El pasado 09 de junio , tuvimos
el gusto de ser invitados por la Universidad Privada Alas Peruanas de
ICA , a una rueda de charlas de seguridad, con temas como Google Hacking , Seguridad en Aplicaciones web, Hacking a cajeros automáticos , Hacking Voip , las cuales estuvieron a cargo de los consultores senior: Mauricio Urizar
@MauricioUrizar , Jhon Vargas @John_Vargas , Alfredo Garcia
@garciacajo y Juan Oliva @jroliva
El evento tuvo mucha acogida y
esperamos volver pronto , aquí algunas fotos :
Hoy en día abundan los eventos de seguridad, cada vez más se tienen
eventos de in-seguridad y también hay mucha oferta de entrenamientos de
hacking. Nosotros mismos tenemos uno llamado OSEH que promovemos de
alguna forma, pero, hace tiempo queriamos hacer dos talleres de tipo
avanzado e introducir uno nuevo.
Los talleres avanzados corresponden a Web Application Hacking y Exploit
Development. El introductorio corresponde a Computación Forense.
Decidimos lanzarlos en Guayaquil porque estaremos dictando 2 cursos de
Ethical Hacking en la ESPOL (como todos los años) y lo denominamos
GuayaquilHack 2012 porque esperamos que sea el inicio.
Como dicen, las imágenes valen más que mil palabras :
El pasado 25 de Abril OPEN-SEC en alianza estratégica con ADIESTRA, desarrolló el Seminario de Ethical Hacking "Ninjahack", para los ganadores durante el evento "Cyber Security Government 2012" , durante el seminario se pudieron ver temas como :
- Estándares y metodologías
- Información sobre certificaciones
- Mecanismos para Footprint
- Herramientas de Google Hacking
- Tipos de escaneos de puertos y como realizarlo de manera efectiva
- SQL Inyection , teoría, técnicas y demostraciones
Exitosa fue la participación de Open-Sec durante el evento que se desarrolló el pasado jueves 12 de abril, con la ponencia "Los TOP 10 de vulnerabilidades y ataques en las entidades del Gobierno Peruano" donde se brindaron detalles sobre los ataques más representativos a los organismos del Perú, el cual estuvo a cargo por Walter Cuestas (@wcu35745) - Gerente General de Open-Sec
Así mismo Open-Sec en alianza con Adiestra , sortearon a los participantes, entradas de participación al "Seminario de Ethical Hacking" a desarrollarse el próximo 25 de Abril.
Finalmente, tuvimos la oportunidad de fraternizar con amigos como Leonardo Pigñer ( @KFS ) de BASE4 Security, así como otros grandes amigos , con los cuales pudimos departir durante el almuerzo.
En el marco del Primer seminario de PER Systems como ATC de Mile2 realicé una charla titulada "Hacking Voip" , debido a esto ejecuté la demostración de explotación, de una vulnerabilidad reciente (en ese momento) en la aplicación web "Freepbx" y que afecta a las versiones 2.10
Este exploit fue publicado en exploit DB (http://www.exploit-db.com/exploits/18650/ ) el 23/03/2012
En este caso la vulnerabilidad es de tipo “Remote Code Execution
Exploit” , es decir inyecta código en una pagina no autentificada de Freepbx,
determinadas variables que generan la ejecución de sentencias del
sistema operativo vía la función “system” de asterisk , lo cual genera
una conexión reversa desde el host atacado hacia el host del atacante
vía el puerto 443.
La vulnerabilidad es posible explotar, bajo estas condiciones :
- Tener abierto el entorno de administración (80 y/o 443)
- Conocer el numero de alguna extensión del host atacado
- Tener activado el Voicemail de la extensión atacada.
El siguiente vídeo muestra como explotar esta vulnerabilidad
Para parchar la vulnerabilidad es necesario ejecutar el comando : yumupdatefreePBX
Con motivo del anuncio de la realización del primer curso de certificación C)PTE , se desarrolló pasado jueves 29 de Marzo, el primer seminario de Ethical Haking organizado por PER Systems en su calidad de ATC de Mile2.
En el cual participaron los Consultores Senior de Open-sec e instructores autorizados por Mile2, Mauricio Urizar con el tema "Hacking de cajeros Automáticos" y Juan Oliva con "Hacking Voip" respectivamente.
Finalmente Walter Cuestas, Gerente General de Open-sec , dio a conocer el "Course road map" de certificaciones de Mile2. las cuales se brindarán próximamente en el Perú.
Open-Sec y PER Sytems S.A, en su calidad de Centros autorizados de Entrenamiento de Mile2, han organizado el próximo viernes 30 de marzo del 2012 a partir de las 17:00pm, (hora Lima-Perú) un seminario online "webminar" titulado "Scripting para Pentesters"
"Cualquier persona dedicada al ethical hacking o pentesting utilizará, en alguna etapa de su labor, herramientas que han sido desarrolladas en base a lenguajes scripting y muchas veces no funcionan como se esperan, como dice la documentación, o se hacer más de lo que la herramienta lo permite. esto implica tener conocimientos de bash, batch, Python, Rubi, PHP, Perl...etc.
Sin embargo, los conocimientos que requiere un pentester para corregir, modificar o ampliar un programa pueden ser mas simples y eso es lo que el webminar demostrará a través de ejemplos diversos con herramientas usadas a lo largo de las etapas de un pentesting"
