Deep Sqlite I (El análisis)

Cada día se ve mas Sqlite como base de datos  gracias a los "smartphone" y no solo a ellos a firefox, skype, dropbox y muchos mas utiliza esta tecnología para almacenar su información.

Esta vez nos vamos a centrar en la cabecera de cualquier archivo sqlite (que no este cifrado), en los 100 primeros bytes encontramos informacion imporante de sqlite (The SQLite Database File Format).

Figura 1. Cabecera de un archivo Sqlite

Ahora que tenemos la estructura de la cabecera vamos a ver un ejemplo abriendo con un editor hexadecimal para analizar los primeros 100 bytes, en este ejemplo vamos a ver una base de datos de Skype (main.db)

Figura 2. Cabecera Sqlite

53 51 4C 69 74 65 20 66 6F 72 6D 61 74 20 33 00 : Cadena escrita que termina con "00"

10 00 : Tamaño de la página 4096 bytes

01: No dispone de modo WAL para escritura

01: No dispone de modo WAL para lectura

0000134C: El fichero ha sido cambiado 4.940 veces

0000011D: El fichero contiene 285 páginas

00000119: Número de la primera página libre troncal

00000001: Codificación de texto UTF-8

00000000: Al estar todo a 0, no hay auto-vacuum

002DE225 : Equivale a la version de la Base de datos

Write Ahead Logging es un método de rollback desde la versión 3.x , el cual invierte el proceso tradicional de rollback. En teoría los cambios de una base de datos son escritos en el mismo archivo original llevando un control en un registro de modificaciones en otro fichero del cual podrá ser recuperado si algo no fue escrito de forma correcta por algún problema.

La tecnología WAL crea un nuevo fichero con el mismo nombre agregando el (-wal) al final, donde se harán los cambios y se sobrescribirá el original cuando de se ejecute la orden de sobrescritura.

En el siguiente post, vamos hablar de las "hojas", arboles y demás ;)

Destripando Skype (Análisis Forense Digital)

Dejamos el "hacking" por un lado (muy cerca , no tan lejos ) y continuamos con lo que es el análisis forense digital , en este caso nos enfocaremos en el cliente de mensajería, Chat , VoIP  llamado Skype.

Muchas veces cuando se realiza un análisis forense digital y necesitamos extraer información de los clientes de mensajería no se cuenta con una herramienta "amigable" que permite llevar acabo un análisis en este caso de la relación de información almacenada en una base de datos.

Encontré una que otra herramienta (script) escritos en python (love it) , pero no son tan amigables , decidí crear una herramienta que permite realizar el análisis de una forma mas fácil y amigable , estas son algunas de sus funciones:

1. Crear un perfil del o de los usuarios de Skype de un determinado Equipo
2. Lista de Contactos de Skype  (Nombre , User , Pais ,Fecha de relación de amistad ) 
3. Lista de Conversaciones (Chat)
4. Relación de conversaciones  (Conversación entre usuarios , fecha , Usuario)
5. Transferencia de archivos (Quien envió a quien , fecha , archivo enviado , nombre del archivo , donde se encontraba, fecha de envio , tamaño del archivo)
6. Vídeo llamadas (Participantes, duración de la vídeo conferencia , ip de llamadas )
7. Generar un Hash (MD5 y SHA1) del archivo analizado , preservación de la evidencia
8. Reportes de las funcionalidades en formato .xls

Por el momento considero que le falta madurar a la herramienta , dentro de algunos días soltare la versión Free de la herramienta.

El Splash de mi App (me quedo de 10 )

Bueno para no ser diseñador me quedo bien ! , continuando  con la aplicación tenemos la opción principal de abrir la base de datos (SQLITE) una vez cargada la BD se procede a analizar y relacionar la información.

Seleccionando la base de datos para analizar

 Por el momento estas son las funciones con las que cuenta mi aplicación, a medida que vaya madurando se vera la necesidad de implementar algunas nuevas funciones.

