blog

GNU MAC Changer es una utilidad para facilitar la manipulación de las direcciones MAC correspondientes a las interfaces de red. Las direcciones MAC son identificadores únicos en las redes, solo necesitan ser únicos, pudiéndose cambiar en la mayoría de hardware para redes. Las direcciones MAC han comenzado a ser abusadas por empresas de marketing sin escrúpulos, agencias gubernamentales, y otros organismos, para proporcionar una manera fácil de rastrear una computadora a través de múltiples redes. Al cambiar la dirección MAC con regularidad, este tipo de seguimiento se puede frustrar o, al menos dificultarlo.

Entre sus principales características se tienen:

• Establecer una dirección MAC específica para una interfaz de red
• Configurar un MAC aleatoriamente
• Establecer un MAC de otro proveedor
• Establecer otra MAC del mismo proveedor
• Configure un MAC del mismo tipo (por ejemplo: tarjeta inalámbrica)
• Mostrar una lista MAC de proveedores (más de 6200 elementos) para elegir

La opción “-h” de la herramienta macchanger muestra un resumen de sus principales opciones.

$ sudo macchanger -h

Para obtener un listado de los proveedores conocidos se utiliza la opción “-l”

$ sudo macchanger -l

Aunque la herramienta permite visualizar la dirección MAC actual utilizando la opción “-s”, se utiliza el comando “ip” para obtener esta información

$ ip link

Ahora se procede a cambiar la dirección MAC por una del proveedor ATARI CORPORATION.

$ sudo macchanger eth0 --m 00:00:36:12:34:56

La opción “-m” permite definir la nueva dirección MAC.

Se visualiza el cambio de la dirección MAC ha sido realizada exitosamente.

También es factible utilizar la opción “-b” para pretender ser la dirección MAC “de fabrica”.

Fuentes:

https://github.com/alobbs/macchanger
https://linux.die.net/man/8/ip

Knocker es un escáner de puertos TCP orientado al ámbito de ciberseguridad, el cual es simple y fácil de utilizar. Está escrito en lenguaje de programación C, con el propósito de analizar hosts, además de todos los diferentes servicios ejecutándose en estos. Está disponible para sistemas operativos GNu/Linux, FreeBSD, HP-UX y Windows 9x/2000/NT, teniendo la licencia GNU General Public License GPL.

Se ejecuta la herramienta con la opción “-h”, la cual muestra un resumen de sus principales opciones.

$ sudo knocker -h

Se realiza un escaneo contra todos los puertos TCP contra de un host.

$ sudo knocker -H 192.168. 0.70 -SP 1 -EP 65535

La opción -H define el nombre de host o dirección IP numérica
La opción -SP define el número de puerto por el cual inicia el escaneo
La opción -EP define el número de puerto final del escaneo

Mientras se ejecuta knocker, se visualizarán los resultados obtenidos producto del escaneo, como el número de puerto, protocolo, información del servicio, y el estado del puerto. Resulta relevante mencionar, muchos de los puertos muestran el texto “unknown” o desconocido, lo cual significa la herramienta no ha podido determinar información sobre esos servicios. Consecuentemente será requerido realizar una verificación manual, o utilizar otra herramienta.

Fuentes:

https://knocker.sourceforge.io/
https://github.com/gabgio/knocker

InTrace es una aplicación similar a la herramienta de nombre traceroute, el cual permite a los usuarios enumerar saltos IP utilizando conexiones TCP existentes, tanto iniciadas desde la red local (sistema local), cuanto desde hosts remotos. Esta herramienta podría ser útil para el reconocimiento de redes y intentar eludir firewalls.

Se procede a ejecutar la herramienta InTrace.

$ intrace -i eth0 -h scanme.nmap.org -p 80

La opción -i define la interfaz desde la cual se establece la conexión
La opción -h define el nombre del host hacia el cual se establece la conexión
La opción -p define el puerto TCP hacia el cual se estable la conexión

Se requiere establecer una conexión hacia la dirección IP y puerto TCP definido. En el presente ejemplo se utiliza el navegador web Firefox para este propósito.

En la consola de InTrace se debe presionar la tecla “Enter”.

Luego de lo cual se presentará la enumeración de los saltos IP, desde el host local hacia el host de destino.

La información expuesta por la herramienta incluye en una primera columna la dirección origen, en la segunda columna la dirección origen ICMP, y en la última columna el tipo de paquete.

