Showing posts with label Programming. Show all posts
Showing posts with label Programming. Show all posts

Tuesday, September 15, 2015

Tor se vuelve extraordinariamente seguro

Tor se vuelve extraordinariamente seguro convirtiendo su Nombre y Domain ".onion" en Uso-Exclusivo.

Tor concedió la condición de uso especial por IETF, para ser más seguro y obtener Certificados de seguridad

El navegador de la 'Dark-web' Tor se ha vuelto muy segura como la url .onion ahora se le ha asignado el estado de uso especial. El Engineering Task Force (IETF), junto con Internet Assigned Numbers Authority, parte de la ICANN, ha concedido el reconocimiento formal al dominio .onion, de añadir a la lista de los de uso especial los nombres de dominio.
El estado de uso especial significa que .onion sólo puede ahora utilizar en Tor. A principios de .onion podría técnicamente abierto en la web regular debido a su estado psdeuo-TLD. El estado de uso especial también abre la posibilidad de cifrado específica del sitio y el uso de certificados de seguridad.
Para los no iniciados, Tor, que es un acrónimo de The Onion Router se utiliza como una forma de navegar por la web (más) de forma anónima. Tor dirige el tráfico de Internet a través de una, en todo el mundo, la red de voluntarios que consta de más de seis mil relés para ocultar la ubicación del usuario y el uso libre de cualquier persona la realización de la vigilancia de la red o el análisis del tráfico. Usando Tor hace que sea más difícil para la actividad de Internet que se remonta al usuario: esto incluye "visitas a sitios Web, mensajes en línea, mensajes instantáneos y otras formas de comunicación". El uso de Tor está destinado a proteger la privacidad de los usuarios, así como la libertad y la capacidad para llevar a cabo la comunicación confidencial, manteniendo sus actividades en Internet de ser supervisado.
Tor se ha enfrentado a la competencia de otros sistemas de navegación seguras como Hornet. Pero ahora se establece en beneficiarse de los cambios clave que mejoren la seguridad y tener más implicaciones.
El reconocimiento oficial de .onion ayudará automáticamente para mejorar la seguridad, ayudando a reducir la capacidad de identificar o localizar a los usuarios. La documentación IETF explica lo que significa el cambio para acceder .onion sitios:

   Aplicaciones (incluyendo proxies) que implementan el protocolo Tor DEBEN reconocer .onion nombres como especial, ya sea para acceder a ellos directamente, o usar un proxy (por ejemplo, CALCETINES [RFC1928]) para hacerlo. Las aplicaciones que no implementan el protocolo Tor debería generar un error en el uso de .onion, y no debe realizar una búsqueda de DNS.

 Otras cláusulas clave para reforzar la seguridad más allá:   

 Nombre Resolución APIs y bibliotecas: Resolvers DEBEN bien responder a las solicitudes de .onion nombres por resolverlas de acuerdo con [tor-cita] o respondiendo con NXDOMAIN.

     Almacenamiento en caché de los servidores DNS: los servidores de almacenamiento en caché, donde no adaptados expresamente para interoperar con Tor, no debe tratar de buscar registros de .onion nombres. Se debe generar NXDOMAIN para todo tipo de consultas.

     Servidores DNS autorizados: servidores con autoridad debe responder a las preguntas de .onion con NXDOMAIN.

Wednesday, April 29, 2015

Aplicación Dart

¿Que es Dart?

Desde prototipos rápidos hasta aplicaciones importantes.
Los tipos opcionales de Dart te permiten crear rápidamente prototipos y luego revisar que el código sea más fácil de mantener.
Donde quiera que necesites un código estructurado.
Puedes utilizar el código Dart en la mayoría de los navegadores (Chrome, Safari 5 +, Firefox 4 +) y en los servidores. Busca el navegador que mejor se adapte a tí.
Nuevo pero familiar
El código de Dart debe resultarte familiar si conoces ya algún lenguaje de programación, y se puedes seguir utilizando características tales como las clases y el cierre. Además, Dart ha creado nuevas características que te harán más fácil desarrollar y mantener software. Dart se encuentra todavía en las primeras etapas de desarrollo, así que por favor, échale un vistazo y dinos lo que te parece. 