Las funciones de la aplicación 

Una de las funciones importantes desde mi humilde punto de vista es la de transferencia de archivos , si bien usuarios "inteligentes" borran sus conversaciones de la base de datos no se borran , entonces podríamos determinar si existe fuga de información (si utilizan este medio para hacerlo).

Algo que me llamo la atención fue las direcciones IP que se registran en las vídeo llamadas ya que con eso podemos determinar la ubicación geográfica de los participantes

La herramienta esta en su fase de desarrollo , no  soy muy bueno con la interfaz si alguien me da la mano con eso Bienvenido!.

Espero liberar pronto la version Free, saludos!

EOF

Tras las huellas del Zorro I

Los navegadores web son una fuente importante de información desde el punto de vista de un análisis forense, ya que en ellos podemos llegar a recuperar datos que posteriormente analizados podemos reconstruir lo sucedido.

En esta oportunidad vamos a analizar Firefox uno de los navegadores mas utilizados,existen muchos puntos en los cuales van a diferir de acuerdo al sistema operativo , lo cual dificulta el análisis hasta cierto punto, uno de los puntos a favor en este caso del forense es que todo se almacena con una tecnología, en este caso la mas utilizada por aplicaciones de teléfonos y por este navegador web Sqlite.

 Firefox por defecto se instala en la siguientes direcciones (esto no es algo que este escrito en piedra el usuario puede decidir donde instalarlo)

Windows XP

C:\Documents and Settings\[User]\Application Data\Mozilla\ Firefox\Profiles\xxxxxxxx.default\

C:\Documents and Settingd\[user]\Local Settings\Application Data\ Firefox\Profiles\xxxxxxxx.default\Cache\

Windows 7 y 8

C:\Users\[User]\AppData]Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\Cache\

C:\Users\[User]\AppData\Roaming\Mozilla\Firefox\Profiles\xxxxxxxx.default\

Linux

~/.mozilla/firefox/xxxxxxxx.default/

Mac

~/Library/Application Support/Firefox/Profiles/xxxxxxxx.default/

~/Library/Application Support/Mozilla/Extensions

~/Library/Caches/Firefox/Profiles/xxxxxxxx.default/Cache/

Las tareas básicas de un navegador

Los navegadores son las aplicaciones mas utilizadas ya que con ellas podemos acceder a recursos (paginas web) en Internet , navegar,enviar y recibir información , vamos a ver las principales características de un navegador.

1. Interfaz de usuario : Toda la pantalla del navegador
2. Motor del navegador : El que se encarga de interpretar los .css , .html 
3. Motor de Renderizado :  se encarga formatear la información  de tal manera que puedan ser visualizados en nuestro navegador
4. Networking : se encargar de realizar las consultas mediante el protocolo HTTP
5. Motor de Javascript :  se encarga de interpretar el contenido de los archivos .js (javascript,jQuery,etc)
6. Almacenamiento de la información :  es la capa que se encarga de almacenar la información de nuestro navegador en el disco duro (nuestro objetivo).

Cuando uno ingresa una dirección URL en la barra de direcciones el navegador lo que hace es comunicarse con un servidor de de nombre (DNS) para resolver una dirección IP y acceder al servidor web apropiado, una vez conectado mediante los comandos del protocolo HTTP puede realizar consultas y recibir la información.

El navegador lee el codigo HTML , desplegando la información de los recursos solicitados,esos recursos pueden ser paginas html , pdf, archivos de diferentes extensiones o formatos, el navegador web almacena la información en su cache para reducir el uso de ancho de banda y la carga de recursos desde los servidores.

Ubicación del Cache en Firefox

Se almacenan metadatos , la ubicación del cache de firefox mozilla es la siguiente.

C:\Users\[User]\AppData\Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\Cache

C:\Users\[User]\AppData\Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\jumplistCache

C:\Users\[User]\AppData\Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\OfflineCache

C:\Users\[User]\AppData\Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\startupCache

En el directorio C:\Users\[User]\AppData\Local\Mozilla\Firefox\Profiles\xxxxxxxx.default\Cache se encuentran 4 archivos primarios que son los siguientes.