InTrace también permite definir el tamaño del payload o carga útil, como también el IPv4 o IPv6.

Fuente:

https://github.com/robertswiecki/intrace

HostHunter es una herramienta para descubrir y extraer nombres de host de manera eficiente, el cual proporciona un gran conjunto de direcciones IPv4 o IPv6 de destino. HostHunter utiliza OSINT simple y técnicas de reconocimiento activo para asignar direcciones IP con nombres de host virtuales. Esto es especialmente útil para descubrir la verdadera superficie de ataque correspondiente a una organización. La salida se puede generar en múltiples formatos, incluidos los formatos de archivo CSV, TXT o Nessus.

Se ejecuta HostHunter con la opción “-h”, lo cual muestra un resumen de sus opciones.

$ hosthunter -h

En un archivo de nombre “IP_address.txt” se incluyen las direcciones IP a evaluar.

En su forma de utilización más simple, únicamente se debe definir la ruta al archivo.

$ hosthunter /tmp /IP_address.txt

Los resultados obtenidos para una dirección IPv4, muestran los nombres host virtuales asociados con esta.

Es factible también definir la ruta de salida a un archivo conteniendo los resultados obtenidos, como también el formato, ya sea CSV o TXT.

Fuentes:

https://github.com/SpiderLabs/HostHunter

EDGAR, el sistema para recopilación, análisis, y recuperación de datos electrónicos, es el principal sistema para empresas y otros enviando documentos en virtud de la Ley de valores de 1933, la Ley de intercambio de valores de 1934, la Ley de escritura de fideicomiso de 1939 y la Ley de sociedades de inversión de 1940 de los Estados Unidos de Norteamérica.

Conteniendo millones de presentaciones sobre empresas e individuos, EDGAR beneficia a inversionistas, corporaciones, y la economía de los EE. UU. en general, al aumentar la eficiencia, transparencia, y equidad de los mercados de valores. El sistema procesa alrededor de 3000 presentaciones por día, entrega 3,000 terabytes de datos al público anualmente, y acepta un promedio de 40,000 nuevos solicitantes por año.

¿Quién tiene acceso a la información de EDGAR?

Acceder hacia la base de datos pública de EDGAR es gratuita, lo que permite investigar por ejemplo; información financiera y las operaciones de una empresa pública, mediante la revisión de las presentaciones realizadas por la empresa ante la SEC. También se puede buscar información proporcionada por fondos mutuos (incluidos los fondos del mercado monetario), fondos cotizados en bolsa (ETF), anualidades variables e individuos.

La Oficina de Educación y Defensa del Inversionista ha creado una guía útil para usar EDGAR para investigar inversiones.

¿Qué recursos están disponibles para ayudarlo a presentar en EDGAR?

EDGAR proporciona una gran cantidad de recursos para ayudar a los contribuyentes, incluyendo:

• Cómo solicitar acceso a EDGAR;
• Soporte del sitio web para los declarantes EDGAR; y
• Atención telefónica a los declarantes EDGAR.

¿Quién administra EDGAR?

La Oficina Comercial EDGAR (EBO) es el propietario comercial de EDGAR. Las responsabilidades de la oficina incluyen:

• Gobierno y administración de EDGAR;
• Planificación estratégica para EDGAR;
• Compatibilidad con el archivador EDGAR; y
• Apoyo al personal de la SEC con la elaboración de normas y otros desarrollos en EDGAR

Entre la información útil se encuentra el tipo de formulario DEFM14A, el cual es una declaración de representación definitiva relacionada con una fusión o adquisición: la declaración de representación final enviada hacia los accionistas de la empresa, en relación con una fusión o adquisición, lo cual incluye una discusión de los términos y motivos de la transacción.

Fuentes:

https://www.sec.gov/edgar/search-and-access
https://www.sec.gov/edgar/about

La información presentada a continuación, documenta brevemente el comando sampasswd. Se basa en la página de manual escrita para la distribución Debian, pues el programa original no tiene una página de manual.

Sampasswd es una utilidad en línea de comandos no interactiva, la cual puede restablecer la contraseña de un usuario, y/o los bits de la cuenta del usuario desde el archivo con la base de datos de usuarios SAM, correspondiente a un sistema Microsoft Windows (Windows NT, 2000, XP, Vista, 7, 8.1, etc.) . Este archivo generalmente se encuentra en la siguiente ruta; “\WINDOWS\system32\config\SAM”, sobre el sistema de archivos correspondiente a un sistema operativo Microsoft Windows.

