Martes 24/9/13

Hola a todos, éstos dos días del nuevo curso que nos han estado impartiendo en DGTIC, han sido hasta cierto punto retroactivos encuanto al conocimiento, ya que hemos estado viendo las características de las diferentes redes que exísten.

Nota personal: el examen es creo en martes de la semana que viene.

Hoy vimos VLSM, y también algunos conceptos relacionados con SOC, NOC y TAC, también algunos ataques de malware como Pharming

Las tareas que han dejado han sido respecto a problemas de subnetting, como cuantas direcciones se necesitan para tantos host.

El dia de mañana haremos el enrutamiento estático y dinámico con algunos protocolos de enrutamiento de Cisco, de hecho dejó tarea de ello, que llevaramos mañana, o que lo iban a subir, pero hasta ahorita no he visto nada en el modle, por ende solamente haré la tarea en latex que dejaron, aunqeu actualmente se esta tardando como 52 minutos la descarga del maldito MacTex....

creo que si lo haré a mano.

La parte genial del curso es que me aclaró una duda respecto a como utilizar los GW y los broadcast.

ya que yo tenía una conepción diferente de ello

Las otras tareas que tengo para la semana, son la de alrato que es hacer una referencia (Olguín), hacer un programa en assembler para arqui de compus.... terminar el algoritmo del círculo, que espero ahoritra me salga en python.... también el viernes que tengo examen de criptografía y tengo los 2 exámenes de certificación de cisco... por ende si tengo mucha tarea..
pero bueno, haré aqui la de SOC, TAC y NOC.

SOC.- según ésta referencia http://www.computerns.com/network-security, menciona que un SOC es un centro de monitoreo de actividades de seguridad en la red de un cliente, que estudia críticamente diferentes anomalías detectadas, identificadas .

Los Centro de Operaciones de Seguridad se enfocan en la seguridad y la estabilidad.



NOC.- El propósito de los NOC, según ésta referencia http://www.csoonline.com/article/216884/efficiency-through-noc-soc-convergence, son los que se encargan de asegurar, "power, ping and pipe", los cuales son medidos por los SLA's (Service Level Agreements),

Nota: los NOC y SOC, tienden a compartir operaciones estructurales similares, pero difieren en que el NOC, necesita personal que sea más expertos en redes, que en SOC, que necsita más expertos en seguridad de la información.


Pharming -> según éste link :  http://www.techterms.com/definition/pharming

SCADA -> http://www.engineersgarage.com/articles/scada-systems

The first push was given by the 8 and 16 bit computers called minicomputers. The second was the microprocessors, several years later. Computers offered flexibility in programming and communicating with field data acquisition units that was previously being done by hard wired equipments. This was the dawn of SCADA. Many organizations have been involved with the standardization of SCADA systems since then, including the IEEE, American National Standards Institute, Electric Power Research Institute, International Electrotechnical Commission, DNP3 Users group etc.

Elements of SCADA Systems

SCADA monitors, controls and alarms the plant and/or regional facilities’ operating systems from a centralized location. It includes the communication of information between a SCADA central host computer, many scattered units and/or Programmable Logic Controllers. For example, in a water filtration plant, the remote units measure the pressure in pipes and report the readings to the central computer located somewhere in the control tower. In case of any anomaly, the SCADA system would alert the main station of the problem apprising it of other details like the severity of the anomaly and measurement values in an organized fashion. The systems may vary from simple, like temperature reporting in a building to complex like monitoring the traffic on many traffic lights. The system consists of the following elements:

 

1.      SCADA Master Station Computer Systems: It is the repository of the real-time or near real-time reported data collected from the remote terminal units connected to it. It is generally standard computer hardware equipment and very few SCADA system suppliers have ventured out to make their own computer equipment. A few companies like IBM and CDC did try making hardware for it, but the effort was short lived and commercial off-the-shelf computer products continue to be the main stay. The back end SCADA software must be able to repeatedly poll the RTUs for data values, should have software for their retrieval, storage and processing. The processing may include unit conversion, cataloguing into tables etc.

 

2.      Human-Machine Interface: This is the eye candy part on the host station. The values that have been stored in the host computers are presented to the human operator in an understandable and comprehensible form using HMIs. These may provide trending, diagnostic or management information and detailed schematics and animations representing the current states of the machines under its control. Pictorial representation being more understandable to humans is the preferred form in SCADA HMIs.

