lSystem hacking

Entramos en la parte del ataque donde se hace uso del a informacin recolectada por los anteriores puntos, en este punto se pueden dividir en :

-Ganando acceso-Manteniendo acceso-Limpiando registros

en la etapa de ganando acceso se tiene:

Password craking

Muchos de los atacantes siempre tratan de entrar a un sistema realizan un craking de contraseas puesto que les permite obtener un acceso al sistema, por lo tanto muchos hackres usan el password craking para ganar privilengios en un sistema vulnerable, estos password pueden ser crakeados manualmente o con herramientas automticas, como son los ataques de diccionario o fuerza bruta.

Muchos de los usuarios hacen la vida fcil para un hackres eso se debe por falta de conocimiento, por ejemplo designan contraseas que se puedan recordar o que haga alusin a algo por ejemplo el nombre de tu mascota, o alguna palabra que se encuentra en el diccionario.

Complejidad de una contrasea

los caracteres de las contraseas deberian de ser combinaciones alfaunmericas, a eso quiere decir que debe tener letra, numeros, signos de puntuacin y matemticos, y otras convencciones de simbolos

entonces hacer uso de todas las letras habidas y por haber, como tambin signos etc etc.

TCNICAS DE CRAKING DE CONTRASEAS

Ataque de diccionarioAtaque de fuerza brutaAtaque hibridoataque de silabaataque basado en reglas

Tipos de attaque de contraseas

Tenemos:

-ataque online pasivo-ataque online activo-ataque offline-non-electrnic ataque

ataque online pasivo

se caracteriza porque no realiza una modificacin del sistema, este se encarga de romper el sistema solo usando los datos tomados de la red, los tipos para este ataque son:

- Wire sniffing-Man-in-the-middle-replay

WIRE SNNIFFING

En este caso el attacante usa una herramienta para snifeo y poder capturar los datos que atraviesan la red. Entro los datos capturados existe informacin sensible como contraseas (telnet, ftp,rlogin,sessiones etc ) y emails. Con eso se puede ganar autorizacin.

Estos son raramente usados, puesto que los sniffer trabajan en un dominio de colisin, por lo tanto estos dominios no suelen estar conectados a host o puentes, este trabaja en la capa de enlace, donde una mquina tenga instalado y coriendo el sniffer.

Como los sniffers trabajan en un dominio de colision que no son soportados o conectados por un swich o puente, al no ser soportados no se conmutan o suichean o puentean en el segmento del area del sniffer.

Al hecho de capturar informacin de la red se le llama sniffing

Los usos comunes de un snnifer son:

-Recolectar informacion de cuentas de usuarios y contraseas, capturando la informacion enviada por la red-Medicin de trafico, para resolver cuellos de botella-Saber porque un host no se conecta a la red

Estos pueden ser por software instalados en una maquina de la red o por hardware instalados en una tarjeta de red

Sniffers en una red de area local

Supongamos que tenemos una LAN donde se maneja la difusin, entonces si un hostA envia un mensaje al HostB, ese mensaje llegar al hostB pero primero la tarjeta de red comprueba si la direcicn es la misma para aceptar el mensaje (direccin de destino), para usarlo como sniffer el equipo primero tener privilegios de root y luego configurar la tarjeta de red como estado promiscuo, en ese caso la tarjeta de red conseguira todos los paqutes circulantes por la red., son buenos para la recoleccin de informacin de manera imperceptible en la LAN.

Snifferes carnivor a nivel global, el famoso programa del FBI que se instala en los servidores con contenido web.

PROTECCION POR HARDWARE

Sabemos que sniffer usa medios de difusion para capturar los paquetes de la red LAN, ahora si se puede disear una red que solo se comunique con el switch el sniffer solo podra acceder a su misma informacion ya que el encargado de encaminar el paquete ser el router o switch, a eso se le llama SEGMENTAR LA RED.

