[Tutorial & How to] ¿Cómo hackear un sitio?

El siguiente será un tutorial extenso de cómo hackear un sitio web. Obviaré detalles básicos, por lo que usuarios con pocos conocimientos deberán buscar en algunos sitios algo de información relacionada con el tema.

Al ser un tutorial tan profundo, espero que todos los nuevos hackers (hackers, hackers noobs y sólo noobs) sean capaces de tumbar cualquier sitio en un tiempo corto de aprendizaje. Sin más preámbulo, comencemos.

Paso I. Seleccionar el sitio web.

El primer paso que uno debe seguir a la hora de atacar un sitio, es saber cuál será. Esto permitirá posteriormente determinar las herramientas que podrán usarse para llevar a cabo nuestra tarea.

Paso II. Seleccionar las herramientas.

Muchas herramientas pueden ser utilizadas para atacar un sitio web: desde keyloggers -si no quieres perder el tiempo “rompiendo” contraseñas por “Brute Force” e ingeniería social, hasta Massive Pings y Multi Pongs, Fake BackPorts scan, XSS, PayLoad Attacks, Denial Of Service mediante inclusión de código remoto no solicitado, Attack Bots, etc. Pero los hackers más avanzados, utilizan un correo electrónico simplemente.

Paso III. El ataque de los hackers. Mastermind Attack. 

Este es uno de los puntos más críticos a la hora de atacar. Una mezcla avanzada de todo lo anteriormente mencionado, puede permitir que un ataque sea totalmente indetectable.

Estos tres pasos básicos los aprendí de la mano de uno de los grupos Glandestinos de hacking más grandes de latinoamérica -y quizá de los más grandes del mundo.  Ahora, veamos un ejemplo:

El siguiente ejemplo es una prueba de cómo atacar un sitio web. Tiene contenido explícito que sólo debe ser utilizado si se tiene experiencia en el área. Abstenerse Hackers Noobs y Novatos enteros.  

Paso I. 

En el ejemplo que llevaremos a cabo, seleccionamos uno de los sitios de seguridad más reconocidos del mundo. Sabemos que su autor es una de las eminencias en el área de IT (Internet Technologies), Security Managenment, Coding & Developement, etc., lo que convierte al sitio en un blanco difícil y retador (Aquí un vídeo de myself dando una clase avanzada sobre redes autonómas). Pero eso no nos interesa. Somos hackers capaces de superar a cualquiera.

El sitio en cuestión, es nada más y nada menos que el blog bolsanegra.blog. (http://bolsanegra.com)

Paso II.

Como les mencioné, existen muchas maneras de aprovechar las vulnerabilidades de un sitio. Pero los hackers más avanzados de nuestro grupo glandestino argentino realizan esta técnica que resulta muy eficaz:

Envíando un correo con tamañas amenazas es imposible que el autor no se sienta preocupado.

Luego, envíando otro correo para, por medio de fake intrusive backports, obtener un poco más de temor.

(Nótese la importancia de establecer una cuenta regresiva mediante un plazo específico no negociable).

Paso III.

Probar que el ataque fue exitoso.

Cuando ya hayamos llevado a cabo el ataque indetectable, procedemos a hacernos con las pruebas de nuestro éxito.  Visitando el mencionado blog, pudimos notar que en efecto, el sitio había sido éxitosamente hackeado:

Pudimos determinar en el tiempo previsto que el sitio fue hackeado mediante este post publicado a los pocos minutos de realizar un segundo ataque: ¡Caramba! Hackearon mi sitio

Como era de esperarse, las respuestas por parte de la comunidad de bloggers no se hicieron esperar. Lo que nos da mayor crédito:

Prueba número 1. Amenazas de un Hacker

Prueba número 2. Hacker o… Mastermind

Prueba número 3. La mayor de todas las pruebas. Sabes que tu ataque ha sucumbido las bases de la red, cuando aparece citado en tres sitios web :  Incidentes provocados por hackers.

