jueves, 16 de diciembre de 2010

Algunas Herramientas de Seguridad para Mac OS X

Puede que al cambiar a Mac añoréis algunas aplicaciones de seguridad que utilizabais en otras plataformas y que no sabéis que también están disponibles para los amantes de la manzana.

Para la instalación de muchas de ellas necesitaréis instalar previamente XCode ya que contiene la colección de compiladores GCC. Recordad aquello de: ./configure , make , make install ;-)
Tampoco está de más instalar MacPorts que es un gestor de aplicaciones (como puede ser APT en Linux).

Esta es una lista de algunas herramientas que tengo actualmente:


WIRESHARK:

http://www.wireshark.org/download.html


METASPLOIT:

http://www.metasploit.com/redmine/projects/framework/wiki/Install_MacOSX

http://www.metasploit.com/framework/download/


NMAP:

http://nmap.org/download.html

http://nmap.org/book/inst-macosx.html


BURPSUITE: [Java]

http://portswigger.net/burp/


SQLMAP:

http://sourceforge.net/projects/sqlmap/


KISMAC:

http://trac.kismac-ng.org/wiki/Downloads


AIRCRACK:

http://www.aircrack-ng.org/doku.php?id=install_aircrack#installing_on_mac_osx


JOHN THE RIPPER:

http://www.openwall.com/john/


CRYPTIX:

http://www.rbcafe.com/cryptix


THC HYDRA:

http://freeworld.thc.org/thc-hydra/


MEDUSA:

http://www.foofus.net/~jmk/tools/


NIKTO:

http://cirt.net/nikto2



sábado, 20 de noviembre de 2010

Cambiar configuración de entorno en Visual Studio

Quizás a alguno le pueda parecer una tontería, pero no encontraba el modo para volver a cambiar la configuración de entorno que te ofrece la primera vez que arrancas Visual Studio tras su instalación. No sabía ni que nombre tenía y al final en un foro (de msdn si no recuerdo mal) encontré la solución y me consoló saber que no era el único con este problema.

Por si alguien se encuentra en la misma situación que sepa que se hace rapidísimo. Pinchamos en:

Herramientas > Importar y Exportar Configuraciones...


Nos permite exportar nuestra configuración actual o importar otra guardada anteriormente. Continuo seleccionando restablecer todas las configuraciones:


Te permite guardar la actual configuración por si quisieses dar marcha atrás:


Y conseguimos llegar al menú deseado:

jueves, 4 de noviembre de 2010

Arreglando el MagSafe.


Dentro de poco mi Macbook cumplirá cinco años y el único problema que he tenido no ha sido directamente con él sino con su cargador, el MagSafe. En parte me toca entonar el mea culpa porque la verdad es que muchas veces mientras usaba y cargaba el portátil, el cable estaba bastante tenso lo que provocó un pequeño desgarro en este que fue en aumento. Eso conllevó que empezase a fallar y se cortase la corriente ya que los hilos del cable se estaban rompiendo. También se calentaba demasiado el transformador alcanzando una temperatura bastante alta, abrasaba.

Llegó el día en el que dijo adiós dejando de funcionar. Mi intención era comprar uno nuevo pero no tenía batería y necesitaba cargar el Macbook como fuese porque lo necesitaba. Así que me decidí a abrirlo y ponerme manos a la obra.

Antes de nada, decir que no sé si es el método adecuado y si realmente es seguro. Simplemente os expongo mi solución con la intención de ayudar a quien se encuentre ante el mismo problema.

No intentéis buscar tornillo alguno ya que no los hay. Tendremos que ser mañosos y usar la fuerza (No confundir con La Fuerza). Lo primero, quitar el adaptador del enchufe. Después abriremos las pestañas que tiene el cargador para enrollar el cable. En esos espacios libres haremos fuerza en cada lateral para separar la carcasa. Yo utilicé unos alicates para poder presionar en ambos lados. Os dejo unas imágenes por si no me he expresado muy bien.


