sábado, 15 de diciembre de 2018

SpiderFoot, herramienta OSINT

Buenas a tod@s:

Hoy os vengo a presentar una herramienta muy útil en la parte de recolección de informacion.
La herramienta se llama SpiderFoot, y la podeis descargar desde aquí.

Esta herramienta la podemos usar en el momento de recolectar información en una auditoría.
Podemos hacer escaneos sobre un dominio, una web, una ip, un mail o una red.

En la pantalla principal podremos ver varias opciones, desde comenzar un nuevo escaneo, ver escaneos realizados o configurarlo en settings como nosotros queramos.

Una vez que configuremos o dejemos por defecto la configuración de la herrramienta, podremos hacer nuestro primer escaneo.

Nos aparece la descripción, el objetivo y podemos configurar lo que queramos. Si dejamos ALL por defecto, nos sacará toda la información que recolecte, pero el escaneo será más lento.



Una vez comenzado el escaneo, veremos una pantalla similar a esta:



Aquí nos indica el estado del escaneo. En este caso, podemos observar que está en modo comienzo, donde nos lo indica con el status: starting.

Una vez que el escaneo comienza, aparecerá el estado Scanning y una vez finalice, aparacerá el indicador Finished.

Los resultados aparecerán de la siguiente forma:


Si pasamos el cursos por encima de cualquier barra, nos dará información de lo recolectado.



En la pestaña de SCANS, podremos ver los ecaneos realizados, así como sus resultados y poder exportarlos.

Desde mi punto de vista es una herramienta interesante, aunque con una gran cantidad de falsos positivos, que tendremos que filtrar, pero eso es lo bueno de este mundo..el día que tengamos algo 100% automatizado y perfecto, nosotros desapareceremos...recemos para que esto no ocurra ;)

Un saludo a tod@s y feliz semana!!!!

@fsanz_moya

domingo, 14 de octubre de 2018

TSSpentestweb. Auditoría Automatizada.


Buenos días a tod@s:

Hoy os traigo una herramienta desarrollada por mi (espero seais compasivos), pero que a los que empezais, os puede ayudar bastante a la hora de realizar una auditoria de pentesting sobre un dominio o una web.

Se trata de una herramienta creada en Bash, con varias herramientas que son llamadas desde el menu principal, pero siguiendo la estructura de un pentest (sería un pentest simple, pero es una tool de codigo abierto y modificable, que es lo mas interesante, como siempre)

 La podeis descargar desde aqui.

Es muy sencilla de utilizar y muy intuitiva. Perfecta para los que estais empezando.
Empezamos...una vez que la descargamos, le damos permisos al fichero:


Posteriormente, lanzamos la herramienta:


Nos aparecerá la pantalla de inicio, donde tendremos que meter el dominio a auditar:
 

Nos mandará al menu principal. Sencillo y repito..muy intuitivo:
 

Los primero es iniciar el análisis completo, donde lo que hará será un spidering, posteriormente , cuando lo termine, guardará todo en una carpeta con el nombre del dominio y donde podremos ver los resultados obtenidos, para posteriormente realizar mas pruebas.


Una vez termina la primar fase, te pide que pulses una tecla para continuar...de nuevo, todo muy facil y sencillo. Después analizará los subdominios, servidores de correo, ip's, transferencia de zona etc.



Después nos dará info de su estructura:


Después busca correos en la red y mas subdominios, si los hubiera.


Analiza también si existe un WAF protegiendo la web.


Pasamos despues a un escaneo intenso sobre el objetivo:


Y se finaliza con el menu de analisis de vulnerabilidades. Aquí debeis tener instaladsas todas las herramientas en Kali. Solo está Nikto por defecto. Ni que decir tiene, que desde el codigo de la tool, podeis modificar lo que querais...es lo bueno...


También tenemos el menú de ataques, donde tenemos metasploit, sqlmap, hydra...pero siempre que en las fases anteriores, nos arrojen la información necesaria. Ya sabeis..antes del ataque, hay que recoger y analizar toda la información.


Una vez terminado todo, antes de ir a los ataques, teneis un directorio que se ha creado en vuestro equipo, en el directorio de la aplicación, donde recoge toda la información anterior.
Hay que estudiarla antes de pasar a la explotación!!



Bueno..espero que os guste esta herramienta y le saqueis partido haciendo modificaciones!!!
En proximos post, os enviare la otra herramienta llamada tsspentestred, para analizar redes internas.

Saludos!!!!
@fsanz_moya

jueves, 11 de octubre de 2018

¿Tienes una contraseña? vamos a ver donde la repiten...


Hola  a tod@s:

Hoy os traigo otra facil tool, que nos automatiza búsquedas de varias plataformas, para saber si una contraseña, se repite en ellas.

Lo primero, sería conseguir una contraseña. Cómo? en una auditoría, podriamos conseguirla de muchisaimas formas (wireshark, responder, ficheros visibles...). Una vez tenemos una contraseña, podemos probar en multiples plataformas, para ver hasta donde podemos llegar.