Monday, April 27, 2015

Katana 2.0: suite de seguridad portable y multi-arranque



Recientemente se ha publicado la versión 2.0 de Katana, una suite de seguridad multi-arranque que incluye las mejores distribuciones y aplicaciones portables actuales para ejecutarlas desde un único dispositivo extraíble.

Podremos encontrar distribuciones de seguridad enfocadas en pentesting, auditoría, forense, recuperación de sistemas, análisis de red y eliminación de malware y además alrededor de 100 aplicaciones de Windows portables como Wireshark, Metasploit, NMAP, Cain & Abel y más.


Katana Bootable:

- Backtrack
- the Ultimate Boot CD
- CAINE
- Ultimate Boot CD for Windows
- Ophcrack Live
- Puppy Linux
- Trinity Rescue Kit
- Clonezilla
- Derik's Boot and Nuke
- Kon-Boot 


Katana Tool Kit:

- Metasploit
- Wireshark
- NMAP
- John the Ripper
- Cain & Able
- Firefox
- PuTTY
- the Unstoppable Copier
- OllyDBG
- Cygwin
- ClamAV
- IECookiesView
- MozillaCacheView
- FreeOTFE
- FindSSN
- The Sleuth Kit
- OpenOffice y mucho más.

DOWNLOAD:  http://www.ultrafiles.net/CELux

usbkill un "anti-forense" que apagará automáticamente el PC si se conecta un dispositivo USB


usbkill es un sencillo script escrito en Python por hephaest0s que apaga inmediatamente el equipo si se detecta cualquier cambio en alguno de los puertos usb.
Es un proyecto inacabado donde se esperan mejoras futuras, pero ya funciona y es bastante eficaz. 

Para ejecutarlo: sudo python3 usbkill.py

Lucha contra el forense, usb -> kill!

Github: http://www.filesonthe.net/CELCs

Monday, April 6, 2015

Proyecto "Search Diggity" Trae informativos y creativas herramientas de hacking

Proyecto aprovecha los motores de búsqueda más populares para identificar los sistemas vulnerables y datos sensibles en redes corporativas.

La información es la clave; hackers en ambos lados de la ley saben. Así, las herramientas recientemente publicados por la firma de consultoría de seguridad Stach y Liu, y la presentación DEF CON dado por Francis Brown y Rob Ragan, ofrecen equipos InfoSec la oportunidad de ganar la carrera información.


Durante DEF CON, Francis Brown y Rob Ragan, ambos investigadores para Stach y Liu, presentan inventos del Proyecto Diggity, incluidos los que se puede utilizar para defender o atacar, en una presentación basada en la demostración. El año pasado durante Sombrero Negro, presentaron una herramienta de Google Hacking que les valió no pocos de los apoyos de la comunidad de seguridad.




Google Proyecto de Hacking


Se utilizó la herramienta durante su presentación para mostrar cómo se utilizó Google Hacking para exponer un error cometido por la filial de Groupon indio, Sosasta.com, así como el seguimiento de la propagación del ataque Liza Luna.


"Google ha hecho que sea increíblemente fácil de encontrar este tipo de vulnerabilidades a través de su indexación y que ha dejado a muchos sitios en riesgo. Para ponerlo en perspectiva, si Groupon.com había estado utilizando nuestras herramientas, habrían conseguido una alerta a través de iPhone o aplicaciones Droid y encontró la vulnerabilidad antes de que alguien más lo hizo ", dijo Brown en un comunicado en el momento.


Este año, el dúo discutió nueve herramientas, dos de los cuales se destacan. El primero, AlertDiggityDB, representa el mayor repositorio de datos de vulnerabilidades en la Web, presentada en una base de datos fácilmente investigable. También tienen NotInMyBackYard, una herramienta que ayudará a los usuarios a encontrar información que se ha filtrado, deliberada o accidentalmente a la Web.