Realmente no es necesario abrirlo por completo, basta con lograr acceder a la parte de donde sale el cable.

Podéis comprobar la rotura del cable.

Tenemos acceso al cableado.

Nos toca separar el cableado de la pieza de goma. Con cuidado y un cúter será suficiente.

Con cuidado y evitando cortar los cables.

Recuerda conservar esta pieza.

Salvamos la pieza ya que más adelante tendremos que volver a ponerla en su sitio. En mi caso, me encuentro con esto:

¡Sorpresa!


Ahora empieza lo bueno... Como ya sabéis dentro del cable se encuentra otro de color blanco. Los separamos.

Preparamos los cables.

Ahora toca pelar el blanco:

Tiene unas fibrillas que podemos cortar.

Es el momento de ir calentando el soldador y preparar un poco de estaño. Pero antes meteremos macarrón termorretráctil. Utilicé dos diámetros distintos; para cubrir cada soldadura y uno más grande de color blanco para cubrir todo el cableado y que el acabado final no quede muy feo. Así que metemos los tubos por el cable de tal modo que siga el siguiente esquema:

Como podréis comprobar en la siguiente fotografía no tengo ni idea de soldar. Pillé un soldador que había por casa y tirando millas. También veréis como queda el tubo tras aplicarle calor (con un mechero), encoge más o menos a la mitad.

Se puede apreciar como encoge el macarrón termorretráctil.

Ambos cables soldados y recubiertos pero parte de uno queda sin cubrir.

Tiene fácil solución. Será por macarrón...

Tras aplicarle calor, encoge y nos cubre todo.

Nuestro cable ha aumentado su grosor al haber empleado el macarrón pero no hay problema, podemos adaptar la pieza de goma que cortamos al principio para que nuestro cable pase sin problema.

Ensanchamos para el paso de los cables.

Terminamos cerrando la carcasa y utilizando el último macarrón de color blanco cuyo diámetro era superior al resto para poder cubrir la pieza de goma y el resto del cable con la intención de disimular un poco nuestro arreglillo.


Si no os cierra bien la carcasa, podéis utilizar bridas de color blanco.

Yo llevo ya varios meses utilizando el Magsafe desde el arreglo y de momento sin problema alguno pero soy consciente de que he de comprar uno nuevo.

También os dejo unos consejos de la propia Apple para reducir la tirantez del cable.

miércoles, 27 de octubre de 2010

Aleatería para Android





La verdad es que casi no juego a las loterías pero si hay bote suelo echar un par de apuestas con los colegas. A la hora de elegir los números no suelo coger números muy cercanos o de la misma decena como pueden ser 34 y 37 pero pueden salir y de hecho salen frecuentemente. Otra opción es la apuesta automática pero un colega no se fía así que hice mi propio generador de combinaciones para solventar ambos "problemas".

Aleatería está disponible para dispositivos Android y su nombre proviene de un juego de palabras entre ALEATorío y loTERÍA. Tan sólo he implementado tres juegos (Euro Millones, La Primitiva y El Gordo) que son a los que jugamos.


Para generar los números aleatorios tengo un método que según el botón pulsado recibe el rango de números posibles y cuantos distintos han de mostrarse. Después relleno un array de enteros con el rango indicado y con el método shuffle de la clase Collections mezclo todos los números del array. Por último sólo me queda ordenarlo mediante sort y obtener aquellos que necesito empezando por el primero. De este modo evito el ir generando un número aleatório con Random.next por ejemplo y comprobar si se repite con los anteriores e ir ordenándolos.


También he añadido un menú para poder consultar la web de la ONLAE y comprobar los resultados de las últimas apuestas e incluso accesos directos a las estadísticas de los números más frecuentes.


Espero que os sirva y le deis uso al igual que yo. Como siempre, en enlace a continuación:

Contraseña: m310n

MD5: da8028767a13b6e530239a4f9b1d390a
SHA-1: 5579433506c53c756058268b1873ee517f1faac9

domingo, 24 de octubre de 2010

¡GeolClick finalista del Desafío Google Chrome!



