Conociendo a Websploit - Mitm



Hoy me he topado con una noticia que afecta a algunos usuarios de un banco popular de mi país ya que estaba hace días buscando un motivo para grabar un video sobre esta herramienta.  En este caso Websploit es un Framework que viene por defecto en Kali Linux, el cual contiene distintos módulos para explotar vulnerabilidades. Hoy toco volver a tratar el ataque de hombre en el medio (Man in the Middle).



 Si el video gusta seguiré en próximos videos hablando sobre el resto de cosas que podemos hacer con ella.
Websploit contiene un total de 20 módulos divididos en módulos web, módulos de red, módulos de explotación y módulos wifi. Para realizar el ataque deseado solamente hay que cargar el módulo en cuestión, establecer los valores necesarios para el mismo y ejecutarlo. La ventaja de este framework es, sin duda alguna, la automatización de las tareas, sin necesidad de conocer que herramientas hay que utilizar para cada uno de ellos. Su utilización es muy sencilla y cuenta con un entorno similar al de Metasploit Framework.

Aviso – Este video es nada más que didáctico para personas que quieran aprender y utilizarlo en un entorno totalmente controlado, son técnicas a las que no incentivamos al delito sino al conocimiento de ellas para obtener una mejor seguridad.


Para mitigar este ataque, lo más importante a tener en cuenta es no conectarse a puntos de accesos wifi extraños y a los que se encuentren abiertos. Ya que la práctica se encuentra realizada en un entorno controlado afecta solamente aquellas maquinas que se encuentren conectadas a ella. 



Robo de contraseñas en Windows



Como tengo prometido un video a cada semana hoy vamos a ver dos cosas que pueden ser muy interesantes para sus prácticas en un laboratorio.

La primera se trata de una petición que me hizo a través de Facebook (que por cierto recomiendo a que los que quieran pedirme algún video sobre un tema), vamos a ponerle un backdoor a una imagen cualquiera para infectar la victima  a través de una herramienta B2Net.

Descarga B2Net https://mega.nz/#!305k0QSB!sMneRUjj5Lqr7gip4XFijS239xg1WVARMgWswNnPyec

Y el segundo es utilizar la herramienta LaZagne de forma remota a través de nuestra Shell meterpreter y hacer un volcado de memoria para optener las contraseñas de la víctima.


Descarga laZagne https://github.com/AlessandroZ/LaZagne/releases/


Zero-day que afecta Adobe Reader




Hace poco habíamos tratado sobre una vulnerabilidad de Adobe que permitía la extracción de hashes NTLM . Ahora investigadores de ESET descubrieron dos vulnerabilidades zero-day, una en la mencionada aplicación y otra en el sistema operativo Windows, que combinadas puede terminar siendo un arma peligrosa en manos de los atacantes.
La vulnerabilidad que afecta a Adobe Reader (CVE-2018-4990) es una ejecución de código en remoto, mientras que la de Windows (CVE-2018-8120) es una escalada de privilegios que se ejecuta en el espacio del kernel. El uso de las vulnerabilidades combinadas es extremadamente poderoso, ya que permite a un atacante ejecutar código arbitrario con los privilegios más altos posibles en el objetivo vulnerable, y con la mínima interacción del usuario.

Para explotarlas solo se necesita de un fichero PDF malicioso con JavaScript embebido, aunque este también tiene que saltarse un mecanismo de aislamiento (sandbox) incorporado en Adobe Reader llamado Protected Mode. Esta medida de protección dificulta la explotación de vulnerabilidad en la propia aplicación, y la forma más efectiva de saltársela es apoyándose en otro fallo de seguridad localizando en el sistema operativo que está ejecutando Adobe Reader.

Nada más abrir el PDF malicioso, el JavaScript que contiene entra en ejecución para manipular el objeto Button1, que contiene una imagen JPEG2000 específicamente diseñada para explotar las dos vulnerabilidades. Los atacantes han implementado técnicas de pulverización para corromper las estructuras internas de datos y así poder leer y escribir en el acceso a la memoria. Luego los atacantes localizan la dirección de memoria en la que se encuentra en plugin Escrip.api, que es el motor de JavaScript propio de Adobe Reader. El JavaScript malicioso establece una cadena de instrucciones de ensamblaje que podría llevar a la ejecución código de shell nativo.

Una vez que se descubrió la muestra en PDF, ESET contactó y trabajó junto con el Centro de respuesta de seguridad de Microsoft, el equipo de investigación de ATP de Windows Defender y el Equipo de respuesta a incidentes de seguridad de productos de Adobe mientras solucionaban estos errores.

Productos afectados por esta vulnerabilidad:

Acrobat DC (versión 2018.011.20038 y anteriores)
Acrobat Reader DC (versión 2018.011.20038 y anteriores)
Acrobat 2017 (versión 011.30079 y anteriores)
Acrobat Reader DC 2017 (versión 2017.011.30079 y anteriores)
Acrobat DC (Classic 2015) (versión 2015.006.30417 y anteriores)
Acrobat Reader DC (Classic 2015) versión (2015.006.30417 y anteriores)
Windows 7 para 32-bit Service Pack 1
Windows 7 para x64 Systems Service Pack 1
Windows Server 2008 para 32-bit Service Pack 2
Windows Server 2008 para sistemas basados en Itanium Service Pack 2
Windows Server 2008 para x64 Service Pack 2
Windows Server 2008 R2 para sistemas basados en Itanium Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1


Nueva versión de Parrot Security OS




Suele predominar como distribución de pentesting Kali Linux pero como muchos sabrán no solo existe esa opción. En esta ocasión tenemos disponible la nueva versión 4.0 de ParrotSecurity OS, que ha ido mejorando de a poco y es totalmente recomendable. En lo personal e utilizado algunas versiones haya por su comienzo pero tenía algunos errores que por aquel entonces me hicieron volverme a kali Linux.  

