Mostrando entradas con la etiqueta Seguridad. Mostrar todas las entradas
Mostrando entradas con la etiqueta Seguridad. Mostrar todas las entradas

domingo, 21 de octubre de 2012

Aprendiendo con Metaesploitable.



Soy una inculta en el tema de la seguridad y el autoaprendizaje es lento, así que hay que buscar formas no agresivas para aprender, vamos, que no voy a publicar si esto lo hago contra una máquina chunga o no, por que el otro día se dio la casualidad que estuve rodeada de maderos y yo pensando…anda que como haga cosas malassssssss…..me pillan fijo, que yo miento muy mal XD

Y ahora para rellenar, pensaba hacer esto escuchando el último disco de Sean Paul, pero no voy a poder por que me estoy bailando todas en la silla, y sin parar!!

Bueno, prosigo que ya sabéis que me disperso y os disperso a los demás; 

Hace relativamente poco hice un curso de seguridad y conocí Metaesploitable, una máquina virtual que ya viene preparada para probar cositas (  http://www.offensive-security.com/metasploit-unleashed/Metasploitable  ) Como veréis viene una máquina preparada para Vmware, pero funciona perfectamente en VirtualBox.

Lo bueno de esta máquina es que ya viene con muchas aplicaciones “por defecto” y por ello trae muchas vulnerabilidades.

OJO!! Si vais a hacer pruebas con esto, esta documentación tiene spoilers.


sábado, 11 de agosto de 2012

Maltego y yo, la paliza - Segunda parte.


Buenas a todos!!

He vuelto y con fuerzas renovadas; después de una semana durilla, leer e informarme más sobre Maltego he estado jugueteando un poco mas con la aplicación.

De hecho, hoy he descubierto que tenía una cuenta de MySpace y una cuenta de Flickr sin usar desde hace milenios, así que he aprovechado y las he cerrado.

Como veis, un uso particular para la gente es que, como dije anteriormente, te puedes buscar a ti mismo a través de tus alias, direcciones de correos o dominios que tengas y así controlar un poquillo por dónde sales, que cuentas tienes abiertas, etc..

Incluso para los padres preocupados por dónde están sus hijos, pues bueno, un poco de control, aunque personalmente también recomiendo una buena comunicación con los niños y hacerles entender lo que deben y no deben hacer.

Bueno, después de buscarme a mi misma como enseñe el otro día, necesitaba un dominio grande para que pudierais ver diferentes cosillas.

Teniendo en cuenta lo del aterrizaje en Marte y las coñas varias respecto al aeropuerto de Castellón, me he decantado por la nasa, que es lo que usa todo el mundo (me parece que me voy a tener que hacer un dominio para estas cosas o si no voy a acabar entre barrotes XD).


Una vez decidido que dominio queremos, abrimos Maltego, desde la paleta escogemos dominio, e introducimos el que deseemos buscar.

En este caso me ha dado un montón de resultados, así que os podré mostrar diferentes informaciones
.
Una vez que termina de buscar, a mano derecha tenemos una vista general dividida y organizada en colores:




Cada color tiene un significado que se puede detectar fácilmente al mirar el cuadro principal:

Por ejemplo podemos identificar los siguiente colores:

Morado = Dominios
Turquesa = Teléfonos
Rosa claro = Rangos de red
Marrón = DNSs

Una vez identificado todo, observamos que tenemos un dominio muy grande, pero Maltego nos da la oportunidad de revisar por tipo, vamos a la pestaña “Investigate” -> desplegamos  “Select by Type” y por ejemplo escogemos “Netblock” , nos llevará directamente a los rangos que haya encontrado anteriormente.

Esto nos puede servir para búsquedas enormes, ya que nos da la opción de detectar partes de la búsqueda con 2 clicks.

Aparte de mostrarnos toda la información que encuentre en la red a partir de nuestra búsqueda, si observamos algo de nuestro interés, no tenemos por que abrir una nueva pestaña, simplemente podemos clickar sobre el elemento en cuestión y hacer un Run Transform para que nos de mas información sobre ese elemento específco.


Esta búsqueda nos la mostrará aparte y hará que el diagrama se agrande.


Como podéis ver, Maltego nos puede mostrar mucha información sobre cualquier cosa que queramos, en mi caso, siempre he hecho “All Transforms” pero si vais a los desplegables, se puede reducir mucho la búsqueda a cosas que nos interesen mas.

También podréis encontrar números de teléfono, direcciones de correo, documentos, etc... y como os comento, a través de esta información que encontréis podréis ir navegando y buscando y afinando más y más.

Os recuerdo, que como dije al principio, es posible que la versión “Comunity” nos de algunos resultados escasos o que no tienen nada que ver con lo que buscamos, en ese punto, tendremos que ser nosotros los que afinemos la información que nos han dado.

Bueno, pues he decidido finalizar mi pelea con Maltego, ya que a partir de aquí es simplemente ir probando diferentes tipos e ir viendo los resultados.

Ahora me tendré que buscar otra aplicación con la que pelearme, ¿alguna preferencia?.
Por cierto…hoy he ganado yo, que me he manejado mucho mejor con Maltego XD.

Por último, os dejo los links de Paterva (los creadores de Maltego) por si queréis saber mas:


 ----------------------------------------------------------------

Maltego y yo, la paliza.  (primera parte)



PD: Ya os dejo que me hagáis preguntas...y si no tengo ni idea, lo busco :D

sábado, 4 de agosto de 2012

Maltego y yo, la paliza.