"Esta herramienta aprovecha tanto Google como Bing, y viene con consultas predefinidas que hacen que sea fácil para los usuarios encontrar las fugas de datos sensibles relacionados con sus organizaciones que existen en los sitios 3 ª parte, como PasteBin, YouTube y Twitter. Destape las fugas de datos en documentos en los sitios de almacenamiento en la nube populares como Dropbox, Microsoft SkyDrive, y Google Docs. A debe tener para las organizaciones que tienen fugas de datos confidenciales en dominios que no controlan o dirigen, "los dos se explica en un resumen de su charla DEF CON.


Otras herramientas que se incluyen en el Proyecto "Searcg Diggity" incluyen:


Suite de herramientas de minería de datos CloudDiggity - Permite que los profesionales de seguridad para descargar la información extraída de Internet y rápidamente buscarla para los datos sensibles que pueden ser vulnerables, tales como los números de Seguro Social, números de tarjetas de crédito y contraseñas.


CodeSearchDiggity-CloudEdition - Reemplaza una herramienta recientemente descontinuado previamente ofrecido por Google, permitiendo a los usuarios buscar a través de código fuente abierto. Permite a los profesionales de la seguridad para buscar vulnerabilidades en el código de software de código abierto - que a menudo se re-utilizados y utilizados en otros entornos - para ayudar a prevenir defectos de que se pueden extender a través de la reutilización de código. 





Google Hacking


PortScanDiggity - Utiliza Google para buscar en Internet por dominios, nombres de host y direcciones IP, permitiendo a los profesionales de seguridad para identificar los puertos de red abiertos que pueden ser vulnerables a los ataques. Los profesionales de seguridad pueden obtener de forma pasiva e instantáneamente resultados en servicios Web expuestos que se han indexado por Google.


BingBinaryMalwareSearch (BBMS) - Utiliza una característica menos conocida de Bing para buscar archivos ejecutables que contienen malware y identifica el origen de los archivos distribuidos.


Diggity Dashboard - Analizando más de 4 millones de entradas en AlertDiggityDB, Diggity Dashboard permite a los profesionales de seguridad para ver gráficamente los datos de sus propias organizaciones y vulnerabilidades potenciales, ya que se extraen de la base de datos.


Diggity IDS, Base de Datos BingHacking (BHDB 2.0) - Actualización de las herramientas anteriores publicados por Brown y Ragan.


"Con estas herramientas, estamos dando a los profesionales de seguridad una oportunidad para identificar y remediar las vulnerabilidades de seguridad y los datos expuestos antes de que un atacante puede encontrar y explotar ellos", dijo Ragan.


Las diapositivas de PowerPoint de Brown y Ragan de presenation DEF CON se puede ver aquí en formato PDF. El Diggity Proyecto Google Hacking se puede acceder aquí. Además, el portal también tiene videos y otros documentos disponibles, a fin de que las herramientas más fáciles de usar y entender.  


http://www.bishopfox.com/resources/tools/google-hacking-diggity/attack-tools/


Thursday, April 2, 2015

¿Como tener televisión de paga GRATIS?













ANDROID STUDIO, EL NUEVO IDE PARA ANDROID


Hace tiempo que muchos desarrolladores android me hablaron de las bondades de IntelliJ IDEA pero no fue hasta hace poco cuando me decidí a empezar a usarlo.

Sobra decir que la experiencia ha sido buenísima y así lo he trasladado cada vez que he tenido la oportunidad. No merece la pena entrar en comparaciones Eclipse / IntelliJ, simplemente juegan en otra liga (que no se sientan ofendidos los amantes del IDE creado por IBM). Pero vayamos por partes, ¿qué tiene este Android Studio que lo hace mejor?