1. _CACHE_001_ :  almacenamiento de metadatos de bloques de 512  bytes
2. _CACHE_002_ :  almacenamiento de metadatos de bloques de 1204 bytes
3. _CACHE_003_:  almacenamiento de metadatos de bloques de 4096 bytes
4. _CAHCE_MAP_: este archivo se encarga de cruzar la informacion de metadatos y datos

Por el momento concluimos con la parte teórica, ya que viene una segunda parte con un poco de teoría y una tool ;) 

Favelas 2.0 (Internet Profunda )

Hablando de la Internet profunda podemos decir que es todo lo que no se encuentra en la Internet superficial , es decir todo las "cosas" que Google no indexa en su motor de búsqueda.

Existe un mundo 2.0 que desconocemos y podemos encontrar todo tipo de cosas , desde pasaportes falsos, trata y trafico de personas , "hackers", pedofilos , pederastas, asesisno a sueldos (y ellos exigen seriedad en el trabajo!).

Del 100 % de internet solo llegamos a navegar por un 20% y el 80% es conocida como la Deep Web , aqui les dejo algunos ejemplos de búsquedas en Google.

Imagen 1  - Algún capo de Sinaloa

Aquí podemos encontrar "hackers" , gente que quiere destruir Chile , espero que no se arme la "Guerra"

Imagen 2  "Hackers" de alquiler

 De igual forma demos encontrar pasaportes, actas de nacimiento , permisos para conducir , compra y venta de billetes falsos.

Imagen 3  Compra y venta de Pasaportes , Billetes Falsos

Existe un mercado que mueve mucho dinero en Internet ,si los buscadores tuvieran la capacidad de acceder a toda la información , entonces la magnitud de la "Internet profunda" se reduciría casi en su totalidad. No obstante  , no desaparecería totalmente porque siempre existirán paginas privadas.

EOF

Análisis Forense Digital (Entrenamiento)

Hace algunos días culmino el primer entrenamiento de Análisis forense digital (Fundamentos) en Guatemala, el cual lo impartí orientado al análisis de sistema operativo Microsoft Windows.

El grupo era nuevo en este tema , la misión era un poco complicada ya que considere que deberían captar la base y un cimiento solido sobre la metodología de trabajo y no en las herramientas de análisis forense.

Creo totalmente en la frase "el conocimiento es libre " y es deber de nosotros compartir y contribuir a la sociedad.

Al finalizar el curso y comenzar a revisar los informes que presentaron, me alegre de ver que si habían captado la base del Análisis forense Digital y no solo la parte técnica sino también la parte del marco legal de Guatemala.

Dos grupos los cuales sintieron un antes y un después del curso, por los "pasillos" se escuchan rumores que quieren un curso mas avanzado , el despertar la curiosidad por esta rama de la tecnología.

Espero seguir aportando con el conocimiento (muy poco) y bueno nos vemos en el proximo Entrenamiento de AFD.

Saludos!

Escribiendo un Exploit ( Buffer Overflow) I

Existen muchos artículos en Internet "de todos los colores y sabores del arcoiris" que explican como funciona el "buffer overlflow" , voy a tratar de explicarlo como me hubiera gustado que me lo expliquen xD.

Antes de entrar a sobre-escribir las direcciones de memoria y buscar un jmp , tenemos que conocer la teoría para llevarlo a la practica.

Comencemos por lo básico que son los registros del procesador, si necesitas saber sobre sistemas de numeración como ser binario , decimal o hexadecimal te sugiero el siguiente enlace.

La forma en que se representa la memoria depende únicamente de la arquitectura del procesador dicho esto existen 2 formas de hacerlo

• Big Endian: El byte más significativo se representa a la izquierda.De izquierda a derecha).
• Little Endian: El byte mas significativo se representa a la derecha. Análogamente, de derecha a izquierda

Representación de la dirección de memoria 01234567

EAX , EBX , ECX , ESI , EDI : Son registros multipropositos para usarlo segun el programa.

EAX: Es el registro acumulador cualquier instruccion de retorno la almacena el valor en EAX.

