Anonimizar herramientas Pentesting

Anonimizando con Proxychains - Tor - Privoxy

Buenos días, con este artículo me estreno en el blog, espero que guste y despeje alguna dudas. Voy a explicar lo siguiente de manera que se entienda fácilmente.

¿Que es un proxy?

Se puede decir que un proxy es un intermediario entre nosotros (USUARIO) y nuestro destino (INTERNET), para así al visitar alguna web no dejemos rastro de nosotros.

También se puede utilizar para evitar el filtrado de algunas webs o videos que están restringiendo el acceso por países.

PROXYCHAINS 
Nos permite crear cadenas de proxies, ocultando nuestra IP pública en las conexiones realizadas.

Tenemos que instalar conjuntamente TOR para hacer que pase nuestras conexiones através de la red TOR.

En la consola escribimos:
apt-get install tor

Aquí ya tengo instalado en su versión más reciente

apt-get install proxychains

Aquí ya tengo instalado en su versión más reciente

Ahora vamos a configurar Proxychains, vamos a la siguiente ruta donde está al archivo de configuración: 

/etc/proxychains.conf 

• Descomentamos la la línea "#dynamic_chain", que se nos queda así "dynamic_chain", para que use cambios de ip aleatoriamente.

• Añadimos al final de la lista "socks5 127.0.0.1 9050" 

(Aclaración: el puerto 9050 es el utilizado por tor)

Tal que nos queda así la configuración:

Ahora vamos a levantar el servicio tor y a comprobar que estamos anonimizando nuestra aplicación, en este caso usaremos el navegador iceweasel:

• /etc/init.d/ tor start (levantamos el servcio tor)
• /etc/init.d/ tor status (para comprobar que todo está bien)

proxychains iceweasel https://dnsleaktest.com

nos dice que estamos en Estados Unidos

aquí es donde estamos en realidad

Toda la cadena pasa através de la red tor y estamos anonimizando el navegador desde la consola, podemos seguir navegando a otras webs sin problema alguno, una vez cerremos el navegador dejaremos de estar anónimos.

En este ejemplo hemos usado iceweasel, pero podemos usar otras herramientas, nmap, sqlmap, ping, etc...

PRIVOXY

En la consola escribimos:

apt-get install privoxy

aceptamos con "S"

Ahora vamos a configurarlo:

nano /etc/privoxy/config

crearemos una copia del archivo por seguridad

A continuación añadiremos algunos parámetros necesarios:

• agregar la línea "listen-address 127.0.0.1:8118" (8118 es el puerto usado por privoxy).

• agregar la línea "forward-socks4a / 127.0.0.1:9050 ." (el . incluido) (9050 es el puerto usado por tor).

Para mejora del rendimiento:

• cambiar "keep-alive-timeout 300" ---> "keep-alive-timeout 600"

• cambiar "socket-timeout 300" ---> "socket-timeout 600"

Iniciamos el servicio privoxy: /etc/init.d/ privoxy start

como vemos se ha iniciado y comprobamos los servicios que tenemos levantados a la escucha y se puede observar tor, que es necesario para usarlo en consola.

ping www.google.com --proxy=127.0.0.1:8118 

hacemos ping a google saliendo a internet la petición através de privoxy en el puerto 8118.

Si queremos usar Firefox para navegar anonimamente, teclearemos en la barra de dirección "about config", nos saldrá un aviso de que tengamos cuidado con lo que vamos a cambiar, aceptamos y estramos en la configuración del navegador, localizamos donde dice "network.proxy.socks_remote_dns = TRUE" y acto seguido configuramos nuestra configuración de acceso en el navegador:

Ya podremos navegar a gusto.

No hay que olvidar que esto es meramente informativo y no con fines delictivos, aparte que como consejo también sería conveniente cambiar la mac.

Hasta la próxima y ser buenos.

Android y Tor: Navegación segura con Orbot y Orfox

Buenas noches hackers!! Últimamete en Fwhibbit estamos tocando mucho los temas relacionados con la red Tor: creación de servicios ocultos, la web profunda, conexión de troyanos a través de Tor... ¡y lo que nos queda! Siguiendo un poco el tema, y aprovechando que he estado últimamente tonteando mucho con ello, hoy vengo a introduciros la navegación anónima mediante Tor en Android.

Actualmente una gran parte de nuestra navegación por la red es realizada mediante nuestros terminales móviles. Aunque gran parte de ese tráfico no querremos camuflarlo (pasar nuestra conexión a Facebook por Tor pierde su sentido por razones obvias), hay ciertas operaciones que querremos pasar por la red anónima: comunicaciones privadas, divulgación anónima, acceso a cuentas con la que no queremos que se nos relacione...

Para ello, podemos utilizar las herramentas que nos proporciona el grupo Guardian Project: Orbot y Orfox.

