Hacking Day Open-Sec en ICA

El pasado 09 de junio , tuvimos el gusto de ser invitados por la Universidad Privada Alas Peruanas de ICA , a una rueda de charlas de seguridad, con temas como Google Hacking , Seguridad en Aplicaciones web, Hacking a cajeros automáticos , Hacking Voip , las cuales estuvieron a cargo de los consultores senior: Mauricio Urizar @MauricioUrizar , Jhon Vargas @John_Vargas , Alfredo Garcia @garciacajo y Juan Oliva @jroliva

El evento tuvo mucha acogida y esperamos volver pronto , aquí algunas fotos :

GuayaquilHack 2012

Hoy en día abundan los eventos de seguridad, cada vez más se tienen eventos de in-seguridad y también hay mucha oferta de entrenamientos de hacking.  Nosotros mismos tenemos uno llamado OSEH que promovemos de alguna forma, pero, hace tiempo queriamos hacer dos talleres de tipo avanzado e introducir uno nuevo.

Los talleres avanzados corresponden a Web Application Hacking y Exploit Development.  El introductorio corresponde a Computación Forense.

Decidimos lanzarlos en Guayaquil porque estaremos dictando 2 cursos de Ethical Hacking en la ESPOL (como todos los años) y lo denominamos GuayaquilHack 2012 porque esperamos que sea el inicio.

Como dicen, las imágenes valen más que mil palabras :

Seminario de Ethical Hacking Ninjahack

El pasado 25 de Abril OPEN-SEC en alianza estratégica con ADIESTRA, desarrolló el Seminario de Ethical Hacking "Ninjahack", para los ganadores durante el evento "Cyber Security Government 2012" , durante el seminario se pudieron ver temas como :

- Estándares y metodologías

- Información sobre certificaciones

- Mecanismos para Footprint

- Herramientas de Google Hacking

- Tipos de escaneos de puertos y como realizarlo de manera efectiva

- SQL Inyection , teoría, técnicas y demostraciones

- Torneo de Hacking

Open-Sec presente en el Cyber Security Government 2012

Exitosa fue la participación de Open-Sec durante el evento que se desarrolló el pasado jueves 12 de abril, con la ponencia "Los TOP 10 de vulnerabilidades y ataques en las entidades del Gobierno Peruano" donde se brindaron detalles sobre los ataques más representativos a los organismos del Perú, el cual estuvo a cargo por Walter Cuestas (@wcu35745) - Gerente General de Open-Sec

Top 10 Vulnerabilidades Gobierno peruano 2011 - Versión Actualizada para Latam

Mile2 top10latam from wcuestas

Así mismo Open-Sec en alianza con Adiestra , sortearon a los participantes, entradas de participación al "Seminario de Ethical Hacking" a desarrollarse el próximo 25 de Abril.

Finalmente, tuvimos la oportunidad de fraternizar con amigos como Leonardo Pigñer ( @KFS ) de BASE4 Security,  así como otros grandes amigos , con los cuales pudimos departir durante el almuerzo.

Explotando Vulnerabilidad en FreePBX 2.10

En el marco del Primer seminario de PER Systems como ATC de Mile2   realicé una charla titulada "Hacking Voip" , debido a esto ejecuté la demostración de explotación, de una vulnerabilidad reciente (en ese momento) en la aplicación web "Freepbx" y que afecta a las versiones 2.10

Este exploit fue publicado en exploit DB (http://www.exploit-db.com/exploits/18650/ ) el 23/03/2012
En este caso la vulnerabilidad es de tipo “Remote Code Execution Exploit” , es decir inyecta código en una pagina no autentificada de Freepbx, determinadas  variables que generan la ejecución de sentencias del sistema operativo vía la función  “system” de asterisk , lo cual genera una conexión reversa desde el host atacado hacia el host del atacante vía el puerto 443.

La vulnerabilidad es posible explotar, bajo estas condiciones :

- Tener abierto el entorno de administración (80 y/o 443)
- Conocer el numero de alguna extensión del host atacado
- Tener activado el Voicemail de la extensión atacada.

El siguiente vídeo muestra como explotar esta vulnerabilidad



Para parchar la vulnerabilidad es necesario ejecutar el comando : yum update freePBX

Saludos

Juan Oliva

Primer seminario de PER Systems como ATC de Mile2

Con motivo del anuncio de la realización del primer curso de certificación C)PTE , se desarrolló pasado jueves 29 de Marzo, el primer seminario de Ethical Haking organizado por  PER Systems en su calidad de ATC de Mile2.

En el cual participaron los Consultores Senior de Open-sec e instructores autorizados por Mile2,  Mauricio Urizar  con el tema  "Hacking de cajeros Automáticos"  y Juan Oliva  con  "Hacking Voip"  respectivamente.

Finalmente Walter Cuestas, Gerente General de Open-sec , dio a conocer  el "Course road map" de certificaciones de Mile2. las cuales se brindarán próximamente en el Perú.

Webminar Scripting para Pentesters

Open-Sec y PER Sytems S.A, en  su calidad de Centros autorizados de Entrenamiento de Mile2,  han organizado el próximo viernes 30 de marzo del 2012 a partir de las 17:00pm, (hora Lima-Perú)  un seminario online "webminar" titulado  "Scripting para Pentesters"

"Cualquier persona dedicada al ethical hacking o pentesting utilizará, en alguna etapa de su labor, herramientas que han sido desarrolladas en base a lenguajes scripting y muchas veces no funcionan como se esperan, como dice la documentación, o se hacer más de lo que la herramienta lo permite. esto implica tener conocimientos de bash, batch, Python, Rubi, PHP, Perl...etc.

Sin embargo, los conocimientos que requiere un pentester para corregir,  modificar o ampliar un programa pueden  ser mas simples y eso es lo que el webminar demostrará a través de ejemplos diversos  con herramientas usadas a lo largo de las etapas de un pentesting"

Mas información e inscripciones en :  http://www.persystems.com/mile/Webminar%20Scripting.htm

Actualización 02/04/2012 

Con mucho éxito se desarrollo el webminar , a continuación la presentación del evento :

Scripting para Pentesters v1.0

View more presentations from wcuestas