 

 UTM

ttp://www.webopedia.com/TERM/U/Unified_Threat_Management.html

SCADA

Jueves 19/9/13

despues de crear el nuevo disco:

particionamos el nuevo disco


con fdisk /dev/sdb

luego m o n para la nueva

luego enter etc.. creando una nueva tabla de parciciones, que se ocupe todo el disco.

verificando con p escribimos los cambios con w


despues creamos un sistema de archivos

ls -l /dev/sd*


mkfs.ext3 /dev/sdb1

una vez que se hace creamos la partición.


para saber que tenemos montado es mount

simulando que nuuestro disco se esta llenando:

df -h

du  nos da los detalles recursivamente.

du -s /*   con ello sacamos el tamaño de todo loque esta en raíz,

du -s /* 2>/dev/null | sort -n     mandamos todos los errores a null y ordenamos numéricamente el contenido de todo el disco.


Nota: el redireccionamiento esta en el primer comando, porque el primer comando manda los archivos de errores, los archivos en proc son cosas en memoria, por ende puede haber muchos errores ahi..

por eso es que se hace el redireccionamiento en el primer comando.
- si lo hacemos sin el sort, lo hará en el orden que él entienda.

/usr/ es el mas grande, por eso lo ampliaremos.

tiene muchos binarios, pero moveremos su contenido a la nueva partición.

1) generamos una particion que tenga todo lo quetenga usr y lo pongamos en un nuevo punto de montaje, para que el sistema use usr de manera transparente.

montando en var a usr.

1) copiando todo lo que esta en /usr a la nueva particion.

2) montamos la nueva particion y luego copiamos lo de usr a mount.

mount /dev/sdb1 /mnt

pero sin hacer cp , ya que copy trabaja a nivel humano, porque cuando copia un archivo, copia cualquier tipo de archivo.

Ej: las ligas simbólicas.

como se siguen las ligas simbólicas se copiaran todas las cosas queestarán en ram con el simple copy, por ende lo que se utiliza es cpio

es un empaquetador, pero lo que hace son copias a un nivel bajo, pero también es capaz de bajarse en las capas y evitar ciertos errores, pero lo ayudaremos con un find para que no copie todo.

find /usr -mount  (lo que hará sera buscar y preguntar si el fs tiene un puto de montaje particular)

find /usr -mount -print0  (con print, nos manda el nombre completo en cuanto a ruta, pero de manera predeterminada agrega un salto de linea para cada resultado, pero no queremos eso porque cpio entendera cada salto de linea como parámetro, pero en vez del salto con 0 mandará un null caracter).

find /usr -mount -print0 | cpio -0dump /mnt

esta haciendo una copia masiva al directorio

si queremos monitorear la copia de los archivos pero en vez de estar pegado

watch -n 0 'ps -fea | grep cpio'

antes se utilizaba lilo,

grub1 yh la beta podian configurar todo en un archivo, ahora grub2 funciona como funcionaba lilo, que tiene scripts que en conjunto tieene sus configuraciones que genera el archivo maestro que no podemos modificar.

ls -l /boot/grub/grub.cfg

hay un directorio en /etc que se llama grub.d, que tiene scripts del grub, tiene el script de linux que lista los sistemas operativos que tenemos instalados.

listando los diferentes sistemas instalados.

debian fue uno de los primeros que usaron grub2, en linux estan los OS listados.

son scripts de bash, que tiene una seccion en la qcual se define el objeto lista, que tiene los archivos de vmlinuz

siendo un kernel monolitico que en escencia son vbinarios que tienen todo, montandose en RAM. bla bla.

grub por cada kernel nos da 2, uno a prueba de fallo s y el otro normal.

hay otro archivo que esta en /etc, que se llama grub, en ese archivo trae las opciones mas generales de grub.
Ej: podemos sacar una consola del propio menu de booteo, antes de iniciar el sistema.

grub2 usa un archivo grub que esta en /etc/grub.d /etc/default grub, un archivo que esta en ... las imagenes.
podemos generar el grub.conf con una herramienta.
si tenemos que usar un grub anterior al 2 se tiene que utilizar uno que se llama menu.lst

nos mando script de inodos, mando el libro de fs forensic análisis

despues de haber copiado los binarios o lo que contenia /usr, desmontamos.

despues hacemos el cambio el cambio,

1) modificando fstab agregando éste punto de montaje, aunque puede haber errores el reiniciar etc...etc...
resumiendo se haría mierda el sistema.

2) puede hacerse sin reiniciar, modificando fstab, pero sin reiniciar mandando llamar fstab.

puede verse los identificadores con ls -l /dev/disk/by-uuid/

viendo el uuid respectivo a la particion


aunque podemos agregar la particion /dev/sdb1 /usr

que le montariamos, pero tenemos que hacer, ya que se acabo de hacer la copia, y despues de que se modifica fstab, quitamos el dirrectorio que teniamos y montamos el nuevo.

