Apuntes SinCara sesión 2

Aquesta és una revisió antiga del document

Kerberos:
- https://www.tarlogic.com/es/blog/como-funciona-kerberos/ - Cómo funciona Kerberos
- https://www.tarlogic.com/es/blog/como-atacar-kerberos/ - Ataques a Kerberos
- Kerberos se divide principalmente en 5 pasos:
  - KRB_AS_REQ: El cliente requiere que el AS (Authentication Service) le proporcione un TGT (Ticket Granting Ticket), válido durante unas horas
    - TGT nos permite pedir TGS (Tickets de acceso a servicios)
  - KRB_AS_REP: Respuesta del AS con el TGT
    - KRB_TGS_REQ: El cliente requiere un ticket TGS (Ticket Granting Service)
    - KRB_TGS_REP: Respuesta con el TGS, válido durante unos segundos
      - KRB_AP_REQ: El cliente requiere acceso al servicio que quiere usar, utilizando el ticket TGS
- Ataques a Kerberos:
  - AS-REP Roasting (Cracking TGT)
    - El ataque ASREPRoast se basa en encontrar usuarios que no requieren pre-autenticación de Kerberos. Lo cual significa que cualquiera puede enviar una petición AS_REQ en nombre de uno de esos usuarios y recibir un mensaje AS_REP correcto.
    - Esta respuesta contiene un pedazo del mensaje cifrado con la clave del usuario, que se obtiene de su contraseña.
    - Por lo tanto, este mensaje se puede tratar de crackear offline para obtener las credenciales de dicho usuario.
  - Kerberoasting (Cracking TGS)
    - Cualquier usuario válido dentro de Kerberos puede lanzar este ataque, consiguiendo una escalada de privilegios.
    - El ataque consiste en conseguir un listado de TGS de un usuario en concreto que tiene acceso a una aplicación en concreto.
    - Estos TGS incluyen un pedazo de datos cifrado con una clave derivada de la contraseña de dicho usuario, que pueden ser crackeada offline a posteriori.
    - https://blog.segu-info.com.ar/2024/12/que-es-un-ataque-de-kerberoasting.html
  - Pass the Ticket Attack
    - Este tipo de ataque es similar al Pass The Key, pero en lugar de utilizar los hashes NTLM para solicitar un ticket, el propio ticket es robado para autenticarse como su propietario. La manera de recolectar estos tickets varía en Windows y Linux.
  - NTLM Relay Attack
    - El atacante lanza un ataque de tipo Man-in-the-middle para interceptar y reutilizar el hash NTLM para autenticarse o crackear el hash para sacar la contraseña
Contraseñas,emails, autenticación, algoritmos
- https://password.kaspersky.com/es/ - cuanto se tarda en crackear una password.
- https://www.hivesystems.com/blog/are-your-passwords-in-the-green - Tiempo en crackear una password
- Filtraciones
  - https://blog.segu-info.com.ar/2024/07/rockyou2024-10-mil-millones-de.html - RockYou2024, recopilación de 10 mil millones de contraseñas únicas filtradas a lo largo de los últimos años, (45GB comprimido)
  - https://github.com/RickdeJager/stegseek - Crackeador de passwords mediante diccionario muy rápido (para usar con RockYou)
  - https://haveibeenpwned.com/ - Mi contraseña ha sido filtrada?
    - https://blog.elhacker.net/2022/07/falso-sitio-de-have-i-been-pwned-para-robar-credenciales-usuarios-incautos.html - Falso sitio de «Have I Been Pwned» para robar credenciales de usuarios
  - https://www.malwarebytes.com/digital-footprint - Analizan tu huella digital.
  - https://blog.segu-info.com.ar/2020/12/analisis-estadistico-de-contrasenas.html - Análisis estadístico de contraseñas
Buffer Overflow
- https://www.welivesecurity.com/la-es/2014/11/05/como-funcionan-buffer-overflow/ - Buffer Overflow
- https://hunasec.wordpress.com/2018/08/11/stack-based-buffer-overflow-sbbf-1/ - Explicación más técnica
- https://revista.seguridad.unam.mx/numero23/uno-de-los-cl-sicos-buffer-overflow - Tipos, pero solo explica el de stack
- malloc: Asignación dinámica de memoria en el Lenguaje de programación C
- Stack (Pila) - LiFo (Last-in, First-out)
  - Generalmente utilizada para almacenar variables temporales durante la ejecución de un programa
  - Si una aplicación es vulnerable al desbordamiento del búfer basado en la pila, los atacantes toman el control del registro EIP para sustituir la dirección de retorno de la función por el código malicioso que les permite obtener acceso shell al sistema de destino.
  - Error del tipo Stack: Segmentation fault
- Heap (Montón) - FiFo (First-in, First-out)
  - La memoria de montón se asigna dinámicamente en tiempo de ejecución durante la ejecución del programa y almacena los datos del programa.
  - El desbordamiento basado en la pila se produce cuando se asigna un bloque de memoria a una pila y se escriben datos sin ninguna comprobación de límites.
