FIND_IN_SET BSQLi (DEMO)

Hola a todos, como sabrán el sábado 12 fue el "OWASP Latam Tour 2012". Este año tuve la oportunidad de participar como expositor con una charla sobre "Optimizacion de Blind SQLi". En resumen quise mostrar un método de extracción de datos bastante interesante y eficiente. Para ello hice una demo en vídeo que quiero compartir con ustedes también aquí en el blog.

Bueno sin más los dejo con el vídeo. Las diapositivas las comparto luego :) Las diapositivas de todas las charlas están publicadas en:

https://www.owasp.org/index.php/LatamTour2012_LIM_Agenda

Una historia de hackers [Parte I]

Martes por la mañana, hace más de una hora desde que llegué a trabajar. En ese momento me encontraba algo aburrido terminando de configurar un Apache. De pronto, tras una revisión de rutina, un compañero observó en los registros del UTM un UDP Flood proveniente de un servidor de nuestra red interna. El día comenzaba a ponerse interesante.

A decir por la IP de destino, el ataque estaba dirigido a un servidor de hosting de alguna empresa norteamericana. Hasta ese momento tenía una idea clara del problema: alguien había comprometido nuestro servidor de alguna manera y ahora lo estaba utilizando para lanzar ataques de denegación de servicio.

OWASP Latam Tour 2012 - CFP

El capítulo peruano de OWASP ha iniciado la convocatoria de presentaciones para el "OWASP LATAM TOUR PERU 2012". Las personas u organizaciones interesadas en hacer una presentación sobre algún tema de seguridad en aplicaciones deben emplear esta plantilla para enviar su tema. El correo de contacto es "owasp.peru@gmail.com".

Más información:

https://www.owasp.org/index.php/Peru#OWASP_LATAM_TOUR_2012

Saludos.

UCCINUX - Open Day

El sábado de la próxima semana estaré participando en el "Open Day" que organiza UCSSINUX. Tengo programada una charla a las 9:00 AM en la que hablaré sobre automatización de inyecciones SQL con mi tool favorita: Sqlmap. Así que si no tienes nada mejor que hacer ese día, nos vemos allá xD

Fig. 1 - UCSSINUX Open Day.

 Más detalles, a continuación...

Linux Week 2012

El próximo lunes empieza "Linux Week 2012", una semana de conferencias sobre aplicaciones del software libre en diferentes áreas.

Al igual que el año pasado es probable que asista con toda la manchita de "San Marcux". El martes será un día imperdible, pues la temática de ese día será "Seguridad Informática" y algunos amigos van estar ahí hablando de temas interesantes :)

LimaHack@UTP

El sábado de la próxima semana (04/02) se estará llevando acabo una nueva réplica del LimaHack 2011 en la Universidad Tecnológica del Perú (UTP).

Como es característico de este evento, el ingreso es libre previa inscripción.

PHPIDS 0.7 SQLi Bypass

PHPIDS es una aplicación web de detección de intrusos open source que podemos configurar en nuestras propias aplicaciones a fin de bloquear ataques conocidos (XSS, SQLi, LFI, RCE, etc).

Ayer me dieron ganas de jugar un poco con este IDS y buscar alguna forma de "bypassearlo" para poder explotar un SQLi. Luego de muchas pruebas, logré encontrar algo y, aunque aún no estoy satisfecho con los resultados, creo que no estaría mal publicar los avances.

Modificando los payloads de sqlmap

Hoy quiero escribir sobre algo que me ha resultado muy útil en algunas ocasiones. Se trata de la posibilidad de modificar los payloads de sqlmap. Seguro te estarás preguntando ¿Y para que quiero yo modificarlos? Bueno pues a veces sucede que algunos segmentos del payload como nombres de funciones, bases de datos o clausulas hacen match con una firma del IDS y te echan al agua la explotación. Pero claro como tu eres un ninja en SQL descubres al cabo de un rato una forma alternativa de inyección que se salta el IDS :D Lo único malo es que deberás hacer todo el trabajo manualmente porque no hay ninguna herramienta que utilice esa forma de inyectar o quiza debas programarte tu propia tool.