Salto mortal:

which mv

which mount

which mkdir

afortunadamente estan en /usr si no deberiamos de hacer las referencias a esos comandos de la particion.

movemos /usr/ a /usr_  siendo el temporal.

creando el directorio /usr con los permisos propietarios, remontamos con

mount -a que remontia dtodo lo que fstab tenga. (actualiza)

lvm o ldm para copiar particiones de manera de espejo.


BASH

en el script getinode

#!/bin/bash

define al interprete que permite cargar el script, recordando el path con get inode ./getinode


a las variables se les pueen meter cadenas, numeros etc.

$0 las comillas inversan  son de ejecuución.
en medio de una cadena se puede llamar a ejecución con las comillas inversas.

echo "uso : `basename $0` "
basename trae todo excepto el nombre que trae, osea solamente el comando.

$1 traera el primer argumento, que escupe el inodo de un archivo.

dentro de la prorgamación se puede meter a una variable, con todo y pipes que se usan en terminal.

las variables se pueden temer en constructos de ejecución y expandirlas en cadenas, se pueden expandir en comillas etc etc.

se pueden comparar salidas de comandos compuestos con valores numéricos.

Ej:
inodespergroup es una variable que se crea a partir del resultado de un comando,

porqeu en abstracto será la variable y a su salida un awk.

nota en la variable blockfile se puede concatenar la salida de un comando con otro.

pff


`date +"%Y%m%d_%H%M"p`


AWK 

lo hizo alguien que programabaen C que procesara cadenas un poco más humanas.

sintaxis

awk 'archivo a proocesar' .

es como grep, pero lo que esta dentro de las comillas son programas, que si se desglosan tienen más orden.


poner en el archivo passwd

passwd es un archivo de sinteaxis física,

si quisieramos poner todos los usuarios con privilegios sería

awk -F ":" '{print $3}' /etc/passwd

la idea es: tienes un flujo que se divide en lineas, y cada linea tiene campos por tanto hay separadores de campos.

pero se pueden dfeeinir separadores de líneas arbitrarios.

si decimos que si se consideren separadores específicos, podemos definir separadores compuestos .

$0  implica la linea completa

a partir de  ahi será cada campo.

si se dijera imprime $0 imprimirá cada linea

$0 ~ /Inode .../
{
   
}
lo que quiere decir-> si la linea tiene algo con estas caracteristicas vas a hacer lo que esta dentro.
de los corchetes.

si tu linea tiene Inode per group has lo que esta dentro de las llaves.

Martes 17/9/13

Recapitulación de la tarea Smashing the Stack.


tenemos un apuntador fijo, que se mueve respecto a que tantas cosas le hemos metido al stack.

si le metemos un int, sube un byte, si le metemos un carácter, sube 10 bytes.

en teoría no podemos movernos hasta abajo del stack.

Bufferoverflow lo que hace es aprovecharse de la estructura del stack.

el programa siguiente

void function(int a, int b, int c){
 char buffer1[15];
char buffer2[10];
}

void main(){
 function(1,2,3);
}

la funcion si no esta definida en bibliotecas de C, se va para arriba.

yendose a la pila, como se necesita regresar al main, se guarda una foto con el IP

instruction pointer -> tiene que regresar al main.

la funcion que dice que se tiene que regresar el instruction pointer es return pointer.

return pointer -> a donde tenemos que regresar para seguir con el procesamiento.

bottom of stack -> se tiene que ver de cabeza, porque las ddirecciones de memoria crecen a la derecha, pero en realidad crecen en direccion opuesta a como crece el stack.

al stack se le agregan primero las 3 variables que son parámetros de la funcion, luego return, luego sfp.


como las direcciones crecen a la derecha,
buffer2      buffer1
[           ] [          ]

si queremos escribirles a los buffers mas de lo que les cabe, se pasa al segundo buffer, pero si le escribimos más se puede ir al sfp, volandonos el primer byte del sfp, lo que puede pasar:

es que se llena el sfp, ya no encontrando el retorno que debería de encontrar, generando un segmentation fault, o lo que pudiera pasar seria que se sobreescribiera el ret.

sacando un segmentation fault, que es una actividad ilegal sobre un segmento de memoria que no te corresponde.

Podría pasar:

generar un buffer lo suficientemente grande para ejecutar un código que se pueda ejecutar.

PFF!!

modificando la siguiente instrucción del IP, eso es la explotación de buffer overflows para código arbitriario.

podriamos ejecutar un SHELL.

contructors en C

#include

void main(){
 char *name[2];

name[0] = "/bin/sh";
name[1] = NULL;
}

pudieramos ver las instrucciones que nos arroja el ejecutable en asm, pudiendo ver las tablas de código.

un NULL, lo podemos obtener dinámicamente con operaciones dinámicas como XOR's.

en llamadas al sistema, o en ensamblador (libro ABEL).

la explotación de buffer overflows para código arbitrario se ve en CWE-120

cwe.mitre.org

listado de las vulnerabilidades en código, nota: se tienen que saber si nos dedicaremos a desarrollo de software.

