XSSer : Cross Site Scripter v1.7b

XSSer es un framework de código libre escrito en python, que permite la automatización de procesos de detección, explotación y publicación de inyección de código “scripting”. Contiene diversas técnicas, tanto para evadir filtros, cómo para explotar código sobre vulnerabilidades de tipo XSS. En la presentación se mostrará la historia y evolución del proyecto, así cómo, una relación de todas las posibilidades que permite la herramienta, tanto desde el punto de vista de un auditor de seguridad profesional, cómo para aquellas personas que apenas tengan conocimientos.

Introducción

Cross Site Scripting (XSS)

• Las vulnerabilidades de XSS abarcaban cualquier ataque que permita ejecutar código de «scripting» en el contexto de otro sitio web.
• Se pueden encontrar en cualquier aplicación que tenga como objetivo final, el presentar la información en un navegador web.
• Usualmente no se validan correctamente los datos de entrada que son usados en algunas aplicaciones permitiendo enviar un script malicioso a la aplicación.
• Para funcionar necesitan un punto de entrada, que suelen ser los formularios.
• A través de un ataque XSS, se puede secuestrar cuentas, cambiar configuraciones de los usuarios, acceder a partes restringidas del sitio, modificar el contenido del sitio, etc.

Tipos de ataques XSS

Ataques Directos

• El ataque de forma directa de XSS (también llamado XSS persistente), se presenta cuando el atacante consigue embeber código HTML malicioso, directamente en los sitios Webs que así lo permiten.
• Funciona localizando puntos débiles en la programación de los filtros de HTML si es que existen, para publicar contenido.
• Este tipo de ataques suele ser el más común, y el código del atacante, se basa en etiquetas HTML (del tipo o
• El resultado muestra una ventana con el texto «hola-mundo».
• Esta vulnerabilidad suele ser usada para efectuar robo de sesiones y phishing.

DESCRIPCIÓN DE XSSer

• Detectar vulnerabilidades de tipo XSS
• Explorar dichas vulnerabilidades de forma local o remota.
• Reportar en tiempo real las vulnerabilidades encontradas.

• Interfaz gráfica
• Dorking
• Soporte para GET y POST (esto es importante ya que en herramientas tratadas en artículos anteriores solo se podían realizar inyecciones con GET).
• Crawling
• Proxy
• Análisis heurístico
• Exploits preconfigurados
• Opciones de exportación.
• Diferentes bypassers para evadir los filtros

• XSS clásica (ejecución de código en un script incrustado)
• Cookie Injection
• Cross Site “Agent” Scripting
• Cross Site “Refer” Scripting
• Inyecciones en “Data Control Protocol” y “Document Objetct Model”
• HTTP Response Splitting Induced

• Download (.tar.gz): XSSer v1.7-1.tar.gz -> md5: a632d9461fc3f73ea3ba2a717b79f45a
• Download (.zip): XSSer v1.7-1.zip -> md5: 1d29f647ec70dc68f927127fbfb1b519

• Torrent (.tar.gz): XSSer v1.7-1.tar.gz.torrent -> md5: 25f14e12455d832be37a2dca5355f70c
• Torrent (.zip): XSSer v1.7-1.zip.torrent -> md5: bf9cf0efb05f9ebaf3b176eabbb183c5

• Directo desde github:

git clone https://github.com/epsylon/xsser-public

 EJEMPLOS DE USO

• Inyección básica

xsser -u “victima.com”

• Inyección automática (prueba todos los vectores)

xsser -u “victima.com” --auto

• Inyección con payload personalizado

xsser -u “victima.com” --payload=”>”

• Explotación en local

xsser -u “victima.com” --Fp = “”

• Explotación en remoto

xsser -u “victima.com” --Fr=””

• Utilización de dorking

xsser -d “inurl: admin/echo” --De “google” --Fp =””

• Utilización de proxy y spoofin de cabecera HTTP Refer

xsser -u “victima.com” --proxy http://localhost:8118 --refer “666.666.666.666”

• Utilización de encoding hexadecimal

xsser -u “victima.com” --Hex

• Inyección múltiple con 5 hilos y codificación con mutación

xsser -u “victima.com” --Cem --threads “5”

• Utilización del crawler con profundidad 3 y 4 páginas

xsser -u “victima.com” -c3 --Cw=4

• Explotación a través de POST

xsser -u “victima.com” -p “target_host=nombre&dns-lookup-php-submit-button=Lookup+DNS”

XSSER GTK

Se trata de una opción algo más intuitiva de usar XSSer.

