Weblog de JaCkSecurity

La receta fría para vender palillos chinos
Sin duda la impunidad debe ser reducida, y como lo señala un editor del JaCkNews en la noticia Nro. 17 del boletín JaCkNews Vol. 2, Nro.6: fue una acción ejemplar contra la violación de privacidad. Pero, en un mundo donde las leyes no atraviesan siempre el ciber-espacio, las empresas y las personas debemos extender nuestra comprensión del ataque (y no sólo la defensa) gracias al conocimiento. Como lo señalaba otro editor del JaCkNews, ya no basta con “procesos, personas, y tecnología”, ahora también se requiere conocimiento. Sin conocimiento, podemos estar tapando algunos hoyos en la pista, cuando en realidad debajo de la misma hay unos abismos inmensos. Para entender esta abstracción medio filosófica, siga leyendo este sencillo post de cómo obtener números telefónicos, sin siquiera pagar un dólar.

Cabe citar que la noticia citada arriba refiere estrictamente a la vente de registros de llamadas entrantes y salientes de números telefónicos. No obstante la misma compañía que delinquió con esto, también ofrece otro tipo de servicios de búsqueda menos criminales, pero igualmente selectos.

Aquí un pantallazo, de una búsqueda de personas cuyo primer nombre es George (segundo nombes es Bush) y viven en Washington, DC. Supongamos que Laura Bozo, quiere invitarlos a su TalkShow con el tema: Los Georges (algo feúcho, nada malévolo, pero bastante comercial para las pantallas).

Sin embargo, vía Google es posible hacer algo similar. Pongamos un ejemplo por otra senda. Supongamos que acabamos de ingresar como vendedores a una compañía que fabrica chopsticks (palitos chinos, en Perú) en Maryland, y el dueño nos ha retado a encontrar nuestra propia cartera. Se trata de una venta en frío. Bien pudieramos coger las páginas amarillas, pero no, usaremos algo más electrónico, usaremos Google Maps. Vía conocimiento de Google Hacking, decidimos operar el comando “phonebook” y Voilá!, la lista está en un click, incluso con mapa. El resultado, se observa en la siguiente imagen.

“Ahora ya podemos vender chopstick a clientes potenciales”

La receta fría tiene 01 sentencia de búsqueda:
phonebook: “chinese food” maryland

Este fue un inofensivo (porque tener los números telefónicos publicados es un mal necesario) e incipiente (por no ofender a una víctima específica) ejemplo de cómo la curiosidad y Google puede dar resultados interesantes. Si quisiera aprender la técnica de Google Hacking, no olvide que ese beneficio extra está presente en los cursos que JaCkSecurity viene promoviendo en el 2008 (descargue Brochure Cursos 2008).

Staff
JaCkSecurity
Conocimiento, Conciencia y Consultoría

Nueva herramienta de cDc

A primera vista, Goolag Scanner no parece contener nada ilegales a la sombra Google. Sin embargo, el mismo software hace la siguiente advertencia, al momento de instalarse (y hasta en forma audible: así que encienda sus parlantes mientras lo instala):

This software was developed by the cDc. It’s issued under the terms of the GPL. If the software does something bad to your computer or network or provides information that you have no legal right to see, then that’s your problem. In some countries this software might be illegal. Don’t be stupid, and don’t come whining to us if you get into trouble. You’ve been warned.

Por otro lado, muchas de las firmas, como es obvio, algo viejas, pero igualmente útiles si se quiere hacer demasiado ruido a los motores de Google (y terminar siendo bloqueado: algo que no le va a agradar a su ISP). De cualquier forma, una herramienta cómoda y práctica para absorver buena parte de la base de datos de Jhonny “I Hack Stuff” Long. Son 1418 dorks para probar.

Igualmente, algo resaltable es el buscador de dorks en el menú de la herramienta. Así, por ejemplo, si quiere buscar todas las sentencias que impliquen vulnerabilidades en Wordpress, Voilà!, sólo escribe “wordpress” y hallará las dorks que Ud. necesita.