 Orbot y Orfox - Navega de forma anónima y segura

Orbot

Orbot, el producto central de las apps que nos ofrecen, es nuestra puerta de entrada a la red Tor. Contiene todo lo necesario para abrir una conexión mediante proxy local a dicha red, que puede ser utilizada a través de cualquier aplicación que permita dirigir su tráfico a un proxy. Esto es, en esencia, el mismo proceso que en un PC convencional. Aunque si no utilizamos Tor más que para navegar, la siguiente app es todo lo que necesitamos para empezar.
Orfox, un navegador basado en Firefox para Android, utilizará la conexión creada por Orbot para permitirnos navegar por la red a través de Tor. Tiene varias opciones preconfiguradas para hacer la navegación lo más anónima y segura posible, como el uso forzado de HTTPS y el bloqueo de tecnologías como Java o Flash, incluso Javascript a ciertos niveles.

Orfox

Ambas apps pueden instalarse de forma rápida desde la Play Store de Android, y pueden ser utilizadas sin tener nuestro dispositivo rooteado. Una vez instaladas, solamente tenemos que activar Orbot y empezar a navegar desde Orfox.

Activación de Orbot y navegación con Orfox

Para ello, abriremos la interfaz de Orbot y veremos que no puede ser más simple. Con una pulsación larga sobre la cebolla, el servicio comienza a activarse, y te avisará cuando establezca la conexión. La misma pulsación larga ahora serviría para desactivar el servicio. Además, deslizar con el dedo por la cebolla hacia un lado servirá para actualizar nuestra identidad en la red Tor, adquiriendo una nueva ruta de conexión.

Vista general de Orbot

Una vez activada nuestra conexión a la red Tor, podemos abrir el explorador Orfox para navegar de forma segura. A todas luces, la impresión es de ser un Firefox para Android apenas modificado, así que no nos costará adaptarnos. La recomendación es acceder a la página de comprobación de que estamos utilizando la red Tor para navegar, solo por asegurarnos. Si todo es correcto, se nos mostrará la confirmacíon de que estamos protegidos.

Confirmacíon de nuestra conexión a Tor

Desde el mismo navegador podremos acceder a cualquier sitio de la Internet pública y además cualquier sitio de la red profunda y los servicios ocultos. Sin embargo, hay que tener en cuenta que algunos ISPs bloquean el acceso a Tor y en ocasiones no podremos conectaros desde/hacia algunos lugares. Una posible opción es el uso de puentes, una opción contemplada en Orbot.

Extra: Protege todos tus servicios

Orbot puede proteger todos nuestros servicios mediante lo que llama Transparent Proxying. En resumidas cuentas, se asegura de que todas las conexiones de red del teléfono se realizan pasando por Orbot, que las redirige a la red Tor. De esta forma podemo acceder a la red mediante cualquier otra aplicación (¡¡ten cuidado con lo que usas!!).

La "desventaja" de esto es que para usarlo debemos proporcionar a Orbot acceso de root; es decir, debemos tener nuestro teléfono rooteado. Es una buena ocasión para hacerlo, ¡aprovecha!

Para activar el Transparent Proxying debemos activar las tres primeras opciones en su apartado dentro del menú de configuración de Orbot, dando con ello permisos de root a la aplicación, activando el proxy transparente y forzando todas las aplicaciones a pasar por Orfox (podemos seleccionar apps concretas en vez de esto).

Activando el Transparent Proxying

La última opción activa este proxy cuando utilizamos el móvil como punto de acceso mediante la zona wifi o la conexión USB; puede resultar interesante, pero no ahondaremos mucho en ello.


Bueno chicos, hasta aquí la entrada de hoy. Espero que os haya gustado y os sirva para aprender mucho acerca de la protección de nuestras comunicaciones. Si tenéis cualquier duda, por supuesto, dejad un comentario o contactad con nosotros.

Un saludo hackers!!
hartek

Conectar troyanos a través de Tor

Buenas hackers!!

En la entrada de hoy explicaré la PoC realizada por Belane. El fin principal es la conexión inversa de un backdoor de forma anonima a traves de Tor, en otras palabras, una shell reversa anonimizada. 

La PoC esta realizada en un entorno virtualizado compuesto de maquinas virtuales con el fin educativo de un proceso real.

Parte 1: 

La primera parte del video se muestra como se realiza la conexión ssh al servidor remoto donde esta alojado las imagenes de docker usando nc.

 

"Docker (Wikipedia): Docker es un proyecto de código abierto que automatiza el despliegue de aplicaciones dentro de contenedores de software, proporcionando una capa adicional de abstracción y automatización de Virtualización a nivel de sistema operativo en Linux. Docker utiliza características de aislamiento de recursos del kernel de Linux, tales como cgroups y espacios de nombres (namespaces) para permitir que "contenedores" independientes se ejecuten dentro de una sola instancia de Linux, evitando la sobrecarga de iniciar y mantener máquinas virtuales."

