Sistemas

Seguridad, Sistemas

Wifi Pineapple: la piña que te ayuda a hackear

El otro día uno del equipo nos pasó este artículo…¡no veas que peligro tiene el aparatito! No solemos compartir artículos no gratuitos, pero conviene conocer este dispositivo para saber lo fácil que es que te hackeen. Ni que decir tiene que nos vamos a comprar este aparatito cuando podamos para análisis. Wifi Pineapple es un dispoistivo preparado para “análisis de seguridad”. Puede funcionar como punto de acceso, como cliente Wifi o por Red. Cuando te conectas a la piña, tienes a tu disposición ya implantadas y de manera sencilla de usar, las principales herramientas que necesitas para hacking (ético y no ético). Te pongo ejemplos: Conectas este aparato a una red por cable o por wifi y abres una herramientas como esta para descifrar lo que vaya en SSL. Mirad lo fácil que es descubrir todos los usuarios y contraseñas de páginas y servicios web, aunque vayan seguras (por cierto fijaos que usan Kali Linux): En vez de hacer eso, puedes hacer un man in the middle para redirigir, con un DNS spoof, páginas a las que quiere ir la gente (una específica o todas) en esa red a otra que tu quieres. Por ejemplo que cuando vaya a google se metan en una página que tengas con virus y se infecten, o que cuando vayan a la página del banco entren en una falsa que tu hayas puesto y recoja las contraseñas. Obviamente también es fácil hackear una contraseña wifi con el Pineapple y conectarte a otra red: Por último como ideas, fijaos si ponéis este aparatito en un aeropuerto o sitio público y creáis una wifi llamada WIFI GRATIS. No veas la de gente que cae. Como eso la piña da muchísimo más. Eso si, algún listo lo intentó en una Defcon….no es buena idea jajajjaa. Le dieron lo suyo.    

Diseño Web, Gestores de contenidos, Seguridad, Sistemas

Protege tu WordPress de ataques XML-RPC

El viernes hablaba con un cliente contándole que WordPress es una de las soluciones más usadas para los blogs y Webs por su facilidad de uso y su buen funcionamiento. Sin embargo, esto también lo conocen los hackers….y es una de las plataformas más atacadas. Por lo tanto deberías tener tanto el WordPress como los plugins lo más actualizado posible, y si tu web tiene bastante tráfico (por lo tanto también atrae bastantes hackers) seguramente tendrás que añadir ciertas medidas extra como esta que explicamos hoy (y que nosotros usamos en un cliente hace unos meses). En unos días también os explicaremos algunos de los plugins más usados para reforzar la seguridad de tu web con WordPress, hoy nos dedicaremos a los ataques Xml-RPC, un ataque muy conocido pero que aún así seguro que a algún lector le viene bien. Es un protocolo que usan algunos servicios y que WordPress hizo bien en activar….hasta que lo usaron para atacar. La solución más sencilla es añadir a tu fichero .htaccess un código para desactivar xml-rpc. Si tu web es simple esto debería valer. Te pongo el código: <FilesMatch “^(xmlrpc\.php)”> Order Deny, Allow Deny from all </ FilesMatch> Si no os atrevéis con editar el fichero htaccess podéis añadir un plugin que lo haga por vosotros como este. El problema de este código es que podrías necesitar xmlrpc para algún servicio, ciertas cosas podrían dejar de funcionar dependiendo de la complejidad de tu web. Puedes probar estas variantes:  Esta mira de dónde viene el ataque: <IfModule mod_setenvif.c> <Files xmlrpc.php> BrowserMatch “Poster” allowed BrowserMatch “WordPress” allowed BrowserMatch “Windows Live Writer” allowed BrowserMatch “wp-iphone” allowed BrowserMatch “wp-android” allowed BrowserMatch “wp-windowsphone” allowed   Order Deny,Allow Deny from All Allow from env=allowed </Files> </IfModule> Si usas JetPack deberías añadir estas modificaciones. : <FilesMatch “^(xmlrpc\.php)”> Order Deny,Allow # Whitelist Jetpack/ Automattic CIDR IP Address Blocks Allow from 192.0.64.0/18 Allow from 209.15.0.0/16 Allow from 66.155.0.0/17 Deny from all </FilesMatch> Hay quien recomienda alguna IP más para Jetpack…experimentad con cuidado. Podéis añadir a este código anterior nombres de dominio también para el Allow. Un mejor código, según lo indicado en esta página, para evitar otro tipo de ataque también sería: <FilesMatch “^(xmlrpc\.php|wp-trackback\.php)”> Order Deny,Allow # Whitelist Jetpack/ Automattic CIDR IP Address Blocks Allow from 192.0.64.0/18 Allow from 209.15.0.0/16 Allow from 66.155.0.0/17 Deny from all </FilesMatch> Con esto deberías estar bastante protegido contra este ataque. Si administras tu propio servidor puedes también usar Fail2Ban, un plugin con muchas opciones al que puede que le dediquemos un artículo pronto. Una configuración para este ataque con fail2ban como solución la puedes ver aquí.