Del que podemos citar los tres últimos incidentes registrados:

• 2000 – Un hacker adolescente canadiense conocido como ‘Mafiaboy’ conduce un ataque DoS y hace que Yahoo, eBay, Amazon.com, CNN y otros sitios web se tornen inaccesibles. Es sentenciado a ocho meses en un centro de detención para jóvenes.
• 6 de noviembre de 2003 – Microsoft anuncia un fondo de recompensa de 5 millones de dólares. El dinero se dará a aquellos que ayuden a seguir las pistas de los hackers que tienen como blanco las aplicaciones de software de Microsoft.
• Agosto/septiembre 2007 – Un grupo glandestino de hackers que tiene agentes de la CIA, la NASA, la RSA, la SGAE, la GAY, y la YMCA entre otras unidades especiales, dedicados al robo de contraseñas de hotmail ataca masiva e indetectable al sitio Bolsanegra.com de myself. El sitio jamás pudo recuperarse de tamaño ataque y tuvo que seguir online sin más remedio (Ver el comentario de uno de los miembros del Team Bolsanegra (TM) en De Amenazas e higiene personal… ).

Como pueden notar, el sitio bolsanegra.blog recibió un ataque encubierto. No pudo ser detectado por ninguno de los servidores, routers, switches ni horns de los sistemas de hosting. Ni siquiera por el mismísimo blog. Un ataque perfecto.

Agradecimientos:

Diego, Armando, HackingMSN, 4rtur0, bl4ckFac3, Alejo, ESPIAMSN.

 

Scam de Google Accounts y Phishing de E-Bullion

Como seguramente todos sabreis, Google tiene bastantes servicios a sus espaldas, por citar algunos:
Google Adsense, Google Docs, Gmail, Blogger, Picassa…

Mediante este Scam de Gmail Accounts cuyo objetivo es robar la contraseña del internauta despistado podría dar acceso a todos estos servicios de oogle mencionados.

El Scam en cuestión consiste en simular un formulario de Google cuyo título es “My Account” simulando ser un gestor para editar información personal de la cuenta de Google.

En el formulario en cuestión encontramos los siguientes campos:

Username
Password
First name
Last name
Nick name
Zip code
Country

(Una pequeña nota, el usuario intermedio si pica por primera vez podrá ver un pequeño fallo y es que el campo Password no está protegido por **** y sale la contraseña a simple vista y en el campo Country sale un desplegable con varios paises y al no estar codificado con UTF-8 salen con “carácteres extraños”)

Si llenamos los campos antes nombrados y le damos a “Save”, veremos que nos direcciona hacia
“update.php” donde seguramente se almacene la información introducida en el formulario desconozco si es en BBDD o en un fichero).

Por otra parte, si entramos en la web directamente sin poner www veremos que los creadores del Scam se han olvidado de poner una página inicial para que no puedas ver el contenido del servidor raiz.

En este descuido podemos ver un sistema para enviar e-mails masivos del Scam (concretamente la dirección web es esta: http://us-gmail.com/mail.php).

También podemos ver una página web que seguramente sigue la misma dinámica que el Scam de Gmail pero es con e-Bullion (web http://us-gmail.com/e-lbullion/). Podemos ver que en el caso de e-bullion se dirige a “/secure/update.php”.

Créditos:

Imydes (Documentación del Scam e investigación)
Lostmon (El descubridor de este Scam e investigación)
Lostmon Group
Gracias a XiuX, MARNI, itimad, Yeremat, Soed, Newcastle por confiar en mi.

 

Ubuntu 7.10 Tribe 1

Se anunció así la primera versión preliminar “Tribe 1″ de lo que convertirá en Ubuntu 7.10 “Gutsy Gibbon” el próximo mes de octubre. Las primeras diferencias con la actual versión 7.04 incluyen la reincorporación de los cambios con Debian y la actualización al Kernel 2.6.22 en todas las variantes de Ubuntu (Edubuntu, Kubuntu y Xubuntu).

 

 

Tribe 1 es una versión muy inicial de Gutsy Gibbon, pero relativamente libre de grandes errores. Sus capturas de pantalla pueden encontrarse aquí.

 

• Download: Ubuntu 7.10 Tribe 1.
• Download: Edubuntu 7.10 Tribe 1.
• Download: Kubuntu 7.10 Tribe 1.
• Download: Xubuntu 7.10 Tribe 1.

 

Etiquetas: Linux, Tutoriales

 

Un clic por el Bosque

La compañia Prizee donará 10.000 € a la asociación Aquaverde si la web un-clic-por-el-bosque.com llega a las 100 millones de hojas (una hoja equivale a una visita.