En caso de éxito el programa no genera ninguna información, y el código de salida es 0.

Se ejecuta la herramienta sampasswd con la opción “-h”, lo cual muestra un resumen de sus opciones.

$ sampasswd -h

Para el siguiente ejemplo se utilizará el archivo SAM extraído de un Sistema Operativo Windows Server 2016.

La opción “-l” lista los usuarios en la base de datos SAM.

$ sampasswd -l SAM

A continuación se procederá a resetear la contraseña del usuario Administrator

La opción “-r” resetea la contraseña del usuarios

La opción “-u” define el usuario para cambiar. El valor del usuario puede ser proporcionada como un nombre usuario, o un número RID en hexadecimal (si el nombre de usuario es precedido con ‘0x’) Los nombres de usuario incluyendo caracteres internacionales probablemente no funcionen.

$ sampasswd -r -u Administrator SAM

Como ya se he mencionado anteriormente, el comando no genera ningún información al finalizar su ejecución. Consecuentemente para verificar se ha reseteado la contraseña exitosamente, se utiliza el comando samdump2.

$ samdump2 system SAM

Se verifica el campo correspondiente a los hashes de las contraseñas para el usuario administrador contiene “aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0”, lo cual es equivalente a una contraseña vacía o una contraseña en blanco (blank).

Fuentes:

https://manpages.ubuntu.com/manpages/bionic/man8/sampasswd.8.html
https://yougottahackthat.com/blog/339/what-is-aad3b435b51404eeaad3b435b…

Es un cliente WebDAV de línea de comandos para Linux. Admite carga y descarga de archivos, visualización en pantalla, operaciones de espacio de nombres (mover/copiar), creación y eliminación de colecciones, y operaciones para bloqueo.

WebDAV por su traducción al idioma español significa; "Creación y Control de Versiones Distribuidas Basados en Web". Es un conjunto de extensiones para el protocolo HTTP, lo cual permite a los usuarios editar y administrar archivos en forma colaborativa sobre servidores web remotos.

Se ejecuta cadaver con la opción “-h”, lo cual muestra un resumen de sus opciones.

$ cadaver -h

Habiendo identificado previamente su soporte en el servidor bajo evaluación, se procede a establecer una conexión, utilizando cadaver.

$ cadaver http://192.168.0 70/uploads/

Kali Linux incluye un directorio en el con webshell escritos en diferentes lenguajes de programación, se procede a cargar o subir uno de ellos utilizando el comando “put”.

put /usr/share/webshells/ php/simple-backdoor.php

Se verifica el correcto copiado o carga del archivo de nombre “simple-backdoor.php”, visitando la URL utilizando un navegador web como Firefox.

El archivo; en este caso la webshell; ha sido copiado exitosamente hacia el servidor web remoto con soporte WebDAV.

Fuentes:

https://github.com/notroj/cadaver
https://notroj.github.io/cadaver/
http://www.webdav.org/

Goofile se utiliza para buscar por un tipo específico de archivo correspondiente a un dominio definido, utilizando para este propósito el motor de búsqueda Google. Es una herramienta escrita en Python. La versión actual de Goofile incluida en Kali Linux, es una actualización del código original, pero escrito para Python 3.

Dado el hecho la anterior técnica utilizada puede activar la detección de Bots incluida en Google después de muchas peticiones. Para solucionar esto se puede configurar un Motor de Búsqueda de Sitio Personalizado (Custom Site Search Engine).

Para este nuevo método funcione se requiere realizar algunas configuraciones. Se debe seguir un proceso para crear y configurar un Motor de Búsqueda Personalizado (CSE), además de obtener una llave API e ID de Motor de Búsqueda, lo cual será pasado junto con la petición. En el sitio web del proyecto se indica el proceso completo.

Se ejecuta la herramienta utilizando la opción “-h”, lo cual muestra un resumen de sus opciones.

$ goofile -h

Se procede a ejecutar Goofile para buscar archivos en formato “docx”.

La opción “-d” define el dominio a buscar.

La opción “-f” define el tipo de archivo a buscar.

$ goofile -d presidencia. gob. pe -f docx

El mensaje mostrado indica haberse encontrado solamente un archivo.

