El nivel técnico de la charla es muy básico, ya que está enfocado a usuarios no técnicos, pero la forma de comunicar del ponente es todo un ejemplo a seguir.

1. Introducción de la presentación

2. La historia de Julián Moreno

3. La tienda electrónica de Julián Moreno

4. Ataques de Cross-Site Scripting (XSS)

5. Ataque de Phishing basado en XSS

6. Ataque de envenenamiento de cookies

7. Ataque de inyección de SQL

8. Conclusiones de la presentación

Tener un servidor sin adaptar adecuadamente dando servicio para internet con iis6 por ejemplo, puede convertirlo en una fácil presa de ataques dDOS entre otros.

Hay que tener en cuenta de igual modo, que un servidor expuesto a internet, no va a tener que soportar ni de lejos la misma carga de tráfico que uno que opere en la intranet de una empresa, en la gran mayoría de los casos.

Para optimizar nuestro sistema debemos tocar las siguientes claves de registro que encontramos en HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services

Nombre: SynAttackProtect

Clave: Tcpip\Parameters

Tipo: REG_DWORD

Valor:1

Este valor del Registro hace que TCP ajuste la retransmisión de SYN-ACKS. Cuando se configura este valor, las respuestas de conexión superan el tiempo de espera antes durante un ataque SYN (En w2k3 con service pack 1 viene a 1 por defecto)

Nombre: EnableDeadGWDetect

Clave: Tcpip\Parameters

Tipo: REG_DWORD

Valor: 0

Cuando esta activada, TCP puede utilizar una puerta de enlace que no se use en el caso de tener problemas con la que usa por defecto.
Si no se configura este valor como 0, se podría cambiar de puerta de enlace del servidor a otra que el atacante quiera.

Nombre: EnablePMTUDiscovery

Clave: Tcpip\Parameters

Tipo: REG_DWORD

Valor: 0

De no ser 0, un atacante podría forzar que el valor de la unidad de transmisión máxima (MTU) fuera muy pequeño y sobrecargar la pila TCP/Ip.

Nombre: KeepAliveTime

Clave: Tcpip\Parameters

Tipo: REG_DWORD-Tiempo en milisegundos

Default: 300000 (5 minutos)

Indica la frecuencia en la que se comprueban si las conexiones TCP inactivas siguen intactas y si el cliente está presente. Generalmente es recomendable cambiar el valor por defecto de 2 horas a 5 minutos, pero en cada caso concreto debemos estipular una configuración adecuada.

Nombre: NoNameReleaseOnDemand

Clave: Netbt\Parameters

Tipo: REG_DWORD

Valor: 1

Con este valor evitamos que el equipo libere su nombre NetBIOS en caso de que se le solicite.

En este ejemplo voy a crear una regla que bloquee los accesos externos a nuestro puerto 80 y después voy a eliminarla.

Para poder ver las reglas que tenemos aplicadas en nuestro equipo podemos llamar al comando

sudo ipfw list

Si quisieramos crear una regla nueva que denegase todo tráfico externo entrante, dirigido a un puerto concreto de nuestro equipo (por ejemplo el 80, usado por apache u otro servidor web corriendo en nuestro equipo) usaríamos el comando:

sudo ipfw add 02001 deny tcp from any to any 80 in

Explico lo que hemos hecho:

1. Con sudo, adquiero los privilegios de root para manejar el firewall
2. Llamo al comando ipfw, que controla el firewall
3. Con add, le indico que quiero añadir una regla nueva
4. 02001 es un número de regla que puede ser cualquiera que no esté siendo usado en la lista de reglas aplicadas. Hay que tener en cuenta que las reglas se procesan de forma secuencial y si ponemos una regla de denegación para un grupo de ips antes de permitir a una en concreto, ésta no tendra acceso (por poner un ejemplo).
5. Deny le indica que la regla es de denegación (podría ser allow para permitir o log para logear el acceso, por ejemplo)
6. tcp le indica que queremos que se aplique al tráfico que se de tipo tcp
7. From any to any 80 in le indica que se aplique al tráfico que venga de cualquier ip o dirección externa a cualquier ip o dirección interna de nuestro equipo a traves del puerto 80 (http)

Volvemos a ver las reglas aplicadas a nuestro equipo

sudo ipfw list

Vemos como se ha creado la nueva regla. Si tenemos el servidor http de MacOSX activado, podemos comprobar que accedemos a nuestra web en local pero no desde otros equipos.

Para eliminar la regla creada simplemente haremos

sudo ipfw delete 02001

Éste ejemplo es de lo más sencillo que podemos hacer con ipfw, podéis leer un artículo más extenso de Peter Hickman para haceros una idea de lo que se puede hacer con éste firewall.

Si por ejemplo convertimos “c:\boot.ini” a su representación hexadecimal “0x633A5C626F6F742E696E69″ y se realiza la injection de abajo, la condición será True si la primera letra del fichero corresponde con el carácter ASCII 1.

http://www.dominioejemplo.com/index.php?id=1 and
mid(Load_File(0x633A5C626F6F742E696E69),1,1)=CHAR(1)

Por cada query de éste tipo carga el archivo completo en memoria, recorriendo todos los valores posibles del alfabeto hasta llegar al final del mismo.

Fuente: 3ª Parte del artículo “Técnicas avanzadas de Blind SQL Injection por Chema Alonso”

[google 3657205570568019924]

1. Fortificando un Servidor Apache (I de IV)
2. Fortificando un Servidor Apache (II de IV)
3. Fortificando un Servidor Apache (III de IV)
4. Fortificando un Servidor Apache (IV de IV)

Este documento toca cosas como el descubrimiento y la enumeración (muy divertido si lo pruebas con Google), XML Injection y XPath Injection.

Cerrudo es uno de los clásicos en la historia de las vulnerabilidades de bases de datos, en este doc hace un recorrido rápido sobre los principales ataques a Oracle y SQL Server. Muy util si quieres jugar con ellos

Éstos son los enlaces a dichos post (recomendable su impresión y lectura):

Protección contra las técnicas de Blind SQL Injection (I de IV)
Protección contra las técnicas de Blind SQL Injection (II de IV)
Protección contra las técnicas de Blind SQL Injection (III de IV)
Protección contra las técnicas de Blind SQL Injection (IV de IV)

Me he tomado la libertad de adjuntar las transparencias y el audio en éste post.

Audio de la charla:

powered by ODEO

Transparencias:

[slideshare id=79016&doc=seguridad-en-redes-wifi3352&w=425]

También podemos encontrar algunas herramientas interesantes.