Desde el 1 de Septiembre hasta el 15 de Octubre se ha celebrado el primer Desafío Google Chrome para España. Un concurso para que desarrolladores residentes en España creasen extensiones para el navegador de Google siendo juzgadas por su creatividad e implementación técnica.

EL día 22 de este mes se publicaron los ganadores del desafío siendo Chrome Palette la que obtuvo el primer puesto y un Nexus one como premio.

Mi extensión GeolClick (que os presenté en este mismo blog) llegó a la final pero me temo que no recibiré premio alguno. Tan sólo la satisfacción de que siendo mi primera extensión haya llegado tan lejos.

Podéis acceder al anuncio de los ganadores pulsando este enlace.

Desde aquí, mis felicitaciones a Daniel y David que fueron los creadores de Chrome Palette.

miércoles, 29 de septiembre de 2010

PoLLoSound para Android



Desde hace algún tiempo tengo curiosidad por los teléfonos equipados con el sistema operativo Android y al final me he comprado uno. No me ha decepcionado para nada, la verdad y de momento estoy bastante contento.

Me puse a trastear con el SDK con el fin de crear mi primera aplicación para esta plataforma y que mejor que probar a adaptar PoLLoSound para iPhone.

He de reconocer que he visto un poco más problemático el diseño para esta plataforma que para iPhone ya que la aplicaciones se ejecutarán en dispositivos con pantallas de distintos tamaños, resoluciones diferentes... mientras que con iPhone no tenía ese problema. Aunque ahora con el iPad cambia la historia pero no me hagáis mucho caso que no estoy muy puesto en el tema.

Probad la aplicación y me comentáis.

Contraseña: p0t4t03

MD5: 819a34e173d81bef7f1715efd69527e8
SHA-1: 65476095364c05d0091051160d2843e6fed5e78c

lunes, 20 de septiembre de 2010

GeolClick

Al fin he creado mi primera extensión para el navegador Google Chrome.

Detecta en que lugar del mapa te encuentras gracias a Geolocation de HTML5 y mediante la API de Google Maps calcula la distancia a la que te encuentras respecto a una dirección por la que estés interesado. También te muestra el tiempo estimado que tardarías en coche.

La geolocalización funciona correctamente mediante conexiones WiFi así que probadla únicamente si estáis conectados a una red inalámbrica.

Para utilizarlo tan solo selecciona con el ratón el texto de una dirección que te interese y pincha sobre el icono de GeolClick.

Podéis descargarla aquí. Puntuadla y comentadla por favor.

Os dejo unas capturas de su funcionamiento:


Para conocer a que distancia te encuentras de una dirección exacta.

Búsqueda por ciudad.


También incluye un enlace para poder explorar el mapa y conocer la ruta entre los dos puntos.

No hace falta que sean direcciones exactas ya que puedes buscar por ciudades, países... o incluso por un monumento como "La Puerta de Alcalá".

Disfrutad de GeolClick.

martes, 7 de septiembre de 2010

PoLLoSound para iPhone



¿Quién no ha conocido a alguien al que llaman Pollo? ¡Si hasta hay un grupo en Facebook!

El que yo conozco es un tío salao' y contagiaba a todos sus tonterías que nos hacían bastante gracia. Así que probando el SDK de iOS se me ocurrió hacer una aplicación sencilla que reprodujese las chorradas del amigo. Él grabó en su pc sus célebres frases y yo me encargué de lo demás. Os parecerá una idiotez pero resultó divertido y me sirvió de excusa para no quedarme en el "Hello World" aunque tampoco he seguido probándolo mucho.

Como anécdota contaré que en mitad de una clase estuvimos jugando con la aplicación y el profesor ya cansado de oír al amigo Pollo le sugirió que abandonase el aula si no pensaba callarse. Él pobrecillo flipaba porque, ¡por una vez no era él! Jorge, si lees esto... ¡un abrazo!