TIPS:

Areas:

Infraestructura -> Hardening, mitjitzu alto, para UNIX muy bien, administración, pero no se necesita saber el manejo de memoria. Es más avanzado que un sysadmin. Area sencilla.

Auditoria -> se tiene que saber un poco de todo, se tienen que meter a areas administrativas, aprender cuestiones de relaciones interpersonales, vestirse para el éxito! jaja.

Pentesting  -> aprender como ser curiosos, la mayoria de los pentesters tienen un conocimiento académico y de herramientas, necesitamos dominar la curiosidad, tendríamos que pensar como atacantes, pero con la ética de un hacker ético juaZ!!

auditoria y aplicaciones -> documentación mas que nada, curso en word nivel sayayin jajajajaja

Software o aplicaciones seguras -> necesitan técnicas para desarrollo de código seguro, hay varios libros, uno de ellos es el Writting secure code, ese libro es la biblia del desarrollo de código seguro, la razón por la cual es bueno, es porque microsoft a principios de las interfaces, se dio cuenta que lo que estaban atrasados en el desarrollo. Consultaron con los mejores desarrolladores de código seguro, si queremos estar en microsoft lo que piden es desarrollar código seguro.

y si nos metemos a Web -> es meternos a saber los manejos de servidor web, HTTP, detalle de especificaciones de JavaScript, CSS, que cosas se pueden hacer o no con él.


Incidentes o atención a incidentes -> es un Área muy administrativa, con que sepamos un poco de todo pasa.

Malware -> necesitamos saber codigo a bajo nivel, ensamblador a su máxima expresión, conocer las plataformas de windows o moviles, que son las que son actualmente atacadas, practicar con ensambladores, smashing, debería de ser rápido, no debería de ser un reto.

Pensandolo bien, me gustaría más malware...

Forense -> implica un conocimiento profundo de las plataformas que haremos los análisis forenses, sistemas de archivos (FS) HFFS, UTFS, tablas de particiones .. lo tenemos que saber bien.


todo lo anterior es para administrar los tiemos libres para las Áreas que nos gustan más.

Terminamos el viernes con SSH.

ps -> platicamos sobre ppid, parent process id, que son los identificadores del proceso, éste nos puede llevar a las distintas analogías.

pki -> public key infraestructure, y la privada, para cifrar un medio, haciendo un entorno seguro.


los CSR se pasan por la CA , a través de un proceso, transformando llaves públicas genéricas con sellos de autenticidad, generando CRT's.

la confianza sobre las CA's es implicita

casi siempre se debe de tratar la seguridad por capas, como cebollas o como lechugas, a pesar de que ya hay un esque ma de la capa de transporte no impide que se abarque con otro esquema partes que no se aplican.

Estandar SMTP, checar RFC

Protocolos.

Helo

Mail

RCPT

SEND -> iniciamos la transacción.

el estándar dice, primero mandamos todo y luego entregalo.


RESET(RSET)

VERIFY

SPAN

los estándares son simples, ya que son a lo mucho 15 comandos. Por lo tanto ese stack de comandos, implica varias respuestas.

Reply genericos, (checarlos)

Service reado 220.

mail , podria ser que nos conteste con 421, con 221 etc.

podria ser un 354 porque dice start mail, pero tal vez sería correctamente para Datos.

en que situaciones se definen en los rfc.

www.anta.net/misc/telnet-troubleshooting/smtp.shtml

las negritas es donde marcan los protocolos.

recapitulando, nos metimos al estandar porque usaremos los certificados, porque el viernes nos metimos a smtp.

Es probable que alguno de los estándares estén los comandos que definan autenticación.

algujno de ellos describe lo que esta usando gmail, estamos usando gmail como salida.

por lo tanto podría ser delivery.

estamos viendo actualmente el rfc 4954, que implica los comandos de autenticacion, para intercambiar credenciales.

el intercambiar las contraseñas codificadas en BASE64, es muy vulnerable, pudiendole la seguridad a nivel capa 4, implementandose a partir de la infraestructura pki.


Retomando el ejercicio del viernes, de saltos automáticos:

tenemos un server que se conecta mediante un agente.

copiando la llave publica se podria concetar al server externo.

cifra token con la llave publica, si no tenemos la llave privada correspondiente al token generado no se puede conectar.

Agent -> con él se puede guardar en ram con las credenciales, no se necesita meter el passphrase.


haciendo un forwarding del agent, lo haremos con un archivo de configuración.


