Entradas relacionadas

• Publicado en Daboweb, Noviembre de 2009 (0)
• Publicado en Daboweb, Octubre de 2009 (0)
• Publicado en Daboweb, Diciembre de 2009 (0)
• Resumen de contenidos publicados en Septiembre de 2009 (0)
• Resumen de noticias publicadas (Junio de 2009) (0)

Los poseedores de SuSE Linux Enterprise 10 pueden proceder a la actualización del kernel del sistema cómodamente mediante la herramienta YaST, solucionando de esta manera un grave problema de seguridad originado en la función nfs_wait_on_request, del archivo  fs/nfs/pagelist.c del kernel de Linux,  mediante la cual se permite a un atacante provocar una denegación de servicio  mediante vectores especialmente construidos para este caso, los cuales están  relacionados con el truncado de archivos y una operación que no pueda interrumpirse.

En esta misma actualización, los responsables de Suse Linux han dado solución a otros fallos encontrados, por lo que se recomienda que los usuarios de estas versiones actualicen el núcleo del sistema cuanto antes.

Entradas relacionadas

• Publicado en Daboweb, Diciembre de 2009 (0)
• Vulnerabilidades en servidor web Apache (APR y APR-util) (0)
• Detenido el atacante vía una Botnet de 75.000 equipos contra elhacker.net (0)
• Desbordamiento de búfer en VLC Media Player 1.0.5 (0)
• Apache 2.2.16 (0)

Adobe ha publicado un boletín de seguridad en el que informa que ha actualizado sus productos Adobe Acrobat y Adobe Reader, corrigiendo diversas vulnerabilidades críticas de las versiones anteriores, que podrían permitir a un atacante tomar el control del sistema afectado.

Las nuevas versiones actualizadas son las numeradas como 9.3.4 y 8.2.4 para Windows, Unix y Macintosh.

Por tanto si utilizas este programa para manipular o ver los archivos pdf en tu equipo, recomendamos actualices a estas nuevas versiones a la mayor brevedad posible.

Acceder al boletin Adobe.

Entradas relacionadas

• Adobe Reader y Acrobat vulnerables, cambia tu lector de PDF (0)
• Adobe Acrobat, Reader y Flash Player, graves vulnerabilidades (0)
• Adobe Acrobat y Reader, nueva actualización soluciona vulnerabilidades críticas (0)
• Actualizados Adobe Acrobat y Reader, solucionadas vulnerabilidades críticas (0)
• Actualizacion Adobe Acrobat y Reader soluciona vulnerabilidades críticas (0)

Entradas relacionadas

• Resumen de noticias publicadas (Junio de 2009) (0)
• Publicado en Daboweb, Noviembre de 2009 (0)
• (Tutorial) Cómo cambiar el password del root en un iPhone con Jailbreak (0)
• Vulnerabilidades y problemas solventados en iTunes 9.0.1 (0)
• Publicado en Daboweb, Octubre de 2009 (0)

Malas noticias para los gnomeros. El lanzamiento de Gnome 3.0, del cual se espera venga cargado de muchos cambios y novedades, y que fue programado para Septiembre de este presente año, se verá retrasado hasta por lo menos  Marzo del 2011, aunque como anticipo y para las mismas fechas de su cancelación, saldrá una nueva entrega de la rama 2.x, concretamente la  2.32, de la que en principio no parece que lleve consigo algunas de las nuevas características de Gnome 3.0. Este anuncio ha sido hecho en el transcurso de la GUADEC (el evento en el que dan lugar usuarios y desarrolladores de este entorno de escritorio) de la mano de Vincent Untz, uno de los lideres del proyecto GNOME.

Al parecer la nueva rama 3.x de Gnome está suscitando algo de polémica entre los usuarios del mismo, debido a las especulaciones de que los cambios en la misma requieran muchos mas recursos de máquina, además de una posible “complicación” en el manejo de este popular entorno de escritorio, el cual siempre ha presumido de su sencillez y su poco tiempo de aprendizaje para aquel que lo usa por primera vez. Lamentablemente hemos de esperar al año que viene para salir de dudas.

Mas información: aquí.