EBX: Este registro es utilizado como manejador o "handler" de ficheros de direcciones de memoria.

ECX: Se utiliza como registro contador , por ejemplo para aplicar un ciclo o loop , cuando ECX llega a 0 el ciclo acaba

ESI & EDI: Son registros que son utilizados para guardar direcciones de memoria.

EIP: Es el registro donde se almacena la dirección de la siguiente instrucción que debe ejecutar el ordenador.

EBP: Es el registro "puntero a base", apunta al elemento mas alto de la pila ; la pila es una estructurara de datos que utiliza el procesador para ayudarse en la ejecución de los programas.

ESP:  Es el registro que apunta a la "cima" , apunta a la direccion de memoria (donde comienza la pila).

NOP: Instrucción en ensamblador que significa "No Operation" , lo único que hace e aumentar en uno el registro de la siguiente instrucción "EIP".

Cabe aclarar que el modo de acceso a la "pila" es LIFO , "last in ;first out" el ultimo en entrar el primero en salir.

¿Que es el desbordamiento de memoria?

Sencillamente se puede definir como un error en nuestro código que no controla correctamente la cantidad de datos que se copian sobre una area de memoria reservada (Buffer).

Si tenemos asignados en un array (independiente del lenguaje de programación) 30 espacios y nosotros "introducimos" 40 espacios en , estamos causando un desbordamiento de memoria por que los asignados son 30 y no 40.

El siguiente código (escrito en C) es vulnerable

#include  
int main (int argc, char **argv)

{ 
    char buffer[64];
    if (argc < 2){ 
        printf ("Introduzca un argumento al programa\n");  
        return 0;  acaba
        }
    strcpy (buffer, argv[1])
    return 0; 
}

La funcion principal recibe argumentos como parametro ,reservamos un buffer de 64 espacios continuos en memoria de tipo "char" creando nuestro buffer.

char *strcpy(char *cadena1, const char *cadena2);

La funcion strcpy copia la cadena2 (incluyendo el caracter nulo "\0" en la cadena1) , el gran problema es que no verifica que la cadena2 sea del mismo "tamaño" o menor a la del buffer sobre-escribiendo las direcciones de memoria contiguas generando el desbordamiento.

Creo que para ser la introducción por el momento estamos bien!  , en el proximo post, queda totalmente prohibido la teoria y directo a la practica!

Slds

Ingeniera Social con SET

Social Engineer Tool Kit , es un script que nos proporciona una infinidad de herramientas de ingeniería social , este conjunto de herramientas se integran perfectamente a Metasploit .

Podemos seleccionar el tipo de vector de ataque que mas nos guste ;) en mi caso selecciono el vector Web

Menu principal de nuestro SET

seleccionamos la opción numero 1 y luego el vector de ataque web 

Este vector de ataque nos permite utilizar  plantillas web o clonar  :3 , para verificar el poder de la herramienta decidimos clonar 

Como se puede observar en la imagen especificamos la ip la cual nos va a permitir robar las credenciales y el dominio que deseamos clonar , como esto es una prueba de concepto  y no un ataque real , no se explicara como envenenar un dns o suplantar un dns eso se los dejo a uds ;) 

accedemos por un navegador a nuestra ip 192.168.0.17 y este es el resultado.

Clonación perfecta! , ingresamos nuestros datos y hacemos un submit y del lado del atacante aparece la siguiente información en SET.

Datos interesantes , si ya tenemos iniciada una sesión de gmail , el ataque redirecciona la ip falsa a la verdadera bandeja de entrada, y lo mas importante las preciadas Credenciales.

Slds

Ingeniera Social un enfoque teórico , hackeando el cerebro humano

La ingeniera social es el medio o el canal por el cual un intruso puede manipular a los usuarios para conseguir acceso "licito"  a la información , robar credenciales o escalar privilegios en un sistema comprometido.

Libro The Art of Human Hacking - SET

 La ingeniera social considera al eslabón mas débil de un sistema al usuario , es por eso que hoy en día existen infinidad de técnicas para engañar al usuario o realizar ataques del lado del cliente (el usuario) , un atacante podría aprovecharse de las emociones de los usuarios para llamar su atención y hacer que el usuario ejecute "algo" en el equipo y lograr acceder a su objetivo.

