Writeup labs.gf0s.com - HACKLAB #1 - Comprometer servidor FTP

Antes de salir de viaje con la familia, dejé empezado un reto de la mano de los chicos de labs.gf0s.com (Cyberh99 y GF0S).

La introducción del reto

Todos los días son puestos en operación miles de servidores en Internet, lamentablemente no todos ellos son seguros, ya que muchos administradores consideran que nunca serán objeto de un ataque y por ello son muy flexibles en sus controles de seguridad, llegando a usar mecanismos de gestión y transferencia de archivos nada recomendables.

Escenario del laboratorio

Imagina en 3D, una empresa que se dedica al diseño de drones de última generación. Recientemente ha realizado una investigación que ha dado como resultado un prototipo de lo que consideran será el dron más potente de nuestros tiempos. Si el diseño de este prototipo llegará a ser expuesto en Internet antes de la fecha programada, causaría una gran pérdida económica para Imagina en 3D.  Para evitar que esto ocurra, has sido contratado con el objetivo evaluar los controles que están implementados y demostrar si la seguridad puede ser vulnerada.

Tu objetivo (si deseas aceptarlo): Has llegado a un acuerdo con Imagina en 3D y se definen los siguientes 2 objetivos:

1.- Intentar obtener el diseño del prototipo del dron.
2.- Dejar evidencia (un archivo .txt) 


Información brindada por Imagina en 3D

La única información que te ha sido brindada para este servicio es el nombre y el facebook del administrador
del sistema. Puedes tener certeza que todo lo que necesitas esta allí =)

1.- Nombre: Alejandro Quero.
2.- Facebook: https://www.facebook.com/profile.php?id=100010301916909



Empezando el reto

Con la poca información que nos ha sido entregada por la empresa Imagina en 3D, nos ponemos "manos a la obra" y accedemos al perfil de facebook del sysadmin.

Pues si que es un desastre, el tipo ha colgado fotos y ha dejado pistas, como la IP del servidor, su nombre de usuario y una copia del email bastante interesante para saber de que tipo de contraseñas se trata.

Con estos datos ya sabemos lo siguiente:

Dirección IP del FTP: 52.10.103.130

Usuario: aquero

Password: Está formada por 7 caracteres numéricos.

Con estos datos ya tenemos suficiente para "tirar" de hydra y obtener la contraseña por fuerza bruta. Para ello crearemos un diccionario personalizado utilizando algunos números "clave" que le sean fácil de recordar al administrador. ¿Que datos utilizarías tú que contuvieran números y que te fuera fácil de recordar? ¿Un teléfono, un DNI, una fecha...? 

Mas arriba, en la primera foto, tenemos la fecha de nacimiento del administrador. Cómo sólo buscamos un número de 7 cifras,Cómo sólo buscamos un número de 7 cifras, crearemos un diccionario utilizando esas 4 cifras del año de nacimiento "1980" para obtener todas las posibles claves. Para ello usaremos "Crunch".

Acotando por el año, sólo hay 16384 posibles contraseñas, utilizaremos "hydra" para obtener la contraseña por fuerza bruta. (No nos llevará mucho tiempo)

Perfecto! Ya la tenemos! Ahora accederemos al servidor FTP y cumpliremos con nuestros objetivos.

Dentro del FTP

Revisando el listado de archivos del FTP, sólo vemos evidencias de acceso de otros usuarios, pero entre tanta evidencias hay un directorio llamado "privado" que resulta bastante "curioso".

Visto esto, nos dirigimos desde el navegador al directorio y ¡Bingo! hay un archivo llamado "PrototipoPrivado6.zip", no hay duda que ese es el archivo que buscamos. Procederemos a descargarlo a nuestro disco duro.

Una vez descargamos vamos a descomprimirlo...¡Nos han jodido! ¡Tiene contraseña! 

Recordando la foto que sacamos del perfil de facebook del administrador, nos informaba que los archivos "locales" (.doc, .pdf, .zip...) usaban contraseñas alfanuméricas, en minúsculas y de 6 dígitos. 

Teniendo esta información, usaremos el famoso diccionario de kali linux "rockyou" y con la ayuda de "fcrackzip" nos dispondremos a sacar la contraseña del .zip.

 

¡Perfecto! ¡Ya tenemos la contraseña! La utilizaremos para descomprimir el .zip y a visualizar el archivo "Prototipo Super Privado.jpg".

