Recopilación de VM's y WebApps vulnerables para entrenamiento

Una de las mejores formas de aprender es recrear escenarios reales y llevar a cabo intrusiones sobre ellos, en esta tarea un buen recurso son las imágenes preconfiguradas que hay a nuestra disposición en la red, para todos aquellos que están dispuestos a ponerse manos a la obra va dedicada esta entrada.

Todo lo que necesitas es un programa de virtualización - VBox o VMWare por ejemplo -, un servidor web, paciencia y muchas ganas.

Vamos con la lista:

Metasploitable

Ya hablamos de él en una entrada anterior, Metasploitable es una imagen creada por el equipo de Metasploit sobre Ubuntu donde se han preconfigurado una serie de servicios como Tomcat, Tikiwiki o MySQL para llevar a cabo tests de intrusión.

Link: Descarga aquí

Metasploitable 2

Se trata de una evolución de la imagen anterior con mas vulnerabilidades añadidas.

Link: Descarga aquí

Lamp Security

Lampsecurity consta de una serie de imágenes dedicadas al entrenamiento en seguridad de linux, php, mysql y apache. Además en la web tenéis a mano documentación para no perderse por el camino.

Link: Descarga aquí

Moth

Moth es una imagen dedicada al aprendizaje de seguridad de aplicaciones web. Integra PHP-IDS y mod-security para ayudar al alumno a entender como funcionan los firewall de aplicaciones webs.

Link: Descarga aquí

Damn Vulnerable Linux

DVL integra todo lo que un sistema inseguro debe tener, configuraciones pobres, servicios desactualizados y software explotable para deleite del estudiante.

Link: Descarga aquí

PwnOS

Como su propio nombre indica es una distribución preparada para la intrusión, la finalidad es conseguir acceso root a traves de uno de los multiples puntos de entrada disponible.

Link: Descarga aquí

DVWA

Damn Vulnerable Web App es una aplicación web que podeis desplegar en un servidor web local, tiene diversos niveles de dificultad y podréis entrenar vuestras habilidades con numerosos ataques web como LFI, RFI, XSS, XSRF o SQLi.

Link: Descarga aquí

Gruyere

Es una aplicación de Google que te da la posibilidad no solo de aprender diferentes ataques web sino tambien de como defenderte de ellos. 

Link: Accede desde aquí

webgoat

webgoat es una aplicación construida en J2EE y provista por OWASP que te guiará a traves de diferentes retos simulando escenarios reales mientras aprendes los diferentes tipos de ataques existentes en la web.

Link: Descarga aquí

Aquí lo dejamos por hoy, existen muchos mas entornos de entrenamiento pero las dejaremos para una futura entrada. Si creéis que nos hemos dejado alguna imprescindible no dudéis en dejarlo en los comentarios.

THN desvela XSS en Google

La historia de hoy viene de la mano de Mohit Kumar, fundador de The Hacker News. Según cuentan en la entrada en su página, Kumar reportó el 11 de Septiembre al programa de recompensas de Google una vulnerabilidad de Cross Site Scripting en el dominio googleusercontent.com a lo que el equipo de Google respondió que se trataba de un sandbox y no existían datos del usuario en él por lo que descartaron el aviso.

Un tiempo mas tarde, otro hacker búlgaro llamado Keeper contactó a Kumar para comentarle que la vulnerabilidad seguía activa y que tras avisar repetidas veces a Google no lo habían resuelto, por lo que Kumar optó por publicar su PoC de la vulnerabilidad para presionar a Google a corregirlo.

A coninuación podeis ver la POC:

1. Página de phishing en Google aqui.
2. El usuario llega a una página alojada en un dominio google.com/...
3. Usando el XSS crea un popup para engañar a la víctima
4. El formulario de login es creado con los servicios de Google apuntando a un servidor malicioso.
5. Una vez el usuario introduce sus credenciales son enviados al atacante/aquí

Un numero desconocido de cuentas de Twitter han sido comprometidas, es hora de cambiar de contraseña...

Twitter ha comenzado a enviar masivamente emails a sus usuarios con la petición de un cambio de contraseña debido a que un numero indeterminado de cuentas han sido comprometidas. Por el momento se desconoce la causa por la que se han filtrado las contraseñas.

TechCrunch informa que ha contactado con Twitter para conocer la gravedad del problema pero no ha recibido respuesta, simplemente Twitter se ha limitado a afirmar que el email es real y que todo usuario que lo haya recibido debe seguir el enlace adjunto.

Puede que vuestro email haya filtrado el email y lo enviase a spam por lo que es recomendable que lo reviséis. Por otra parte que Twitter envíe un correo con un enlace adjunto para resetear la contraseña me parece una irresponsabilidad por lo que si es tu caso te recomiendo que escribas manualmente el link en la barra de direcciones para asegurarte que realmente te diriges a la página de reset de password y no hacia un rápido ataque de phishing.

