Juego: Blind Security Game.-

Buenas, hoy he descubierto el Blind Security Game, básicamente es un juego que consta de 10 niveles en los cuales debemos descifrar una contraseña mediante el uso de cualquier técnica que deseemos (a excepcion de Brute Force).
El link al juego es este http://blindsec.com:81

A divertirse! :-)

Saludos,

PD: El nivel uno es muy cabrón! jajaja (por suerte ya lo pase ¬¬ ). Leer más...

Predicciones para el 2009

Nuestros amigos de TaoSecurity han elaborado sus propias "predicciones" para este 2009 que arranca con todo.

1. Expect greater government involvement in assessing the security of private sector networks. I wasn't inventing this a year ago, and I'm not inventing it now. I'm extrapolating from a trend line. My post Letters You Will Need to Know: 201 CMR 17.00 is just the latest example of increasingly aggressive government involvement in private sector security matters.


2. Expect to start learning about IPv6, or be confused quickly. 2009 is not the year of IPv6, but we're getting there. The US Department of Defense is already grappling with IPv6, despite the compliance charade of mid-2008. Wider adoption of Microsoft Vista and its tunnel mechanisms, along with IPv6-active consumer devices, are driving IPv6 in one form or the other into our lives.


3. Expect at least one cloud security incident to affect something you value.Cloud Security blog, but I know many of us are already depending on cloud services. In 2007 and 2008 we started suffering denial when services suffered problems of availability. Next will be disclosure and then degradation. For more on these terms read First They Came for Bandwidth... This is not the great


4. Expect network security to matter again. I may be a little late on this one, given problems we had with DNS, BGP, and even SSL in 2008. I think these sorts of problems demonstrate that there's lots of vulnerability left outside the platform, operating system, and applications. As IPv6 becomes more important this one is going to the top of the list, probably in 2010.


5. Expect to buy fewer "new" security products. We need to get back to basics by answering the sorts of questions that appeared in my post Marcus Ranum on Network Security. In tough economic times, managers are not going to spend on new equipment if they still don't know what the stuff you just bought does. Spend more time on consolidation and specialization and less time on looking for the next security silver bullet.

Hagamos caso a lo que nos dice Bejtlich ;)

Fuente: TaoSecurity Leer más...

Las ventajas de "Ser Paranoico"

Un excelente ejemplo de cosas que nos suceden a diario:

Siendo Paranoico

Feliz año nuevo!!

Saludos, Leer más...

Network Security Monitor Framework (NSMnow).-

NSMnow es, como su nombre lo indica, un framework desarrollado por SecurixLive [1] para el análisis de la seguridad en redes, esta diseñado para proveer un método sencillo de configuración de un ambiente para que sirva a este propósito. Básicamente cuenta de varias utilidades (sancp [2], sguil [3], snort [4], wireshark[5] -creo que nada más-) que _integradas_ conforman un ambiente de trabajo muy completo. Realmente es recomendable para comenzar ya que es sencillo de instalar y configurar. Pueden visitar la página del proyecto acá.

Más info en:

• [1] SecurixLive
• [2] SANCP Project
• [3] Sguil Porject
• [4] Snort
  
• [5] Wireshark
  

Leer más...

Análisis de Phishing en Standard Bank (30/12/2008).-

Hoy por la mañana he recibido un curioso correo de Standard Bank SA:



Todo parece muy correcto, sin embargo, nadie se cree que Standard Bank necesite verificar nuestros datos. Al margen de eso, el link que aparece en el email es el correcto de Standard Bank aunque si se fijan en detalle esos links nos llevaran a otras URL's, no a las que tienen configuradas, dichas páginas son:

http://standardbank.com.ar.webempresas.idkey26914511442100136208.secupends8.cn/ar_pers/ (para personas)

http://standardbank.com.ar.webempresas.idkey2323415925205188159167.secupends8.cn/ar_corp/ (para empresas)

