seguros de proveedores como: Cloudflare, Norton o AdGuard.

Estos servidores DNS tiene la particularidad de bloquear todo este tipo de apenas y permitirte una navegación más segura para ti y los usuarios de tu red.

¿Cómo funciona?

• Imaginemos que has conectado tus dispositivos a alguno de estos DNS públicos. Ahora tu servicio DNS está en funcionamiento.
• Cada vez que escribas el nombre de un sitio web, tu dispositivo pedirá a ese DNS la dirección IP correspondiente.
• Si la dirección del dominio pertenece a un sitio web publicitario, de seguimiento, malicioso o de phishing, el DNS bloqueará su acceso, protegiéndole así de ataques maliciosos o de violaciones de la privacidad.
• ¡Y ya está listo! Estos DNS te ayudarán a controlar tu experiencia en línea y ver lo que deseas ver sin exponerte a anuncios, seguimientos o amenazas maliciosas.

¿Cuáles son estos servidores DNS?

CloudFlare

Solo bloqueo de malware:

• 1.1.1.2
• 1.0.0.2

Bloqueo conjunto de malware y contenido para adultos:

• 1.1.1.3
• 1.0.0.3

AdGuard

Anuncios y rastreadores:

• 94.140.14.14
• 94.140.15.15

Anuncios, rastreadores y contenido para adultos :

• 94.140.14.15
• 94.140.15.16

NORTON

• Seguridad (virus, sitios de phishing y sitios fraudulentos): 199.85.126.10
• Seguridad + Pornografía: 199.85.126.20
• Seguridad + Pornografía + Otros: 199.85.126.30

Puedes utilizar los DNS asignándolos manualmente en cada uno de tus dispositivos que quieras mantener protegidos o asignarlos en tu Módem para que los asigne automáticamente a todos los usuarios que se conecten a la red.

Por recomendación, agrega como DNS primario uno de estos DNS seguros y como DNS secundario un servidor público de respaldo, puede ser Google (8.8.8.8,8.8.4.4), esto para crear redundancia en la resolución de dominios por si el DNS principal llegara a fallar.

Read More