Autor
Samuel Esteban
Senior Pentester
Actualmente me desempeño como Pentester...
- 30 artículos
Artículos de Samuel Esteban
Pentesting a Aplicaciones WebTécnicas para Bypassear un Uploader y subir una Web Shell
Samuel EstebanCuando se realiza un Pentesting Web, lo más importante es detectar vulnerabilidades que permitan ganar acceso al sistema, si el sitio web maneja usuarios, es probable que sea posible encontrar un uploader para subir alguna imagen de la cuenta de usuario, etc. En esta oportunidad veremos cómo Bypassear un uploader para subir una web shell.
Pentesting Evadiendo Antivirus con Shellter
Samuel EstebanCuando se realiza un Pentesting a nivel de sistema operativo, lo más relevante es lograr ganar acceso hacia el objetivo en cuestión. Sin embargo en la vida real, gran cantidad de usuarios utiliza algún tipo de Antivirus, los cuales dificultan el trabajo de payloads para poder obtener una conexión inversa.
Pentesting a Aplicaciones WebInyección XPath en Aplicaciones Web.
Samuel EstebanLas inyecciones son un tipo de ataque muy peligroso para aplicativos web, ya que permiten a un atacante extraer información relevante sobre la organización. Por eso es muy importante verificar que las aplicaciones que desarrollamos, utilicen un control de sanitización de caracteres, para mitigar vulnerabilidades de este tipo. Hoy veremos un tipo de inyección muy peligroso denominado Inyección XPath. La inyección XPath es similar a las Inyecciones SQL.
Pentesting a Aplicaciones WebExplotación de vulnerabilidades de código en Joomla(CMS)
Samuel EstebanJoomla es uno de los gestores de contenidos más utilizados en el mundo (después de WordPress). Los CMS ayudan a los administradores de sitios webs a controlar sus sitios web de una manera mucho más estructurada, sin embargo, siempre son estudiados por investigadores de Seguridad, los cuales constantemente develan vulnerabilidades que puede afectar el correcto funcionamiento del servicio.
Pentesting Detectando Web Shells en Nuestro Servidor Web
Samuel EstebanGran cantidad de desarrolladores webs me ha preguntado constantemente, ¿Cómo puedo detectar si alguien subió alguna Web Shell a mi servidor web? Existen diversas técnicas para realizar este proceso. Tenemos que considerar cosas como, por ejemplo, revisar los últimos archivos dentro de nuestro servidor, verificar que no hallan archivos con funciones que permitan ejecutar comandos en el sistema, etc.
Pentesting a Aplicaciones WebInyección de código malicioso en aplicaciones Web(PHP)
Samuel EstebanOwasp posee un TOP 10 de vulnerabilidades orientadas a aplicaciones web, sin duda la vulnerabilidad número 1 y la más relevante consiste en ataques de tipo Inyección. Las inyecciones SQL son las más conocidas, sin embargo existen muchos tipos de inyecciones como por ejemplo, Inyección Xpath, Inyección de Comandos, Inyección LDAP, etc.
ProgramaciónDesarrollo de herramienta Brute Force para aplicaciones web con Python
Samuel EstebanEl día de hoy veremos en detalle el poder que tiene el lenguaje de programación Python para desarrollar herramientas de Seguridad. Python es un lenguaje potente, ya que a través de él, podemos desarrollar poderosas herramientas con solo unas pocas líneas de código.
Pentesting Saltando HSTS con Man In The Middle Framework
Samuel EstebanEn esta oportunidad veremos algo muy interesante a través de un ataque de hombre en el medio (MitM).MitM es un tipo de ataque en el que el atacante tiene conexiones independientes con las víctimas y trasmite mensajes entre ellos, haciéndoles creer que están hablando directamente entre sí a través de una conexión privada, cuando en realidad toda la conversación es controlada por el atacante. El atacante debe ser capaz de interceptar todos los mensajes que van entre las dos víctimas e inyectar nuevos, lo cual es sencillo en muchas circunstancias (por ejemplo: un atacante dentro del rango de recepción de un punto de acceso de una red inalámbrica Wi-Fi sin encriptar, puede insertarse como un hombre en el medio). Además a través de este tipo de ataque es posible capturar credenciales, que viajan a través de HTTP o HTTPS.
Pentesting Realizando Ingeniería Inversa a Ransomware.
Samuel EstebanSi alguna vez te ha pasado o has tenido algún conocido el cual haya tenido problemas con un “ Ransomware” el cual cifró los datos del sistema y a cambio solicitó dinero para volverlos a la normalidad, te estás enfrentando a un Ransomware.
Pentesting a Aplicaciones WebXSS: Capturando Cookies de Sesión
Samuel EstebanUna de las vulnerabilidades más presentes a nivel mundial en los aplicativos web es el Cross Site Scripting (XSS), esta vulnerabilidad permite inyectar código JavaScript dentro de un determinado input o campo del aplicativo web. La vulnerabilidad se produce porque el desarrollador del sitio web no “escapo” los caracteres especiales dentro de los campos o inputs del sitio web.
Pentesting a Aplicaciones WebExplotando la Vulnerabilidad LFI
Samuel EstebanA nivel web, existen distintas vulnerabilidades las cuales pueden ser muy peligrosas si no son mitigadas adecuadamente. En esta oportunidad nos enfocaremos en la vulnerabilidad Local File Inclusion (LFI). LFI es una vulnerabilidad web que permite ejecutar archivos localmente en el servidor (local file incluson) y tener acceso a archivos de configuración passwords etc.
Pentesting Configurando una VPN en Kali Linux
Samuel EstebanUna VPN (Virtual Private Network) es una tecnología de red que se utiliza para conectar una o más computadoras a una red privada utilizando Internet. Las empresas suelen utilizar una VPN para que sus empleados desde sus casas, hoteles, etc.