Utilizar fibra optica, es mas dificil de pinchar e instalar dispositvos que capturen el trafico

El sniffer captura no solo los paquetes de el si no la del medio de difusin, con ello todos los host conectados a ese medio de difusion

La topologa bus en una red LAN permitira un buen uso de los sniffer ya que todos los host comparten ese medio en comn por lo tanto escuchar todos los datos de los equipos

tarjeta ethernet en modo promiscuo = recolectar informacin de todos los host de la LAN

Eso quiere decir que si activo el modo promiscuo el host capturar todos los datos del hub asi el paquete de destino no tenga su direccin el la capturar, importante en modo promiscuo captura los paqeutes que pasan por delante de la mquina que tiene instalado el sniffer

La informacin de un sistema si usa modo promiscuo se la puede obtener en la carpeta /proc esto y mucha mas informacin de la red

Esta herramienta puede capturar cualquier tipo de dato, generalmente las contraseas que se envian al servidor estan en texto plano, por lo que las puede capturar, ahora algunos sniffer tiene la posibilidad de de enviar la informacion a un correo, o abrir un puerto de la victima para enviar informacion por ese puerto.

Como el sniffer generalmente captura los primeros paquetes, para evitar la saturacin de trafico estos capturar las contraseas de los usuarios, por lo que la de root esta segura, para ello es bueno configurar telnet para que los usuarios que se quieran conectar solo entrend con su de esta forma no podran entrar los atacantes.

Utilizar los sniffer como analizadores de protocolo permiten entender como funcionan las capas del modelo osi

HERRAMIENTAS PARA EL SNIFFER

LINUX

TCPDUMP

SNIFFIT

ETHEREAL O WIRESHARK

Medidas a tomar

Activar el modo root para modo promiscuo y sockets raw

Buscar topologias diferentes a la del bus, para evitar el sniffeo una de ellas sera la de estrealla

Otra medida sera conseguir adaptadores de red que no permitan el modo promiscuo

Utilizar una versin limpia del comando ifconfig o ipconfig

Evitar enviar informacin importante por la red, proporcionar algoritmos de criptografia para la informacion, aqui aparece nuevmente ssh que es mejor que telnet mas seguro porque envia los paquetes con algoritmos de criptografia, se da autentificacion entre los dos host, otra solucin sera KERBREOS pero es mas costosa

MAN-IN-THE-MIDDLE Y ATAQUE REPLICA

Es interponerse entre dos host que se comunican entre si, con esto el hombre del medio podr obtener informacin entre ellos, modificarla, insertar, borrar a su antojo, aqui aparece otro pilar de la seguridad informtica que es la AUTENTIFICACIN DE USUARIO

Un ejemplo

Tenemos un host A que se quiere conectar con un host B entonces el host A le evnvia la solicitud al host b de la clave, pero en ese momento entra un atacante ly la intercepta, luego recibe ese mensaje antes de que llegue al hostB y le pide entonces la clave a host B entonces el host b responde si saber si es host A, luego de obtener la clave, el atacante modifica la clave y se la envia al hostA por lo que el hostA envia la informacin en ese punto el atacante puede leer, modificar etc etc aprovechando que esta en texto plano, ahora si lo desea el atacante pueden enviar con la clave de host b el mensaje cifrado al host b.

ejemplo

Es posible monitoriar los paquetes desde un host hasta el router o viceversa

Aplicacin

Entender el concepto de ARP que no es mas que un protocolo de resoluccin de direccines por medio de la cual traduce la IP de un ordenador a su MAC

Contramedidas

Usar siempre HTTPS porque la informacion de los post va cifrada.

Activar la verificacin de dos pasos

Usar VPN red

ATAQUES PASIVOS

Basicamente lo que hacen estos tipos de ataques es copiar la informacion de tus archivos de contrasea, para luego descifrarlos en la maquina atacante, en estos tenemos

ATAQUES OFFLINE RAINBOWATAQUES A REDES DISTRIBUIDASHASHES PRECOMPUTADOS

TABLAS RAINBOW

son tablas de consulta que usan el espacio tiempo para moverse mas rapido o mas lenteo sacrificando recursos o no, con ello se logra obtener claves en texto simple a partir del resultado de la funcion hash

Entonces funcionamiento

Si tenemos un archivo y le aplicamos una funcion hash, a un archivo cualquiera se genera una clave hash, entonces la tablas arco iris son tablas de busqueda que contienen todas las posibles combinaciones de contraseas en un conjunto de caracteres dado

Este ataque realment tiene como objetivo perpetuar la criptografia del sistema.

