Valoré varias posibilidades. Al final desarrolle una pequeña herramienta, un honeypot para poder detectar la ip de este usuario y comprobar si las conexiones procedían de la misma conexión. Existía la posibilidad que el usuario usara conexiones proxy o wifi’s ajenas para ocultarse, aun así decidimos probar.

Para poder cazar ip’s necesitamos un buen cebo.

En sí, el cebo y el contexto del mismo es casi lo más importante. El contexto discrimina a otras personas que podrían pulsar en el enlace. Si usamos un cebo que contenga imágenes sexuales lo más probable es que los que pinchen en el enlace sean hombres. Otro caso, sería añadir una foto y hacer presuponer que es un escándalo para un receptor concreto. Imaginación al poder.

“Algunos resultados casi al instante de publicar un enlace falso“

Después configuramos la herramienta. Al haberla desarrollado a la carta para mí amigo se adapta perfectamente a tres redes sociales Facebook, Google+ y Twitter.

En el siguiente vídeo, os muestro la primera versión de HoneyPotter!. Un demo en la que usamos el TT de Twitter para lanzar un mensaje incendiario y así capturar indiscriminadamente direcciones de los usuarios que hagan clic en el enlace.

En la última versión de HoneyPotter! Se lanza un script de auditoría evaluando el grado de seguridad de las direcciones capturadas.

Finalmente tenemos un análisis completo del individuo. Posición de localidad incluida.

En tan solo un minuto, 17 capturas. Acto seguido lo he eliminado.

NOTA: Este vídeo es totalmente y meramente didáctico. No se pretende dañar a ningún usuario en la red.

Wikipedia

Hacía tiempo que quería hacer algún proyecto que implicase el algebra de vectores como base para el dibujo. Hoy os dejo un software que he desarrollado desde cero y en el que intento utilizar esta base de las matemáticas para poder pasar dibujos no vectoriales a vectoriales.

Esto no es nada nuevo ni pretendo reinventar la rueda. Es un simple software demostrativo, que puede tener muchas utilidades.

Imagen vectorial de NASA

En mi caso, trato de convertir imágenes de diversos formatos de “callejeros” a imágenes que nos permitan marcar sitios, mover el plano, hacer zoom o sencillamente rotar.

El dibujo vectorial es la base de muchos sistemas que conocemos, como googlemaps,  streetview o de la industria del videojuego.

He escogido un fragmento muy pequeño para que veáis la demo.  Aun queda por mejorar bastante el asistente de dibujo (si encuentro tiempo). Espero que os guste.

Una cosa más. Si os proponéis hacer un software parecido, recomiendo encarecidamente que no uséis librerías hechas o funciones existentes. Es lo mejor para comprender como funcionan dichas librerías hacerlo uno mismo… al menos… la primera vez.

Olvidar la contraseña en equipos ajenos en cookies o navegadores no es peligroso.

• Compatible con Java y Php.
• No requiere de base de datos propia.
• No requiere encriptación dado que las contraseñas no existen en base de datos.
• Cada contraseña es única y caduca.
• Es configurable es algoritmo de generación.
• Versión portable mobile para Android. Podrás reportar información desde cualquier sitio.

]]> http://ranyeva.wordpress.com/2011/06/10/keylogger-aplicado-a-web-ii/feed/ 0 ranyeva http://ranyeva.wordpress.com/2011/06/06/keylogger-aplicado-a-web-i/ http://ranyeva.wordpress.com/2011/06/06/keylogger-aplicado-a-web-i/#comments Mon, 06 Jun 2011 00:00:47 +0000 Ramón http://ranyeva.wordpress.com/?p=12719 Continue reading »]]> ¿Tienes una web donde quieres garantizar que las personas que colaboran no dejen rastro de participación de ningún tipo?

En ocasiones al desarrollar una web nos encontramos con la necesidad de pedir a los usuarios que den credenciales como mail, nick’s y contraseñas para poder colaborar en los portales.

Estas medidas son comunes, sin embargo hay paginas o portales web donde queremos extremar las medidas.

