Hacker de película

Un compañero me habló de esta web, pero la verdad es que la idea es muy divertida.  Emular el comportamiento de un hacker de película. Por supuesto con final feliz.

http://hackertyper.net
Prueba la web, hay varios trucos, como por ejemplo: Intento de hacking detectado!!!!
Robclav

Master Class protección web con Palaolto Networks

Miércoles 09:30 CEST Gran Hotel Central.Via Laietana 30,Barcelona. Evento Exclusive Networks-PAN España.

Empezó la sesión de Master Class con regusto (legal) +++The Mentor+++ Manifiesto Hacker 1986 por parte de Jesús Díez System Engineer de Paloalto Networks.

Para los que no conozcáis a Jesús, como me pasaba a mí hasta el miércoles, es uno de esos ingenieros con un discurso sencillo, apasionado, mordaz y experimentado en auditorías de seguridad. Por asimilarlo, seria una versión formal de Chema Alonso.

Vaya uno de esos pocos conferenciantes que puede convertir un evento en una experiencia: discusiones de hacking sobre Cross-site scripting, SQL injection, parameter tampering, ejecución de comandos de SO y acceso completo a la Shell. Todo esto con una web de e-commerce de ejemplo a modo de punching ball, siguiendo la estela de WebGoat de la comunidad OWASP

Evidentemente el ejercicio consistió en destrozar todas las protecciones del portal y demostrarlo con escalado de privilegios, acceso a información sensible o cosas simples del tipo enviarte productos de forma gratuita.

Algunas de las claves de la sesiones fueron:

• Explicación de fases clásicas de ataque.
• Utilización de Herramienta proxy Paros.-MiM web con spider y crowler de pasivo y activo.
• Explotación de información del fichero /robots.txt que se crea para los spiders oficiales tipo google.
• Deconstrucción de la programación de las web. Vector de ataque fijado en las comprovaciones realizadas en el lado del usuario. Ej, bypass de la comprovación de las tarjetas bancarias mediant algoritmo LUHN.Luhn_algorithm
• Identificación de codificación Grupo64 que oculta datos sensibles y acceleración del desencriptado de MD5 sin usar Johntheripper, sino mediante BBDD online.
• Explotación automátizada de ataques de inyección de código SQL usando Sqlix

Finalización de la sesión con la creación de CONTRAMEDIDAS en el PALOALTO.


A destacar, la diferenciación entre los motores de aprendizaje dinámico del comportamiento esperado de las webs,  de los mejores WAF y la diferencia con PAN.  Por otra parte, creo que la exposición del final, fue clave para entender la orientación de algunas herramientas integradas en los PAN como puede ser la desencriptación del tráfico SSL.  Un ejemplo seria, descargar del trabajo de cifrado SSL a los servidores internos de la dmz, y poder tratar al tráfico en claro. Por otra parte, la utilización de los filtros por tipo de fichero y firmas de DLP hicieron prácticamente el resto.

Valoración del evento: IMPRESCINDIBLE y DIVERTIDO

hth,

Robclav

El giro de Cisco, descubriendo tecnología emergente (II)

(Viene del post anterior)

Otras tecnologías/productos/servicios de CISCO que se han convertido en el origen de coordenadas para los futuros desarrollos y esfuerzos comerciales son las siguientes:

Cisco CIUS, Integración mediante desarrollo de aplicaciones con Android, Apple IOS (no había más nombres para un sistema operativo).

Unified Fabric como respuesta a todos los entornos virtualizados, con o sin red de almacenamiento(SAN). La familia Nexus, está creciendo por la parte alta permitiendo integrar diferentes tipos de conectores para las SAN, así como nuevos protocolos que permitan una "movilidad" de las máquinas virtuales entre chasis, localizaciones o redes de almacenamiento.

Cisco Identity Services como núcleo vertebrador de TrustSEC, dentro de la arquitectura segura llamada SecureX(busca el post al respecto) de CISCO. En resumen, un NAC que además identifica aplicaciones, usuarios, plataforma del tráfico en curso. También conocido como Plan B, cuando no puedes comprar un producto maduro NGN que dote de visibilidad a tu red y tu has descontinuado el desarrollo de los ASA.

Virtual Security Gateway (Firewall virtual) como extension de los Virtual Nexus 1000. Que se traduce en un firewall integrado en el sistema virtualizador. Los detalles de si trabaja a nivel de hypervisor, como se integra con el nexus 1000V y flujos en el siguiente blog en catellano.  cisco-virtual-networking-novedades-cisco-vsg. También en Cisco, pero menos claro.

Por cierto, esto es competencia frontal con el producto adquirido por Juniper, Altor networks vGW por Virtual Gateway, que sí que se integra a nivel de hypervisor.

Hth,

RobClav