Buenas.
Ahora si que ya es definitivo; podemos decir que NetSearch Ezine #9 verá la luz 
. Solo era para informar que hemos colgado el Call For Papers, y que la fecha límite de recepción de artículos es el 15 de Octubre de 2008. Animaros a participar.
Teneis el CFP en: www.netsearch-ezine.org
Un saludo.
Ayer hablando con un conocido en el IRC me comentó que había un exploit en milw0rm en él que en realidad la shellcode ejecutaba un “rm -rf /”.
Se trataba de este exploit:
http://www.milw0rm.com/exploits/5978
(si no te lleva a milw0rm es porque ya lo han borrado)
En teoría explota un bug de formato del busybox, que es una especie de conjunto de utilidades de consola orientado a sistemas empotrados. El tema es que en la versión de uname (unix name) del busybox hay un bug de formato, concretamente:
linea 92 de coreutils/uname.c:
printf(((char *)(&uname_info)) + *delta);
Como vemos en realidad si que existe un bug de formato, el problema es que el ‘exploit’ simula explotar esta vulnerabilidad, pero en realidad no lo hace. Para empezar la shellcode que lleva ejecuta un execve(”/bin//rm”, “-f”, “-r”, NULL), cuando en el exploit dice que ejecuta una shell. Luego además en los comentarios del exploit aparece el supuesto codigo en ensamblador de la shellcode, que es falso:
/*
“\x6a\x0b” // push $0xb
“\x58″ // pop %eax
“\x99″ // cltd
“\x52″ // push %edx
“\x68\x2f\x2f\x73\x68″ // push $0×68732f2f
“\x68\x2f\x62\x69\x6e” // push $0×6e69622f
“\x89\xe3″ // mov %esp, %ebx
“\x52″ // push %edx
“\x53″ // push %ebx
“\x89\xe1″ // mov %esp, %ecx
“\xcd\x80″; // int $0×80
*/
Esos comentarios están muy chulos, pero el código real de la shellcode es otro muy diferente. Luego para colmo el exploit lleva mucho código ofuscado, con lo que es dificil saber que hace exactamente. Para empezar en los comentarios dice que hay que compilarlo como una librería, y ejecutar:
export LD_PRELOAD=”./busybox.so”
Con esto conseguimos que se carge esa libreria dinámica antes que la propia libc. El busybox (y el propio binario de /bin/uname también) lo que hace es llamar a la función uname() de la libc. Pero claro, al cargar esa libreria primero llama a la función uname() de busybox.so, con lo que el control de la CPU ya está tomado (hay que decir que si un binario tiene setuid el sistema ignora la variable LD_PRELOAD). Aquí el exploit podría ejecutar directamente lo que quisera, pero claro, hay que hacer un poco el paripé para intentar despistar al personal.
Por lo que he investigado (poco), según mi parecer lo que hace (o intenta mejor dicho, porque el código está bastante chapuzado) es tratar de sobreescribir la dirección de retorno de la función uname_main() del busybox. ¿Como?, pues a través de un puntero que apunta a una variable local (usease en la pila) dentro de dicha función. Concretamente el puntero es el argumento que recibe la función uname() del exploit: struct utsname *buf. Esa estructura (finita, en realidad ocupa unos 200 y pico bytes así a ojo) es declarada dentro de la funcion uname_main(), con lo que si sobreescribimos muchos bytes llegaremos a la dirección de retorno.
Y eso es lo que hace el exploit a traves de una llamada a build_fmt(), se dedica a hacer chorradas para despistar, y al final copia mediante un bucle lo que parece ser una dirección hardcodeada de donde debería estar la shellcode (incrementando la dirección +2 en cada iteración, lo cual no tiene mucho sentido). Según mi criterio dudo que ese código llegue a funcionar alguna vez, pero bueno… Ah, también copia una especie de string de formato para ‘explotar’ el bug:
p += sprintf(p, “%%%d$%uu%%%d$hn”
Ya me contarás como explotas un bug de formato sin un %n …, todo eso solo es para dar intentar dar más el pego.