Se procede nuevamente a ejecutar la herramienta para buscar archivos en formato “pdf”.

$ goofile -d presidencia. gob. pe -f pdf

En esta oportunidad Goofile encontró cien archivos en formato PDF.

Es importante mencionar la herramienta NO descarga los archivos encontrados, únicamente los lista. Consecuentemente dado el hecho se tienen los enlaces o URLs hacia los archivos encontrados, únicamente puede ser incluidos en un archivo (archivosPDF.txt), para luego utiliza una herramienta como “wget”.

$ wget -i /tmp/archivosPDF.txt

Los archivos son descargados correctamente.

Teniendo ya los archivos descargados estos pueden ser analizados por diferentes motivos. Uno de ellos puede ser analizar sus metadatos.

Fuentes:

https://github.com/sosukeinu/goofile
https://code.google.com/archive/p/goofile/
https://developers.google.com/custom-search/v1/introduction?hl=es-419

EmailHarvester es una herramienta para obtener direcciones de correo electrónico utilizando motores de búsqueda. Este proyecto se inspiró de otros proyectos como theHarvester y search_email_collector. Entre sus principales características se tienen:

• Obtener direcciones de correo electrónico de un domino utilizando motores de búsqueda, redes sociales y otras fuentes; como yahoo,reddit, google,github, ask, exalead, bing, twitter, youtube, linkedin,baidu, googleplus,instagram, y digpile.
• Exporta los resultados hacia archivos txt y xml
• Limita los resultados de búsqueda
• Permite definir un agente de usuario propio
• Permite utilizar un servidor proxy
• Sistema de plugins

Se procede a ejecutar la herramienta utilizando la opción “-h”, lo cual muestra un resumen de sus principales opciones.

$ emailharvester -h

Para obtener un listado de todos los plugins disponibles se utiliza la opción “--list-plugins”

$ emailharvester --list-plugins

La opción “-d” define el dominio sobre el cual se realizará la búsqueda.

La opción “-l” limita el número de resultados

La opción “-e” define el plugin correspondiente al motor de búsqueda a utilizar

Para los dos primeros procesos se define una búsqueda utilizando Google y Bing

$ emailharvester -d congreso.gob.pe -l 100 -e googles
$ emailharvester -d congreso.gob.pe -l 100 -e bing

Se obtienen potencialmente seis direcciones de correo electrónico, los cuales requieren una comprobación manual, para corroborar su validez.

Para el siguiente proceso se define el plugin de LinkedIn.

$ emailharvester -d congreso.gob.pe -l 100 -e linkedin

Como se puede visualizar; la búsqueda en LinkedIn se realiza en combinación con motores de búsqueda como Yahoo, Bing, Google, Baidu, y Exalead. Encontrando tres direcciones de correo electrónico.

Fuentes:

https://github.com/maldevel/EmailHarvester
https://github.com/laramies/theHarvester
https://github.com/rapid7/metasploit-framework/blob/master/modules/auxi…

arpaname traduce las direcciones IP; ya sea IPv4 e IPv6; hacia sus correspondientes nombres IN-ADDR.ARPA (mapear direciones IPv4 hacia sus nombres de dominio en Internet) o IP6.ARPA (mapear direcciones IPv6 hacia sus nombres de dominio en Internet).

El dominio .arpa es el dominio de"Área de Parámetros para Dirección y Encaminamiento", y está designado para ser utilizado exclusivamente con fines de infraestructura de Internet. IANA administra el dominio en cooperación con la comunidad técnica de Internet, a través de la guía de la Junta para Arquitectura en Internet. Para conocer las pautas de administración y los requisitos operativos del dominio .arpa, consultar RFC 3172.

Se procede a ejecutar arpaname definiendo una dirección “ipv4.txt”.

$ arpaname 238. x. 162. y

Se tiene un archivo de nombre “ipv4” conteniendo varias direcciones IPv4. Se utiliza un bucle en la shell de linux para ejecutar arpaname con cada una de las direcciones IPv4, incluidas en el archivo.

$ for ip in $(cat /tmp/ipv4.txt); do arpaname $ip; done

El mismo procedimiento puede ser utilizado para direcciones IPv6.

Fuentes:

https://linux.die.net/man/1/arpaname
https://www.rfc-editor.org/rfc/rfc3172.html