terça-feira, 25 de março de 2014
Segurança Centralizada em OS's pentester's Contra seu site
Saiba Agora Algumas Dicas Básicas de Como Proteger Seu Site dos Chamados Defacers que usam Sempre as mesmas ferramentas básicas e mais comuns e exploram sempre as mesmas falhas mais comuns em seu Site e ao primeiro erro simplesmente desistem e vão para seu próximo alvo.
Saudações caros leitores, seja você um profissional ou um Amante de Segurança da informação ou apenas um Garoto Geek este tutorial foi escrito com um imenso carinho e dedicação a você então por favor caso for compartilhar isso dê os devidos créditos a mim, o Autor.
Bom sem mais Delongas Vamos ao Tutorial, Bem nos últimos anos um crescimento considerável em invasões de web sites, em sua maioria as invasões são puramente por Status na Comunidade Underground Brasileira o Defacer que invade mais sites e sites maiores ganha mais fama perante os demais.
Para Garantir a Segurança de Seu Web Site caso ainda não tenha noções ao menos básicas sobre algumas linguagens como Html, PHP, Mysql, e não saiba editar permissões de pastas em seu servidor nem criar regras em arquivos como robots.txt e .htacess eu Sinceramente Sugiro que Aprenda em um nível intermediário Todos Esses tópicos Citados acima.
Bom Hoje as Principais Falhas Exploradas Pelos Defacers que em sua maioria 90% não tem conhecimento nenhum em invasão a não ser por ferramentas existentes em algumas distro para pentest como Back Track, Kali Linux e Bugtrack dentre outras,porém ao menor sinal de erro no processo de Scaneamento do site o Script Kiddie desiste de tentar a invasão em seu site e simplesmente vai procurar outro alvo no google.
Então Basta Usar Seu Raciocínio Lógico e algumas dicas que vou lhe dar em algumas linguagens como o PHP, Bom no PHP antes que eu me esqueça vou lhe dar alguns conselhos básicos Sempre que for usar o include no php para incluir uma página prefira usar o require_once ao invés do include o efeito é o mesmo porém o require_once Evita Falhas de RFI, Também Caso Use Wordpress e Estiver Pensando em Usar o certificado SSL use-o para sempre pois caso usar e remover posteriormente deverá trocar TODAS as imagens upadas no Site (Dica retirada do Site Security Attack).
Voltando ao Raciocínio Lógico todo Scanner seja ele Nmap, Sqlmap, Sqlninja, Dirbuster, Nikito, Fimap, Nessus, Openvas, Webshag, Uniscan, Acunetix dentre outros em um Scan no site ele acessa o mesmo por um User Agent então depois de estudar sobre o htacess você pode criar regrinhas básicas para redirecionar todo scan com alguns user agents específicos para lugar algum exemplo para 127.0.0.1 ou qualquer endereço inválido ou seja sempre que alguém tentar scanear seu web site para ele somente retornará a mensagem de conexão time out.
Bom resumindo tal artigo basta usar a cabeça para pensar como um defacer sabendo com ele te ataca para bloquear tais ataques
Autor: Wellington Guilherme Rogério
segunda-feira, 24 de março de 2014
[Finder Admin] Script Localizador De Páginas Administrativas Em Perl
Olá Seus Geeks Sem Namorada,Venho Aqui lhes trazer um Presentinho, um Script Feito em Perl (Open Source modifique-o como quiser) Para Localizar Páginas Administrativas
Bom, Galera Essa é uma Ferramenta Ótima Para Você Testar a Segurança do Seu Site, caso você execute essa ferramenta nele e ela encontrar sua página administrativa é por que você poderia mudar a localização da mesma.
O Script funciona como um bruteforce em que faz testes com url que estão pré armazenadas em seu código fonte, bom Caso você for um mínimo espero pode Editar o Script no Notepad++ por exemplo e Adicionar mais URL na Wordlist do Mesmo e ir implementando outras funções no Script...
Usem Com Ética e Responsabilidade, Nós Não Nos Responsabilizamos Por Seus Atos !