  - Esta vulnerabilidad conduce a la sobreescritura de punteros de objetos dinámicos, cabeceras de heap, datos basados en heap, tabla de funciones virtuales, etc.
  - Los atacantes explotan el desbordamiento de búfer basado en la pila para tomar el control de la ejecución del programa. A diferencia de los desbordamientos de pila, los desbordamientos de montón son inconsistentes y tienen diferentes técnicas de explotación
  - Error del tipo Heap: malloc(): corrupted top size
Escalada de Privilegios
- https://www.elladodelmal.com/2018/01/named-pipe-impersonation-escalando.html - Named Pipe Impersonation: Escalando privilegios en Windows
- https://thehackerway.com/2023/12/13/herramientas-para-la-elevacion-de-privilegios/ - Herramientas para la elevación de privilegios
- CPUs:
  - Spectre y Meltdown
    - https://es.wikipedia.org/wiki/Spectre_(vulnerabilidad%29 - Spectre
    - https://github.com/speed47/spectre-meltdown-checker - Script para saber si tu procesador es vulnerable a spectre y meltdown o derivados
    - https://www.grc.com/inspectre.htm - Aplicación para detectarlo en Windows
  - Intel Management Engine
    - https://www.enlacehw.com/minix-el-sistema-operativo-que-se-oculta-en-tu-procesador-intel/ - MINIX, el sistema operativo que se oculta en tu procesador Intel
    - https://en.wikipedia.org/wiki/Intel_Management_Engine - Intel Management Engine (ME)
    - https://github.com/corna/me_cleaner - Para limpiar o desactivarlo, aunque tiene riesgos
    - https://en.wikipedia.org/wiki/AMD_Platform_Security_Processor - AMD tiene algo parecido
Spyware:
- https://jbeex.com/multa-a-avast/ - Multa a AVAST por vender a terceros datos de los usuarios sin su conocimiento
- https://hackaday.com/2019/02/18/wifi-hides-inside-a-usb-cable/ - Cable de carga keylogger, con Wifi
  - https://shop.hak5.org/products/omg-cable - Para comprarlo
- https://www.hackplayers.com/2024/12/malware-graba-video-con-led-apagado.html - Malware capaz de grabar vídeo con el led de la cámara apagado
- Sonido:
  - https://www.lavanguardia.com/tecnologia/20170504/422279139232/smartphones-seguridad-ultrasonidos-privacidad-uxdt.html - Spyware mediante ultrasonidos
  - https://github.com/ggerganov/kbd-audio - Si tienen acceso al micrófono, pueden sacar los passwords tecleados
  - https://www.amazon.es/Privise%C2%A9-Bloqueador-micr%C3%B3fono-Protecci%C3%B3n-Smartphone/dp/B07L1QYVYF - Bloqueador de micrófono
NTFS Streams:
- Listar datastreams mediante linea de comandos: dir /R
- NTFS Streams funciona en linux, pero hay que activar la opción «streams_interface=windows» al montar el FS
Esteganálisis:
- Los componentes son:
  - El mensaje transmitido
  - El algoritmo utilizado para codificar el mensaje
  - El stego-object en el cual está oculto el mensaje
  - La herramienta utilizada para crear el stego-object
  - El medio por el que se transmite el mensaje
- Técnicas de descifrado:
  - Stego-only: Si solo tenemos el stego-object
  - Known-stego: Si tenemos acceso al stego-object, y conocimiento del algoritmo y del medio
  - Known-message: Conocimiento del mensaje y del stego-object
  - Known-cover: Conocimiento del medio y del stego-object
  - Chosen-message: Este ataque consiste en usar distintas herramientas con el mensaje conocido, para poder generar el stego-object y averiguar el algoritmo utilizado.
  - Chosen-stego: Acceso al stego-object y conocimiento del algoritmo.
  - Chi-square: El atacante utiliza análisis probabilístico para probar si el stego-object y el mensaje original coincide.
  - Distinguishing Statistical: analiza el algoritmo utilizado para detectar cambios estadísticos significativos, junto con la longitud de los datos incrustados
  - Blind Classifier: Conocido el mensaje, a través de un software especial, se analiza desde multitud de puntos de vista, para poder luego analizar mejor el stego-object
Enlaces variados:
- https://book.hacktricks.xyz/v/es/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords - DPAPI, Data Protection API
- https://pberba.github.io/security/2021/11/22/linux-threat-hunting-for-persistence-sysmon-auditd-webshell/ - Hunting for Persistence in Linux
- https://runcloud.io/blog/flush-dns-cache - How To Flush DNS Cache
  - Para ver el histórico de peticiones DNS en Windows: ipconfig /displaydns | find «Record Name»
  - Para borrar el histórico: ipconfig /flushdns
- https://blog.elhacker.net/2022/03/tecnicas-de-intrusion-hacking-con-vectores-iniciales-poco-frecuentes.html - Ejemplos de vectores de ataque peculiares
- https://github.com/bitsadmin/wesng - WES-NG