Hemos encontrado algo interesante, estos no parecen los sitios de Standard Bank, veamos si encontramos en ellos algo interesante (explorando un poquito el código fuente):

var dummy = false;
var procesando = false;

 function SetCookie (name, value) {
  expireDate = new Date;
  expireDate.setDate(expireDate.getDate()+10);
  document.cookie = name + '=' + value + ';expires=' + expireDate.toGMTString();
 }

 function GetCookie (name) {
  var arg = name + "=";
  var alen = arg.length;
  var clen = document.cookie.length;
  var i = 0;
  while (i < clen) {
   var j = i + alen;
   if (document.cookie.substring(i, j) == arg)
    return getCookieVal (j);
    i = document.cookie.indexOf(" ", i) + 1;
    if (i == 0) break;
  }
  return null;
 }

 function getCookieVal(offset) {
  var endstr = document.cookie.indexOf (";", offset);
  if (endstr == -1)
   endstr = document.cookie.length;
  return unescape(document.cookie.substring(offset, endstr));
 }


 function validateLogin (frmForm) {
  var strInput;
  var strError = '';
  var blnSucess = false;
  var strValidos = '1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz';

  with (frmForm) {
    //Valido nombre de usuario
    strInput = usuario.value;
    if (strInput.length < 1) {
      strError += 'Debe ingresar el nombre de usuario.\n';
    } else if (strInput.length < 8 || strInput.length > 12) {
      strError += 'El nombre de usuario debe tener ente 8 y 12 caracteres.\n';
    }
    else
    {
     strIngr = strInput.split("");
     for(j=0; (j<strIngr.length); j++)
     {
       if (strValidos.indexOf(strIngr[j])==-1)
       {
        strError += 'Debe ingresar sólo números o letras';
        break;
       }
     }
    }
    //Valido clave
    strInput = password.value;
    if (strInput.length < 1)
    {
      strError += 'Debe ingresar una clave de acceso.\n';
    }
    else if (strInput.length < 8 || strInput.length > 8)
    {
      strError += 'La clave de acceso debe tener 8 caracteres.\n';
    }
    else
    {
     strIngr = strInput.split("");
     for(j=0; (j<strIngr.length); j++)
     {
       if (strValidos.indexOf(strIngr[j])==-1)
       {
        strError += 'Debe ingresar sólo números o letras';
        break;
       }
     }
    }
  }

  if (strError) {
   alert (strError);
   blnSucess = false;
  } else {

   blnSucess = true;

   if ( dummy == false  )
   {
    dummy = true;
   }
   else
   {
    alert ('Aguarde, su transaccion esta siendo procesada . . .');
       blnSucess = false;
   }
  }
  return blnSucess;
 }

function validaNavegador()
{
 var valida = false;
 if(navigator.appName=="Netscape")
 {
  if(parseFloat(navigator.appVersion) >= 4.75)
  {
   // version correcta 4.75
   valida = true;
  }
  //return;
 }
 else
 {
  var version = new String(navigator.appVersion);
  var i = version.indexOf("MSIE ");
  if(i >= 0)
  {
   var fVersion = parseFloat(version.substring(i + 5))
   if(fVersion >= 5.5) // version correcta 5.5
    valida = true;
    //return;
  }
 }
 if(!valida)
 {

 }
 else
 {
  document.frmLogin.usuario.focus();
 }
}

function load()
{
 // document.frmLogin.usuario.focus();
 validaNavegador();
}

function KBgo(check, link)
{
  if (check.checked == true)
  {
    this.location.href="https://www.standardbank.com.ar:443/cgi-bin/preprd.dll/bkb/access.do?" + link + "&kb=s";
  }
}

Bueno, esto habla por si solo, espera a que ingresemos nuestro user y pass, los obtiene y luego nos redirecciona a la pagina real de Standard Bank, todo típico en un ataque de Phishing, es el modus operandi que se encuentra en cualquier libro. Tengan cuidado y fijense bien adonde entran, las diferencias entre las páginas es nula.

Saludos, Leer más...

Clonar ePassport.-

Hoy he leído en la fabulosa web de THC una noticia publicada por vonJeek en la cual nos brinda toda la información necesaria para poder clonar "nuestro" propio ePassport. Véanlo aquí:

http://freeworld.thc.org/thc-epassport/

Que no caiga en malas manos! ;)
Saludos, Leer más...

MSN Seguro con SIMP Lite

¿Te preocupa que tu información viaje en cleartext por la web?
Si es así y ni siquiera podes tolerar que las comunicaciones del msn se manejen de ese modo, la empresa francesa SECWAY ha desarrollado un software (gratuito para uso personal) llamado SIMP Lite, el cual brinda la opción de generar una comunicación por encriptada con otros usuarios que también posean este programa.



Una buena solución digna de ser aprovechada.

Saludos, Leer más...