Pero mejor, como siempre, vamos paso a paso...

Primero, descargaremos nuestra herramienta desde aqui.
La herramienta es Cr3dOv3r y está desarrollada en python.

Una vez descargada, debemos instalara los requerimientos con pip:


Posteriormente, procedemos a lanzar la ayuda con el comando -h:


Ahora vamos a lanzar con el comando q, que sería el modo silencioso:


Por lo pronto vemos que nuestro correo, se dio de alta en Taringa y que sus bases de datos fueron vulneradas en las fechas indicadas. Dicho esto, hay que cambiar la contraseña, sí o sí.
POr otro lado, busca en la red, nuestra contraseña en texto plano...en este caso, no la encuentra.
Introducimos la contraseña encontrada y posteriormente, empezaría la busqueda:


Como podemos observar, ha encontrado 4 sitios, donde usa la misma contraseña...

Herramienta muy util en auditorías, para sacar el máximo de información posible y mostrar al cliente los peligros de usar la misma contraseña en distintas plataformas.


Saludos!!!!
@fsanz_moya

lunes, 8 de octubre de 2018

Comprueba mails vulnerados con PwnedOrNot

Hola de nuevo a tod@s:

Hoy os traido un pequeño tutorial de una herramienta muy útil, a la hora de comprobar correos vulnerados en alguna base de datos.

A la hora de realizar un pentest, si tenemos que analizar la fiabilidad del uso de los correos , podemos usar esta herramienta, para automatizar la busqueda de posibles bases de datos que hayan sido vulneradas.

Veamos como funciona esta herramienta, que la puedes descargar desde aquí.

La descargamos y lo primero que hacemos al descomprimirla es instalarla:


Una vez instalada, procedemos a lanzar una revisión de un solo mail:


Esto lo realizamos con el comando -e. También podemos realizar la revisión sobre una archivo, que contenga varios correos, y es aquí donde esta la verdadera utilidad, ya que en una auditoría, si tienes que verificar cientos de correos, hacerlos de uno en uno, sería tedioso. De esta forma, automatizamos el proceso:






Una parte importante en la auditoría, no es sólo ver que correos estan en peligro, sino, en qué páginas o bases de datos, entran los trabajadores de una empresa y el riesgo que corren. De ahí se deben sacar las políticas de buenas prácticas y poder completar la auditoría con la máxima información válida.

Bueno...espero os sea de utilidad esta pequeña herramienta y que además puede ser modificada, para ampliarla o incluso, modificar motores de búsqueda.

Saludos!!!!

@fsanz_moya

lunes, 24 de septiembre de 2018

Photon, tool adicional para recolección de información.

Muy buenas a tod@s:

Hoy os traigo una herramienta bastante interesante, para maximizar la recolección de información de un objetivo.

Podeis descargarla aquí o bien, instalarla con git:





Una vez instalada, procederemos a instalar los requerimientos:




Una vez instalados los requerimientos, lo que podemos hacer, es lo más habitual y recomendable, usar la ayuda, para conocer los comandos.
 

Una vez analizados, su uso es muy sencillo. Procederemos a analizar una web de manera básica:

Como veis, nos indica que crea un directorio, con el nombre de la url, y con la informacion que hemos pedido.


Entramos en la carpeta y podemos ver informacion de lo capturado :

Probarlo y vereis como consigue información útil para nuestras auditorías.

Saludos a tod@s!

@fsanz_moya

miércoles, 29 de agosto de 2018

Billcipher, herramienta de recolección de información

Buenas a tod@s:

Hoys os traigo una herramienta para que la valoreis en su justa medida. Veremos sus pros y sus contras y posibilidad de modificacion, que es lo interesante en estas herramientas de código abierto.

La herramienta se llama Billcipher, y lo que nos ayuda, es a recolectar información de un objetivo, sea una web o bien una ip.

Empecemos por la instalación. Si lo haceis en Kali, tendreis instalados ya muchos paquetes. Aun así, no pasa nada porque actualicemos algunos de ellos.

Empezamos por pasos!!!

Paso 1:
Actualizamos con update


Paso 2:
Instalamos los primeros paquetes. Repito...si teneis Kali, ya tendreis muchos instalados...


Paso 3:
Instalamos las herramientas HTTRACK y WHATWEB


Paso 4:
Instalamos los requerimientos.


Paso 5:
Por último, corremos la herramienta.


Una vez funcionando, nos pedira la opcion de analizar web o ip. Seleccionamos y posteriormente, tedremos este menu.



Yo seleccioné la opción 5, que no es mas que correr el nmap en segundo plano.


Lo interesante , es que tiene bastantes opciones de recoger informacion y clonar el objetivo. Lo malo, desde mi punto de vista, es que después de cada opción , debemos empezar desde el principio. Así, perdemos bastante tiempo y se hace un poco pesado el estar introduciendo continuamente el objetivo.