Descargar PoLLoSound.
Contraseña: c4rr07

MD5: 10af1faa40c2d5a32cce14d44da01324
SHA-1: c6d5815a22abf19829a09ac1930e19923b533366

miércoles, 1 de septiembre de 2010

JAVA, "herramienta creada por Oracle"

Vale que Oracle ha comprado SUN Microsystems y que ahora es dueña de todos sus productos pero lo que he visto no me ha gustado del todo. Me he descargado el JRE 6 y al instalarlo he podido leer lo siguiente:


No termina de gustarme lo de "creada por", no sé, quizás sean cosas mías. Tendrán que actualizar la Wikipedia.

martes, 31 de agosto de 2010

XSS

A día de hoy aún es muy fácil encontrarse aplicaciones web vulnerables a XSS a pesar de su peligrosidad. OWASP este año la ha posicionado en el segundo lugar del Top 10 de los riesgos más importantes en aplicaciones web.

Para quienes no conozcan este fallo, decir que las siglas de XSS provienen de Cross Site Scripting sustituyendo la C de cross por una cruz X para no ser confundido con CSS (Cascading Style Sheets). En resumidas cuentas, esta vulnerabilidad permite inyectar código y que sea ejecutado sin que este sea validado. El fallo puede afectar de forma "persistente" (se consigue inyectar en la base de datos) o "reflejada" (se inyecta a través del navegador que "lo refleja en la aplicación web"). Algo más de información en en este enlace de Wikipedia.

Mediante este ataque se pueden suplantar las credenciales de un usuario autenticado, modificar el aspecto de la página, redireccionar el navegador a una web falsa para practicar phishing, etc.

Como prevención, se han de validar todas las entradas de la aplicación. Algunas medidas a tomar en cuenta es el filtrado de etiquetas html (por ejemplo en PHP con librerías y clases ya existentes como son Strip_tags o InputFilter) y las consultas que realicemos a la base de datos ya que podemos llegar a inyectar más parámetros, consultas... y que estás formen parte del resultado.

Algunos ejemplos de tipo reflejado en los que simplemente mediante una instrucción javascript se cambia una imagen por otra al realizar una consulta desde el navegador son:
La web de la CEOE al consultar una noticia. Les avisé por mail y lo solucionaron a los pocos días pero ni respondieron dando las gracias.

CEOE

En la web PLANB no lo aún solucionado aún y van a pasar dos meses desde el aviso, al igual que la de Sanitas, ambos no respondieron al mail que les envié. Direcciones que obtuve de sus webs y/o de la información del whois.

PlanB

Sanitas


Otras en cambio ponen solución rápidamente y te lo agradecen como es el caso de Habemusporra. En cuanto recibieron el mail se pusieron con ello y lo solventaron rápidamente. Esta vez era de tipo persistente ya que los comentarios que se almacenaban en la base de datos no se filtraban y cada vez que estos se cargaban reproducían el código. Probé varias cosillas como sustituir los enlaces de botones, aspecto de la web, inserción de iframes que permiten robar las cookies de autenticación... pero como os comento, lo solucionaron.

Habemusporra



Tanto en las clases de programación como en otros cursos que he hecho , y por la experiencia de gente con la que he hablado sobre el tema es que no enseñan a programar con seguridad. No le dan importancia, al igual que cuando en C desbordabas el buffer y te decían: "mete un número más pequeño". No sé si a los demás os ha pasado o si es algo que se debe aprender por cuenta propia.


lunes, 30 de agosto de 2010

"Videojuego" en C#


La verdad es que es un poco aventurado que lo llame videojuego, por eso lo he puesto entre comillas en el título.

Lo hice en Visual Studio 2008 con C# y no he empleado XNA ni ninguna librería especializada, simplemente Windows Forms y el .NET Framework 3.5. Así también justifico los resultados... porque cada vez que se mueven los muñecajos parece que se superponen sobre el fondo y hace cosas un poco feas. Si alguien sabe como resolverlo se lo agradeceré.