Artigo Feito Por: Wellington Guilherme Rogério
Contato Pessoal ou Comercial: www.facebook.com/wellington.guilherme
Email: wellington_guilherme@linuxmail.org
Download do Arquivo: http://www.4shared.com/get/42jW1uju/Finderadm.html
domingo, 23 de março de 2014
Marco Civil - Imoralidade Atras de Imoralidade
O Marco Civil na internet, ao ver "dos justiceiros" tem uma finalidade e impressões de que estão fazendo algo que irá ajudar a combater crimes cibernéticos, até certo ponto. Posso afirmar que o Brasil precisa desse feito, mas de uma forma civilizada, onde ão é necessário desmoralizar certos pontos na internet.
Várias adiações, várias trambicagens, e "justiça" desigual. Do meu ponto de vista acho que todos que vão contra, deviam se manifestar, e dizer por detalhes, cada opção que deverá ser mudada. No exemplo, o fechamento do netflix segundo o tribunal de justiça Brasileiro. Porque!? A resposta está a sua frente, interligação de informações incorretas, onde se caracterizam sob-medidas desiguais, se preocupam com coisas inuteis e deixam de lado os princípios.
Complexidade por nada. Dramas em cima de dramas. Violação por violação. Ambas perspectivas lutando pelos seus direitos, e sofrendo ainda mais, Fazermos o que? Brasil é Brasil!
Abraço.
Gabriel Santana
Phishing Descubra agora o que é
Saiba Agora Que Técnica é essa, e como os ladrões usam disso para roubar Contas de E-mail , Senhas Bancárias, Cartões Bancários, Documentos pessoais dentre outras informações
Olá Caros Amantes de Segurança da Informação e Star Wars, Assim como eu creio que vocês fanáticos por tecnologia vieram aqui atrás de mais e mais conteúdos então sem mais delongas vamos á uma rápida definição sobre phishing
Bom Phishing traduzindo para um Bom Português Significa Basicamente "Pescar" ou Seja é simplesmente o ato de um Cracker Pescar suas informações... mas como isso acontece ?
Os Principais e mais famosos e lucrativos ataques realizados com phishing englobam 3 técnicas:
1- Página Fake (Phishing - Cópia Exata do Site Original )
2- Engenharia Social ( A Arte de Enganar )
3- Email Spammer (envio de Emails de re-cadastramento ou Promoções com links para páginas fake)
Porém Existe uma Terceira Forma que é conhecida como DNS Poisoning ou Envenenamento de DNS, para entendermos melhor essa técnica vamos á um exemplo prático e uma breve explicação do que é DNS:
DNS= Domain Name Service " Traduzindo... DNS=" Serviço de Nome De Domínio "
Bom Simplificando para todos entenderem fica assim... Todo Site é upado em um Servidor, e todo Servidor tem um Endereço IP na rede, para simplificar o acesso ao endereço ip do servidor ao invés de ficarmos decorando números inventaram o famoso protocolo WWW (Wide World Web) e o DNS que Converte um Nome www.google.com no Ip do Servidor .
Com o DNS Poisoning ou Envenenamento de DNS , primeiro o individuo invade uma Rede, Ganha Acesso ao Roteador e usa Algumas Ferramentas (que podem ser encontradas no Back Track 5 r3 e Kali Linux dentre outros) Para Redirecionar um Dns para outro IP ou seja Sempre que Qualquer pessoa conectada a rede Digite www.facebook.com o roteador te manda para uma página fake exatamente igual a do facebook e depois que você digitar seus dados, tudo é enviado via email para o Cracker responsável.
Outra Técnica Usada Para Phishing é usar de url confiável com redirecionamento, ou Seja Alguns Sites como o Facebook e o Google tem um Esquema de Redirecionamento que te envia para uma página que pode ser alterada na URL um exemplo bom que eu encontrei de redirecionamento em um site grande de compras é esse:
LINK ORIGINAL
https://login.aliexpress.com/
LINK PHISHING
https://login.aliexpress.com/
https://login.aliexpress.com/
LINK PHISHING
https://login.aliexpress.com/
Um cara Esperto o Bastante pode criar uma Página Fake idêntica a de login, com um domínio parecido e mandar esse link a pessoa digita seu email e senha e o site OFICIAL redireciona para sua página phishig, nela caso você seja um cara esperto pode criar um Aviso em Java Script dizendo que houve um erro e pra fazer login novamente, a pessoa faz login os dados são enviados para seu email e tu manda ela novamente para a homepage do Aliexpress e ela já vai estar logada lá e nem vai perceber o roubo.