Resumiendo, que pedazo de fake, y encima está en milw0rm, packetstorm, y en todas partes… He enviado un par de mails, el de milw0rm ya me ha contestado y seguramente quite el exploit. Encima en milw0rm hay otro exploit superofuscado del susodicho elemento, solo hay que verlo (ya me contareis que narices hace eso X-D). Y también tienen página web: lul-disclosure.net. Les iba a mandar un mail, pero con los problemas que tuve ultimamente con los DDoS casi que pasando, no vaya a ser que les de por ahí.
Pues nada, que mucho cuidado con lo que ejecutais.
Un saludo.
Buenas.
Resulta que a mis 28 años nunca he tenido un curro de 8 horas como dios manda. Bueno, miento…, tuve una vez un curro en una fábrica de leche, aguanté 3 días (24 horas en total), y me pareció una tortura. Eso fué aproximadamente hace 8 años, ya ha llovido desde entonces. Os preguntareis de que narices he vivido todo este tiempo. Pues la verdad es que llevo ya unos 6 años en los que mis únicos ingresos vienen por medio de internet, para ser concretos: páginas de contenido para personas entradas en años (usease páginas porno de toda la vida). No creo que nadie se vaya escandalizar a estas álturas de la película, hago páginas xxx igual que podría hacer páginas de chistes, lo que pasa que esto último no vende y lo primero si, así de sencillo (por supuesto solo diseño las páginas, las fotos y videos no son mios, no os emocioneis X-D).
La verdad es que no me iba mal, sobre todo al principio, pero ahora con tanta competencia y tanto eMule la cosa va bastante chunga y me he tenido que dar de baja de Autónomo. O lo que es lo mismo, me he quedado en el paro. Ahora toca buscar un curro decente, de los de toda la vida, pero con esta crisis la cosa pinta mal. Para colmo aquí en el paraiso natural (Asturias), tenemos la segunda mayor tasa de paro de España, solo superados por Andalucía. Y ya estoy un poco mayorcito para hacer una oposición a los cuerpos de seguridad (la mitad de los policías y guardias civiles de los últimos años deben ser Asturianos), aparte que aunque quisiera tampoco podría por mi problema de visión (queratocono).
Así que ésta es la situación. Me imagino que mi futuro pasa por hechar curriculums a la antigua usanza, ir al INEM y a las ETT’s, y esperar. Encima yo por mi caracter (tímido, inseguro…, vamos un portento de la autoconfianza) no soy muy hábil en las entrevistas de trabajo. Habrá que esperar a ver si suena la flauta. La verdad es que no pido mucho, solo un curro de 8 horas (pero 8 horas de verdad, soy de los que piensan que más de 8 horas no hay dinero que lo pague), con un sueldo normal (o sea bajo) y a ser posible que no sea muy cansado ni me provoque problemas de salud. ¿Pido mucho?. El tiempo lo dirá.
Un saludo.
Para intentar actualizar más a menudo el blog he decidido que voy a hacerlo un poco más personal (total, para los que leen esto…, o sea yo 
).
He instalado un plugin de esos tan chulos (espero que no pete por todas partes) para meter galerías de imágenes en el blog, todo integrado con el wordpress muy mono. De momento solo he subido fotos de pesca/mar, pero creo que voy a empezar a subir fotos personales también (tendré que pedirle permiso a mis amigos a ver si no les importa salir en el blog ).
También voy a empezar a publicar entradas contando cosas que no tienen que ver con la informática, total…, es mi blog y hago lo que quiero . Además es que sino no se me ocurre de que escribir a menudo 
, y total para 4 locos que entran aquí…
Bueno, pues eso, un saludo!.
Buenas.
Al final hemos decidido crear un miniforo en la web de enyesec, para intentar hacerla un poco más dinámica e interactiva. Por supuesto estais tod@s invitad@s, el foro es abierto y puede participar todo el mundo.
La dirección: www.enye-sec.org/foro
Por otra parte, parece que por fin hemos encontrado estabilidad con el servidor.
