Powershell scripts para seguridad ofensiva

• August 5, 2015
• tuxotron

Powershell es uno de los recursos que se han convertido en indispensable a la hora de realizar una auditoría que involucra sistemas Windows. Nishang es una colección de scripts escritos en Powershell listos para la acción. En dicha colección tienes scripts que puedes usar en todas las fases de la auditoría, pero quizás los más poderosos sean aquellos para la fase de post-explotación. Las diferentes secciones en las que se organiza esta colección es:
Leer más

Tutoriales sobre ingeniería inversa

• August 2, 2015
• tuxotron

En la web de CyberGuerrilla, bajo el nombre de: Lo que los Blackhats no quieren que sepas, recopilan una seria de tutoriales sobre ingeniería inversa. Desde la utilización de las herramientas esenciales, técnicas de inyección, cracking, creación de tu propio laboratorio, etc. Hay un buen número de tutoriales (en inglés) que sin duda alguna pueden serte útil. Copio y pego la lista: Why am I teaching Reverse Engineering to inexperienced new Anons in OpNewblood?
Leer más

Vídeos de la Infiltrate 2015

• July 28, 2015
• tuxotron

Ya está disponibles los vídeos de la Infiltrate 2015, conferencia sobre seguridad informática celebrada el pasado mes de abril en Miami, Florida. Los vídeos publicados son los siguientes: Alex Ionescu Insection: AWEsomely Exploiting Shared Memory Objects Ram Shankar & Sacha Faust Data Driven Offense Neil Archibald Modern Objective-C Exploitation James Forshaw A Link to the Past: Abusing Symbolic Links on Windows Rusty Wagner & Jordan Wiens Hacking Games in a Hacked Game Infiltrate2015 BJJ Open Mat - part 2 Infiltrate2015 BJJ Open Mat - Part 1 Braden Thomas Technical Keynote: Practical Attacks on DOCSIS Nathan Rittenhouse Problems in Symbolic Fuzzing Joaquim Espinhara & Rafael Silva MIMOSAWRITERROUTER - Abusing EPC on Cisco Router to collect data Patrick Wardle Writing Bad@ss OS X Malware Jacob Torrey HARES: Hardened Anti-Reverse Engineering System Ray Boisvert [keynote] Abyss or Turning Point: Strategy Skills and Tradecraft in the Age of 21st Century Warfare
Leer más

Presentaciones de REcon 2015

• July 22, 2015
• tuxotron

Ya están disponibles las presentaciones de la REcon 2015, una conferencia sobre seguridad que se celebra anualmente en Montreal, Canadá. La lista de presentaciones es la siguiente (de acuerdo con el programa, faltan algunas en estos momentos): 01-joan-calvet-marion-marschalek-paul-rascagneres-Totally-Spies 04-jeffrey-crowell-julien-voisin-Radare2-building-a-new-IDA 05-peter-hlavaty-jihui-lu-This-Time-Font-hunt-you-down-in-4-bytes 06-sophia-d-antoine-Exploiting-Out-of-Order-Execution 07-travis-goodspeed-sergey-bratus-Polyglots-and-Chimeras-in-Digital-Radio-Modes 09-yuriy-bulygin-oleksandr-bazhaniuk-Attacking-and-Defending-BIOS-in-2015 13-colin-o-flynn-Glitching-and-Side-Channel-Analysis-for-All 14-christopher-domas-The-movfuscator 16-yong-chuan-koh-Understaning-the-Microsoft-Office-Protected-View-Sandbox 17-nitay-artenstein-shift-reduce-Pandora-s-Cash-Box-The-Ghost-Under-Your-POS 18-andrew-zonenberg-From-Silicon-to-Compiler 20-steven-vittitoe-Reverse-Engineering-Windows-AFD-sys 21-j00ru-One-font-vulnerability-to-rule-them-all
Leer más

Colección de e-zines sobre hacking

• July 21, 2015
• tuxotron

Hace unas semanas se había publicada un sitio web en Tor en el que se recopilaba una enorme cantidad de e-zines o revistas electrónicas sobre sobre hacking. Para poder acceder a dicho contenido, tenías que estar conectado a Tor, o bien usar unos de esos proxies que te permiten acceder al contenido Tor sin estar conectado a la misma. Antes del boom de la web 2.0 y la blogosfera, el formato de revista electrónica (e-zine) era la forma en que se publicaban y compartían contenidos sobre temas de hacking, seguridad, anarquía, etc.
Leer más

Zero days - security leaks for sale (Documental)

• July 15, 2015
• tuxotron

El documental está en inglés, pero puedes activar los subtítulos (inglés también).
Leer más

Herramientas, tácticas y procedimientos de post-explotación

• July 12, 2015
• tuxotron

Recolectas la información de tu objetivo (recon), aprovechas alguna vulnerabilidad y comprometes el sistema, y ¿ahora qué? ¿Qué haces en el sistema? ¿Cómo te mueves por él? ¿Qué ficheros deberías buscar? ¿Cómo puedes dejar el sistema abierto para tu propio beneficio de forma persistente? ¿Es este el sistema objetivo o tienes que empezar a pivotar o moverte por la red interna? ¿Tengo el acceso que necesito o necesito escalar privilegios?
Leer más

Recursos para el desarrollo de aplicaciones seguras

• July 6, 2015
• tuxotron

No importa que tipo de aplicación escribas o que lenguaje uses, la cruda realidad es que tus aplicaciones tendrán vulnerabilidades. Cuantas más líneas de código escribas, más errores cometerás. La importancia de tomarse muy en serio la seguridad de una aplicación es crucial en los tiempos que corren. Ya lo dicen muchos expertos: hay dos tipos de empresas, las han sido comprometidas y las que todavía no lo saben.
Leer más

Vídeos de la OWASP AppSec Europa 2015

• June 11, 2015
• tuxotron

Ya están disponibles los vídeos de la OWASP AppSec Europa 2015 celebrada en Amsterdam del 19 al 22 de mayo. Martin Knobloch - Opening ceremony Joshua Corman - Continuous Acceleration: Why Continuous Everything Requires A Suppl... Nicolas Gregoire - Server-Side Browsing Considered Harmful Yossi Daya - Rise Of The Machines - How Automated Processes Overtook the Web Aaron Weaver - Building An AppSec Pipeline: Keeping Your Program, And Your Life, Sane Andrew Lee-Thorp - So, You Want To Use A WebView?
Leer más

Colección de herramientas de "pentesting" para entornos Windows

• June 4, 2015
• tuxotron

Cuando hablamos sobre auditar un sistema o sistemas, una de las primeras cosas que quizás haga uno sea armarse con una distribución Kali Linux, pero no sólo de Linux vive el pentester, de hecho un buen pentester debe ir más allá del simple uso de ciertas herramientas o sistema operativo. Si te enfrentas a una auditoría y todo de lo que dispones es de un sistema Windows, quizás esta colección de herramientas llamada Pentest Box te venga como anillo al dedo.
Leer más