LOGS

CTF #nullcon 2012: Análisis de logs 1



En esta primera prueba se nos da un fichero de logs (Nikto) no muy largo con lo cual muy rápido de analizar. Entre las líneas del mismo podemos ver esto:

...
+ OSVDB-3092: GET /test.txt : This might be interesting...
+ OSVDB-3092: GET /phpmyadmin/ : phpMyAdmin is for managing MySQL databases, and should be protected or limited to authorized hosts.
+ OSVDB-3268: GET /challenge/logically_insane/ : Directory indexing is enabled: /challenge/logically_insane/
+ OSVDB-3268: GET /icons/ : Directory indexing is enabled: /icons
+ OSVDB-3268: GET /images/ : Directory indexing is enabled: /images
...

/challenge/logically_insane/ me llamó la atención. Según el escáner ese directorio tiene habilitado la función de listar. Pues accedamos al mismo:

Visualizando un ataque VoIP

En este vídeo podemos ver de una forma visual como se lleva a cabo un ataque VoIP. En el vídeo nos van explicando que va ocurriendo y el significado de los círculos, etc.

Visualizing a cyber attack on a VOIP server from Ben Reardon, Dataviz Australia on Vimeo.

En este segundo vídeo lo que podemos ver es simplemente el tráfico HTTP de una web personal. Los círculos de la izquierda representan los accesos a la web (sacados del log de acceso de Apache). Los círculos pequeños representan peticiones pequeñas y los más grandes, peticiones más grandes. El color indica la procedencia. Y en la parte derecha representa una petición o acceso del referente (referrer). Los números están calculados en base a la media de peticiones por minuto de los últimos 10 minutos.