Entradas relacionadas

• Ubuntu 10.10 Maverick Meerkat Alfa 3 (0)
• Abierta la inscripción para la VII GUADEC-HISPANA (0)
• ¿Dell deja de vender equipos con Ubuntu preinstalado? (0)
• Rusia no quiere depender de Microsoft (0)
• Publicado en Daboweb, Diciembre de 2009 (0)

Ya vimos en la primera parte de esta serie dedicada a Herramientas para la interpretación de capturas de red, el uso de Windump y TCPDump y la primera parte de la creación y establecimiento de filtros .pcap.

En la segunda hemos avanzado bastante en los filtros e interpretadas algunas capturas. Seguimos ahora con la  herramienta de captura Tshark. Los comandos, aplicación de filtros y formateo de datos, preferencias de columnas, etc.

Introducción a Tshark.

Tshark no es otra cosa que la herramienta de captura de tráfico de red Wirehsark pero en línea de comandos. Se sitúa en un nivel intermedio entre  capturadores como Windump o TCPDump y Wireshark que vermos más adelante.

Sin más dilación comenzamos a usar Tshark.

Listamos las interfaces:

root@bt:~# tshark -D
1. eth0
2. usbmon1 (USB bus number 1)
3. usbmon2 (USB bus number 2)
4. any (Pseudo-device that captures on all interfaces)
5. lo

Ejecutamos Tshark usando la interface eth0:

root@bt:~# tshark -i1
Running as user "root" and group "root". This could be dangerous.
Capturing on eth0
  0.000000  192.168.1.5 -> 82.159.204.86 TCP 6895 > http [FIN, ACK] Seq=1 Ack=1 Win=64167 Len=0
  0.000752 82.159.204.86 -> 192.168.1.5  TCP http > 6895 [ACK] Seq=1 Ack=2 Win=64581 Len=0
  0.462409 Dell_89:85:5b -> Broadcast    ARP Who has 192.168.1.29?  Tell 192.168.1.239
  2.261727 3Com_dd:e9:07 -> Broadcast    ARP Who has 192.168.1.1?  Tell 192.168.1.56
  6.260476 3Com_dd:e9:07 -> Broadcast    ARP Who has 192.168.1.1?  Tell 192.168.1.56
  6.913459 Dell_d3:4f:0c -> Broadcast    ARP Who has 192.168.1.28?  Tell 192.168.1.237
  7.211227 MS-NLB-PhysServer-01_00:00:00:00 -> Broadcast    MS NLB MS NLB heartbeat
^C7 packets captured

Condicionando las capturas:

Podemos condicionar las capturas atendiendo, por ejemplo, a criterios de tiempo o de cantidad de paquetes capturados, haciendo que Tshark finalice la captura cuando deseemos:

• -c termina la captura hasta n paquetes
• -aduration n termina la captura hasta n segundos
• -afilesize n termina la captura hasta n Kb. (cuando salvemos a fichero la captura).
• -afiles n termina la captura hasta n ficheros (en caso de múltiples capturas)

Ejemplos:

• La captura termina después de 10 segundos: tshark -i1 -aduration:10
• La captura termina despues de salvar 200 Kb. en el fichero: tshark -i1 -afilesize:200 -w fichero.pcap
• La captura termina después de 10 paquetes capturados: tshark -i1 -c 10

Continue reading…

Entradas relacionadas

• Herramientas para la interpretación de capturas de red. (2/10) (0)
• Herramientas para la interpretación de capturas de red. (1/10 ) (0)
• Herramientas para la interpretación de capturas de red. (0)
• Detectando sniffers en redes conmutadas y no conmutadas, por Alfon. (0)
• Se crean más de 3.500 sitios web al día para difundir malware. (0)

Acaba de salir una nueva versión de este conocidísimo servidor web open source, concretamente la 2.2.16, la cual da solución a dos vulnerabilidades, una de denegación de servicio en los módulos “mod_cache” y “mod_dav”, así como otra de divulgación de información sensible en “mod_proxy_http”. En el caso del primer fallo se trataba de un error que ocurría cuando se enviaban por parte de un atacante direcciones http especialmente manipuladas y creadas para tal fin, gracias a una vulnerabilidad en la directiva “CacheIgnoreURLSessionIdentifiers” presente en Apache desde la versión 2.2.14.