He probado a programar un portal web donde cualquier usuario pueda publicar siempre y cuando posea un generador de claves, como funcionaría un keylogger, con el fin de limitar los usuarios que puedan publicar y al mismo tiempo darle todo el anonimato posible.

Las contraseñas caducan cada minuto, y son de un solo uso. Así, podremos estar tranquilos si alguien intercepta la contraseña de algún modo o la olvidamos escrita en un equipo que no es nuestro.

Además, podemos publicar desde cualquier equipo (es más, lo recomiendo) con el fin de no ser ubicados mediante dirección ip. Para poder tener el generador de llaves en cualquier sitio, los usuarios tienen esta aplicación desarrollada en Android, para poder publicar desde cualquier sitio y con una ip que no sea la propia.

IMPORTANTE: ESTO NO SUSTITUYE MEJORES SISTEMAS DE VALIDACIÓN NI COMPLEJOS ALGORITMOS MATEMÁTICOS AUNQUE ES PERFECTAMENTE COMBINABLE. ES SOLO UNA FORMA CÓMODA DE VALIDACIÓN.

Si quieres saber más sobre esta aplicación pulsa aquí.

Ramón Negrillo Valdivia 8/7/2011

Mi sorpresa fue comprobar que dadas unas propiedades y circunstancias especificas, el archivo de imagen que queremos subir puede ocultar información en la red y conservarla a ojos de unos pocos.

Las utilidades de esto pueden ser infinitas y, dicho sea de paso, también maliciosas. Y lo que es más, hay que tener en cuenta que mientras esto se permita podremos subir información a la red de Google con muchas posibilidades de que se quede ahí aun si deciden eliminar esta forma de subida de imágenes.

No explico cómo hacerlo ni cuáles son esas circunstancias en las que nos permite subir la información, por motivos obvios. Lo mismo acabo reportándolo, o … usándolo

Los periféricos son elementos imprescindibles para el cálculo y la evaluación de datos continuos o que requieren de un protocolo que recabe la información de manera pautada lejos de los errores causados por la mano de una persona.

Por ello hoy os muestro un vídeo de una herramienta que estoy desarrollando para una investigación de la universidad. No esperéis ver nada espectacular, lo gordo no puedo mostrarlo por motivos de patentes.

En este ejemplo veremos de una forma superficial como se recoge un parámetro desde un sensor y su muestreo en pantalla.

Para poder visualizarlo he desarrollado una aplicación que nos muestra las oscilaciones e imperfecciones (ruido) al que se ven sujetos todos los dispositivos electrónicos.

Pudiendo recoger información externa al ordenador no habrá límite en los artilugios a inventar, aquí veras en acción el funcionamiento de un LDR o sensor lumínico que nos dirá cuanta luz le llega.

Otra historia, en el mismo libro, relata cómo otro personaje había rasurado a navaja la cabeza de su esclavo de mayor confianza, le tatuó el mensaje en el cuero cabelludo, esperó después a que le volviera a crecer el cabello y lo mandó al receptor del mensaje, con instrucciones de que le rasuraran la cabeza.

Wikipedia

Strigidae

Esta herramienta es una demostración clara de ocultación de datos a nivel gráfico. Su funcionamiento es sencillo y puede ser útil para la difusión de información global mediante el enlace de estas imágenes.

Esta versión de la aplicación, nos permite ocultar mensajes de texto o archivos de tamaño reducido en el interior de una imagen y extraerla a posteriori.

Sus principales características son:

• Introducción de mensajes de texto.
• Introducción de archivos de dimensión reducida.
• Extracción formateada de ficheros ocultos.
• No produce incremento de tamaño en el archivo.
• Múltiples formatos de archivo. 

A diferencia de complejos algoritmos matemáticos basados en matrices, números primos enormes, etc… que pueden ser detectados en el envío de información mediante algoritmos de reconocimiento; la ocultación gráfica se basa en el desconocimiento de existencia de información oculta por parte del atacante.

Cualquier imagen que tengamos realizada con la cámara de fotos, un dibujo, o incluso un fondo de escritorio son posibles huéspedes de información.

También hay que recalcar que estas imágenes pueden ser colgadas en la red, o generadas online; con lo que representaría un canal de información “pasivo” al cual una gran cantidad de usuarios podrían acceder de manera común.