(checar un forward del agent)

1)copiamos con ssh-copy-id al primer salto
2)eval `ssh-agent``

copiamos en la ram con ssh-add

(estudiar) jua jua jua, aunque mañana veremos taller basico de awk
ps -fea | grep ssh-agent | awk '{pint $2}' | xargs kill -9

obtenemos todos los procesos, todos los que tengan ssh-agent,  y los matamos jua

eval `ssh-agent`

ssh-add

le damos la contra de la privada, para que la agregue en ram.


jua jua
hacemos login sin contra

podemos copiar el .pub, podemos ver lo que hay en la llave publica
2) lo seleccionamos, y lo copiamos al intermedio, añadimos eso al authorized_keys del ultimo salto.
ya que llegamos al ultimo, creamos un archivo con nuestro nombre, y copiamos juanito a authorized_keys.

uyna vez que esta en safe y despues con el cat al authorized...
podemos conectarnos al primero, enviamos una copuia del agent a safe para que lo tenga:

ssh usr@remoto "ls -l" y automaticamente cierra la sesion

el truco es hacer que se conecte al server que queremos


ssh usr@remoto1 "ssh usr2@remoto2" , en vez de listar lo conectamos.

no funcionará porque quieren asignarnos una pseudo terminal.

ssh -t usr1@server1 "ssh  test@remoto2"

ya se esta haciendo el usuario.

para que se fordwarde el agent es con -tA

ssh -tA usr1@server1 "ssh usr2@remoto2"

se puede argegar con n servidores, solamente se agrega la publica con el otro server y al comando, agregamos con comillas escapadas

" ' ' " para agregar el nuevo server

mañana hablaremos con X, que son gráficos, veremos sistemas de escritorios, pero con X PUM

veremos sesiones remotas con VNC

fundamentos lights de iptables

veremos programación en bash y awk poco, con eso acaba el curso.

Buffer overflow smashing the stack

Como me han dejado de tarea investigar a partir de ésta liga:

http://insecure.org/stf/smashstack.html

aquí anotaré lo que parece más reelevante para mí:

Organización de procesos en memoria

1) Texto
2) Datos
3) Pilas

la region del texto solamente incluye instrucciones de solo lectura.

tratar de escribir en la region de texto de la memoria, estaríamos entrando en una violación de segmento.

la región de datos contiene datos inicializados o no inicializados.

las variables estáticas se alojan en ésta región

La región de datos se aloja en la sección BSS del archivo ejecutable, que indica BSS -> sección de datos no inicializados, que empieza al final de segmentos de datos, que contiene todas las variables estáticas y globales, que son inicializadas en 0 o que no tienen inicialización específica en el código fuente.

Retomando: la sección BSS del archivo ejecutable puede ser modificada en cuanto al tamaño con una llamada de sistema brk(2).

si se sobrepasa el tamaño que viene por defecto del user stack o de la sección bss, se organiza nuevamente para asignarle un espacio en memoria más grande.


Pilas -> Abstracción de tipo de datos, que tiene la disponibilidad de extraer el último elemento agregado a la estructura.

La región Stack

Los tamaños de la pila se ajustan dinámicamente por el kernel en tiempo de compilación.

Un buffer overflow permite cambiar la dirección de memoria que regresa una función, pudiendo cambiar el flujo de ejecucción del programa.

Con la herramienta GDB, podemos modificar la devolución que tienen los programas, ya que utilizamos la pila para poder ver el código en ASM y con él modificar el curso del programa.

GDB "ejecutable"


pero para poder ver las banderas correctamente, en vez de ver las referencias a la biblioteca dinámica de C, utilizamos, la bandera de -static

gcc -o shellcode -ggdb -static shellcode.c

viendo el main, epezamos a ver el flujo de la información más detalladamente.

otra opción:

gcc -o shellcodeasm -g -ggdb shellcodeasm.c

creo que se ve perfectamente que se quiere visualizar.

Nunca pensé ver writting an exploit XP


PFF, hacen un overflow a la biblioteca Xt de Xorg... diablos!!

Nota personal: casi ninguna biblioteca de C hace checking de límites de memoria disponible, como:

strcat(), strcpy(), sprintf(), vsprintf(), éstas operan con cadenas terminadas en nulo.

y no checan para ningún overflow de ninguna cadena recibida


shellcode de diferentes arquitecturas:

i386/Linux
------------------------------------------------------------------------------
        jmp    0x1f
        popl   %esi
        movl   %esi,0x8(%esi)
        xorl   %eax,%eax
 movb   %eax,0x7(%esi)
        movl   %eax,0xc(%esi)
        movb   $0xb,%al
        movl   %esi,%ebx
        leal   0x8(%esi),%ecx
        leal   0xc(%esi),%edx
        int    $0x80
        xorl   %ebx,%ebx
        movl   %ebx,%eax
        inc    %eax
        int    $0x80
        call   -0x24
        .string \"/bin/sh\"
------------------------------------------------------------------------------