ATAQUE ONLINE ADIVINAR CONTRASEAS

Uno de los ataques consiste en usar un diccionario con palabras que contengan posibles usuarios y contraseas, este tipo de metodo puede ser muy lento y es muy detectable, los atacantes pueden buscar diccionarios robustos de acuerdo a su complejidad, una buena opcin es buscar en la web el perfil de la victima podra facilitar la busqueda de la contrasea.

!!! UNA BUENA CONTRASEA ES FACIL DE RECORDAR PERO DIFICIL DE ADIVINAR !!!!

Por lo que es mucho mejor, tener contraseas que no aparezcan en los diccionarios por miedo a olvidarse, pueden anotarla en un papel, o algo, pero busquen contraseas largas con caracteres y no reconocible

Troyanos / spywares / KeyLogger (detector de teclas por la victima)

Estos son otros metodos activos para encontrar constraseas de usuarios.

TODOS LOS ATAQUES DE RESOLVER LA CONTRASEAS SE PUEDE MEJORAR CON SEGURIDAD USANDO SALTING

ATAQUE NO ELECTRONICO

Se refiere a que no se necesita ninguna tcnica de instruccion o algun metodo donde se vea comprometido el sistema de algun otro, entro los ataques no electronicos estan:

- Ingeneria social-Olfateo de teclado- Revisin de basura

revision debasura

Es un ataque donde se busca practicamente en la basura, contenedors de basura, sobre algun documento que pueda ser de gran ayuda para el atacante, esto realmente ya no es tan usado puesto que toda la informacin se contiene digital, de esa informacin relevante que no se tenga consiencia pueden ser utilizados por atacantes para ganar acceso si encuentra algo importante, tambin puede ser el inicio de un ataque por INGENIERIA SOCIAL

Shoulder sufring

Esta tecnica requiere de un contacto fisico con la victima de alguna forma, es decir si vas a una tiene y la recepcionista ingresa a su cuenta, es posible usmear directamente la clave o ver como la teclea, luego con el usuario visto se puede ingresar al sistema.

Otro ataque perteneciente a este metodo es el escuchar conversaciones donde se anuncian informacion personal o cualquier informacion sensible de ayuda para el atacante, existe tambien el escucha de password, entre otros.

Broadcast

Cuando estamos conectados a la red y un host envia un mensaje es posible obtener el mensaje de ese origen y leerlo, si se usa la difusion puesto que el router buscar la ruta de destino o lo envia a todos y cada uno lo rechaza de acuerdo a la ip y la mac de destino., entonces podemos poner la tarjeta de red en modo promiscuo para que pueda escuchar todas las conversaciones de la red y recibir paquetes que no sean para el host.

INGENIERIA SOCIAL

Metodo de engaar a las persona, puesto que las personas son un elemento muy debil y permite crear un puente entre el atacante y el computador., es la manera de interactua con una persona que se pueda usar para obtener acceso a la red y extraer sus contraseas basicamente es ganar confianza con la persona con tecnicas personales, saber hablar bien, buenos gestos, amabilidad, etc etc.

Los hackres se aprovechan de la ignorancia e la gente frente a areas de la seguridad, la mejor forma de prevenir esto es crear consciencia frente a las relaciones personales y evitar divulgar informacion profesional por parte de los trabajadores.

KEY SNIFFING = KEYLOADRES

Estos son los tipos de recoleccion de contraseas

ataques offline

ataques online activos

ataques online pasivos

ataques no electronicos

ALGORITMO PARA CRAKING DE PASWWORD AUTOMATICO

- Encontrar un usario valido se lo puede obtener con la enumeracion- Encontrar un algoritmo usado para cifrado- obtener la contrasea cifrada- crear una lista de posibles contraseas- cifrar cada palabra

Robo de contraseas por medio de USB

Lo que hace este mtodo es guardar contraseas en una UBS que se hayan guardado o almacenado en un host, la mayora de gente que visita porejemplo sitio web guardan las contraseas para evitar recordarlas, esto puede ser recogido por laUSB, estos metodos son usados para maquinas que corren con sistema operativo como Windows 7, xp vista y 2000.