Estas imagenes son como maquinas virtuales que se despliegan como contenedores. Primero se usa tor-base, que es una imagen con el servicio tor instalado. Y después donkeykong que es una imagen preparada para metasploit.

Se aprecia como lista las imagenes de docker y luego lanza la imagen con:

 docker run -it --name tor-service tor-base /bin/bash

Al ejecutarse se muestra una nueva shell de la maquina y se configura Tor.

Se ejecuta desde el shell, tor & en background para poder seguir usando esa shell. Visualiza el nombre de dominio proporcionado por Tor (hostname) y ejecuta el nc para estar a la escucha de las posibles conexiones inversas. 

Desde la maquina virtual de la victima (Windows 7) se instala Tor, socat y nc. 

Inicia Tor en background con start /b tor y ejecuta socat.exe. Socat es como una navaja suiza de conexiones, permite redirigir de un punto a otro, hacer tuberias. En este caso se usa para crear un proxy y resolver el dominio .onion. Crea una tuberia desde el puerto 5555 en localhost al 3333 en el dominio que nos da tor .onion, usando el proxy en 9050 (tor).

Y finalmente la victima ejecuta el nc para establecer la conexión con el atacante, devolviendonos una shell.

Parte2: 

 

En esta parte se utilizara un HID attack para infectar un ordenador con el backdoor conectandose a Tor, de esta forma el panel de control del atacante no esta expuesto, en este caso Metasploit.

De igual modo se usa docker para listar la imagenes disponibles en el servidor remoto, llamada donkeykong y se lanza la imagen:

docker run -it donkeykong /bin/bash

Al ejecutarse se muestra una shell y se configura Tor.

Se ejecuta desde el shell, tor & en background para poder seguir usando esa shell. Una vez realizado este procedimiento abrimos la consola de Metasploit con msfconsole y usamos el exploit/multi/handler con el payload windows/meterpreter/reverse_tcp a la escucha de conexiones.
Se abre otra terminal para generar el backdoor malicioso con msfvenom
En el escritorio de la maquina Kali Linux, tenemos el backdoor y el archivo loader.ps1 que será el usado en el HID attack.
En este caso el atacante usa la maquina Kali Linux como servidor propio donde aloja el backdoor y el loader.ps1 mediante la creación de un webserver en el directorio actual.
Ahora conectando nuestro telefono movil NetHunter a la maquina (Windows 8.1) realiza el HID attack simulando que es un teclado y ejecutando una serie de ordenes, abriendo un powershell y descargando el fichero loader.ps1 infectando a la maquina.
De este modo obtendremos una sesión meterpreter.

Una vez explicado el procedimiento de la PoC, os muestro el video demostrativo:

P.D El autor y desarrollador de esta PoC, no se hace responsable del mal uso de este tutorial. Hacerlo siempre en un entorno virtualizado con VMware, simulando este proceso real.

Un saludo, naivenom

Escaneando like a Sir

Prueba de concepto realizada por @ShargonXL (Twitter)

La POC de hoy es bastante sencillita, y trata de como pasar un Acunetix, en sitios que lo bloquean, o de forma que no se detecte (al menos de forma fácil)

Acunetix envia las siguientes cabeceras de forma automática, ya que ha de hacerse de manera profesional y avisando al cliente.

Versión 8.0 (con la que se realiza esta POC)

 

En la versión 9 envía unas mas como Acunetix-Product , creo recordar.

Según este post, envía también estas, no ha sido mi caso, pero lo suyo es que revisaras primero que cabeceras envía tu versión para poder continuar, y hacerlo a sabiendas, ya que pueden variar.

 Para protegerse, BlueTeam, tan sólo bastaría estas lineas de código php.

 

Estarías protegido de un ataque (escaneo ejem ejem) normal por acunetix. 

O no? Pues bien, vamos a ponerlo algo mas complicado al BlueTeam

Pues muy sencillo ahora vamos al Acunetix.

y le establecemos un proxy local al puerto que más rabia te de (y no esté en uso).

 

Abrimos el Fiddler (http://www.telerik.com/fiddler) (i love fiddler) y lo configuramos de forma que escuche peticiones a ese puerto.

 

 

Ahora todas las peticiones del Acunetix pasan por nuestro proxy. Le establecemos filtros de borrado de cabeceras.

 

Y ya puedes escanear, que ¡no será visto! (al menos no enviara dichas cabeceras) :)

 

Y eso es todo amigos!! 

P.D El autor no se hace responsable del mal uso que se le de a esta PoC, usen siempre estos conocimientos de forma ética y con consentimiento del cliente.