Parrot 4.0 destaca por la inclusión de Linux 4.16 para mejorar en el soporte de hardware. Como sistema operativo para hacking ético que es, incluye herramientas de penetración y hacking, a las que suman como novedades las imágenes Netinstall, las imágenes Docker y el aislamiento gracias a la inclusión de perfiles personalizados de Firejail unidos al soporte subyacente de AppArmor. La disponibilidad de imágenes Docker permiten usar Parrot Security OS más allá de GNU/Linux, abarcando también Windows y Mac. Otro movimiento importante es el reemplazo de Apache por nginx como servidor HTTP por defecto. Y con otros cambios como incluir el soporte de MD RAID habilitado por defecto. Esto tendría que ayudar a quienes utilizan Parrot para labores de análisis forense de raids de software. Tenemos también a Mate 1.20 y Firefox 60 como otras herramientas como LibreOffice.
Para los que no deseen descargar la iso y posean versiones anteriores pueden actualizarlo con los siguientes comando.

sudo apt update
sudo apt purge tomoyo-tools
sudo apt full-upgrade
sudo apt autoremove

Para más información visite el post de lanzamiento de la páginaoficial.  

Vulnerabilidad crítica en Red Hat

Felix Wilhelm, investigador de seguridad de Google, ha encontrado una vulnerabilidad crítica de inyección remota de comandos en la implementación del cliente DHCP de Red Hat Linux y sus derivados. Esto significa que afecta, entre otros, a Fedora y CentOS. Algunas de las distribuciones de Linux más populares entre los amantes del software libre.

DynoRoot es el nombre que le dieron a esta vulnerabilidad etiquetada como CVE-2018-1111. En caso de implementarse con éxito, podría permitir a los atacantes ejecutar comandos arbitrarios con privilegios de administrador en sistemas específicos.

La vulnerabilidad permitiría a un atacante remoto podría falsificar las respuestas enviadas al cliente DHCP para inyectar código arbitrario en el script de NetworkManager antes mencionado que se ejecutaría con permisos de super usuario.

Para los sistemas que se unan a una red, es la aplicación cliente DHCP la que le permite al mismo recibir automáticamente parámetros de configuración de red, como una dirección IP y servidores DNS, desde el servidor DHCP.

Esta vulnerabilidad reside en el script de integración de NetworkManager que está incluido en los paquetes de cliente DHCP que está configurado para obtener la configuración de red utilizando el protocolo DHCP. Es un fallo que afecta al script de integración del componente NetworkManager con el cliente DHCP (/etc/NetworkManager/dispatcher.d/11-dhclient en Red Hat Enterprise Linux 7 o /etc/NetworkManager/dispatcher.d/10-dhclient en Red Hat Enterprise Linux 6).

Los atacantes pueden utilizar esta vulnerabilidad para crear respuestas falsas de DHCP. Esto lo logran a través de un servidor DHCP malicioso o conectados en la misma red que la víctima. Podrían, por tanto, ejecutar comandos arbitrarios con privilegios de administrador en el sistema de la víctima.

El usuario @Barknkilic ha publicado en un tweet una prueba de concepto en la que consigue abrir una sesión de netcat en la máquina de la víctima:


Actualizaciones para solucionar el problema

Red Hat ha confirmado, a través de un aviso de seguridad, que la vulnerabilidad afecta a Red Hat Enterprise Linux 6 y 7, y que todos sus clientes que ejecutan versiones con el paquete dhclient deberían actualizar sus paquetes a las versiones más nuevas tan pronto como estén disponibles.

Fedora también ha lanzado nuevas versiones de paquetes DHCP que contienen correcciones para Fedora 26, 27 y 28.

De momento parece que otras versiones de Linux muy populares como Ubuntu o la de OpenSUSE no se han visto afectadaVs por esta vulnerabilidad. Esto es así ya que su implementación de cliente DHCP no tiene el script de integración de NetworkManager de manera predeterminada.

En definitiva, los usuarios que tengan Red Hat Linux y otras distribuciones de la misma familia, deberían de actualizar lo antes posibles.

Fuente: Thehackernews

Automatiza tus ataques de SQLMap con el script de TheDoc


TheDoc es un automatizador SQLMAP simple pero muy útil con un buscador de administrador integrado, hash cracker (usando hashca) y más!

Instalación y uso: 

git clone https://github.com/0x3curity/TheDoc
cd TheDoc
chmod +x theDoc.sh
./theDoc.sh
bash theDoc.sh

Habilidades:
Cuenta las inyecciones totales probadas.
Arrastra el dominio dado por vulnerabilidades.
Extrae información de la base de datos (a través de inyección de URL)
Extraiga usuarios, contraseñas y correos electrónicos (a través de inyección de URL)
Extractos / etc / passwd (IF DB ADMIN por inyección URL)
Encuentra la página de inicio de sesión del administrador de dominios.
Agrieta cualquier tipo de hash (Utiliza hashcat, advertencia Justo!)