Como ser un Defacer

Creado por @LiberoamericaMu

Saludos a tod@s ante todo quiero agradecerles por compartir y leer este pequeo libro sobre defacing. Advertencia: NO me hago cargo del mal uso de la informacin proporcionada.

Qu significa Defacer?
Defacer viene de la palabra DEFACING o DEFACEMENT que en espaol significa DESFIGURAR, defacer en trminos Informticos significa DESFIGURAR SITIOS WEB.

Ventajas de ser un defacer?

Las ventajas de ser un defacer es que puedes aprender muchas cosas sobre servidores, sistemas y muchas cosas ms, puedes reportar fallos de seguridad a empresas (NUNCA AL GOBIERNO XD ), Buscar vulnerabilidades en grandes sistemas, etc.

Hacker vs Defacer?
Personalmente pienso que hay una parte de hacking en el defacer ya que penetra sistemas, robar archivos y muchas cosas ms. Todo depende de la tcnica empleada, Ej: Si se hace con una tool que ni siquiera programamos y es automtico eso no es Hacking ni Defacing eso es ser un LAMMER XD!!! , En Fin. El trabajo de defacer es INVESTIGAR todo sobre un target, buscar posibles vulnerabilidades en los distintos tipos de sistemas.

Bueno antes de comenzar con la explicacin de los distintos tipos de mtodos quiero cortarles experiencias propias para que logren entender que tan bueno es ser un defacer. Actualmente vivimos en un mundo con muchos problemas que nos afectan a todos y es muy difcil expresar lo que piensas que ya nos viven censurando por este motivo fue que hace 5 aos estoy expresando mi punto de vista haciendo defacing a sitios de entidades gubernamentales , multinacionales y muchos sitios ms. Pero recuerden que hay que ser responsables , No tenemos que utilizar nuestro conocimiento para hacer dao a personas que no daan a nadie.

Mtodos ms utilizados:
Esta es la parte donde hablare sobre los mtodos, para los que recin inician con el defacing seguramente hay muchos trminos que no van a entender pero no se hagan problema que dejare las definiciones al final. Mtodo 1: SQLi: Este mtodo es el ms utilizado para robar datos de la base de datos de las pginas webs, (SQL INYECTION), Esto significa inyectar la base de datos aprovechando las distintas vulnerabilidades en parmetros de algn sitio. Ej : supongamos que queremos obtener acceso a la administracin del sistema de www.noticias.com y dicho sitio hace peticiones a la base SQL www.noticias.com/noticias.php?id=noticia1ok seguramente nos mostrara la noticia 1 perfectamente pero si hacemos una peticin errnea como por ejemplo www.noticias.com/noticias.php?id= nos mostrara un error que dicha peticin no puede ser mostrada por el simple motivo que no existe. Despus de verificar que el parmetro es vulnerable podemos ejecutar cdigo remoto para que nos muestre la informacin de la base de datos como por ejemplo los usuarios y contraseas de los usuarios registrados. SQL: TIPO DE BASE DE DATOS. INYECTION: INYECTAR BASE DE DATOS. Para aclarar: Dicho mtodo es el ms comn y el ms antiguo utilizado por los defacer pero actualmente nos ayuda a obtener informacin. Tambin hay muchas formas de automatizar la inyeccin con programas. Ej: SqlMap: Este programa nos permite hacer una inyeccin automatizada

Mtodo 2: Exploit (CMS) Bueno este mtodo tambin es uno de los ms utilizados consiste en explotar el sistema de administracin que tenga instalado. Ej: Supongamos que la pgina www.wtf.com tiene instalado una versin antigua de drupal o wordpress, Bien esto puede poner en riesgo la seguridad de dicho sitio ya al ser la

versin antigua puede tener vulnerabilidades en los plugins o complementos de dicho sitio.

Exploit = Explotacin de sistema informtico CMS = Sistema de administracin

Mtodo 3: Remote file Upload Este mtodo es buscado mucho porque es elms fcil de explotar, el punto de dicho mtodo es subir archivos remotamente buscando vulnerabilidades en un target especifico.

Ejemplo: Supongamos que estamos buscando vulnerabilidades en la pgina www.wtf.com y dicha pgina tiene instalado un complemento en la administracin (Plugin) www.wtf.com/wp-content/plugins/uploader/fileupload.php , la idea es buscar un parmetro donde no nos solicite permisos para subir archivos.