Desde el proyecto Apache se recomienda la actualización inmediata a esta nueva entrega. En este enlace tenéis mas información al respecto, sobre todo las versiones afectadas en cada vulnerabilidad y enlaces a los parches que se han publicado para esta eventualidad.

Entradas relacionadas

• Vulnerabilidades en servidor web Apache (APR y APR-util) (0)
• XSS (Cross-site scripting) en Webmin y Usermin. (0)
• Vulnerabilidad en Google Chrome, actualización disponible (0)
• Vulnerabilidad crítica solventada en navegador Google Chrome (0)
• Publicado en Daboweb, Diciembre de 2009 (0)

Ya vimos en la primera parte de esta serie dedicada a Herramientas para la interpretación de capturas de red, el uso de Windump y TCPDump y la primera parte de la creación y establecimiento de filtros .pcap.

En este segunda parte veremos el resto de la parte dedicada a filtros y comenzaremos con la interpretación de las capturas.

Filtros.

Seguimos con la aplicación de filtros pcap que comenzamos en la primera parte. Recordamos lo último que vimos sobre expresiones en formato hexadecimal y seguimos.

Expresiones en formato Hexadecimal.

Para especificar una dirección IP, TCPdump / Windump, etc,  trabaja mejor con el formato hexadecimal.

Para una dirección 192.168.1.5, su equivalente en hexadecimal sería:

192 > C0
168 > A8
1 > 01
5 > 05

es decir: C0A80405

Para Windump, añadimos el indicativo de que se trata de formato hexadecimal: 0x

y nos quedaría: 0xC0A80105

Apliquemos esto a nuestros ejemplos de filtros y a lo ya visto hasta ahora en la primera parte:

• Datagramas IP cuyo IP de origen sea 0xC0A80105 o 192.168.1.5

windump -i1 -qtn "ip[12:4] = 0xC0A80105"
IP 192.168.1.5.26495 > 192.168.1.245.53: UDP, length 30
IP 192.168.1.5.5879 > 192.168.1.245.53: UDP, length 31
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 0
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 0
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 621
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 0
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 0
IP 192.168.1.5.12565 > 209.85.229.99.80: tcp 0
IP 192.168.1.5.12567 > 209.85.229.102.80: tcp 0
IP 192.168.1.5.12567 > 209.85.229.102.80: tcp 0
IP 192.168.1.5.12567 > 209.85.229.102.80: tcp 640

• Datagramas IP cuyo IP de origen sea mayor que 192.168.1.5

windump -i1 -qtn "ip[12:4] > 0xC0A80105"
IP 192.168.1.200 > 224.0.0.251: igmp
IP 192.168.1.11 > 239.255.255.250: igmp
IP 192.168.1.202 > 224.0.0.251: igmp
IP 192.168.1.201 > 224.0.1.60: igmp
IP 209.85.229.99.80 > 192.168.1.5.12565: tcp 0
IP 209.85.229.99.80 > 192.168.1.5.12565: tcp 0

• Datagramas IP cuyo valor TTL sea mayor que 5

windump -i1 -qnt "ip[8]> 5"
IP 192.168.1.239.138 > 192.168.1.255.138: UDP, length 201
IP 192.168.1.30.138 > 192.168.1.255.138: UDP, length 201

Sobre datagramas IP, TTL, etc. más información en Seguridad y Redes:
http://seguridadyredes.nireblog.com/post/2009/11/05/wireshark-windump-analisis-capturas-trafico-red-interpretacian-datagrama-ip-actualizacian.

Continue reading…

Entradas relacionadas

• Herramientas para la interpretación de capturas de red. (3/10) (0)
• Herramientas para la interpretación de capturas de red. (1/10 ) (0)
• Herramientas para la interpretación de capturas de red. (0)
• Detectando sniffers en redes conmutadas y no conmutadas, por Alfon. (0)
• Se crean más de 3.500 sitios web al día para difundir malware. (0)