Información Tecnica, Sistemas

Phoronix Test Suite: programa para testear ordenadores (benchmark)

Hoy os presentamos uno de los mejores programas de Benchmark para ordenadores (no lo decimos nosotros, lo usan muchas webs de pruebas y ha sido descrito como la mejor por páginas como Softpedia). Nosotros lo conocimos leyendo un benchmark hecho en un Mac Air para compararlo ejecutando IOS o Ubuntu (por cierto Ubuntu lo apalea). Phoronix Test Suite es un software que se creó para Linux pero ahora es multiplataforma (Windows, Mac,Linux….).  Viene con unos 450 perfiles de prueba y unos 100 tests para realizar en el dispositivo. Las pruebas se hacen en todos los componentes interesantes de los ordenadores (CPU, gráfica, RAM, disco, componentes de la placa….). Los resultados de la prueba se pueden comparar fácilmente con otros y pueden subirse tanto a http://openbenchmarking.org/ como a la base de datos de Phoronix.  También puedes exportarlos como logs y en modo visual en varios formatos. Puedes además obtener un informe detallado de los componentes y software del ordenador. No sólo hace tests de hardware sino también de software específico, se usa muchas veces con juegos o con motores gráficos. Por lo tanto si ten interesa saber la potencia de tu ordenador para compararla con resultados online, con amigos, con otros ordenadores (Mac etc) o para poder venderlo este software es de lo mejorcito que tienes. Está muy bien decir que “mi sistema está bien”, pero esto es con datos y detalles.  

Linux, Mac, Seguridad, Sistemas

Shellshock vulnerabilidad que afecta a Linux, Mac, Unix. Cuidado con los servidores

La semana pasada salió otra noticia de una vulnerabilidad que afectaba a los entornos que tuvieran Bash como intérprete de comandos, es decir Unix, Linux y Mac (al estar basado en Linux), pero también routers y puntos de acceso. Como siempre en estas noticias ya estaban los alarmistas hablando de Heartbleed etc. Vulnerabilidades se encuentran muy a menudo, para eso están los hackers y para eso se sacan parches. El mismo día o al día siguiente que saliera el aviso mi ordenador, un Lubuntu, ya estaba parcheado ya que la mayoría de las grandes distribuciones de Linux sacaron parches para evitar ese ataque. Mac sin embargo no parece haber reaccionado tan rápido, por lo tanto muchos Mac son vulnerables. Pero si sólo fuera por eso no hubiéramos sacado la noticia. Los sistemas se parchean y punto. Sin embargo es importante destacar que la mayoría de los servidores web (y de otro tipo pero sobre todo web) funcionan en Linux o Unix, por lo tanto pueden estar afectados por este fallo. Y  muchos administradores actualizan a mano sus equipos para controlar los fallos. Así que es importante saber que si tienes un servidor dedicado deberías ver si le afecta esta vulnerabilidad y parchearlo. ¿Cómo saber si estás afectado? Si ejecutas este comando: $ env x='() { :;}; echo vulnerable’ bash -c “echo this is a test” Y sale ” vulnerable this is a test” tu servidor tiene la vulnerabilidad y deberías tomar las precauciones debidas cuanto antes. Si , por el contrario sale algo como : bash: warning: x: ignoring function definition attempt bash: error importing function definition for `x’ Entonces tu sistema está bien parcheado. Recordad que esto también puede afectar a puntos de acceso y routers. Aquí os dejo un gran artículo sobre el tema de Chema Alonso y otro de Eleven Paths sobre cómo usar la vulnerabilidad remotamente.