Sistema de construcción


¡Por fin! gritarán algunos y es que si has programado en Eclipse habrás sentido el dolor de cabeza que puede causar empaquetar un proyecto android con este IDE. Android necesitaba un nuevo sistema de construcción y los chicos de Google han decidido optar por Gradle. Tengo que decir que no tengo gran experiencia con este sistema de construcción pero hay varias características que me gustan bastante:

  • Utiliza un DSL (Lenguaje Específico de Dominio) basado en Groovy (nada de XMLs complejos)
  • Nos permite añadirlo a nuestros servidores de integración continua
  • Construcción por convención (al estilo Maven)
  • Compatible con dependencias Maven

La construcción de android se consigue gracias a un plugin del que podemos consultar toda la documentación a través del siguiente enlace.

http://tools.android.com/tech-docs/new-build-system/user-guide

Ayudas para la codificación


Cuando te haces con el manejo descubres que el editor de código de Android Studio tiene unas características únicas que facilitan considerablemente el desarrollo. La edición es más fluida, la refactorización más potente y un análisis de código que nos ayudará a mejorar considerablemente nuestro código.

Hay que decir que muchas de las características del IDE Android Studio ya estaban incluidas en IntelliJ IDEA pero de ahora en adelante hablaremos de Android Studio.

Previsualización de recursos


Una de las características que más me gustan es la de poder previsualizar los recursos. Por ejemplo si estamos en un drawable, podemos poner el cursor sobre el identificador, pulsar Ctrl + Q (comando para ver la documentación) y visualizar de un plumazo los drawables a distintos recursos.


Algo parecido ocurre con los colores en el editor XML. Si ponemos un color nos aparecerá en la parte izquierda dicho color y al pulsar sobre él se nos mostrará un selector de color.


Generación de recursos


Android Studio incluye diálogos para facilitar la generación de recursos para distintas configuraciones. Uno de los mejores ejemplos es a la hora de crear un string. Podemos seleccionar el cualificador de región y se nos mostrará una lista de países que podemos ir seleccionando. Esto resulta tremendamente útil porque incorpora todos los cualifiadores con sus variantes así que no tendremos que recordarlos de memoria.


Detección de errores


Este IDE incorpora de forma transparente una herramienta de análisis de código que nos ayuda a mejorar la calidad del mismo. Además se realiza de forma automática, de forma que conforme vas escribiendo te va indicando posibles fallos o mejoras que puedes corregir en el código. Métodos sin utilizar, lógica demasiado compleja o condiciones que nunca van a darse serán detectadas por el IDE y nos permitirá con un “par de clicks” corregir dichos problemas.

Además este sistema de análisis lo han personalizado para que trabaje también sobre partes específicas de Android. Por ejemplo, el método getSystemService recibe un String como parámetro, así que en principio podríamos poner cualquier cadena. Si hacemos esto, el entorno nos mostrará un aviso de los posibles valores que deberían pasarse a dicho método.


Refactorización


La refactorización es mucho más potente en Android Studio. Ahora podemos cambiar el nombre de una imagen y automáticamente se cambiará el nombre del identificador. A la inversa funcionaría exactamente igual. IntelliJ posee un sistema de refactorización muy avanzado y Android Studio se beneficia de eso.

Ayudas para el diseño


La parte de diseño es quizás la que pueda quedarse algo más corta con respecto al IDE anterior. No obstante es una herramienta con muchas posibilidades y que en el estado actual cubre la mayoría de las opciones de las que disponíamos antes e incluye cosas que mejoran lo anterior.

La previsualización de los layouts está bastante cuidada, marcando los elementos sobre los que estamos trabajando y permitiendo elegir entre distintos dispotivos, configuraciones, temas, etc.


Acceso a los servicios de Google


Google ha hecho especial hincapié en facilitar el uso de sus servicios en nuestras aplicaciones. Lo hemos podido ver en las presentaciones del  Google Cloud Messaging (GCM) o en la presentación deGoogle Play Games. Con Android Studio quieren facilitar el acceso a todas estas herramientas desde nuestro entorno de desarrollo. Han empezado integrando los servicios del GCM y han introducido un nuevo plugin (ADT Translation Manager Plugin) para la traducción de nuestras aplicaciones e integrado con el servicio de traducción de la Google Play Developer Console.