Eternal Games quiere colaborar en esta iniciativa así que aquí tienen Es sólo un click y colaborarás con una causa muy importante. Compartan este link, pasadlo a los amigos, reinicar los routers y volved a entrar…

http://eternalgames.un-clic-por-el-bosque.com

 

Negaciones de servicio

Las negaciones de servicio (conocidas como DoS, Denial of Service) son ataques dirigidos contra un recurso informático (generalmente una máquina o una red, pero también podría tratarse de una simple impresora o una terminal) con el objetivo de degradar total o parcialmente los servicios prestados por ese recurso a sus usuarios legítimos; constituyen en muchos casos uno de los ataques más sencillos y contundentes contra todo tipo de servicios, y en entornos donde la disponibilidad es valorada por encima de otros parámetros de la seguridad global puede convertirse en un serio problema, ya que un pirata puede interrumpir constantemente un servicio sin necesidad de grandes conocimientos o recursos, utilizando simplemente sencillos programas y un módem y un PC caseros.

Las negaciones de servicio más habituales suelen consistir en la inhabilitación total de un determinado servicio o de un sistema completo, bien porque ha sido realmente bloqueado por el atacante o bien porque está tan degradado que es incapaz de ofrecer un servicio a sus usuarios. En la mayor parte de sistemas, un usuario con acceso shell no tendría muchas dificultades en causar una negación de servicio que tirara abajo la máquina o la ralentizara enormemente; esto no tiene porqué ser – y de hecho en muchos casos no lo es – un ataque intencionado, sino que puede deberse a un simple error de programación. Por ejemplo, pensemos en el siguiente shellscript (funciona en Linux):

luisa:~# cat /usr/local/bin/lanzador

#!/bin/sh

ps -ef|grep calcula|grep -v grep 2>&1 >/dev/null

if [ $? -eq 1 ]; then

        /usr/local/bin/calcula &

fi

luisa:~#

Como podemos ver, este script comprueba si un determinado programa está lanzado en la máquina, y si no lo está lo lanza él; algo completamente inofensivo a primera vista, y planificado habitualmente en muchos sistemas para que se ejecute – por ejemplo, cada cinco minutos – desde crond. Sin embargo, nos podemos parar a pensar qué sucedería bajo algunas circunstancias anormales: >y si en el arranque de la máquina, por el motivo que sea, no se ha montado correctamente el directorio /proc/? Si esto sucede, la orden `ps' generará un error, la condición se cumplirá siempre, y cada cinco minutos se lanzará una copia de calcula; si este programa consume mucha CPU, al poco tiempo tendremos un elevado número de copias que cargarán enormemente el sistema hasta hacerlo inutilizable. Un ejemplo perfecto de negación de servicio.

Por fortuna, como ya hemos visto en capítulos anteriores, todos los sistemas Unix ofrecen mecanismos para evitar que un usuario normal pueda tirar abajo una máquina de esta forma; incluso si no los ofrecieran, en la mayor parte de los casos el responsable podría ser disciplinado fuera del sistema operativo, por otros medios, como dijo Dennis Ritchie. El problema real no es que usuarios legítimos de un entorno causen, intencionada o inintencionadamente, negaciones de servicio: el mayor problema es que esas negaciones sean causadas de forma remota por piratas ajenos por completo a nuestra organización, capaces de tumbar un servidor de millones de pesetas con sencillos programas, sin dejar ningún rastro y lo peor, sin ser muchas veces conscientes del daño que están haciendo.

Estos ataques remotos de negación de servicio son considerados negativos incluso por muchos de los propios piratas – especialmente los más experimentados -, ya que realmente no suelen demostrar nada positivo de quien los lanza (si es que algún ataque demuestra algo positivo de alguien, lo cual sería muy discutible…): generalmente se trata de un script-kiddie ejecutando un programa que ni ha hecho, ni entiende, ni será capaz de entender. En la mayor parte de los casos la negación de servicio tiene éxito porque el objetivo utiliza versiones no actualizadas de demonios (si se para un servicio concreto) o del propio núcleo del sistema operativo, si se detiene o degrada por completo la máquina. Para evitar esto, la norma a seguir es evidente: mantener siempre actualizados nuestros sistemas, tanto en lo referente al nivel de parcheado o versiones del núcleo, como en lo referente a programas críticos encargados de ofrecer un determinado servicio (demonios, por norma general: sendmail, httpd, pop3d…).