Finalmente, aunque el anunció formal de cDc indica que la herramienta ha sido creada para fines de testing personal (su propio sitio web), la misma no tiene una forma de grabar un perfil de dorks, que permita personalizar las 1418 dorks, de tal forma que pueda correrse rutinariamente en su sitio web.

Más en JaCkNews

Es indudable que todos queremos aprender, y esto es más acentuado sobre la gente más jóven, especialmente si el tema de fondo es el hacking. Sin embargo a pesar de que está demostrado que esto se puede lograr con mucha paciencia y buen rato en la red, es evidente que el aprendizaje individual de hacking adolesce de algo que conocemos como “formación”.

En nuestro reciente viaje a Brasil, nuestro deseo de conocer cómo se mueve el mundo de hacking indagamos por todos lados, quizás algunos menos indicados, como los abundantes y voluminosos puestos de revistas, varios de los cuales ofrecían información de temas informáticos específicos, pero ninguno sobre hacking.

Uno de los puestos más próximos a nuestra residencia, cuyo dueño era amigo de nuestro interlocutor, nos contó que alguna vez había vendido revistas que enseñaban cómo hackear, pero dejó de hacerlo cuando se enteró que era un delito.

No obstante a esa premisa (cierta o no), en el presente existe -al menos- una organización que sí lo viene haciendo. Se trata de HackerTeen. A quienes conocimos por la web de Campus Party 2008, y personalmente también en uno de los domos de la Bienal de Sao Paulo.

El modelo de es sencillo en concepto, enseñar a los jóvenes a hackear con un propósito, procurar el bien. Una filosofía que amerita una formación. Quizás por ello, la enseñanza es mitad virtual y mitad presencial.

Si alguna vez planea compartir conocimiento hacker “digamos más profundo” de manera abierta, piense que ese conocimiento sin un propósito claro puede ser peligroso y perjudicial. Quizás el eslógan de HackerTeen le de una idea digna de imitar “profesionalizando jóvenes para el bien“.

Javier Romero
JaCksecurity, CTO
Conocimiento, Conciencia y Consultoría

PD: Complementa bien, este post de HaCKsPy

Recientemente, Bruce Schneier publicó en su blog más de tres noticias curiosas con el rótulo la guerra a lo desconocido. Aunque no es la primera vez que Bruce registra este tipo de -hasta ahora- curiosos eventos, una de ellas, en peculiar, describe muy bien la polémica paranoia detrás del manejo de incidentes, en este caso desde la figura policial contra la civil. La noticia muestra la proceder de la policia inglesa luego que una mujer denunciara a un de un jóven que supuestamente portaba un revolver en bolsillo. La respuesta de la policía provocó un inmediato despligue de hombres armados, para apresar al sospechoso. El equivocado testimonio oral de la mujer produjo un detestable mal rato al portador de la supuesta arma qusien en realidad llevaba un reproductor mp3 de color negro.

Aunque es evidente que a nadie le agrade esta clase de maltratos sorpresivos, especialmente si se trata de una sospecha y no de nada concluyente, lo cierto es que esta clase de eventos van a tender a incrementarse.

Los manejadores de incidentes diligentes saben que cualquier evento sospechoso amerita una acción rápida, y a pesar de la duda deben actuar aunque ello implique una equivocación. No es posible subestimar los eventos, menos si es reportado por un tercero. En el caso de una compañía, el prestar atención a un reporte de un tercero (ajeno al team de manejo de seguridad), llámese un empleado, incrementa la fluidez de información de incidentes a la que estas tienen acceso y amplía el rango de visión del team de seguridad.

En la medida que el compromiso por la seguridad, vaya incrementándose en las instituciones del orden, así como en los teams de seguridad de las corporaciones, se verá más frecuentemente este tipo de guerra a lo desconocido. Sólo vaya acostumbrándose, mientras, una buena recomendación podría ser el informarse mejor de sus derechos constitucionales, para que las probabilidades no lo cojan ignorante.

Javier Romero
JaCkSecurity, CTO
Conocimiento, Conciencia y Consultoría