Lo bueno es que podemos modificar el codigo, quitando condicionales y simplemente, dejando la ejecución de todas las opicones sin pedirla. Con comentar con nuestra famosa # las partes que no queramos, podemos tener una recoleccion completa de las opciones que queramos.

Bueno...os dejo para que "jugueis" con el código de la página. En próximos posts, os mostraré opciones de modificacion del código.

Saludos!!!

Autor: Francisco Sanz Moya

@fsanz_moya

sábado, 21 de julio de 2018

CMSeek (herramienta de análisis de cms)

Buenas tardes de sabado a tod@s:

En esta ocasion, os vengo a mostrar una herramienta para el análisis de CMS's. Hasta un total de 22 tiene en su base.
La herramienta es CMSeek, desarrollada por @r3dhax0r. 

En sí, esta herramienta tiene varias opciones, desde el descubrimiento del cms, pasando por enumeracion de usuarios y plugins, así como de posibles ficheros y directorios útiles, pasando por la posterior enumeracion de posibles vulnerabilidades con sus correspondientes exploits, para facilitar el trabajo.
El script está realizado en Python.

Su uso es muy sencillo, gracias a la facilidad de su pantalla principal y los pocos datos que nos piden, ya que la herramienta automatiza casi todo.






Posteriormente nos aparece:




De aqui seleccionamos para el primer análisis, la opcion 1.





Introducimos el objetivo y vemos distintas informaciones, depdendiendo del CMS encontrado:
 


En este caso, detecta una página creada en Wordpress y otra en Joomla.
Posteriormente nos da información del objetivo más exhaustiva.








 La herramienta también permite el escaneo de multiples páginas, la fuerza bruta de algunos cms's y actualizacion de su base de datos y herramienta.

Ya teneis juego para unas horitas...al ataque (controlado..claro...y con permisos!) 


Un saludo!!!


@fsanz_moya


domingo, 10 de junio de 2018

Gitrob. Herramienta OSINT (instalación y uso)


Buenos días de Domingo a tod@s:

Hoy os voy a mostrar una herramienta muy útil, para recolectar información en una auditoría. Esta recolección se centra en el servicipúblico Github.
La herramienta se llama Gitrob, y se encuentra tmabién en Github. 
La herramienta, configurada con API de github (necesitais tener cuenta activada), consigue informacion como usuarios, posibles contraseñas e información múltiple de una organización o de usuarios de esa organización.
Aquí vamos a mostraros cómo instalarlo y cómo usarlo, en este caso, contra la NASA. Ni que decir tiene, que al ser una recolección de información no ointrusiva, es totalmente legal.

Comenzamos!!!


 Actualizamos nuestro Kali. Es posible que nos arroje el siguiente error de expiracion de nuestra Key.


Si esto ocurre, lo podemos solucionar de la siguiente manera y volvemos a actualizar:
 

Una vez tengamos actualizado correctamente nuestro Kali, procedemos ainstalar nuestro ruby completamente. Si ya lo tenemos, nos lo dirá el sistema.


Una vez instalado, procedemos a instalar dependencias necesarias:


Posteriormente instalaremos rails, si no lo tenemos.


Ahora crearemos nuestra base de datos. Antes de nada, arrancar el servicio postrgresql:


 Instalamos libpq-dev, necesario para el funcionamiento de Gitrob.


Posteriomente, crearemos usuario y base de datos de postgresql, que se usará para Gitrob.



Ahora, iremos a https://github.com/settings/tokens , y generaremos un token para usarlo en gitrob.
Ojo!!  debeis estar dados de alta en Github.


El siguiente paso, será configurar el token creado, en la parte de configuración:


Copiamos el token para usarlo en la configuración posterior de Gitrob.

Instalamos Gitrob:


Despues instalamos la gema para usar la api de githuib:


Bien..seguimos ahora con la configuracion de Gitrob:


Tendremos que introducir los datos que hemos dado de alta, como usuario, password y el token. El hostname dejarlo como esta. El puerto, lo podeis cambiar, si quereis.

Una vez instalado todo, vamos a usar Gitrob. Lo usaremos con la NASA.


Usamos el comando analyze y el objetivo.


Hemos conseguido mucha informacion y nos da un enlace donde podremos ver los resultados.
Abrimos el enlace y...


Clicamos sobre cualquier imagen y seleccionamos USERS


Clicamos sobre alguno de ellos:


y podemos comprobar nombre de usuario, mail , pais , web...

Este es un pequeño ejemplo..pero en los scripts que aparecen, podremos buscar mas usuarios, posibles contraseñas e información no securizada y que puede ser de interés para nuestra auditoría!

Bien!! pues espero que os sirva de algo esta pequeña y potente herramienta, que además yo utilizo a la hora de auditar empresas tecnológicas, que son las que más usan los servicios de Github.

A por la semana y feliz Domingo!!!!

Autor: Francisco Sanz Moya
@fsanz_moya