Ya tenemos el diseño del prototipo y primera parte de la misión completada. Ahora sólo nos queda dejar la "evidencia" en el FTP (esto si que mola eh!)

Creamos un archivo.txt, yo lo he llamado "Odine.txt" y en él le pondremos el mensaje que dejaremos como evidencia de hemos "comprometido" el servidor FTP.

Posteriormente, sólo queda subirlo al FTP con "curl". Y ya tenemos nuestra evidencia dentro del servidor FTP -> http://labs.gf0s.com/website/Odine.txt

Me ha encantado el reto, Gracias chicos!

Moraleja: Ojo con lo que compartes en las redes sociales, cualquier pista es buena obtener la siguiente, las contraseñas son fáciles de sacar, por eso siempre que puedas utiliza otro tipo de seguridad como autenticación de doble factor o huella, iris.... Y si no te queda otro remedio, al menos usa contraseña alfanuméricas, con mayúsculas y minúsculas, y que no guarden relación con tus datos personales... (fecha, DNI, teléfono...) Acuérdate de Alejandro Quero.

¿Qué hacer si publican una foto (o vídeo) tuya en internet sin tu permiso?

 

En la actualidad que vivimos, prácticamente todo el mundo tiene un móvil con cámara, es habitual que por "accidente" aparezcamos de fondo en un foto de algún selfie, foto familiar, acompañando alguna pareja :D, pero os estaría engañando si el motivo del "post" no fuera por otro camino.

Me he informado por varios sitios webs (seguridad internauta, OSI, policía...) y he recopilado toda la información y pasos que nos encontraríamos en caso de ser una víctima.

¿Qué hacer si han publicado una foto tuya sin tu permiso?

 

1. Lo primero es que estemos tranquilos (por supuesto que es complicado, pero no arreglaremos nada perdiendo los papeles).

2. Buscaremos al propietario del dominio (dirección web donde apunta la web (ej. www.golfas.com) y le pediremos amablemente que retire dicha foto.

Pasos para averiguar el dueño de una página web:

- Entramos en https://who.is/ y escribimos en el casillero el nombre del dominio.

- Pulsamos en buscar (icono lupa) y nos aparecerá en el resultado la información del dominio.

Ya conocemos los datos del dueño o empresa que administra dicho dominio, disponemos de su dirección, país, teléfono y correo electrónico. 

Nos pondríamos en contacto con dicha empresa y le pediríamos amablemente que retire la foto de su página web, indicando el enlace directo donde se ve la foto (ej. www.golfas.com/images/mifoto.jpg o www.golfas.com/perfil.php?id=2584)

En el caso de redes sociales ya disponen de su propia plataforma para denunciar estos actos:

Facebook: La red social ofrece un servicio de ayuda para avisar de fotos o vídeos que puedan infringir el derecho fundamental a la protección de datos. Facebook ofrece varias opciones en función de las circunstancias de cada caso concreto. También permite denunciar una conducta abusiva mediante el enlace Denunciar, que aparece situado junto a la mayoría de los contenidos publicados en Facebook. 

Google: La compañía dispone de una página desde la que se puede solicitar la retirada de contenido de sus diferentes servicios. En el caso del servicio de vídeos YouTube, se te ofrecerán diferentes opciones en caso de abuso o acoso, vulneraciones de la privacidad, denuncia de contenidos sexuales, contenidos violentos u otros problemas. Por otro lado, si consideras que un vídeo colgado en YouTube incluye un contenido inapropiado puedes utilizar el icono con forma de bandera (Denunciar) para avisar del contenido y que la empresa lo revise. 

Twitter: La red aglutina en esta página diferentes formas de informar sobre diversos incumplimientos, entre los que se encuentran la publicación de información privada en Twitter, la usurpación de identidad, el acoso o la publicación de vídeos ofensivos.

Instagram: La red social Instagram cuenta con una página desde la que se puede reportar contenido publicado por terceros sin tu consentimiento que incluya tu información personal, así como informar de conductas abusivas o de casos de hostigamiento o acoso.

Ya hemos realizado el paso de la petición "amable" para su retirada. Esperaremos unas horas para conocer respuesta por su parte. En caso contrario, usaremos la siguiente opción (punto 3).