Para finalizar, ¿qué mejor que Tor Norbye mostrándonos las principales características del Android Studio?

Por supuesto existen muchas más características que no hemos visto pero que iremos descubriendo con el uso por tanto os recomiendo que lo probéis y decidáis por vosotros mismos.

Importante: Como puede verse en la imagen que encabeza el artículo se trata de una versión preview. Esto quiere decir que no será todo lo estable que deseamos y que esta versión no se recomienda para un entorno de producción.

DESCARGALO AQUI 

Monday, March 30, 2015

INSTALL Fruity WIFI in Kali Linux.

Fruity WIFI 




Qué es?

FruityWifi es una herramienta de auditoría de red inalámbrica basada en la piña wifi. La aplicación se puede instalar en cualquier sistema basado en Debian la adición de los paquetes adicionales. Probado en Debian, Linux Kali, Kali Linux ARM (Raspberry Pi), Raspbian (Raspberry Pi), Pwnpi (Raspberry Pi).


EL proceso de instalación que voy a realizar es sobre un PC con Kali-Linux, el cual maneja 3 interfaces de red, eth0, wlan0 y wlan1.



root@kali:~# unzip master.zip

root@kali:~# cd FruityWifi-master/

root@kali:~/FruityWifi-master# chmod a+x install-FruityWifi.sh

root@kali:~/FruityWifi-master# ./install-FruityWifi.sh


Una vez instalado procedemos a logueranos vía WEB.

USER:admin
PASSWORD:admin

A cambiar la Pass!! y a realizar pruebas xD...

¡bajo su propia responsabilidad!

Friday, March 27, 2015

HACKER EARNS $225,000 AT PWN2OWN 2015

Hacker gana 210.000 euros en 48 horas hackeando navegadores en la convencion Pwn2Own 2015 de HP.
No es ningún secreto que las grandes compañías de Internet acaban contratando a los hackers que vulneran su seguridad. La mejor forma de que un hacker de élite no venda sus secretos a una organización criminal, o los utilice en su propio beneficio, es ofreciéndole una nómina, o un beneficio económico. Por eso todas las grandes empresas entregan recompensas a quien descubre vulnerabilidades en sus sistemas, antes de que se hagan públicas.
HP organiza estos días la Pwn2Own 2015, una convención de hackers que tiene como objetivo descubrir vulnerabilidades en el software. Si esto ocurre, los hackers obtienen una suculenta recompensa, a cambio de desvelar el agujero de seguridad para que los desarrolladores de las aplicaciones lo corrijan, antes de que se conozca.
La convención de este año ha sido noticia porque el jovencísimo hacker Jung Hoon Lee, aliaslokihardt, ha batido el récord de ganacias individuales, al acumular 225.000 dólares (unos 210.000 euros) en apenas dos dias, hackeando los principales navegadores del mercado. Este es el "angelito":
Hacker bate récord en Pwn2Own 2015
Ya puedes alquilar un hacker para tus cosas en Hacker's List
Jung Hoon Lee obtuvo 75.000 dólares por romper la seguridad de Chrome, al superar el sandbox de seguridad y acceder a los drivers del kernel de Windows. 25.000 $ más por simular un ataque a gran escala, y 10.000 $ adicionales por demostrar que dichos ataques eran posibles tanto en la beta como en la versión estable de Chrome. Por ultimo, añadió otros 65.000 $ a la recompensa con un hackeo de Internet Explorer 11, y 50.000 más por un exploit de Safari. En total, 225.000 dólares en menos de 48 horas.

En total, HP repartió 557.000 dólares en recompensas. Jung Hoon Lee ha batido el récord como hacker individual, aunque el año pasado la organización VUPEN acumuló 400.000 dólares. Pero se trataba de un grupo de hackers, no de una única persona.