Planteemos el siguiente escenario , Supongamos que nuestro objetivo es llegar a acceder al equipo del gerente general; bueno necesitamos recabar la mayor información posible , hoy en día resulta fácil gracias a las redes sociales como :facebook , twitter y Linkedin (solo por dar un ejemplo) sin olvidar a los motores de búsquedas.

En la fase de "information Gathering" nos damos cuenta que a nuestro usuario pertenece a un grupo contra el maltrato de animales en Facebook, lo siguiente seria preparar un archivo "malicioso" y enviar por correo a nuestra victima con algún titulo como, "Felicidades Ud ha sido seleccionado para ser parte de la organización mas grande en contra del maltrato animal", en este escenario estamos hackeando una emocion "el interes"

Considero que en las empresas se debería capacitar al usuario y generar conciencia de lo que están expuesto con el sólo hecho de estar conectados a Internet.

De nada sirve invertir en Firewalls, IDS y cual otra tecnología que ayude a asegurar el perímetro, si nuestros usuarios desconocen el riesgo de estar expuestos a internet

Para terminar les recomiendo una interesante película llamada 9 Reinas

 

Robando Credenciales con incógnito (Procesos en Memoria)

Continuando con meterpreter , existe una "utilidad" llamada incógnito originalmente independiente que se integro a metasploit y luego en meterpreter, esta herramienta permita robar los "tokens" en un sistema comprometido haciendo analogía a las Cookies de la web.

Es decir si un usuario ejecuta un proceso y nosotros lo listamos con ps de meterpreter , verificamos los procesos creados ( y que usuario los creo el mismo) incógnito permite robar las credenciales del proceso en memoria y obtener la "identidad", en otras palabras suplantar sus roles y permisos del sistema comprometido.

Siguiendo el post de Metasploit & Meterpreter , una vez comprometido el sistema podríamos robar las credenciales , ¿ para que corno robar las credenciales? , bueno depende de nuestra imaginacion.

Supongamos que necesitamos crear usuarios un Controlador de dominio y sabes a priori tenemos identificado el dominio , en nuestro caso se llama pps-labs

Listando los procesos con el comando ps de meterpreter

 Antes de robar la nueva "identidad" verificamos la nuestra, en este caso el servidor comprometido es un windows 2003 server y estamos como administrador

Window server 2003 Comprometido

Usuario antes de robar la credencial con incógnito

En el listado encontramos a un usuario\dominio llamado Chuck\pps-labs para robar la credencial necesitamos conocer el PID (identificador de proceso) 1540, procedemos a robar la credencial.

Robando la credencial con incógnito "steal_token PID"

Imaginemos el siguiente escenario , supongamos el usuario Chuck es el dueño y señor del controlador de dominio(Windows 2008), una vez suplantada su identidad podríamos crear usuarios , eliminar o modificar los grupos y permisos del usuario que necesitemos.

En mi caso creare un usuario y lo agregar al grupo de administradores del Servidor Windows 2008 R1 desde una shell remota de un Windows 2003 Server.

Agregando un usuario NET USER

Una vez agregado el usuario con la identidad (Chuck el administrador de dominio del windows 2008 server ) , procedemos a agregar al grupo de administradores

Agregando nuestro usuario creado al grupo de "Administradores"

Con eso acabamos de crear un usuario del el dominio pps-labs  en el windows 2008 R1 sin acceder al mismo.

ipconfig windows 2008 server

Considero que incógnito es una utilidad que todo pentester debería conocer y utilizar.

Saludos!

Hombre en el medio MITM (La teoría)

Este ataque es uno de los mas viejos y de los mas utilizados , en pocas palabras MITM es una ataque en el cual un intruso puede llegar a interceptar , leer y modificar un mensaje enviado entre 2 partes sin que el emisor o receptor se de cuenta de lo que esta pasando.