3. Puede tratarse de fotografía/as algo "comprometidas" y que estén hechas desde hace años, ahora nos podríamos encontrar casados o con pareja seria y puede que esta o algún familiar las vea y llegue a enterarse. Aparte del sofocón de encontrarnos con este problema, tener otro por las explicaciones a nuestra pareja no sería muy saludable....

Nos pondremos mas duros, el siguiente paso será denunciarlo a la guardia civil con todas las pruebas que ya tenemos (enlace a la foto/vídeo, datos del whois del dueño del dominio, copias de los emails pidiendo la retirada...).

Nos dirigiremos a delegación mas cercana de la "Guardia civil" de nuestra localidad o ciudad. 

También podríamos contactar:

Email: gdt@notificaciones.guardiacivil.es

Tfno: 900 101 062

APPs móvil: Android, iOS o Windows Phone

Si! tienen apps que ofrecen los siguientes servicios:

Localizar las oficinas de denuncia de la Guardia Civil más próximas a la ubicación del usuario para denunciar un hecho delictivo o solicitar ayuda o auxilio.

Colaborar con  la Guardia Civil, de forma anónima, comunicando cualquier información que se localice en la Red y que afecte a la seguridad.

Denunciar un hecho delictivo relativo a las nuevas tecnologías (Internet, correo electrónico, SMS, WhatsApp, etc). 

Es muy importante:

- Mantener la calma y usar los elementos legales anteriormente mencionados. 

- NO dejarlo pasar! hay que actuar de inmediato, ya que tus fotos o tus vídeos pueden estar propagándose de una manera "descontrolada" y cuanto mas tiempo esté en la red, más posibilidades tendremos de que la vean otras personas.

- Si es tu foto (o vídeo) y eres un menor (o en el contenido aparece un menor), no dudes en pedir ayuda las autoridades.

- Recopila tantas copias como puedas, haz capturas de pantalla de los sitios webs, datos del whois, copias de los correos pidiendo su retirada y sus contestaciones, haz una lista de todos los sitios webs donde aparezcan tus fotos y/o vídeos.

- Por supuesto, contacta con un abogado.

Si os parece incompleta los pasos a seguir y queréis proponer algún punto para mejorar los pasos, no lo dudéis y escribir un comentario.

Gracias! 

Impedir que Whatsapp comparta tu número de teléfono con Facebook.

Ya nos la acaban de "clavar" nuevamente los de Facebook y Whatsapp, seguramente mas de uno entre ayer por la noche y hoy por la mañana habrá visto un mensaje como este en su teléfono.

Aceptando estas condiciones tendrán:

- Acceso a nuestro número de teléfono para autorizar el uso de este a las empresas anunciantes en la red social. (Te podrán llamar para ofrecerte servicios o hacerte spam por SMS (y esperemos que no sean PREMIUM)).

- Acceso a tu agenda de teléfono!! (ostia, esto si que es gordo).

- No podrás usar Whatsapp en mas de un aparato.

- Autorizas que se puedan poner en contacto contigo empresas anunciadoras en Facebook vía Whatsapp. (No creo que sea para preguntarte el nombre de tu perro).

¿Cómo desactivarlo?

Fuente: Hipertextual

Si sigues estos pasos, podrás evitar que Facebook tenga tu número de WhatsApp.

WhatsApp anunciaba que, a partir de hoy, por defecto los usuarios de la aplicación pasarán a compartir su número con Facebook, de forma que ambas compañías puedan compartir información para recibir contenido promocional o personalizar la publicidad en la red social. A pesar de que el cambio está llegando gradualmente a los usuarios, WhatsApp ofrece una forma de que, aquellos que quieran, puedan evitar compartir su número e información con Facebook.

El método es muy sencillo y puede hacerse de dos formas. La primera, cuando la aplicación nos pregunte si queremos compartir la información con Facebook, simplemente tienes que marcar no. Así, por defecto, no se compartirá la información entre las aplicaciones, respetando la voluntad del usuario:

Si WhatsApp ya te ha preguntado si quieres compartir información y has dicho que sí pero has cambiado de opinión, la forma de desactivar esta opción es igual de sencilla: ve a Ajustes > Cuenta > Compartir la información de mi cuenta. Si no deseas compartir la información de tu cuenta con Facebook puedes deseleccionar la casilla o alternar el controlador. IMPORTANTE: Después de aceptar el intercambio de información sólo tendrás 30 días adicionales para cambiar tu decisión.

