El 17 de diciembre se llevo a cabo el Seminario de Seguridad Informática SecurInf v2.0 en la ciudad de Popayán, en el se expusieron temas actuales sobre seguridad de informática (Clickjacking), tipos de fraudes en linea (Phishing), ingeniería inversa (cracking de software), y un wargame practico en el que participaron los asistentes al evento.
Fuente: http://www.dragonjar.org/memorias-securinf-v20.xhtml
Nota de Segu-Info: la mayoría de estos documentos se encuentran desactualizados y no se trata de una obra profesional pero pueden ofrecer interesante información sobre Seguridad a quienes comienzan en este mundo.
Obra digital equivalente a más de 1.000 páginas escritas.
Recorrido completo y profundo por el Mundo Hacker: su esencia, sus procedimientos y métodos, herramientas, programas y utilidades, con amplias explicaciones.
Los mejores escritos hacker en idioma Español.
Cómo defender su PC de “Ataques” externos, virus, troyanos, escaneo de puertos, aplicaciones perniciosas.
Cuatro discos llenos de información, utilidades, vínculos a páginas Web.
Contenido
Disco 1:
Disco 2:
Disco 3: (Utilidades)
Disco 4: (Utilidades)
Descargar Libro desde Segu-Info
Fuente: http://kat-black.blogspot.com/2008/12/el-libro-negro-el-hacker-aprende-todo.html
Redacción de Segu-info: al momento de publicar esta nota al menos una de las vulnerabilidades se manifiesta resuelta.
Cuentas de tarjetas desprotegidas
El sitio web de American Express una vez más fue afectado por fallas de seguridad que pueden exponer su considerable base de clientes a ataques que les roben sus credenciales de ingreso.
La noticia llega días después que The Register le informara a Amex que ponía a los usuarios en riesgo innecesario al fallar en reparar una vulnerabilidad evidente que desde hace dos semanas un investigador de seguridad les había alertado. Un vocero de Amex dijo después que había tapado el agujero.
Y parece que no fue así. El error de scripting XSS que hace trivial a los atacantes robar las cookies de identificación de los usuarios que ingresan a americanexpress.com, continua vivo y coleando. La confusión proviene de una equivocación que cometen muchos desarrolladores de aplicaciones que asumen incorrectamente que la causa raíz de una vulnerabilidad está cerrada cuando una explotación en particular ya no funciona más.
Amex XSS aún no reparado“Ellos no solucionaron el problema” dijo Joshua D. Abraham, un consultor de seguridad web de Rapid7 en Boston. “Solucionaron solo un caso de este problema. ¿Quisiera mirar en toda la aplicación y decir si podría haber otro asunto similar?”
Al menos dos Fuentes separadas mencionan haber descubierto que el agujero XSS sigue abierto. El investigador Kristian Erik Hermansen nos lo hizo ver, y desarrolló esta prueba de concepto que muestra como un sitio falso puede explotar la falla y desviar la cookie de amercianexpress.com de una persona, la que ayuda a autenticar a los usuarios después que ingresaron su ID de usuarios y contraseña. Unas horas más tarde, el SecurityLab.ru de Moscú puso esta advertencia.
El arreglo chapucero parece ser el resultado de los desarrolladores web que arreglaron el problema para la falla basada el protocolo ‘get’ de pedidos HTTP pero no en el protocolo ‘post’.
Esta falla fue revelada públicamente por primera vez en Abril de 2007Fue un error XSS separado en americanexpress.com lo que llamó nuestra atención. La vulnerabilidad fue revelada públicamente en un foro web de seguridad en abril de 2007, planteando preguntas respecto de la diligencia de los empleados de Amex para olfatear y reparar vulnerabilidades que pudieran ser usadas para estafar a sus clientes.
Una vocera de la compañía dijo que la seguridad es de principal interés y dijo que los empleados investigarían las dos vulnerabilidades informadas.
No tenemos razones para dudar de la sinceridad de su anuncio respecto que la seguridad es importante en Amex, pero aún no podemos entender porque la compañía hace tan difícil a los investigadores el poder reportar este tipo de vulnerabilidades. Los errores XSS típicamente pueden solucionarse en cuestión de minutos. Solo piense en cuanto mejor protegidos estarían los clientes si la compañía tuviera una dirección de correo o sección en si sitio web dedicados a recibir informes de vulnerabilidades. ®
Traducido para blog de Segu-info por Raul Batista
Autor: Dan Goodin
Fuente: http://www.theregister.co.uk/2008/12/20/american_express_website_bug_redux/
SUMO Linux es un DVD booteable de Sun Tzu Data el cual contiene una compilación de las mejores distribuciones de Linux para Seguridad de la Información:
Se puede descargar vía BitTorrent
Fuente:
http://maximilianosoler.com.ar/blog/sumo-linux-dvd-bootable/
http://blog.realitysecurity.com/2008/11/sumo-linux-up-on-bittorrent-for.html
Video Tutoriales ha desarrollado una serie de videos con la instalación y uso paso a paso de Ubuntu. Para ver los videos es necesario registrarse pero aquí dejo la serie hasta el momento:
Redacción de Segu-Info