Un saludo.
Pues nada, parece que Fernando Alonso tiene problemas con su R28 y nosotros los tenemos con el servidor. A ver si de ésta va la vencida.
Un saludo.
Buenas.
Al final tirando de caches de buscadores he conseguido más o menos dejar el blog como estaba. Lo que no he podido restablecer han sido los comentarios (tenía que andar creando los usuarios otra vez, y no tengo ni los pass ni los mails ni nada …). Por lo demás seguimos teniendo algún que otro problemilla con el servidor, pero parece que la cosa se va estabilizando.
Como no tengo mucho más que contar termino aquí el post informativo.
Un saludo 
.
Después de casi un mes vuelve a estar el blog disponible (ya de paso lo he actualizado a la última versión). Lo malo es que hemos perdido las bases de datos, y va a ser imposible recuperarlas, así que toca volver a empezar desde el principio. Algún día explicaré el motivo de todo este embrollo, mientras tanto intentaré volver a poner el blog a mi gusto (dentro de lo que cabe).
Un saludo.
Hola de nuevo, hoy me ha dado por escribir en el blog 
.
Esto no tiene mucho que ver con la seguridad informática, más bien con lo personal (sino os interesa no sigais leyendo ).
Me he operado recientemente (el miercoles pasado) de la vista, de un ojo para ser exactos. Pero no penseis que fué una operación de laser normal y corriente para quitarme la miopia, ya podía… A mi me ha tocado la loteria con esto de los ojos, concretamente una enfermedad de la córnea llamada queratocono. La padecen 1 de cada 12000 personas más o menos, o sea menos de un 0,01 % de la población, y me tenía que tocar a mí, claro está :S .
Resulta que la córnea se va adelgazando y adoptando la forma de un cono, creando un astigmatismo irregular que no se corrige ni con gafas ni con lentillas blandas. Tiene que ser con unas lentillas especiales (semirígidas) que no las soporta ni dios a las 4 horas de llevarlas puestas (hay gente que ni eso). Para intentar corregir el astigmatismo irregular se introducen 2 segmentos en el espesor de la córnea (usease, dentro de la córnea), permanentes. La idea es que esos segmentos tiren hacia los lados y consiguan redondear la córnea, eliminando la forma de cono (y por tanto el astigmatismo).
Para que os hagais una idea de lo que me han puesto en el ojo es esto:
Esos segmentos que se ven alrededor de la pupila, formando una especie de circunferencia, son los anillos intracórneales que me han puesto (por cierto, son rígidos, imaginaros lo que pasaría si un día me da por rascarme el ojo :S ).
Pues nada, a pesar de todo aquí sigo , y además con mejor visión, así que en cuanto me recupere de la operación me pondré a hacer cosillas. Luego todavía tengo que operarme del ojo izquierdo pero bueno, que se le va a hacer, peores cosas hay en la vida.
Lo siento por el tostón, promento intentar no volver a hacerlo más .
Un saludo .
Buenas.
0×90, uno de los primeros miembros de eNYe Sec, ha abandonado oficialmente el grupo. Atrás deja artículos en la web (que siguen estando online) sobre Windows a bajo nivel, su colaboración en el eNYeLKM, y muchas cosas más.
A partir de ahora solo quedamos en el grupo Pepelux y yo, pero eso no significa que no vayamos a publicar nada . Aunque llevemos tiempo sin colgar nada nuevo, pronto lo haremos, estoy convencido. Yo entre mi operación de la vista y el curro no he tenido mucho tiempo, pero ya tengo ganas de volver a ponerme a hacer cosillas, y Pepelux también, así que pronto habrá novedades.
Y aún así, aunque publiquemos cada mil años, el grupo no va a desaparecer, eso seguro . También tenemos pensado hacer algun retoque a la web para darle algo más de vidilla, como por ejemplo un foro. Pronto estará online.
Pues nada, solo queda desearle lo mejor a 0×90, aunque por supuesto le seguiré dando la turra por el MSN/IRC (para su desgracia) .
Un saludo.