NEM TENTEM CRIAR PHISHING NISSO UM EMAIL JÁ FOI ENVIADO AO SITE E TAL FALHA JÁ FOI IDENTIFICADA E TODA E QUALQUER TENTATIVA DE AÇÕES RELACIONADAS AO CRIME VIRTUAL SERÃO INVESTIGADAS E PUNIDAS SEVERAMENTE PELAS AUTORIDADES RESPONSÁVEIS.
Artigo Criado Por Wellington Guilherme Rogério
Duvidas Ou Propostas Comerciais Por Favor Entre em Contato: www.facebook.com/wellington.guilherme
ou mandem um Email: wellington_guilherme@linuxmail.org
Espero Ter Ajudado !
Até a Próxima Galera !
sábado, 22 de março de 2014
É possível que Black Hats possam causar um Blecaute?
Um blecaute pode ser causado de várias maneiras, entre elas estão a chance de que Hackers possam causar um total apagão em alguma cidade que seja controlada por computadores. Alguns países têm seu total controle por sistemas chamados CtOS (The Central Operating System) trata-se de um software computacional poderoso, que é dado como o "núcleo" de informações de toda cidade ou país.
Caso um hacker experiente consiga invadir tal sistema, ele poderá exercer o controle sobre praticamente TUDO, pode controlar as câmeras de vigilância, alterar o funcionamento dos semáforos, ter acesso à diversas contas bancárias e energia. Um exemplo desse ataque aconteceu em 2003, quando uma parte dos EUA ficou sem energia após um ataque (que hoje suspeitam que ele pode ter sido causado por um hacker), todo o CtOS teria sido comprometido por um malware que se infiltrou no sistema e causou tamanho prejuízo à várias cidades.
Para quem gosta de games (como eu) já deve ter notado que em Watch Dogs, tem esse sistema controlando uma cidade na qual um hacker consegue invadir e tomar posse de tudo que for controlado pelo computador central utilizando apenas um Smartphone avançado criado pelo Black Hat, o jogo pode exagerar um pouco tratando-se desse assunto, mas é uma ótima analogia que pode ser real em um futuro próximo.
Abraço.
Skyfall Maidenhead.
Google e sua Invasões
O Google, como todos sabemos, é de longe, o buscador com mais populariedade e utilidade na internet. Dentre tempos pra cá, foram ocorridos diversos ataques, sem determinações corretas. As caracterizações não se combinam, e o google não está conseguindo meios de proteções necessitados, White Hats competentes para realizar a proteção. Estes ataques estão ocorrendo sucessivamente. Somente depois de 48 horas da competição hacker, corrigem bugs no Chrome, sofrendo dns hijacked dentre diversos...
Tempos vindos e não tomamos, precauções contra a possibilidade desse tipo de violação, não é visto, seguimos estendendo a criptografia imprestável para cada vez mais produtos da Google, e mais ataques constanes... por eles, nossos dados são brinquedos.
Critério privado aos teus dados, apesar de não estar em boas mãos.
Abraço.
Gabriel Santana.
segunda-feira, 17 de março de 2014
Criptografando discos no Windows
Bem, todos nós sabemos que a segurança na internet nunca foi e provavelmente nunca será 100%, como já vi vários tutoriais sobre criptografia de discos no linux, resolvi trazer algo de diferente para vocês acompanhantes do blog. Algo simples, mas uma segurança eficaz e rígida para usuários que se preocupam com sua máquina. Itens importantes devem ser questão de preocupação como a Disponibilidade, confidencialidade e preocupante a integridade de seus dados.
Para o feito, necessitaremos apenas de um simples programa, de uma empresa muito famosa entre os "eternos estudantes" da área de TI..."Comodo Disk Encryption". O software é o de mais simples manuseio, basta clicar com o botão direito sobre a unidade a criptografar ou usar as teclas de atalho CTRL + E e aguardar o processo de criptografação concluir:
Abraço.
Gabriel Santana.
Para o feito, necessitaremos apenas de um simples programa, de uma empresa muito famosa entre os "eternos estudantes" da área de TI..."Comodo Disk Encryption". O software é o de mais simples manuseio, basta clicar com o botão direito sobre a unidade a criptografar ou usar as teclas de atalho CTRL + E e aguardar o processo de criptografação concluir:
Abraço.
Gabriel Santana.