Plugin = Complemento del sistema

Mtodo 4: Cracking Password (Cms) Este mtodo consiste en crear un diccionario con Password (Contraseas) y hace un masivo test para ver si coinciden en las contraseas. Tambin hay un mtodo que est dentro de esta categora que consiste en probar contraseas por defecto. Ejemplo: Supongamos que tenemos en nuestro target un simple panel de administracin y para ingresar a dicho panel se requiero un usuario con su respectiva clave, este es el momento donde tenemos que averiguar que tipo de CMS tiene y ver si trae contraseas por defecto. La ms tpica y pica es: Usuario: admin Password: admin

Jejejeje de seguro piensan que esto no es posible pero en muchas ocasiones me sirvi xD, en fin tambin hay algunas como por ejemplo: Usuario: admin Password: 12345. En fin esos son algunos de los tantos mtodos empleados para hacer ataques como estamos hablando de defacinges siempre a un sitio web pero tambin atacando el sitio web podemos obtener acceso al WEBMAIL y poder tener el control de los distintos correos electrnicos del sitio. Ejemplo: Supongamos que tenemos acceso al servidor de www.fucksystem.gob.ar tambin podemos tener acceso a www.fucksystem.gob.ar (Todo dependiendo de la versin de WEBAMIL que tenga instalada.)

Diferencia entre administrador y usuario root?

Administrador = Es el encargado de administrar un sitio o directorio especifico del servidor. Usuario root = Dicho usuario tiene la MAYOR responsabilidad del sistema, este usuario se tiene que encargar de administrar el sistema COMPLETO del servidor, actualizar la seguridad, llevar mantenimiento y muchas cosas ms. Para aclarar:el usuario root tienen el mayor privilegio del servidor y puede editar cualquier cosa.

Frecuentes errores de los administradores?

Los errores ms frecuentes que cometen los administradores y root es que no configurar bien los directorios del servidor. Ejemplo: Supongamos que una pgina vulnerable de una empresa X tenga en su mismo servidor 40 pginas ms, si el encargado de administrar el sistema no configurar bien los usuarios con sus respectivos permisos esto puede habilitar a cualquier usuario de cualquier pgina que entre a otro directorio y modifique la informacin o robe la base de datos y muchas cosas ms. Otro de los errores msconocidos son cuando hacer una copia de seguridad (copiadeseguridad.zip)y lo guardan en una parte como por ejemplo: www.pagina.com/copiasdeseguridad/copiadeseguridad.zip esto permite que cualquier

persona descargue esa copia y pueda ver el archivo de configuracin de la base de datos, lo nico que queda por hacer es conectar y robar o modificar toda la informacin de dicha base de datos.

El mejor sistema operativo para defacer es?

Claramente esta es la parte de se habla de los sistemas operativos UNIX ya que son ms flexibles y nos permite tener una serie de herramientas tiles, pero no hay que dejar de lado a Windows ya que tambin sirve para realizar distintos tipos de ataques. Vamos a comprar una versin de Linux modificada para pentesters como por ejemplo KALI oBACKTRACK dichos sistemas tienen herramientas pre instaladas, esto permite que el atacante tenga todas las herramientas separadas por categora de lo contrario a Windows que hay que instalar los complementos Ej: python, Perl, ruby, etc. Tambin hay muchas veces que Windows es intil ya que la mayora de los servidores son Linux. Pero en fin todo depende de la persona, preferiblemente es mejor tener ambos S.O.

El defacer comete delito informtico?

Esta pregunta la hacen muchas personas y ms los principiantes, pero la respuesta ms coherente es que todo depende de las leyes de el pas en donde vivas. Hay muchos pases del mundo que casi ni tienen polica contra delitos informticos ni menos leyes. Ej: En Per las leyes contra los delitos informticos y el defacing son muy buenas (PARA ALGUNOS), ya que hay leyes que permiten meterte preso de 4 a 6 aos por el simple hecho de manipular una base de dato ajena. Para aclarar:podemos hacer ataques y ocultar nuestra identidad pero publico esta informacin porque hay que ser consciente de lo que nos espera si nos pillan.

Saber de programacin ayuda al defacer?