He desarrollado una aplicación sencillita que permite demostrar el principio de funcionamiento, y los resultados que aporta. Haz click aquí para saber más sobre Strigidae.

En este video podréis ver resultado más que satisfactorios.

Wikipedia

Muchas veces, se cree que sistemas complejos de seguridad o caras auditorias pueden salvaguardar datos sensibles de nuestra maquina.

En general esto es así, pero no hay que dejar de lado que el desconocimiento de la existencia de dicha información puede proteger nuestra información de manera sencilla y barata.

Por ejemplo, podría pensarse que esconder una copia de la llave de la casa bajo el felpudo de la entrada sería una buena medida contra la posibilidad de quedar uno atrapado fuera de la casa, por culpa de un olvido o pérdida de la llave de uso habitual. Entonces estaríamos fiándonos de la seguridad por ocultación.

La vulnerabilidad de seguridad teórica sería que alguien pudiera entrar en la casa abriendo la puerta con la copia de la llave. Sin embargo, los dueños de la casa creen que la localización de la llave no es conocida públicamente, y que es improbable que un ladrón la encontrara. En este ejemplo, dado que los ladrones suelen conocer los escondites frecuentes, habría que advertir al dueño de la casa contra esta medida.

Wikipedia

Este es el principio de la seguridad por oscuridad. Sin embargo, yo lo llevaré a la estructura de datos interna de los archivos un poco más lejos.

Para ello usaremos técnicas de ocultación introduciendo dentro de archivos huéspedes en los cuales podremos guardar contenido y extraerlo con posterioridad.

Las técnicas son diversas; yo os mostraré los resultados que he obtenido con métodos conocidos.

Consiste en una interfaz que controla una o varias bases de datos donde se aloja el contenido del sitio. El sistema permite manejar de manera independiente el contenido y el diseño. Así, es posible manejar el contenido y darle en cualquier momento un diseño distinto al sitio sin tener que darle formato al contenido de nuevo, además de permitir la fácil y controlada publicación en el sitio a varios editores. Un ejemplo clásico es el de editores que cargan el contenido al sistema y otro de nivel superior (directorio) que permite que estos contenidos sean visibles a todo el público (los aprueba).

Wikipedia

fastTest

Un pequeño proyecto web (cms ampliable y en continuo desarrollo), encargado por al Universidad de Jaén para el desarrollo de exámenes y encuestas para diferentes areas, asignaturas y alumnado.

fastTest permite la sencilla exportación y elaboración de encuestas puntuables. El panel de control dispone de multiples fucionalidades, que ayudan a los administradores, en la posterior evaluación.

Entre otras cosas, esta plataforma web dispone de las siguientes funcionalidades.

• Gestión de usuarios.
• Gestión de asignaturas.
• Gestión de profesorado.
• Sistema de temporización para examenes.
  
• Elaboración de cuestionarios.
• Exportación de resultados a formatos comerciales (hojas de calculo, base de datos, …).
• Adminsitración via “mobile”
• …

Click to view slideshow.

No explicare ni como usarla, ni montarla.

La actualizaré de vez en cuando.

http://www.megaupload.com/?d=8KY1R8PG

http://thepiratebay.org/torrent/6021636/ReverseIP_-_RamA_A_n_Negrillo_Valdivia_06_12_10.sql

El video es meramente educativo, y procura, una de cal y otra de arena.

Lo más impresionante es, que despues de una semana funcionando y utlizando el famoso motor de busquedas, no hayan detectado mi presencia y me hayan baneado la IP. Es más!, dicho buscador, ha subido en el ranking de buscadores superando a otros famosos motores durante esta misma semana de pruebas… ¿Coincidencia?. ¿Tendra algo que ver la herramienta?. Probablemente no, pero la verdad es una rara casualidad ya que han sido varias fuentes las que hablan de ello.

Saludos!

Esta herramienta muestra el Umbral de cualquier imagen, dándonos los contornos necesarios para la detección de datos de la misma imagen.

]]> http://ranyeva.wordpress.com/2010/12/30/analisis-de%c2%a0imagen-ii/feed/ 0 ranyeva