– Configuration (works with Tor):

– Global Map:

– Spidering:

xsser --gtk

Etiquetas: ataques, Informática, Seguridad., xss

FRAMEWORK PARA LA COMPUTACIÓN FORENSE EN COLOMBIA

Estimados.

Pongo a vuestra disposición el siguiente taller sobre Computación Forense, el mismo que deben responder lo siguiente:

• Detallar 3 conclusiones luego de leer el artículo.
• Detallar a que se refiere el término «Cadena de Custodia».
• Explique que entiende por el Principio de Locard.
• Redactar 1 sugerencia para el tratado de evidencia digital.

Mucha Suerte.!!

CompForense_Taller

Nota: El trabajo debe ser realizado de manera individual y entregado la siguiente clase.

Etiquetas: computación, computacion forense, digital, evidencia, forense, Informática

Excelente Campaña de Karspersky.

Etiquetas: Antivirus, Comerciales, Informática, Seguridad.

Herramientas de Seguridad más Usadas.

Navegando por la web pude encontrar cierta información que puede ser de gran utilidad para aquellas personas que manejan el tema de Seguridad Informática o que desean empaparse del tema. Podemos notar que la siguiente lista está un poco orientada a herramientas de «ataque» , que más a herramientas de «defensa».

• OpenBSD: El sistema operativo preventivamente seguro.
• TCP Wrappers: Un mecanismo de control de acceso y registro clásico basado en IP.
• pwdump3: Permite recuperar las hashes de passwords de Windows localmente o a través de la red aunque syskey no esté habilitado.
• LibNet: Una API (toolkit) de alto nivel permitiendo al programador de aplicaciones construir e inyectar paquetes de red.
• IpTraf: Software para el monitoreo de redes de IP.
• Fping: Un programa para el escaneo con ping en paralelo.
• Bastille: Un script de fortalecimiento de seguridad Para Linux, Max Os X, y HP-UX.
• Winfingerprint: Un escáner de enumeración de Hosts/Redes para Win32.
• TCPTraceroute: Una implementación de traceroute que utiliza paquetes de TCP.
• Shadow Security Scanner: Una herramienta de evaluación de seguridad no-libre.
• pf: El filtro de paquetes innovador de OpenBSD.
• LIDS: Un sistema de detección/defensa de intrusiones para el kernel Linux.
• hfnetchk: Herramienta de Microsoft para evaluar el estado de los parches de todas la máquinas con Windows en una red desde una ubicación central.
• etherape: Un monitor de red gráfico para Unix basado en etherman.
• dig: Una útil herramienta de consulta de DNS que viene de la mano con Bind.
• Crack / Cracklib: El clásico cracker de passwords locales de Alec Muffett.
• cheops / cheops-ng: Nos provee de una interfaz simple a muchas utilidades de red, mapea redes locales o remotas e identifica los sistemas operativos de las máquinas.
• zone alarm: El firewall personal para Windows. Ofrecen una versión gratuita limitada.
• Visual Route: Obtiene información de traceroute/whois y la grafica sobre un mapa del mundo.
• The Coroner’s Toolkit (TCT): Una colección de herramientas orientadas tanto a la recolección como al análisis de información forenese en un sistema Unix.
• tcpreplay: una herramienta para reproducir {replay} archivos guardados con tcpdump o con snoop a velocidades arbitrarias.
• snoop: �Un cantante de rap bastante conocido (Snoop Dogg)! También es un sniffer de redes que viene con Solaris.
• putty: Un excelente cliente de SSH para Windows.
• pstools: Un set de herramientas de línea de comandos gratuito para administrar sistemas Windows (procesar listados, ejecución de comandos, etc).
• arpwatch: Se mantiente al tanto de las equivalencias entre direcciones ethernet e IP y puede detectar ciertos trabajos sucios.

Fuente: http://insecure.org/

Etiquetas: free, Informática, Linux, Microsoft, Seguridad., Windows