Claramente la respuesta es s, la programacin de distintos tipos de lenguaje nos facilitan el trabajo.

Ej: supongamos que sabes algo de python y queremos automatizar un ataque al saber programar poder crear nuestra propia herramienta para ahorrar tiempo y trabajo. Ahora que recuerdo les contare una experiencia personal que de seguro les ayudada para terminar de entender. Hace unos meses quera explotar una vulnerabilidad SQLi en una pgina del gobierno pero el problema era que el administrador al ver que intentaba hacer SQLi me sacaba del sistema, al no poder hacer nada cuando el administrador este online programe un simple archivo en bat para que ejecute Sqlmap a una hora que el administrador no estuviera online esto me permiti obtener la base de datos COMPLETA de dicho sitio. Tambin eh creado muchas herramientas en perl y python puede que sean sencillas pero nos facilitan MUCHO trabajo ;).

La mejor forma de obtener conocimientos?

Como siempre yo recomiendo investigar mucho unirse a distintos foros traducir informacin eso es muy bueno ya que nos permite ver cosas que capaz no est en espaol o ingls, tambin pueden buscar videos tutoriales en otros idiomas y observar atentamente, en fin esos son los consejos a seguir estoy seguro que les ayudara MUCHO.

Informacin sobre el centro de estadsticas de defacer

El ms grande centro de estadsticas de defacer ms grande y complejo del mundo es www.zone-h.org en esta web ya se reportaros millones de defacing los ms antiguos son del ao 2001. Las categoras del sitio son 2: Defacing Normal: esta categora es cuando se reporta una pgina que pertenece a alguien que no se importante ni conocido. Defacing Especial: en esta parte muestra las pginas como por ejemplo: entidades gubernamentales, multinacionales, entre otras.

Malos proveedores de hosting.

A veces la culpa de la MALA SEGURIDAD es de los dueos del hosting que no se preocupan por la seguridad de sus usuarios, por dicho motivo es recomendable analizar el hosting antes de la web a atacar.

La seguridad dependiendo del pas.

En esta parte quiero explicar algo que muchos defacer entienden y otros no, ante todo quiero aclarar que no pretendo discriminar solo hacerles entender algo por importante. Muchos defacer crean categoras de el nivel educativo de los pases para poder llevan a cabo sus ataques, de seguro se preguntaran Qu tiene que ver el nivel educativo?, la respuesta es que si se estudia bien se proporciona un buen producto. Ejemplo: si ven en el centro de estadsticas de defacer www.zone-h.org pueden notar que los dominios .com.ar (Dominio Argentino) de seguro notaran que la cantidad de dominios atacados son muchos ya que los argentinos no somos muy buenos en la seguridad (El nivel educativo es una MIERDA!!!), con esto no pretendo discriminar a ninguna persona . PD: Soy argentino xD. Ahora vamos a los pases con nivel educativo muy bueno. Ejemplo: Corea del sur, dicho pas tiene el nivel de educacin ms alto de la regin y si miran en www.zone-h.org pueden notar que las paginas atacadas son muy pocas, esto tiene que ver con los webmaster que hacen su trabajo como debe ser ;).

Otros objetivos.
Dentro de los distintos tipos de objetivos de los defacer uno de los ms realizados es el objetivo econmico, esto consiste en instalar script ocultos a pginas para robar dinero de los visitantes. Ej: Supongamos que tenemos SHELL dentro de una pgina de ventas, lo que podemos hacer es re direccionar los pagos y transferir el dinero a nuestra cuenta. Esto es muy poco tico y personalmente yo no lo prctico, ante todo la honestidad. Otro de los objetivos es infectar servidores para hacer ataques DDOS a empresas (LA COMPETENCIA). Todos estos objetivos son con fines econmicos o para hacer maldad, escribo esto para que entiendan que hay mucha gente mala y estpida pero en fin esa es cosa de ellos.

Bueno este es el final de la primera parte, pronto escribir ms informacin y vamos a poner en prctica algunos mtodos, como es la primera vez que realizo esto espero que

sepan comprender si hay algn error o algo que no est bien explicado, muchas gracias por leer y compartir.

Correo:libero@teamarg.com.ar Twitter: @LiberoamericaMu Facebook:Tutoriales Libero Web:www.liber0.com.ar