El juego se llama GreenWar (cuando lo probéis lo entenderéis). La contraseña para descomprimirlo es: c0c0nu7

Descargar GreenWar.

MD5: 9b623feaf5d005d6fefc59804778f4e0
SHA-1: fb1ea0a0253c86f4ff55dc5b04bc9da048de224c





martes, 6 de abril de 2010

Obtener imágenes de los menús de Xbox Live.


El otro día fui a echar una partidilla con la Xbox360 y eché un vistazo entre las novedades del bazar. Me gustó el fondo de pantalla que aparecía al acceder al menú de uno de los juegos. Quería esa imagen y como desde la videoconsola no se puede guardar se me ocurrió utilizar un sniffer y capturar un poquito de tráfico para dar con la imagen. Lo conseguí y aquí cuento como.

Lo primero que hice fue enrutar la Xbox360 a mi Macbook conectándolos mediante un cable Ethernet y saliendo a Internet a través del wifi del portátil. De esta manera todos los datos que lleguen y salgan de la videoconsola pasan por el portátil y así poder cotillear un poco. Se me ocurre que también se puede emplear un ataque MITM en lugar de conectar la xbox con otro equipo.

Tras tener preparada la conexión de la Xbox360, accedemos al Bazar de Juegos. Antes de acceder al menú de descargas del juego que hayamos elegido para descargarnos su imagen de fondo ponemos nuestro sniffer favorito a capturar paquetes (yo utilizo Wireshark, antiguo Ethereal). Accede al menú elegido y tras cargarse la imagen de fondo para la captura del sniffer. Filtramos los resultados por el protocolo HTTP. Abrimos el primer XML recibido que contiene la imagen de fondo que estamos buscando. Seguimos esta ruta:

eXtensible Markup Language

_______________<feed>

____________________<entry>

_________________________<live:images>

______________________________<live:image> [2º]

___________________________________<live:fileurl>

Copiamos el valor de este último campo y así obtenemos la ruta de la imagen. La pegamos en nuestro navegador web y listo.

He de advertir que si queréis la imagen de un juego que ya habéis consultado y no os aparece ningún XML es porque debéis limpiar la caché de la 360 y volver a intentarlo.

Dejo un vídeo por si hubiese alguna duda:


Espero que os sea útil. ;)

domingo, 4 de abril de 2010

TUENTIADICTO.com ¿Adiós o Hasta Luego?


Bueno, esta es mi primera entrada del blog y lo inauguro con una despedida... ¡Empezamos bien!

Este adiós o hasta luego que menciono en el título se debe a que la web en cuestión que diseñé y programé en su día la tengo abandonada. El que no la siga manteniendo se debe principalmente a la falta de tiempo para actualizarla y en consecuencia no he renovado el hosting que me aportaba la tecnología necesaria para que funcionase.

Para los que no la conociesen... mediante la web se podía gastar bromas mostrando el nombre de quien quisieses como que era adicto a la red social Tuenti con tan solo hacerle llegar un link de la web seguida de su nombre y apellidos separados por puntos.

Para no enrollarme cito el mensaje de bienvenida que tenía la web para saber como utilizarla:

BIENVENID@ A TUENTIADICTO.COM

Tuentiadicto.com es una web con la que podrás hacer reír a todos tus amigos de Tuenti al ver que se habla sobre su "adicción" en una web.

Para poder empezar a pasarlo bien gastándole bromas a tus amigos tuentiadictos sólo tienes que mandarles la dirección http://tuentiadicto.com/ seguido de su nombre y apellido/s separados por puntos.

Por ejemplo... para alguien que se llame Juan Cuesta Pérez sería http://tuentiadicto.com/juan.cuesta.perez

Así de fácil y tantas veces como quieras!!

Ninguno de los nombres que introduzcáis es almacenado o algo por el estilo.

Disfrutad de la web.


Y como una imagen vale más que mil palabras me despido con el vídeo de la web:

Música: Blue Child - Bottle