Envenenamiento ARP

Una de las formas mas habituales de realizar este ataque es utilizando un router WIFI para interceptar las comunicaciones de los usuarios, para nuestro amado linux existen varias herramientas para realizar el ataque como ser :

• arpspoof 
• Ettercap
• SSLstrip
• Cain (Windows)

La técnica consiste en enviar paquetes ARP falsos , con la finalidad de asociar la  dirección MAC del intruso con la dirección IP de otro nodo (la victima), como por ejemplo la puerta de enlace predeterminada ,proxy Transparente , router Wifi.

Cualquier paquete (datos o información) que sea enviado a la puerta de enlace o router podría ser interceptado y modificado por un intruso, en lugar de ser recibido por el receptor real.

 El intruso, dependiendo de lo que que quiera o necesite hacer puede reenviar el trafico (ataque pasivo) , o modificar los datos antes de reenviarlos (ataque activo). 

Se puede crear un tipo de ataque de Denegacion de Servicio (D.O.S) el atacante podria asociar una dirección MAC que no existe a la IP de la puerta de enlace de la victima 

Herramienta Arpspoof

Una forma de mitigar este ataque es utilizando tablas ARP estáticas agregar las entradas estáticas ARP,de esta forma no se podria envenenar la cache de las tablas (dinámicas) cada entrada de la tabla mapea una dirección MAC con su correspondiente dirección IP.

Esta no es una solución práctica (ni optima), sobre todo en redes grandes, el esfuerzo de mantener actualizadas  las tablas ARP (MAC & IP) != DHCP fail!

Muy bien ya que entramos en la teoría, estamos listos para pasar a la practica con las distintas herramientas y "escenarios" que se pueden presentar.

Metasploit & Metepreter (Diversion garantizada)

Metasploit es un framework que nos proporciona múltiples exploit y herramientas que nos permiten identificar vulnerabilidades en una prueba de penetración de sistemas.

Recuerdo cuando no existia este framework y tenias que descargar cada exploit , modificarlo y compilarlo por lo general todos estaban escritos C, como olvidar el exploit de tarasco que explotaba una vulnerabilidad conocida en los sistemas Windows "RPC DCOM" mi primera shell reversa con windows XP fue amor a primera vista .

Comenzamos determinando el S.O , los servicios y versiones de software con el que cuenta nuestro objetivo (Target).

Determinamos que nuestro objetivo es un w2k3 sin parche alguno , ejecutamos metasploit  buscamo el exploit para nuestro w2k3 , configuramos el ms03_026_dcom , en nuestro caso vamos a utilizar como payload a meterpreter y una shell reversa por si hay algún firewall "protegiendo" el S.O

En la imagen podemos observar que metepreter creo una sesión de forma exitosa, ahora podemos hacer lo que nuestra imaginación nos permita , el comando sysinfo permite obtener datos del S.O.

Con el comando Shell nos devuelve una "shell" del S.O , con la cual podemos utilizar los comandos nativos de Windows , como por ejemplo listar la configuración de las IP

Listamos los procesos del sistema operativo con el comando Tasklist

Para volver a la sesión de meterpreter solo escribimos exit, con el comando screenshot capturamos la pantalla actual del servidor

 

Metepreter nos permite hacer un dump al archivo SAM de windows , para posteriormente crackear, con el comando upload subimos un Netcat al equipo y modificamos el editor de registros de windows para crear una BindShell.

 

Modificamos "regedit"

Ya tenemos una puerta trasera escuchando en un puerto en este caso el 666 jajaaj, meterpreter permite aplicar técnicas "anti forenses" como el de limpiar el registro de eventos de windows para no "dejar" huellas con el comando clearev.

  

Mientras menos rastros se pueda dejar en una intrusión mejor , el nivel de experiencia de un buen pentester es proporcional a las huellas que pueda dejar en una intrusión.

Crakeando password WEP con Kali Linux

El tema de Cracking wep es un poco viejo , de todas formas dejo un video aquí que fue realizado para un laboratorio , en el postgrado de Seguridad Informática.