Murió por no reenviar ese mensaje a 10 personas.

Vamos hablar sobre las famosas "cadenas" que circulan casi a diario por las redes sociales y otras APPs de mensajería como pueden ser: Facebook, Twitter, Whatsapp, Telegram....

Yo no sé vosotros.... pero yo ya estoy algo cansado de que me "bombardeen" con falsas cadenas que no lleva otra intención que hacerse con nuestros datos para después venderlos al mejor postor o usarlos para enviarnos Spam hasta saturarnos la cuenta.

Algunas de "famosas" cadenas:

- "Reto aceptado": Ponemos una foto en blanco y negro y le damos a "me gusta", se le reenviamos a nuestros contactos para que también hagan lo mismo, se supone que es para colaborar con la investigación contra el cáncer. 

- Evitar pagar Whatsapp: Y esa cadena que se hizo muy popular cuando dijeron que Whatsapp pasaría a ser de pago a no ser que "mandes" tal mensaje a todos tus contactos para así "evitar" el pago.

- Carta a tu madre: Un escrito de una supuesta madre para su hij@ donde se aprovechan de los sentimientos de sus lectores para compartirlo.

- "Besos de tus labios": Otra cadena de que te van a quitar un besos de tus labios y que si cortas la cadena te irá mal el resto de tu vida.

- "Stock de móviles": Tengo un stock de no se cuantos iPhone 6S que se no se pueden vender porque están retirado los precintos, porque son terminales de "exposición" y la madre que me parió!

- Otros: Cadenas de mala suerte en el amor, de comparte y obtendrás trabajo, dale me gusta y te saldrá dinero por las orejas, comparte o se morirá un familiar, etc....

 ¿Qué lleva a la gente a seguir propagando estos bulos que siempre son falsos?

Esta pregunta es que me revienta, cuando le preguntas ha alguien ¿Por qué compartes ese mensaje si es falso? y me contestan "Por si acaso" o "Noooo!!! si es que me lo compartió un amig@ que tuvo cáncer".

Lo que está claro, es que estos anuncios se aprovechan de los sentimientos de las personas, de su codicia, sus supersticiones, y sobre todo de su ignorancia. Buscan personas incultas, temerosas y crédulas.

Podemos dividirlas en los siguientes tipos:

1. Los que supuestamente te van a ayudar a obtener ganancias económicas.

2. Los que te van a dar suerte, o quitártela, dependiendo de si propagas la cadena o no.

3. Los que son altruistas y no buscan beneficio personal alguno si no ayudar a otros.

4. Los que te dan algo a cambio de otra cosa.

5. Los chistes.

¿Cómo detectarlos?

Fuente: Panda Security

Reconocerlos no es difícil.

1. Antes de reenviar algo, lo mejor es indagar un poco en internet. Si es un bulo aparecerá en seguida en la primera página de Google. Si parece verdadero, pensemos en una campaña solidaria, por ejemplo, lo  mejor es ver si nos remiten a una página web donde se amplíe la información, que contenga fechas de finalización de dicha campaña, o que esté respaldada por alguna institución que promueva distintas acciones sociales.

2. Si nos amenazan o advierten con algo relacionado con reenviar el mensaje o no hacerlo, es falsa.

3. Si viene sin firmar, desconfía.

Si aún así tienes dudas, no lo reenvíes. La página de Facebook de la Policía Nacional  tiene muy buena información al respecto.

¿Qué buscan?

Algunos, congestionar los servidores; otros, esparcir virus reales; otros buscan listados de direcciones de correo electrónico, y algunos, incluso, piden borrar archivos que son básicos para el sistema, aludiendo que se trata de virus que han llegado al disco duro.

Si las cadenas fueran ciertas algunos de mis amigos deberían ser millonarios y yo debería haber muerto ya al menos 20 veces…

Y vosotros, ¿habéis sufrido alguna de estas cadenas odiosas?

¿Que hacer si me suplantan mi identidad en las redes sociales?

Fuente: El confidencial

Es duro encontrarse de que te han suplantado tu identidad en la red, además del mal uso que están realizando en una o varias redes sociales con tu perfil (fotos privadas, comentarios groseros, insultos a tus conocidos y familiares...). Es algo que no podemos dejar "pasar" por alto, hay que erradicarlo lo antes posible.

El siguiente artículo que os hago un "copy & paste" a través del twitter de @policia, me ha parecido interesante y que la gente debe de saber.