SPARC/Solaris
------------------------------------------------------------------------------
        sethi   0xbd89a, %l6
        or      %l6, 0x16e, %l6
        sethi   0xbdcda, %l7
        and     %sp, %sp, %o0
        add     %sp, 8, %o1
        xor     %o2, %o2, %o2
        add     %sp, 16, %sp
        std     %l6, [%sp - 16]
        st      %sp, [%sp - 8]
        st      %g0, [%sp - 4]
        mov     0x3b, %g1
        ta      8
        xor     %o7, %o7, %o0
        mov     1, %g1
        ta      8
------------------------------------------------------------------------------

SPARC/SunOS
------------------------------------------------------------------------------
        sethi   0xbd89a, %l6
        or      %l6, 0x16e, %l6
        sethi   0xbdcda, %l7
        and     %sp, %sp, %o0
        add     %sp, 8, %o1
        xor     %o2, %o2, %o2
        add     %sp, 16, %sp
        std     %l6, [%sp - 16]
        st      %sp, [%sp - 8]
        st      %g0, [%sp - 4]
        mov     0x3b, %g1
 mov -0x1, %l5
        ta      %l5 + 1
        xor     %o7, %o7, %o0
        mov     1, %g1
        ta      %l5 + 1
------------------------------------------------------------------------------

Como resumen, se pueden detectar a partir de números mágicos los programas instalados en la región stack de procesos a partir de su shellcode, escribiendo a partir de ellos instancias de los programas, para poder detectar a partir de parámetros el flujo de la información que los programas nos darán.

pero tenemos que conocer el funcionamiento de algunas bibliotecas de C para poder hacerlo, pansandole información que obtenemos con GDB o con las otras herramientas de visualización para poder tener una conclusión que nos ayude a detectar, hacer o mejorar exploits de buffers overflows.

Clase Viernes

SSH

puee habilitarse varias opciones en sshd_config

como kerberos

podemos agregar nuestras llaves, en el archivo /etc/ssh/sshd_config

ssh-keygen -> generamos nuevas llaves

lo que tenemos que establecer es el algoritmo

para poder cifrar la llave privada, siempre hay que cifrar la llave privada.


authorize_keys, o authorize_keys2

ahi meter el .pub, guardar el archivo y salir. o

ssh-add

ssh-copy-id -i .ssh/id_rsa.pub usr@"servidor-remoto.org"


tratar de no hacer la contraseña al mismo tiempo.

 ssh usr@server.org

se pueden agregar tantas llaves publicas como querramos.

ssh-agent  , con ella guardamos en RAM los tokens de autenticaci{on de contraseñas que querramos conectar.

colocamos ssh-add

ssh-agent saca el PID y el SOCK , que se tendra que usar en la terminal.

define variables de entorno, para escupid variables de PID, haciendo lo anterior, colocamos ssh-add
la contraseña de la llave privada.

1) eval "$(ssh-agent)"
o eval `ssh-agent`
2) ssh-add usr@servidorremoto
3) colocamos contraseña privada
4) entramos directamente.

PUFF!!


 nos podemos conectar a un tercer servidor pasando por el que ya nos conectamos.


para saltar directo al tercer servidor remoto.

lo que se puede hacer es una vez entrando al primero usar la llave publica que esta en authorized keys,
que esta en cat .ssh/authorized_keys

y la .pub es nuestra llave

se puede copiar el archivo remotamente, lo ponemos en home o /usuario.pub, una vez hecho eso,

deberia de funcinoar que la llave.pub, la copiaremos a un usuario en el segundo servidor.

ssh-agent vive por sesion, por eso se tiene que meter cada vez la contraseñam, pero se puede configurar el ssh desde el cliente para que se copie la llave directamente a partir de un archivo de configuracion.

crear un archivo en .ssh llamado config

ssh-config:

Host  primerservidor..
Hostname sergiob.org /nombre corto
ForwardAgent yes -> la línea que permite redirigir al segundo servidor
Port 22
ProxyCommand ssh usr-mio@segundo-server  nc %h %p


al hacer ssh al primer servidor se tiene que redirigir al segundo servidor, con solamente haber hecho la primer conexion.

tarea: la lectura para el martes.

contestar la pregunta de que hacemos aqui, porque en seguridad, que nos gusta que nos llama la atención.

que querramos hacer con lo que haremos aqui, que haremos con el, la tenemos que entregar.

la otra es platicar lo de las reformas energética, hacendaria y platicar con alguien, comparenlo  compartir los puntos de vista de acuerdo a esos temas.

http://insecure.org/stf/smashstack.html

http://patch-tracker.debian.org/patch/series/view/pam/1.1.3-9/007_modules_pam_unix