Entrando un poco en la teoría , WEP viene de "Wired Equivalent Privacy"  es un método de cifrado incluido en el  protocolo de 802.11 que utiliza el algoritmo RC4 que utiliza claves de 64 bits, de los cuales 24 bits son del vector de iniciación.

El principal problema radica en que no implementa adecuadamente el vector de iniciación del algoritmo RC4, ya que utiliza un enfoque directo y predecible para incrementar el vector de un paquete a otro.

En nuestro caso utilizamos la suite de herramientas (Aircrack-ng) que viene en  Kali , para capturar datos y romper la clave.

Al final de todo el proceso deberían ver una imagen parecida a esta.

Mitos y Leyendas sobre el Análisis Forense

 

Fracamente no se cual sea el nombre de al serie , pero lo que dicen es totalmente falso , comparto este video con ustedes espero y les guste!

Pd: Rastrear una ip no es tan sencillo como ellos piensan , existen muchos factores para llegar a dar con una ip.

Google Hacking

Una muy buena herramienta para "encontrar" datos o informacion precisa en la etapa de reconocimiento es Google . El tema de Google hacking ya es muy conocido en el ambito de seguridad , vamos a ver los operadores mas utilizados y que en conjunto nos ayuda a obtener datos muy relevantes

En nuestro caso nos vamos a centrar sobre los operadores de busquedas mas utilizados y mas peligrosos.

site: dominio.com

Este operador nos devuelve toda la informacion relacionada a un dominio en especial 

Este operador es muy util cuando se tiene definido el objetivo o target a atacar , en este caso lo utilizo de ejemplo con mi blog.

intext:Reconocimiento 

Este operador nos permite encontrar una palabra especifica en internet pero podemos combinar con el operador site  para encontrar algun texto en especifico en el objtetivo 

site:dominio.com intext:Texto

como se puede observar en la imagen combinando los 2 parametros encontre una entrada con el texto reconocimiento,

inurl : /login 

Este operador es uno de los que mas me gusta por que me permite encontrar , direcotorios en especificos, como siempre lo debemos de utilizar con site para especificar nuestro objetivo.

filetype: html | php | doc | docx | pdf | txt | xls

Este operador considero que es el mas utilizado ya que nos permite encontrar un archivo en especifico de acuerdo a la extension del mismo

intitle: texto

Este operador nos permite realizar busqueda de paginas que contenga al texto como titulo de la misma , es muy util y peligroso.

Les dejo una imagen en la cual se puede observar todos los operadores

Saludos

EOF!

Reconocimiento (El arte de Extraer datos de Internet)

Cuando se realiza una prueba de penetración de sistemas (Pentest ) ,una de las etapas mas importante y la que va a definir el éxito de nuestra intrusión es en la cual recopilamos información relacionado con nuestro objetivo de ataque.

Esta etapa puede ser divida en reconocimiento pasivo o activo , en el reconocimiento pasivo tratamos de obtener la mayor información de nuestro objetivo de una manera indirecta (Es decir buscando información , foros , grupos , paginas web  y donde la imaginación te lo permita.

Bueno basta de "bla bla bla" y manos a la obra en mi caso voy a utilizar a Google para extraer información combinando con análisis de metadatos.

Google cuenta con operadores que nos permite realizar búsquedas "precisas" pueden encontrar los operadores aqui.

En este caso estamos buscando todos los sitios que terminen en gob.bo y que nos liste todos los archivos con la extensión xls, descargamos el archivo, con la ayuda de nuestro amigo exiftool vamos a extraer los metadatos.

Podemos observar claramente un usuario "lcaballero" ,aquí ya estamos obteniendo un  posible usuario de dominio dentro un ambiente Microsoft.

En la caja de herramientas de nuestra distribución Kali (Backtrack 6) encontramos a maltego , excelente herramienta que nos permite recolectar todo tipo de información de nuestro target .

  

En este caso buscamos todos los documentos que esten relacionados con nuestro objetivo.Los cuales como se observo anteriormente no pasan por un proceso de limpiado de datos , según esquemas nacionales de seguridad recomiendan eliminar o limpiar los datos de archivos.