Bueno, después de mucho tiempo de ausencia, he vuelto :D para plasmaros una feroz batalla entre Maltego y yo.

Algunos os preguntaréis, ¿qué es Maltego?, digamos que es una aplicación de minería de datos, es decir, le das una información (un nombre, un teléfono, un dominio) y te buscará cualquier dato que te pueda encontrar en la red.

Actualmente, hay una versión de pago y una “comunity”, así que ojo! Cuando intentéis descargárosla revisad bien la que os descargáis y no hagáis como yo, que me instalé la de pago y estaba flipando con las cosas que me pedía, hasta que me di cuenta, aquí la aplicación me iba ganando y eso que acababa de empezar.

¿Para que puede servir esta herramienta? Como soy buena, solo os voy a contar lo de ser buena, no lo malo, no vaya a ser que anime a alguien a hacer cosas que no sdebe XD; en realidad es que no sé sacarle un uso malvado ( que nooo…que es bromaaa…….que soy mala y sí que lo seeeeeee).

Inicialmente, yo lo uso para buscarme en la red, ya que me gusta tenerme controlada y saber dónde aparece mi nombre, he de decir que mi nombre real no sale en muchos sitios :D pero luego mi Madrikeka lo tengo metido por todos lados.

Sigamos con lo interesante que me lío y os cuento mi vida.

La diferencia entre la de pago y la comunity, es que la de pago es mucho más fina y te mete menos “basura” en los resultados, aparte de que creo que tiene otros métodos de búsqueda más efectivos.

Ya sabiendo estas cosillas, el siguiente paso es instalar la aplicación, esto no es complicado, pero la activación si que nos puede liar un poco ya que hay que registrarse en la web, meter un código, etc..

Ya tenemos todo, pues abramos la aplicación, lo primero que nos dice es que si queremos una búsqueda privada o pública, la primera, cualquier dato que busquemos no se incluirá en ningún lado, sin embargo la búsqueda pública digamos que se une a una bbdd de Maltego dónde, por ejemplo, si alguien más se interesado con lo que hemos buscado nos aparecerá (finalmente se me ha olvidado como ver eso XD).

Os recomiendo que uséis la privada al principio, yo voy a usar la pública para catarla y enseñároslo.

Después de escoger, tendréis que logaros, tela con el captcha, las que te lía, por aquí llevamos un 0-3 ganando Maltego.

Hoy vamos a hacer algo sencillo y rápido para ver los primeros resultados, así que pincharemos en el botón de new, o en el botón gigante de Maltego y después en New y se nos abrirá una pantalla llamada New graph,, otro día os mostraré los botones y las diferentes zonas, hoy voy a enseñar algunos resultados.


Como veis en el pantallazo, a la izquierda tenemos muchas opciones diferentes para escoger, es a partir de aquí donde definiremos el dato del que queremos sacar información.


Para algo rápido, vamos a escoger el alias, pincharemos en dicho alias y lo arrastraremos a la “zona de campo” XD.

Haremos doble click sobre el icono y pondremos el alias que queramos, en este caso “madrikeka”, pero sin comillas, eh? Que nos conocemos.

 

Cerramos la pantalla, hacemos click derecho sobre nuestro alias y le damos a “run transforms” y  “all transforms”.

 

Nos avisará de que al pedir un “all transforms” puede tardar un rato, pero como hoy es básico, pues le diremos que si a todo!!! :D

Bueno, si habéis probado con “madrikeka” veréis que casi no os ha sacado nada XD, veis como soy mala? Ahora si vais “all transforms” que tiene un desplegable, podréis ver dónde busca, como solo tengo twitter y no aparezco en pastebin, el resultado es muy pobre, pero para mí positivo:D

 

Ahora vamos a hacer lo mismo, pero en vez de el Alias, vamos a escoger “person” y vamos a realizar el mismo paso hasta “all transforms”. Nos vuelve a avisar de que tardará un rato y oh! Sorpresa, algo que rellenar.

Si tenéis mas datos sobre la persona a buscar, este sería el sitio para rellenarlo, ya que os pide cosas como un website, un teléfono, si solamente os muestra el primer resultado de facebook, etc..
Salvo el apartado de facebook, que hay que poner “Yes” o “No”, lo demás os lo podéis saltar poniendo un espacio en cada casilla.
Una vez plasmados los espacios, le damos a “Run!” y a esperar…..

Enseguida nos dará la información de la siguiente forma.


En la parte de arriba del gráfico, hay iconos para que podamos ponerlo de la forma que más nos guste.
Ahora es cuando nos toca pensar, como me he buscado a mí misma, veo que faltan muchas cosas, debería aparecer en muchos más sitios, pero aparentemente solo salen los sitios en los que comento o escribo desde hace más tiempo, digo aparentemente por que hay blogs que sigo desde hace un par de años y no sale, cachis, ya vamos 0-4, joer, con meterle uno me conformaba, seguiré investigando.

Pues nada, después de los 4 golazos por la escuadra que me ha metido Maltego….lo dejo por hoy, al final me ha salido un tochopost!!

Y prepárense para la final, porque la voy a tener y la voy a ganar!

Un saludo a todos!!

PD: no me hagáis pregunta sobre este tema que todavía estoy aprendiendo XD, es bromaaa.....¬¬


 --------------------------------------------------------------------------

Maltego y yo, la paliza.  (primera parte)

Maltego y yo, la paliza - Segunda parte