Clase dia 4 LINUX UNIX

Hoy les compartiré mi clase de seguridad B|

les dejaré tarea, jaja, claro porque yo tambien la estaré haciendo.
Nota: el examen es el viernes de la semana que viene jaja, asi que estudien:
permisos, tipos de permisos en particiones, ntfs-3g, como montar, compilar pam.so, agregar modulos como pam.ftp o pam unix, compilar y juntar todos los archivos fuentes  obscure, como funciona, servidor de correos y bitacoras.
PUM!!!!
Bitácoras

en linux hay varios tipos de bitácoras

/var/log

en sistemas como suse, se instalarán los paquetes en /opt

en debian o la mayoria de los linux esta en var/log.

Ejercicio:

 para poder ver los cambios de pam unix, se pueden ver en auth.log

ya que maneja los mensajes de autenticación.

Nota: Las bitácoras en unix generalmente tienen un timestamp, hay varios timestap, uno es de época, desde 1ro de Enero del 70, aunque con awk puede hacerse la traducción de dichos datos.

auth -> nos da el host en donde ocurre el evento, y luego el demonio donde esta ocurriendo el proceso.

siendo el punto de caída para muchos procesos y demonios.

registra cosas de cron, ya que muchas cosas que están en él autentican, cron es un demonio que hace tareas programadas.

En unix podemos centralizar bitácoras, escribiendo en un equipo externo donde se guarde todo.

(chequen eso tarea)

la basta variedad de servicios, permite establecer niveles de bitácoras, llamados loglevel, exísten loglevels standares como loglevel info loglevel etc.

wtemp,

cada servicio sabe en que formato se guardan las cosas.

una bitacora binaria es wtemp, lo que dice es que tiene data.

la respuesta variada que devuelve file a wtemp -> data, mágicamente porque file no sabe que esta adentro jajajaja

hay varias formas de leer la bitácora sin la terminal  (investigar).

nota: en solaris existe una manera de encontrar a que hora se apago el sistema operativo, en BSD  se supone que también pero linux, esta uptime

uptime indica cuanto tiempo ha estado prendido un equipo, pero no cuando se ha apagado, aunque se puede hacer un script en runlevel que guarde un log de la memoria, para poder analizar a que hora se apago el sistema. :D

Exíset una bitácora llamada messages, que exíste cuando se prende la máquina, da una hora de inicio y nos puede dar un delta del tiempo desde el inicio del sistema hasta que ocurre un evento.

juaz!!

mentira!!!, shutdown en messages indicando a que hora se apago juaz!!! trolling del profe(pero ilustración al mismo tiempo)

/var/log/messages

ahi esta, pero lo que se supone que tiene son las salidas que no corresponden al kernel.

aunque es un genérico.

(se verá en administración de linux).

juajua jua jua

aqui escribo 10 veces mas rápido que en mi cuaderno faperines jajajaja

BD

retomando:

ls -l /run/

run lo que guarda son.... a partir de los procesos, como mysql, guarda el process id que le toco, pero también llega a pasar que se corre el proceso pero acabando de inicializar generas threads, pero el programa no esta diseñoado para hacer eso, pero al guardar en un archivo el process id sirve para poder matar al padre, para saber instancias de procesos que corren, guardar log de archivos.

Ejemplo: logs sobre el shadow, siendo parecido a una bandera, o un semáforo primitivo.

tmp tiene problemas de permisos.

var/run es una liga a archivos temporales o virtuales, pero quien quiera acceder a var run tiene la abstracciión de los diferentes accesos a los procesos.

dpts

Estamos cerrando la parte de sistemas de archivos virtuales.

los sistemas de archivos virtuales se pueden abstraer al punto que sean dinámicos, refiriendose a eso:

del lado del cliente -> arbol de directorios.

entregando una API, que tenga crear archivo, listar directorio.

del otro lado podemos ilustrarlo a través de código, ejemplo: crear archivos de maneras dinámicas.

queremos que la constancia en pdf tenga timestamp etc, entonces podria ser que el timestamp sea cuando el usuario baje el pdf, tipo no repudio.

Pudiendo generar los archivos en el momento, a lo mejor hasta los directorios.


Creando un link que es una ruta en el sistema, que redirige a var/constancias, pero cuando se recibe la solicitud de ls, pero quien lo captura es la capa de abstracción, que indica que se requiere el id del usuario etc, generando una respuesta para que la capa de abstracción responda con un directorio.

simulando la capa de abstracción al pdf que exíste solamente en el instante de tiempo en que el usuario quiere descargar el archivo, pero podemos forzar al usuario que se autentique cada que quiera descargarse algo. Evitando problemas de que alguien se robe el HDD, de las constancias ya que solamente exíste cuando se conecta XD

problem??

