SQL Injection para dummies (Segunda parte)

0 comentarios
Hola de nuevo.

Aquí tenemos la segunda entrada sobre SQL Injection. En la anterior nos quedamos en descubrir un parámetro vulnerable y el por qué de que esto sea así. Ahora vamos a pasar a jugar con la vulnerabilidad y a hacer cosas más vistosas.
Sabiendo la estructura exacta de la consulta SQL podríamos llevar a cabo ataques mucho más precisos, pero rara vez vamos a tener acceso al código a la hora de realizar un pentest. Por tanto, vamos a ir dando palos de ciego y viendo qué nos encontramos a medida que avanzamos con el ataque.

SQL Injection para dummies (Primera parte)

0 comentarios
Buenas a todos, este es mi primer post en el blog tras el inicio de los C43S4RS. No sabía muy bien de qué hablaros puesto que mis compañeros del grupo tienen muy buenas ideas y proyectos para plasmar aquí, y por supuesto no quería pisarles ninguna, así que al final me he decidido a escribir sobre SQL Injection.

Scripts de geolocalización en Python

0 comentarios
Buenas a todos, hoy os voy a hablar de como podemos montarnos unos script de geolocalización haciendo uso de los datos de los usuarios que almacena Google en sus BBDD, si si, habéis leido bien, vamos a usar los datos de geolocalización que todos y cada uno de nosotros le damos a Google cada vez que llevamos nuestros teléfonos móviles en el bolsillo.

Introducción

Seguramente hayas utilizado Google Maps en alguna ocasión y te habrás dado cuenta que este funciona incluso sin tener activo el GPS, ¿cómo es posible que sepan nuestra posición sin GPS? pues muy sencillo, existen otras posibilidades para localizar a una persona sin hacer uso del GPS, estas son las torres de telefonía a las cuales se van conectando nuestros dispositivos o los puntos de acceso que tenemos a nuestro alrededor, los cuales es capaz de alcanzar nuestro teléfono.

No se si habéis leido alguna vez la Política de Privacidad de Google Location Services, seguramente que si. Os lo pongo para que sepáis que información cedemos a google por usar estos servicios:

"Si permite que un sitio Web obtenga su ubicación a través de este servicio, nosotros recogeremos la información en función de las características de su dispositivo: la información sobre los routers inalámbricos cerca de usted, el ID del móvil de las torres de telefonía más próximas, y la intensidad de tu wifi o la señal de celular. Esta información se utiliza para devolver una ubicación estimada al navegador que la solicita. Además en cada solicitud recopilamos también la dirección IP, el User-Agent y el ID único de su cliente. Esta información se utiliza para diferenciar las solicitudes, no para identificarlo."

Certified Ethical Hacker - CEH v9



Buenas a todos!!

Es un placer poder escribir mi primer post en este blog, el cual surge de un grupo de compañeros y profesionales de la seguridad y que se formó para participar en CTF's. Aunque debido al tiempo esto es lo que menos tiempo le podemos dedicar :P. No obstante, esto ya lo explicó Edu en el artículo https://c43s4rs.blogspot.com.es/2017/12/el-principio-de-los-c43s4rs.html ;)

Al grano!

Recientemente me examiné del CEH y publiqué una pequeña entrada en LinkedIn. Dicha entrada ha recibido varios comentarios y otros tantos por privado preguntandome detalles de esta certificación. 

Python, ¿por qué es el lenguaje más usado en seguridad?

0 comentarios
No quería acabar el mes de enero sin escribir mi primer post. Profesionalmente me considero SecDevOps, y aunque mi pasión es la parte SecOps, hoy vamos a hablar de Dev ;)

Tanto si tienes experiencia como si eres nuevo en el área de la seguridad, te estarás preguntando o te habrás preguntado porque Python es el lenguaje más utilizado en el campo de la seguridad. A continuación dejo la respuesta a esta pregunta.

El cifrado de Vigenère

0 comentarios
Pues ya hemos arrancado el nuevo año, han pasado sus majestades los Reyes Magos y si tienes niños, como yo, seguro que lo habrás pasado en grande con ellos.

Todo el mundo habla de propósitos en el nuevo año etc... pero seguro que, y si estás leyendo este blog, es que te sigue interesando el tema de la seguridad informática y los CTF.

En mi entrada anterior hablaba del Cifrado Cesar, en esta ocasión os voy a explicar cómo funciona otro tipo de cifrado, el cifrado Vigenère, muy usado también en los CTF.

Desde el exploit hasta el forense

Empezamos el año con mi primera aportación a este Blog, tras mi colaboración en la Saga de Explo1t_ de mi compinche kneda, se me ocurrió compartir el trabajo realizado en forma de un vídeo-artículo en C43S4RS... bueno vamos al lío!!!

Evil-Droid : Cuidado con tu Android

0 comentarios
ADVERTENCIA:  este post sólo se hace con fines educativos y de información, en ningún momento C43S4RS (este blog) se hace responsable del uso indebido que cualquier usuario pueda hacer de él.

Hola a tod@s, esta es mi primera entrada en este blog llamado C43S4RS y no será la última, en esta entrada vamos a ver uno de los peligros a los que nos podemos enfrentar si no tenemos las precauciones adecuadas con nuestros dispositivos Android.

Para empezar yo soy de los que piensan que para pillar a los malos hay que pensar como ellos, por lo que he decido en esta entrada actuar como un malo, es por ello que voy a mostraros como prácticamente sin conocimientos a nivel hacking, es posible que cualquier ciberdelincuente o aburrido en su defecto se haga con el control de nuestro Smartphone.

Debugging a una App de Android con IDA PRO - Parte 3

0 comentarios
Buenas de nuevo, pues aquí tenemos la última entrega sobre Android y como usar IDA Pro para depurar Apps en tiempo de ejecución. Para ello lo primero que debemos de conocer es la arquitectura sobre la cual vamos a trabajar, en nuestro caso ARM.

Registros en ARM

La arquitectura ARM utiliza 16 registros, entre los que podemos encontrar argumentos a funciones, el contador del programa, puntero a la pila, etc. A continuación enumeramos cada uno de ellos junto con su descripción:

  • R0 a R3: argumentos de la función, también podemos encontrarlos como a0-a3.
  • R4 a R9: para las variables locales.
  • R7: número de llamada al sistema.
  • R10 (sl): límite de la pila.
  • R11 (fp): Fame Pointer
  • R12 (IP): Intra Procedure.
  • R13 (sp): Stack Pointer como RSP en x86_64.
  • R14 (lr): Link Register.
  • R15 (PC): Contador de Programa (como RIP en x86_64 y EIP en x86).

El cifrado del CESAR

0 comentarios
Siempre es complicado empezar una entrada y más cuando se quiere explicar algo más o menos técnico.

Normalmente uno ha de presentarse y todo eso, pero no va a ser así, como ya dijo Edu en el primer post somos varios integrantes y poco a poco nos iréis conociendo.

Sin más dilación yo voy a intentar ir explicando los distintos métodos de cifrado más habituales y empezaremos desde el principio, El Cifrado CESAR - Caesar Cypher

Copyright © C43S4RS