A continuación dejo el contenido del email:

Hi, [name]
Twitter believes that your account may have been compromised by a website or service not associated with Twitter. We’ve reset your password to prevent others from accessing your account.
You’ll need to create a new password for your Twitter account. You can select a new password at this link:
https://twitter.com/pw_rst/…
As always, you can also request a new password from our password-resend page: https://twitter.com/account/resend_password
Please don’t reuse your old password and be sure to choose a strong password (such as one with a combination of letters, numbers, and symbols).
In general, be sure to:
Always check that your browser’s address bar is on a https://twitter.com website before entering your password. Phishing sites often look just like Twitter, so check the URL before entering your login information!
Avoid using websites or services that promise to get you lots of followers. These sites have been known to send spam updates and damage user accounts.
Review your approved connections on your Applications page at https://twitter.com/settings/applications. If you see any applications that you don’t recognize, click the Revoke Access button.
For more information, visit our help page for hacked or compromised accounts.
The Twitter Team

UPDATE:
Twitter asegura que el reset de cuentas ha sido un error por su parte y que su seguridad no ha sido comprometida. Podéis leer el post aquí.

Fuente: http://techcrunch.com/2012/11/08/you-might-have-gotten-an-email-from-twitter-about-your-account-being-compromised/

Tutorial básico Cross Site Scripting

Hoy nos toca tratar una de las vulnerabilidades mas habituales en el desarrollo web actualmente, el XSS. Esta falla de seguridad se debe a un incorrecto filtrado de los valores que un usuario puede introducir en una web dando así pie a la ejecución de código de scripting en la web atacada.

A través de este método un atacante puede robar los credenciales de un usuario o administrador, modificar contenido en la web, eliminar restricciones impuestas desde el lado del cliente y muchas otras cosas.

Existen dos tipos de XSS:

• Indirecto o reflejado: Funciona modificando valores que una web pasa entre página. Ocurre cuando se envía un mensaje o ruta en una URL, una cookie o en la cabecera HTTP.
• Directo o persistente: Consiste en almacenar código en la web para que se ejecute una vez que la web se carga, por ejemplo inyectando en un libro de visitas de una web en un blog o en una sección de comentarios.

Este fallo está muy extendido debido a que muchos dessarrolladores no son conscientes de que los filtros -si los hay- se pueden evadir fácilmente con algunas técnicas.

Un blogger búlgaro compra un millón de cuentas de Facebook por 5 dólares

Fuente: Gizmodo

Esta semana la polémica viene de la mano de Bogomil Shopov, un blogger búlgaro defensor de los derechos de los internautas. Al parecer nuestro amigo Bogomil ha comprado un millón de cuentas de Facebook por tan solo 5$ a un usuario de gigbucks que afirma haber logrado los datos de aplicaciones de terceros, lo que significa que dichas aplicaciones han tenido acceso a todos los credenciales de los usuarios.

Para sumar mas salsa a este problema y tras la publicación de un artículo en su blog, Bogomil recibió una llamada de la red social que lo instaba a enviarles los datos y eliminar la entrada, cosa que éste rechazó y publicó una nueva entrada comentando la llamada.

Al parecer desde Facebook afirman que los datos comprados son de dominio público, pero viendo el tono en que piden a Shopov que elimine todo rastro de ellos me hace sospechar.

A continuación podeis leer un fragmento de la carta:

“Now we would like you to send us this file, delete it, tell us if you have given a copy of it to someone, give us the website from which you bought it including all transactions with it and the payment system and remove a couple of things from your blog. Oh and by the way, you are not allowed to disclose any part of this conversation; it is a secret that we are even having this conversation”.

Traducción: "Ahora nos gustaría que nos enviases este archivo, lo borres, nos digas si has enviado una copia a alguien, nos des la página web desde donde la compraste incluyendo todas las transacciones con él y el sistema de pago y elimines un par de cosas de tu blog. Oh y por cierto, no estás autorizado a revelar ninguna parte de esta conversación; es un secreto incluso que hayamos tenido esta conversación.

Leyendo el fragmento me hace gracia ver el modo que tienen en Facebook de tratar este tipo de acontecimientos. Es de suponer que tras la publicación de la última entrada en el blog de Shopov Facebook deberá publicar algún tipo de explicación al suceso por lo que habrá que estar pendiente de los acontecimientos.

Para los usuarios de Facebook, las cuentas publicadas son en su mayoría de Estados Unidos, Canadá, Reino Unido y Europa, por lo que es aconsejable cambiar la contraseña para curarse en salud.