Ya están disponible para descarga las presentaciones de CanSecWest Vancouver 2015. La lista es la siguiente:

• Project Zero: Making 0days Hard - Ben Hawkes, Chris Evans Google
• Taming wild copies: from hopeless crash to working exploit - Chris Evans @scarybeasts of Google's Project Zero
• I see therefore I am.... You - Jan "starbug" Krissler, T-Labs/CCC
• Smart COM fuzzing tool - Explore More Sandbox Bypassing Surface in COM objects - Xiaoning Li & Haifei Li, Intel
• A new class of vulnerability in SMI Handlers of BIOS/UEFI Firmware - John Loucaides & Andrew Furtak, Intel
• Sexrets in LoadLibrary - Yang Yu @tombkeeper, Tencent
• Attacking WebKit Applications by exploiting memory corruption bugs - Liang Chen of KeenTeam
• Userland Exploits of Pangu 8 - Team Pangu @PanguTeam
• Attacks on UEFI Security - Rafal Wojtczuk & Corey Kallenberg
• FreeSentry: Protecting against use-after-free vulnerabilities due to dangling pointers - Yves Younan, Cisco (Sourcefire/VRT)
• DLL Hijacking' on OS X? #@%& Yeah! - Patrick Wardle @patrickwardle, Synack
• Memminer: Real-Time Passive Volatile Memory Inspection Inside Virtual Machines - John Williams, EY
• NDIS Packet of Death: Turning Windows' Complexity Against Itself - Nitay Artenstein, Checkpoint
• How many million BIOSes would you like to infect? - Corey Kallenberg & Xeno Kovah, LegbaCore
• UEFI, Open Platforms and the Defender's Dillema - Vincent Zimmer, Intel
• Wolf in Sheep's Clothing: Your Next APT is Alread  Whitelisted - Fabio Assolini and Juan Andres Guerrero-Saade
• There's Something About WMI - Christopher Glyer and Devon Kerr, Mandiant
• Credential Assessment: Mapping Privilege Escalation at Scale - Matthew Weeks, root9b
• From baseband to bitstream and back again: What security researchers really want to do with SDR - Andy Davis, NCC Group
• Bootkit via SMS: 4G access level security assessment - Kirill Nesterov and Timur Yunusov

Si te encuentras en la necesidad, por el motivo que sea, de tener que acceder al código fuente de una aplicación Java y obviamente no tienes acceso al mismo, la mejor opción en la mayoría de los casos es usar un decompilador. Por la naturaleza de la arquitectura del lenguaje Java, a menos que la aplicación que tenemos entre manos haya sido ofuscada, el resultado de la decompilación suele ser bastante precisa, con quizás algunas excepciones.

Desde el Instituto Politécnico de Renssselaer en Troy, Nueva York, nos nos podemos descargar el material de la asignatura titulada Explotación Moderna de Binarios (Modern Binary Expoitation).

La asignatura contiene el siguiente contenido:

• Temario (PDF), diapositivas (PDF).
• Herramientas e Ingeniería Inversa Básica PDF - PPTX. Práctica
• Ingeniería Inversa (continucación) PDF. Práctica
• Ingeniería Inversa Taller
• Introducción a la corrupción de la memoria PDF VM Material Extra
• Práctica corrupción de memoria (no disponible)
• Shellcoding PDF
• Shellcoding PDF de la práctica (La práctica en sí no está disponible)
• Formato de cadenas (Format Strings) PDF
• Formato de cadenas PDF de la Práctica (Práctica no disponible)
• DEP y ROP PDF
• ROP práctica PDF de la práctica (Práctica no disponible)
• Sistemas Seguros y explotación de consolas de juegos PDF PPTX
• Proyecto uno PDF
• ASLR PDF

1. The Imitation Game

I propose to consider the question, “Can machines think?” This should begin with definitions of the meaning of the terms “machine” and “think.” The definitions might be framed so as to reflect so far as possible the normal use of the words, but this attitude is dangerous, If the meaning of the words “machine” and “think” are to be found by examining how they are commonly used it is difficult to escape the conclusion that the meaning and the answer to the question, “Can machines think?” is to be sought in a statistical survey such as a Gallup poll. But this is absurd. Instead of attempting such a definition I shall replace the question by another, which is closely related to it and is expressed in relatively unambiguous words.