Compartir, Sistemas, Soporte

Windows 7 como servidor de ficheros: ID 2017 “The server was unable to allocate..”

Hace unos días un cliente nos llamó con un problema en su “servidor”. Estaba usando un ordenador con Windows 7 para compartir carpetas de ficheros y usarlo como servidor de ficheros.  El problema era que, de repente, unos ordenadores XP no podían acceder a las carpetas compartidas (los ordenadores con Windos 7 y Windows 8 si podían). Daba un error de permisos. Obviamente los permisos no habían cambiado….así que algo había pasado. Después de investigar un rato descubrimos en el “servidor de ficheros”, en el visor de eventos un error con ID 2017 de este tipo: Source: srv Event ID: 2017 Level: Error The server was unable to allocate from the system nonpaged pool because the server reached the configured limit for nonpaged pool allocations. Estuvimos investigando y descubrimos que Windows 7 maneja de manera extraña los recuersos para compartir ficheros a menos que le indiques que vas a usarlo para ello. Para indicárselo debes hacer los siguientes cambios en el registro: Nota: No nos hacemos responsables  de los errores producidos por un mal uso del editor de registro. Haz siempre una copia del registro antes de cambiarlo y/o un punto de restauración. Poner el campo siguiente a 1. HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\LargeSystemCache y este a 3. HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\Size Con esto reinicia este “servidor” con Windows 7 y verás que los problemas se han resuelto. Más información en la fuente del artículo.  

Compartir, Internet, Sistemas

Aeroadmin: una alternativa a Teamviewer gratis para empresas y particulares

Teamviewer es un programa excelente, pero carísimo. Muchas empresas quisiéramos comprar sus licencias pero o son demasiado caras para las PYMES o no se adaptan a las necesidades (nuestros técnicos pueden dar soporte desde varios ordenadores y eso serían varias licencias). Hay muchas alternativas para Teamviewer (AmmyAdmin, Supremo, Chrome Remote Desktop etc), pero todas suelen ser para uso particular y no para empresas. Aeroadmin es una alternativa que cambia esto, es gratuito para empresas y particulares. Me gusta esa mentalidad porque permiten la prueba por las empresas y luego si consiguen unos precios de licencias suficientemente adecuados estoy seguro que conseguiran que las empresas se fidelicen. Por ahora funciona bien pero sin muchas opciones extra. Eso si, se puede usar desde Windows o desde Linux con Wine. Al menos las opciones básicas las tiene (la conexión remota, la gestión de ficheros y el envío de un ordenador a otro etc). Eso si, sólo lo tenéis en inglés.