Tarea: checar capas de abstracción.

inodos pasandose aplicados para archivos iso muy grandes para que no se sature la red.

(fundamentos de servicios streaming...)

FUSE -> permite generar sistemas de archivos de manera dinámica con lo que tengamos (sea lo que sea).

se podría ver en python, o en desarrollo web, o en unix, para poder crear las bitácoras dinámicamente.

para poder crearlos de una manera facil podriamos utilizar fuse.

otra app-> con shell podemos usar un sistema remoto, conectarse y montarse el home en la máquina como unidad D:

siendo transparente.


Tarea: como enviar correos seguramente, mediante la instalación de un servidor de correo, ya que sale muy barato contratar gmail, aunque sigue siendo un trabajo comun el enviar correos desde un servidor.

se puede hacer utilizando servidores externos como g-mail o internos, creando el propio.

Ejemplo de como hacerlo:

dpkg -> que muestra que paquetes tenemos instalados, con el paramerto -l podemos ver la info del paquete

dpkg -l msmtp

sin necesidad de tener un servidor de correo local, se puede utilizar para enviar correos desde un servidor externo como g-mauils BD

funcionamiento:

msmtp sarky68@gmail.com < mensaje

lo que esperan ellos es un flujo, por eso la redirección.

(juaz!!!), jajajaja, hare un maldito script jajajaja, pero para solamente apretar teclas y mandar a mis contactos preferidos, nooo no malditos, no haré lo que viene con SP


regresando.

exísten muchas opciones de consola para mandar eso, aunqeu la desventaja de eso es que ponen las contraseñas de gmail en el archivo .msmtprc

pff

solamente permite lectura y escritura a quien es dueñom, permiso 600

en el archivo anterior, necesitamos definir parámetros de autenticación, porque los manda en claro.

podriamos agregar TLS
http://es.wikipedia.org/wiki/Transport_Layer_Security#Ataque_BEAST

pero utiliza la infraestructura de llave pública.

NOTA: hacer una prueab de concepto jua jua jua, para TLS mandando este correo sobre el protocolo.


Resúmen:
cuando tenemos un entorno no confiable a través de cuando esta libre, (problema de la paloma o del ejercito).

como logramos transmitir info entre sí sin que el enemigo se entere, problema de huevo y la gallina, la lllave pública quita ese problema, pero matemáticamente estan ligadas.

concepto PKI, a demás de tener eso de secretos podemos garantizar a los entes que estan mandando esos secretos.

necesitamos agregar sellos de autenticación, quienes proveen eso son autoridades certificadores, lo que hace es sellar todas las llaves públicas que quieran ser selladas.
la entidad pone una firma digital al certificado, garantizando que tiene un certificado válido.

ese certificado seguro de confianza se hace con

tls_trust_file /etc/ssl/...certificates.crt

gmail provee uno cuando se conecta,
pero podemos obtener ese certificado mediante un paquete

dpkg -l ca-certificates

con ese paquete  ( ii) viene de las entidades certificadoras comunes Common CA certificates.

una vez que se tienen los problemas de certificados, ponemos en el archivo:

account
host
port     587 ???
from
user
passwd

ni siquiera se esta diciendo que cuenta se utilizará


el cliente de copiado scp es para copiar remotamente
scp .msmtprc user@servidorremoto(..) los dos puntos es el lugar donde se copiará

checar ataques MTM para securechel XD fuckyou bigbrother..
Microsoft Exchange Server 2013 SMTP can listen on ports 25, 587, 465, 475, and 2525
big brother me gano :(


checar DNS-> servidores de dominio, aunque resumiendo es otra abstracción para humans XD

tiene dos versiones, directo o inverso.

aunqeu el standar de dns es mucho mas grande, con dig:

podemos obtener los tipos de servidores_

A -> determina de manera primaria, quien quien pregunte ese dominio a que IP lo manda.

AAAA -> será para IPv6

NS -> responsables de guardar la información del dominio son tales y los muestra.

MX -> mail exchange, es el responsable de checar servidores electronicos, aquien se lo manda??, hace una solicitud especificamente de los servidores MX, haciendo una petición de que servidores se encargan, mostrando prioridades de servidores.

Cuando contratamos gmail tenemos que habilitar registros dns para google, exísten algunos spf, que dicen quienes pueden enviar, hay genéricos,  hay registros txt , esos los usa google, haciendo evaluación de modificaciones de registro dns a partir de hashes, demostrando que es tuyo.

WOOOW!!!

checar POP, IMAP, y sus parejas como  587, de maneras seguras.


a partir de éste año los dominios ya no son gratis, los de google.
el costo de gmail es de 50 $ al año, pero se cobran en pagos chicos, al año.

mañana checaremos SSH