En este post les comentaré mi experiencia como Ethical Hacker, participando en distintos Bug Bounty Programs.

Comencé buscando fallas de seguridad sobre aplicaciones Web de compañías que sabía, no pagarían por las vulnerabilidades encontradas. Pero mi primer objetivo, era obtener respuestas a mis reportes por parte de las empresas a las cuales informaba sobre las fallas de seguridad que iba encontrando, aunque no pagaran por mi trabajo y el tiempo invertido.

En base al interés que demostraban por ciertas vulnerabilidades, siendo que algunas no eran interesantes para la mayoría como por ejemplo, un Null Byte Injection, que nos puede llegar a mostrar que versiones de servidores web y sistemas operativos están siendo utilizados, apuntaba hacia aquellas vulnerabilidades por las cuales había mayor interés.
Hay una frase que dice: "No aprendas a hackear, hackea para aprender."
Y claro está que mi tiempo estaba siendo bien invertido, era una muy... Continuar leyendo

Akamai Technologies, proveedor global en servicios de CDN (Content Delivery Network – Red de Entrega de Contenidos), anuncia la disponibilidad del Informe de Seguridad – Estado de Internet del Primer Trimestre de 2015. El informe de este trimestre que ofrece un análisis y visión sobre el panorama global de amenazas de ataques a la seguridad de la nube, puede descargarse en www.stateoftheinternet.com/security-report.

En el informe del primer trimestre de 2015, hemos analizado miles de ataques DDoS (Denegación de Servicio Distribuido) observados en la red PLXrouted así como millones de disparadores de ataques a aplicaciones web en la red Akamai Edge. Al aportar datos sobre ataques a aplicaciones web, junto con informes detallados procedentes de nuestros equipos de investigación en seguridad, podemos ofrecer una visión más holística de Internet y de los ataques que ocurren a diario. Éste es nuestro mayor y mejor informe de seguridad hasta la fecha. Este... Continuar leyendo

Vsaudit (VOIP Security Audit Framework) es una herramienta de código abierto para realizar auditorias de seguridad a los servicios generales VoIP. Permite escanear toda la red o un host único, para hacer la fase de recolección de vulnerabilidades. Es capaz de buscar vulnerabilidades más conocidas en los dispositivos de la red que trabajan en VoIP y tratar de explotarlas.

Vsaudit tiene una shell formada por:

Comandos de entorno.

• Muestra las opciones disponibles que se pueden establecer.
• Enumeran las variables de entorno.
• Permiten obtener el valor de las variables de entorno.
• Permiten establecer o cambiar las variables de entorno.

Comandos de auditoría.

• Comprueba los errores en los archivos de configuración local de dispositivo VoIP.
• Escanear una red local o remota.
• Enumerar las extensiones.
• Realizar ataques fuerza bruta a extensiones.
• Obtener el tráfico de red en vivo.
• Interceptar el tráfico de red... Continuar leyendo

WhatsApp mas que una aplicación para smartphones, se ha convertido en el medio de comunicación mas usado por la telefonía móvil. Por lo que las imágenes enviadas, el listado de contactos, el historial de conversaciones... pueden ser considerados pruebas muy importantes en un juicio; por lo que probar su fiabilidad, es una aspecto muy importante a la hora de realizar un análisis forense de un dispositivo móvil. Existen dos aplicaciones de código abierto ideales para un análisis forense de WhatsApp:  WhatForensics y WhatsApp Xtract.

WhatForensics es una herramienta escrita en C# para la adquisición de datos y análisis forense de WhatsApp, en dispositivos iOS. Permite adquisición automática y rápida, ver... Continuar leyendo

Entre los muchos cambios que ha generado la tecnología tenemos el hecho de que hoy en día casi todas nuestras tareas las podemos hacer desde la comodidad de nuestras casas gracias a Internet, por ejemplo realizar transacciones o consultar información en nuestro banco, algo que anteriormente podía tomarnos un buen tiempo en filas y carreras de un lado a otro.

Para algunas personas esto es algo muy positivo ya que les permite aprovechar mejor su tiempo y optimizar su manera de vivir, pero para otras todo es negativo ya que se sienten asustadas de confiar su seguridad a este tipo de tecnologías donde siempre están a la defensiva de que algo malo les pueda pasar, pero al final lo importante es aprender a utilizar las herramientas que se nos brindan de la manera correcta.

Los bancos han tenido que adaptarse a las nuevas tecnologías y han desarrollado plataformas que garanticen a sus usuarios una seguridad y confianza como si en el mismo banco se encontraran, por ejemplo, si... Continuar leyendo