Diseño Web, Información Tecnica, Sistemas

Acelerar PHP con APC: Alternative PHP Cache

Si tienes un servidor web dedicado, virtual o cloud que puedes gestionar y sirves contenido PHP este truco puede ayudarte. Puedes instalar APC para acelerar las páginas con PHP. APC es un plugin gratuito que ofrece un caché para que scripts en PHP que ya se hayan corrido en el servidor no tengan que ejecutarse de nuevo, ahorrando así tiempo y recursos. Otro sistema de cache es Memcached y la diferencia es que Memcached es más genérico y no sólo para PHP, mientras que APC es ideal cuando tienes contenido específico con scripts de PHP que se ejecutan muchas veces. Nosotros lo ponemos en ciertas páginas que vemos que pueden ir más rápidas por esta razón. Para activarlo primero tendréis que instalar APC, aquí os indica bien cómo hacerlo. Una vez instales el APC y veas con phpinfo que lo tienes activo es bueno que sepas ver y limpiar la caché. Como cualquier caché, si se llena puede empezar a hacer cosas raras como no servir más páginas o que veas contenido antiguo. Para ver el contenido del caché, estadísticas etc, copia el fichero apc.php del directorio de APC a la raíz de la web. Si vas a www.tudominio.es/apc.php podrás entrar en las estadísticas de APC. Limpiar el caché de APC crea el fichero apc_limpiar.php con el contenido siguiente y ponlo en la raíz de tu web: <?php if (in_array(@$_SERVER[‘REMOTE_ADDR’], array(‘127.0.0.1’, ‘::1’, ‘tuiplocal’))) { apc_clear_cache(); apc_clear_cache(‘user’); apc_clear_cache(‘opcode’); echo json_encode(array(‘success’ => true)); } else { die(‘No valid IP’); } ?> Entonces sólo tienes que ir a www.tudominio.es/apc_limpiar.php . También puedes ponerlo en cron si quieres.  

Diseño Web, Sistemas

Load Impact: simula tráfico en una web

Para los que tenemos servidores o trabajamos con páginas web, a veces es interesante como se comportarían ambas bajo condiciones de muchos usuarios accediendo a la vez. ¿Se me ralentizará el servidor? ¿Se me caerá? ¿Aguantará? Una herramienta muy sencilla de usar para eso es http://loadimpact.com/. Aunque la versión gratuita tiene ciertas restricciones obvias (en este momento hasta 250 usuarios virtuales a la vez, 5 minutos y 5 pruebas al mes), suele ser suficiente para hacerse una idea de cómo responde el servidor. La web simula entradas a tu sitio desde varios países y produce reportes de los resultados. Reportes que son muy útiles para poder presentar luego a los clientes.  También permite probar aplicaciones móviles. Sencillo y seguramente no para el usuario medio, pero para aquellos que tengáis servidores es muy interesante:

Gestores de contenidos, Seguridad, Sistemas

Instalar Latch en varios sistemas

El otro día hablábamos sobre una de las soluciones de seguridad que más nos ha gustado últimamente: Latch. Una gran idea (aunque sigue sin gustarme la dependencia de los servidores de Elevenpaths). Hoy os quiero dejar algunos manuales para usarlo en vuestras cuentas online, en las que más uséis tipo WordPress, Prestashop, Windows etc. Eleven Paths ya ha creado unos manuales muy completos para la instalación en estos servicios. Además puedes descargar los plugins desde su cuenta de Github: https://github.com/ElevenPaths. Pero os dejo alguna experiencia de algún otro blog: WordPress: El plugin lo puedes descargar del repositorio de plugins de WordPress o de la cuenta de Github de Elevenpaths (enlace arriba).  La instalación es tan sencilla que es mejor usar el manual de Elevenpaths: SSH (VPS): Puedes seguir los pasos de este blog donde está muy bien explicado: http://blog.dmgweb.es/instalar-latch-en-un-vps-ssh/  FTP:  Otra buena explicación en este blog: http://www.securitybydefault.com/2013/12/configurar-latch-para-proteger-un.html  Windows: ¿Quieres proteger tu Windows con Latch para que nadie entre en tu ordenador cuando no lo usas? Aquí tienes explicado cómo descargar el plugin e instalarlo: http://blog.elevenpaths.com/2014/07/news-el-plugin-de-latch-para-windows-ya.html Aquí tienes también una versión compatible con Active Directory. Prestashop: Puedes seguir este manual en inglés o ver las instrucciones del manual de Eleven Paths: Todavía no hay más servicios que me interesen a mi, aunque curiosamente (no tengo) Tuenti ya lo ha activado. Ójala Twitter, Facebook etc lo activen algún día.

