www.eu2010.es $ecurity $candal (aka $pain is Different)

Posted on January 5, 2010 by Simon Roses

España desde el 1 de Enero es la encargada de la Presidencia de la EU durante los próximos 6 meses y con este fin se ha creado un portal www.eu2010.es que se anuncio a bombo y platillo en todos los medios.

El escándalo salto ayer, 4 días de la publicación de la web, cuando un atacante identifico una vulnerabilidad de Cross-Site Scripting (XSS) permitiéndole inyectar código en el motor de búsqueda de la web. Dicho código colocaba una foto de Mr. Bean.

Si bien es cierto que esta vulnerabilidad tiene una criticidad baja a  mí entender existen otros problemas:

  1. Las vulnerabilidades XSS no deben ser infravaloras ya que permiten realizar ataques mucho más sofisticados que atacar el navegador del cliente.
  2. Este evento es un claro ejemplo que no por usar soluciones Open Source se es más seguro automáticamente. La seguridad es un proceso y por eso tenemos metodologías como MS SDL y OWASP CLASP.
  3. Enlazando con el punto 2 un WAF podría haberles salvado el mal trago y en la línea Open Source tenemos el ModSecurity.

Como no podía ser de otra manera el Gobierno niega que el portal haya sido “hackeado” y en cierta manera tiene razón aunque no debemos olvidar que si existía una vulnerabilidad que no debería haber sucedido en primer lugar.  

Este ataque XSS  es más anecdótico que otra cosa pero el verdadero escándalo que ha destapado este evento es el alto coste de soporte técnico y seguridad que el Gobierno ha pagado a Telefónica: 11,9 millones de Euros.

Sorprende la desorbitada cifra para un portal con una duración de 6 meses y utilizando soluciones Open Source. Esto sí que es un verdadero escándalo y una vergüenza.

Spain starting January 1 is in charge of the Presidency of the EU during the next 6 months and for this purpose the portal www.eu2010.es was created and announced in all media.

The scandal jumped yesterday, 4 days after the publication of the web, when an attacker identify a vulnerability of Cross-site Scripting (XSS) allowing to inject code into the web search engine. That code placed a photo of Mr. Bean.

While it is true that this vulnerability has a low criticality there are other problems:

  1. XSS vulnerabilities should not be underestimated as they allow performing more sophisticated attacks that just attacking the client browser.
  2. This event is a clear example that using Open Source solutions is not more secure automatically. Security is a process and therefore we have methodologies such as MS SDL and OWASP CLASP.
  3. Linking with point 2 a WAF could have safe them some troubles and keeping with Open Source we have ModSecurity.

It could not be otherwise the Government denies that the portal has been “hacked” and somehow is right but we must not forget that there was a vulnerability that should not have happened in the first place. 

This XSS attack is more anecdotal than anything else but the real scandal this event has uncovered is the high cost of technical support and security that the Government has paid to Telefónica: 11.9 million Euros.

Is surprising the huge figure for a portal with a duration of 6 months and using Open Source solutions. This is scandalous and disgraceful.

— SRF

Posted in Security | Leave a comment

XMAS Hangover and 2010 Roadmap

Posted on January 4, 2010 by Simon Roses

Querido lectores desearos un prospero 2010 y espero que hayáis tenido unas buenas fiestas y ya estéis recuperados :)

Para 2010 desde CyberSpace Insecurity 2.X esperamos traeros post innovadores sobre los temas que nos interesan.

Feliz 2010

Dear readers I want to wish you a prosper 2010 and I hope you have had good holydays and have already recover :)

By 2010 from CyberSpace Insecurity 2.X we hope to bring innovator posts on topics that interest us

Happy 2010

Posted in Uncategorized | Leave a comment

Network Authentication Cracking at speed of light

Posted on December 17, 2009 by Simon Roses

ES: Las viejas técnicas nunca mueran y ataques de fuerza bruta contra autenticación de red no es ningún excepción.  Desde hace años existen este tipo de herramientas como pueden ser Brutus y HTC Hydra además es bien sabido que los “malos” han desarrollado sistemas masivos para realizar estos ataques en Internet a gran escala.

Ahora tenemos una nueva e interesante herramienta llamada Ncrack desarrollada por ithilgore y Fyodor el autor de Nmap. Es por eso que Ncrack sigue la misma línea que Nmap a lo que interface y comandos se refiere y nos permite realizar ataques de fuerza bruta a una velocidad de vértigo!!!

Por el momento está limitado a pocos protocolos como son Telnet, FTP, HTTP Basic y SSH pero son un buen comienzo :)

Además de la velocidad tiene otras características interesantes como son:

  • Salva la sesión y poder continuar en otro momento
  • Compatibilidad con Nmap
  • Trae unas listas de las contraseñas más comunes
  • Fácil desarrollar nuevos protocolos

Examinando los listados de contraseñas podemos ver las típicas y contraseñas reales basadas en “hackeos” de myspace, phpbb y Hotmail.  Tranquilo que mis contraseñas no están :)

Desde luego una herramienta para tener en la caja de herramientas cuando tengas que realizar un test de intrusión.

Ncrack

 US: Old techniques never die and brute-force against network authentication is no exception.  For years there have been such tools as Brutus and HTC Hydra and is well known that the “bad guys” have developed massive systems to perform these attacks on Internet at a large-scale.

We now have an exciting new tool called Ncrack developed by ithilgore and Fyodor Nmap’s author. This is why Ncrack follows the same style as Nmap regarding interface and commands and allows us to perform brute-force attacks at a speed of light!!!

Is currently limited to few protocols such as Telnet, FTP, HTTP Basic, and SSH but is a good starting point :)

In addition to the speed it has other interesting features such as:

• Saves session and continues at a later time

• Support for Nmap

• Brings a few lists of common passwords

• Easy to develop new protocols

Examining the password listings we can see common and real passwords based on 0wned of myspace, phpbb and Hotmail.  Don’t worry my passwords are not in the lists :)

Truly a tool to have in the Toolbox when you have to perform a pen testing.

Ncrack

— SRF

Posted in Pentest, Security | Leave a comment