Monday, October 6, 2014

Useful tools for CTF

I've selected useful and must-have tools for CTF games and computer security competitions. Most of this tools are often indispensable during the games (especially task-based/jeopardy CTF games).
I've combined tools by categories just like in CTF games: Reverse, Steganography, Networking, Forensics, Cryptography, Scripting.
Most of tools are cross-platform, but some of them are only for Windows or Linux.
Here the light and dark editions of cheat sheets/posters with tools:
Утилиты, программы и тулзы для CTF игр
This is the first version of useful CTF tools cheat sheets. I'm planning to update them with new useful tools.
Thanks to shr for a good advice to add the links for tools. Here are the links to the tools from cheat sheets:

Reverse Engineering:
GDB - http://www.gnu.org/software/gdb/download/
IDA Pro - https://www.hex-rays.com/products/ida/support/download.shtml
Immunity Debugger - http://debugger.immunityinc.com/
OllyDbg - http://www.ollydbg.de/
radare2 - http://www.radare.org/y/?p=download
Hopper - http://www.hopperapp.com/download.html
nm - unix/linux tool
objdump - linux tool
strace - linux tool
ILSpy - http://ilspy.net/
JD-GUI - http://jd.benow.ca/#jd-gui-overview
FFDec - http://www.free-decompiler.com/flash/download.html
dex2jar - http://code.google.com/p/dex2jar/
uncompyle2 - https://github.com/wibiti/uncompyle2
Hex editors:
Windows:
HxD - http://mh-nexus.de/en/hxd/
Neo - http://www.new-hex-editor.com/hex-editor-downloads.html
Linux:
Bless - http://home.gna.org/bless/downloads.html
wxHexEditor - http://www.wxhexeditor.org/download.php
Exe unpackers - Unpacking Kit 2012 - http://forum.exetools.com/showthread.php?t=13610

Networking:
Wireshark, tshark - https://www.wireshark.org/download.html
OpenVPN - https://openvpn.net/
OpenSSL - https://www.openssl.org/related/binaries.html
tcpdump - http://www.tcpdump.org/
netcat - http://netcat.sourceforge.net/
nmap - http://nmap.org/download.html

Steganography:
OpenStego - http://www.openstego.info/
OutGuess - http://www.outguess.org/download.php
Steghide - http://steghide.sourceforge.net/download.php
StegFS - http://sourceforge.net/projects/stegfs/
pngcheck - http://www.libpng.org/pub/png/apps/pngcheck.html
GIMP - http://www.gimp.org/downloads/
Audacity - http://audacity.sourceforge.net/download/
MP3Stego - http://www.petitcolas.net/steganography/mp3stego/
ffmpeg (for video analysis) - https://www.ffmpeg.org/download.html

Forensics:
dd - unix/linux tool
strings - unix/linux tool
scalpel - https://github.com/sleuthkit/scalpel
TrID - http://mark0.net/soft-trid-e.html
binwalk - http://binwalk.org/
foremost - http://foremost.sourceforge.net/
ExifTool - http://www.sno.phy.queensu.ca/~phil/exiftool/
Digital Forensics Framework (DFF) - http://www.digital-forensic.org/download/
Computer Aided INvestigative Environment (CAINE) Linux forensics live distribution - http://www.caine-live.net/
The Sleuth Kit (TSK) - http://www.sleuthkit.org/sleuthkit/download.php
Volatility - http://code.google.com/p/volatility/

Scripting / PPC (Professional Programming and Coding):
Text editors:
Sublime Text - http://www.sublimetext.com/
Notepad++ - http://notepad-plus-plus.org/
vim - http://www.vim.org/
emacs - http://www.gnu.org/software/emacs/

Crypto:
Cryptool - https://www.cryptool.org/
hashpump - https://github.com/bwall/HashPump
Sage - http://www.sagemath.org/
John the Ripper - http://www.openwall.com/john/
xortool - https://github.com/hellman/xortool
Online tools:
http://www.crypo.com/
http://www.cryptool-online.org/
http://rumkin.com/tools/cipher/
Modules for python - pycrypto - https://www.dlitz.net/software/pycrypto/

Thanks to: 

DÉLIMITEUR DE DONNÉES