De un tiempo a esta parte – en concreto, desde 1999 – se ha popularizado mucho el término `negación de servicio distribuida’ (Distributed Denial of Service, DDoS): en este ataque un pirata compromete en primer lugar un determinado número de máquinas y, en un determinado momento, hace que todas ellas ataquen masiva y simultaneamente al objetivo u objetivos reales enviándoles diferentes tipos de paquetes; por muy grandes que sean los recursos de la víctima, el gran número de tramas que reciben hará que tarde o temprano dichos recursos sean incapaces de ofrecer un servicio, con lo que el ataque habrá sido exitoso. Si en lugar de cientos o miles de equipos atacando a la vez lo hiciera uno sólo las posibilidades de éxito serían casi inexistentes, pero es justamente el elevado número de `pequeños’ atacantes lo que hace muy difícil evitar este tipo de negaciones de servicio.

Según el CERT ([HW01]) los ataques de negación de servicio distribuidos más habituales consisten en el envío de un gran número de paquetes a un determinado objetivo por parte de múltiples hosts, lo que se conoce como packet flooding (en función del tipo de paquetes utilizados se habla de ping flood, de SYN flood…). Defenderse de este tipo de ataques es difícil: en primer lugar, uno piensa en bloquear de alguna forma (probablemente en un cortafuegos o en un router) todo el tráfico proveniente de los atacantes; pero >qué sucede cuando tenemos miles de ordenadores atacando desde un gran número de redes diferentes? >Los bloqueamos uno a uno? Esto supondría un gran esfuerzo que difícilmente ayudaría, ya que lo más probable es que en el tiempo que nos cueste bloquear el tráfico de una determinada máquina, dos o tres nuevas nos comiencen a atacar. Entonces, >bloqueamos todo el tráfico dirigido hacia el objetivo? Si hacemos esto, estamos justamente ayudando al atacante, ya que somos nosotros mismos los que causamos una negación en el servicio a los usuarios legítimos de nuestro sistema…

Como vemos, la defensa ante una negación de servicio distribuida no es inmediata; en cualquier caso, podemos tomar ciertas medidas preventivas que nos ayudarán a limitar el alcance de uno de estos ataques (y en general de las negaciones de servicio remotas, distribuidas o no). De entrada, un correcto filtrado del tráfico dirigido a nuestras máquinas es vital para garantizar nuestra seguridad: no hay que responder a pings externos a nuestra red, es necesario activar el antispoofing en nuestros cortafuegos y en los elementos de electrónica de red que lo permitan, etc. Establecer correctamente límites a la utilización de nuestros recursos, como ya hemos visto, es también una importante medida preventiva; es posible limitar el ancho de banda dedicado a una determinada aplicación o a un protocolo, de forma que las utilizaciones por encima del margen son negadas. También podemos limitar los recursos del sistema (CPU, memoria, disco…) que puede consumir en global una determinada aplicación servidora (por ejemplo, un demonio sirviendo páginas web), además de restringir sus recursos por cliente simultáneo (en base, por ejemplo, a la dirección origen de ese cliente).

A pesar de las dificultades con las que nos podemos encontrar a la hora de prevenir ataques de negación de servicio, una serie de medidas sencillas pueden ayudarnos de forma relativa en esa tarea; las negaciones de servicio son por desgracia cada día más frecuentes, y ninguna organización está a salvo de las mismas. Especialmente en los ataques distribuidos, la seguridad de cualquier usuario conectado a Internet (aunque sea con un sencillo PC y un módem) es un eslabón importante en la seguridad global de la red, ya que esos usuarios se convierten muchas veces sin saberlo en satélites que colaboran en un ataque masivo contra organizaciones de cualquier tipo. Cuanto más difícil se lo pongamos cada uno de nosotros a los piratas, mucho mejor para todos.

 

Traducción del discurso de Steve Jobs

Discurso que Steve Jobs, CEO de Apple Computer y de Pixar Animation Studios,

dictó el 12 de unio de 2005 en la ceremonia de graduación

de la Universidad de Stanford.

Descargar

Publicado por : Walter paredes

 

¡Hola, mundo!

Hola a todos aquí empiezo mi blog donde pondré información relaciona con el mundo de la Internet seguridad hackin, diseño, grafico, software y mas mucho mas espero sea de su agrado, no toda la información en este blog es de creación mía es mas una recopilación de información extraída de las mejores paginas Web y blog de amigos entre otros sitios.

 

Walter Paredes