Si eres víctima de una suplantación de identidad en la red no dudes en leerlo y usar los servicios que disponen para acabar con el problema. Mucha suerte con el problema.

Alguien se hace pasar por mí en las redes y hace comentarios dañinos en mi nombre

La suplantación de identidad es el ilícito que más crece en internet y conlleva, en muchas ocasiones, una importante crisis de reputación 'online' para los perjudicados

Un familiar me advirtió de que no debía mantener un tono tan altivo en las redes sociales. El comentario me sorprendió enormemente porque yo, salvo Linkedin, no tengo perfiles en otras redes sociales. Al parecer, según he podido comprobar, alguien se ha hecho pasar por mí en Twitter, ha creado una cuenta con mi foto y la ha utilizado para insultar y polemizar, llegando a oídos de familiares, amigos e incluso compañeros de trabajo. Ahora me toca ir uno por uno explicando que no soy yo quien hace esos comentarios. ¿Puedo hacer algo frente a ello?

La suplantación de identidad es uno de los comportamientos ilícitos más frecuentes en la red. Desde un punto de vista jurídico, este tipo de comportamientos tienen un claro encaje en nuestro ordenamiento jurídico, aunque puede adoptar diferentes tipologías.

Es habitual que busquemos nuestro propio nombre en internet y nos encontremos con que alguien ha abierto un perfil en una red social con nuestro nombre y nuestra fotografía, e incluso que se haga pasar por nosotros y realice actividades ilícitas en la red, tales como insultar, amenazar o incluso estafar a otros usuarios de la red.

Si la conducta consiste simplemente en registrar un perfil ficticio sin utilizar los datos ni la fotografía de nadie en concreto, la acción no tiene repercusión desde el punto de vista jurídico, más allá del incumplimiento de los términos de uso de la red social y la posible eliminación del perfil por los administradores de la página, algo que podremos abordar de manera sencilla apoyándonos en un experto para que nos lo resuelva.

Pero, en el caso en que el perfil sí utilice nuestra fotografía o nuestros datos, se estaría produciendo, en primer lugar, un ilícito civil por vulneración del derecho a la propia imagen, reconocido expresamente en la Constitución, e, igualmente, una vulneración de la normativa en materia de protección de datos, por la utilización no consentida de los datos de un tercero.

Si nos encontramos ante esta desagradable situación, debemos buscar ayuda a través de un experto y comenzar a actuar. La reacción puede tener muy diferentes manifestaciones, ignorar y tolerar la existencia del perfil fraudulento no resulta nada recomendable, por los daños tan graves que se pueden causar, ya que pueden vulnerar su honor e imagen, afectando a su esfera personal y profesional, e incluso ocasionarle perjuicios económicos producto del robo de identidad cometido. En su nombre pueden adquirir compromisos, firmar pequeños contratos, llegar a pactos, solicitudes de créditos… diferentes ilícitos que pueden iniciarse con una simple usurpación de identidad en una red social.

Por eso, lo más aconsejable es ponerse en manos de profesionales expertos que nos ayuden a acudir a las autoridades policiales pertinentes para denunciar la infracción. La experiencia nos dice que una de las vías más adecuadas para poner fin a estas situaciones es la notificación a la red social o plataforma en cuestión, ya que suelen actuar de manera implacable ante este tipo de situaciones, siempre y cuando logremos demostrar y probar adecuadamente este uso irregular del perfil, algo en lo que los expertos nos ayudarán convenientemente para que la reclamación finalice con éxito.

En los últimos años, las redes sociales han tomado conciencia del riesgo que supone tolerar tales actuaciones para su imagen y la seguridad de sus usuarios. Por eso, ante el requerimiento permanente de los usuarios, y una vez realizadas las oportunas comprobaciones a raíz de la denuncia presentada, podrían proceder a dar de baja aquellos perfiles que puedan resultar fraudulentos. A tal efecto, este tipo de redes han creado unas potentes herramientas de reporte de abuso que permiten señalar las infracciones detectadas.

Además de lo señalado, el daño que originalmente se ha iniciado en una red social podría llegar a extenderse por otras diferentes, foros de opinión e irse viralizando hasta significar una auténtica crisis de reputación 'online' para la persona suplantada, pudiendo acabar con su buen nombre o con el de su negocio si no se actúa a tiempo.