Noticias Informáticas, Seguridad, Sistemas

Latch: una gran solución de seguridad para tus servicios y páginas web

Después de los problemas mencionados en los artículos anteriores esta semana, está claro que las contraseñas largas no sirven mas que para ataques directos y la autenticación de dos pasos es molesta (y por lo tanto muchos usuarios no lo usarán). Si queréis que os lo explique Chema Alonso en esta charla lo hace de maravilla, paso por paso con el razonamiento que hemos expuesto estos días. También cuenta cómo llegaron a la idea de Latch, pero ahora lo resumo. Latch, de Elevenpaths, me parece una idea genial, no exagero: simple útil y cómoda. Le veo mucho futuro y responde a la necesidad de otra manera de securizar los servicios y las webs sin que sea tan incómodo que no se use. Sigue la idea de los cerrojos tradicionales de las puertas (latches), es decir, si tengo el cerrojo echado desde dentro, me da igual que tengas la llave no entras. El mecanismo es “simple”. Instalas Latch en tu servicio, servidor o web (hay plugisn, widgets, líneas de código etc para ello), activas en el servidor de Elevenpaths el latch del servicio que quieres y los pareas. Con eso ya tienes un cerrojo para esa aplicación (puedes tenerlo para las que quieras). Elevenpaths sólo sabe que tienes un cerrojo para una aplicación en una IP, nada más. ¿Cómo funciona? Muy sencillo, cuando sepas que nadie va a querer entrar en tu servicio o web echas el cerrojo (por ejemplo desde una aplicación en tu móvil). Se puede programar que esté echado ciertas horas, caso típico de por la noche. También puedes dejarlo siempre echado y quitarlo sólo en el momento que vayas a entrar. Al servicio sólo se puede acceder cuando el usuario sea correcto, la contraseña sea correcta Y el latch esté abierto. Esas tres combinaciones. Por más que alguien pruebe el usuario y la contraseña correctos (por ejemplo si te lo han robado), si el latch está cerrado no entrarán. Es más, te llegará un aviso por sms al móvil y eso te servirá para saber que alguien tiene tu contraseña y cambiarla. ¿Qué pasa si pierdes o te roban el móvil? Entras por web en Elevenpatch, borras los latch y creas otros. ¡FÁCIL!  La idea es sencillísima pero tiene muchísimo potencial porque de este que es el uso normal han ido desarrollando más y permiten tener varios candados (que sólo puedas acceder abriendo dos candados tipo la seguridad de los misiles en las películas :-D), candados no sólo a la web sino a servicios específicos como pagos, newsletter etc (para que sólo se puedan usar cuando quieras) y mucho más. Lo único que  “me escama” es por qué es algo tan sencillo y con tantas opciones gratis y hasta cuando. Eso si, yo lo estoy empezando a usar en mis servicios y lo iré recomendando a los clientes, porque realmente me parece un avance tremendo en seguridad y usabilidad de la misma. Pronto nos centraremos en su uso en los diferentes servicios según los vayamos probando. El único fallo que le encuentro es que sea concepto tipo Blackberry, es decir que todos dependamos del servidor de ElevenPaths. Si este se cae o hay algún fallo…el cristo que se monta es enorme 😀 Más Info: – Latch: Cómo proteger las identidades digitales (I de IV) – Latch: Cómo proteger las identidades digitales (II de IV) – Latch: Cómo proteger las identidades digitales (III de IV) – Latch: Cómo proteger las identidades digitales (IV de IV)

Scroll al inicio