ISIS Lab’s Hack Night es un evento que ocurre cada miércoles a las 6 de la tarde en Brooklyn, Nueva York, dónde enseñan técnicas básicas sobre seguridad ofensiva. Si vives por allí fenomenal, puedes asistir en persona, pero si no vives cerca, ¿Qué me importa a mi? Te preguntarás…

La razón de esta entrada no es sobre este evento en particular, sino porque el material que usan para la enseñanza están disponibles de forma gratuita.

Antes de nada para aquellos que no los sepan, CITIZENFOUR es un documental que Laura Poitras creó basado en la historia detrás de Edward Snowden y la revelación de documentos sobre los programas secretos de la NSA y otras agencias de inteligencia.

Dicho documental también fue ganador del Oscar al mejor documental 2014. Al final del documental, Laura Poitras menciona la lista de herramientas que ella considera fueron esenciales y sin éstas, dicho documental no hubiera sido posible.

Desde Linux, al menos en Ubuntu, recuperar la contraseña de tu wifi o alguna de las redes inalámbricas que te hayas conectado con anterioridad, es muy fácil, desde las propiedades del la configuración de red, puedes acceder a las mismas.

Esta entrada como bien dice el título está enfocada a usar la línea de comandos. Desde Ubuntu Linux, para el resto de distribuciones será igual o alguna forma muy parecida, sólo tenemos que ejecutar:

DARPA, Agencia de Proyectos de Investigación Avanzados de Defensa, está desarrollando un buscador capaz buscar información en la deep web, además de la internet que todos conocemos.

El nombre del proyecto es Memex, inspirado en un articulo titulado As we may think, en el que su autor predice cómo un ordenador analógico sustituye la memoria humana, Memex compuesto por las palabras memoria e índice (MEMory and indEX).

El objetivo de dicho buscador, es cubrir la necesidad de encontrar información relevante que ayude a las fuerzas de la ley a combatir el crimen que tiene lugar en la Internet más oculta. Según Chris White, manager del programa DARPA, los buscadores actuales como Google, Bing o Yahoo! sólo con capaces de indexar el 5% del contenido en Internet.

Ya están disponibles en archive.org los vídeos de recién terminada conferencia de seguridad informática celebrada en Washington DC, Shmoocon 2015.

La lista es la siguiente:

• 0wn the Con
• 5 Usability
• Analyzing POS Malware
• Ask EFF
• Automated Binary Analysis with Pin and Python
• BIOS Bugs
• Closing Remarks
• Cockroach Analysis
• College Hacking
• Come to the Dark Side
• Crypto
• Dark Art of Data Visualization
• Deception for the Cyber Defender
• Eliminating Timing Side Channel Attacks
• Get off my lawn
• How Random Is Your RNG
• Infrastructure Tracking
• Keynote
• Knock Knock
• Malicious Image Spam
• Manually Searching Advisories and Blogs for Threat Data
• Micronesia
• NSA USB Playset
• NaCl Crypto Library
• No Budget Threat Intel
• Opening Rants
• Practical Machine Learning for Network Security
• Quantum Computing
• Rethinking Securitys Role in CompSci Edu
• SEWIFI
• Saturday Firetalks
• Tap On Tap Off
• The Joy of Intelligent Proactive Security
• Understanding a New Memory Corruption Defense
• Userland Persistance
• Where The Wild Things Are
• Wheres Waldo
• White is the New Black
• Whitelisting Evasion
• Windows Sandbox Paradox
• httpscreenshot

Los que tengáis el privilegio de poder aburriros, nada mejor como un buen reto para le mente, pero cómo aquí nos encanta la programación y la seguridad, el contenido de esta entrada es una lista de recursos/enlaces sobre retos de programación y seguridad, valga la redundancia.

Hackertainment recopila una amplia y valiosa lista de enlaces, muchos de ellos bien conocidos y otros muchos quizás no tanto, y algunos ya publicados en este blog.