Existe una serie de herramientas que pueds utilizar para realizar este tipo de ataques, ademas puedes tambienr tratar de instalarle un keylogger para capturar sus contraseas mientra una persona trabajaen la computadora.

AUTENTIFICACIN DE MICROSOFT

Windows por lo general guarda sus contraseas en Active directory mas bien en el nucle centra si es centralizado si no cada control de dominio tiene sus contraseas guardadas, recordar que el cliente confia en el controlador de dominio pero el controlador no confia en el cliente o tambien las puede guardar en el SAM, es importante saber que todas las contraseas de los usuarios se almacenan pero en formato HASH, las contraseas nunca son guardadas en texto plano, SAM guarda sus contraseas en un archivo de registro, luego el kernel de windows obtiene esta informacion y la guarda como un archivo de sistema bloqueado, entonces este no podra ser accedido mientras el SO est activado, esto se da porque el kernel de windows guarda este archivo y conserva el bloqueo de archivos creado, el objetivo es recolectar la informacion o copiar la memoria del SAM con cualquier tcnicas.

Entonces :

Las contraseas de windows como todos los SO se guaran antes que nada aplicando una funcin unidireccional o hash, con ello se puede evitar el camino inverso, es decir con la funcin hash encontrar el texto plano de la contrasea esto sera computacionalmente costoso, windows guarda las constraseas hasheadas en c/wndows/systema/conf/, luego si esta activado el SYSKEY ese archivo o fichero SAM es encriptado, por lo tanto todas las contraseas que se les aplica SYSKEY ese valor hash de aquellas contraseas se almacena pero cifrado y con una llave, entonces si el contenido es descubrierto recordar que ya tiene una llave que utiliza una funcin unidireccional haciendolo un algoritmo computcionalmente costoso descifrar, para mayor proteccion se ofrece una segunda clave que se guarda en el sistema operativo,

Existen dos formas de autentificacion NTLM Y LM la diferencia radica en que uno no reconoce entre mayusculas y minusculas y que la contrasea debe ser menos de 7 caracteres y el otro de 14, sus cifrado tambien se diferencia, esto se soportaen versiones de windows xp, 2003 2000 etc.

Tanto como NTLM , LM Y KERBEROS son autentificaciones proporconadas por el SO

Funcionamiento del NTLM

Primero se registra un usuario, al registrar la contrasea se genera un hash de ese texto plano, es decir windows corre el algoritmo de hash y ademas le adiciona un syskey function, luego se enva la peticion al controlador de dominios, entender que el controlador de dominios guarda una copia de cada hash de los usuarios, luego le envia una cadena de 16 bits aleatoria llamada nonce esa cuando llega al usuario la encripta y luego la envia al controlador nuevamente, entonces el controlador de dominio primero accede a la SAM para obtener la contrasea con el hash encryptada y luego la compara con la enviada por el usuario, para saber si son iguales y autenticar al usuario.

Funcionamiento del KERBEROS

HERRAMIENTAS PARA OBTENER HASH DE CONTRASEAS EN WINDOWS

LOPHTCRACK Recolecta los hashes almacenados en la SAM al host local, usa los ataques de fuerza bruta o diccionario tambien la combinacion de los dos, esta herramienta me parece importante usarla cuando se sepa de ante mano que existe la posibilidad de entrar por NETBIOS, el problema es que se necesitan privilegios de administrador

CAIN Y ABEL otra buena herramienta

RAINBOW CRACK

Bueno saber que las autentificaciones lm y lmnat corren en sistemas operativos viejos, los actuales usan KERBEROS, en lo posible si se llega a una compaia con SO viejos, desactivar este tipo de autentificacin, para ello ir a registro y desactivar esta opcion